Software NIS2
pro compliance a řízení rizik

NIS2 je směrnice (EU) 2022/2555 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii. Ukládá důležitým a základním subjektům opatření k řízení rizik, hlášení významných bezpečnostních incidentů a registraci a zavazuje vedení. V Německu je zákonem o transpozici směrnice NIS2 provedena v zákoně o BSI (BSIG), který v novém znění platí od 6. prosince 2025.

Software NIS2 zobrazuje povinnosti podle NIS2 v jednom datovém modelu — rozsah, aktiva, požadavky, rizika, opatření, bezpečnostní incidenty a důkazy — a propojuje je navzájem. Věcně jde o software ISMS, který přináší katalog požadavků NIS2: místo ručního udržování konzistence tabulek spravujete každý objekt jednou a reporty a dashboardy vznikají z dat.

Software pro zavedení NIS2 práci nenahrazuje, ale dává jí řád: požadavky NIS2 jsou k dispozici jako katalog a každý se posoudí, zdůvodní a doloží důkazy. Rizika a opatření jsou navázána na aktiva, kterých se týkají, lhůty a odpovědné osoby jsou zaznamenány. Soulad s NIS2 tak lze dokumentovat a o stavu kdykoli podat zprávu — aniž by někdo slučoval tabulky.

Complaica podporuje celé zavedení NIS2: deset opatření k řízení rizik podle § 30 BSIG, pro dotčené druhy subjektů prováděcí nařízení (EU) 2024/2690 s čl. 1–⁠14 a 13 tematickými oblastmi jeho přílohy, evidenci bezpečnostních incidentů s ohlašovacími lhůtami podle § 32 BSIG a pohled pro vedení podle § 38 BSIG. Katalogy se posuzují na vašem stromu aktiv.

§ 30 BSIG uvádí deset oblastí, které musí opatření přinejmenším zahrnovat: analýzu rizik a bezpečnostní politiky, řešení bezpečnostních incidentů, kontinuitu provozu a krizové řízení, bezpečnost dodavatelského řetězce, zabezpečení pořizování, vývoje a údržby, posouzení účinnosti, školení, kryptografii, bezpečnost lidských zdrojů a kontrolu přístupu a také vícefaktorovou autentizaci a zabezpečenou komunikaci. Opatření musí být vhodná, přiměřená a účinná a jejich dodržování je třeba dokumentovat.

Provádí směrnici NIS2. Čl. 1 a 2 stanoví spolu s přílohou technické a metodické požadavky na opatření k řízení rizik; čl. 3 a 4 určují, kdy se bezpečnostní incident považuje za významný; čl. 5 až 14 to stanoví pro jednotlivé druhy subjektů — od provozovatelů DNS přes poskytovatele služeb cloud computingu a služeb datových center až po poskytovatele služeb vytvářejících důvěru. Přímo se nařízení vztahuje jen na tyto druhy subjektů.

Přímo se prováděcí nařízení (EU) 2024/2690 vztahuje jen na druhy subjektů, které samo uvádí: provozovatele DNS, registry domén nejvyšší úrovně, poskytovatele služeb cloud computingu a služeb datových center, poskytovatele sítí pro doručování obsahu (CDN), poskytovatele řízených služeb a řízených bezpečnostních služeb (Managed Service Provider, Managed Security Service Provider), poskytovatele on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí a také poskytovatele služeb vytvářejících důvěru. Pro všechny ostatní důležité a základní subjekty platí povinnosti podle BSIG; nařízení jim může sloužit jako vodítko, závazné pro ně však není.

Významné bezpečnostní incidenty je podle § 32 BSIG třeba hlásit společnému ohlašovacímu místu úřadů BSI a BBK: včasným varováním, hlášením a závěrečnou zprávou, na žádost úřadu BSI navíc průběžnými zprávami. Complaica eviduje bezpečnostní incidenty s časovými razítky, odpovědnými osobami a lhůtami a každý krok zaznamená s autorem a datem. Samotné hlášení podáváte ohlašovacímu místu vy.

Obě lhůty běží od okamžiku, kdy se subjekt o významném bezpečnostním incidentu dozví. Do 24 hodin je třeba podat včasné varování, do 72 hodin hlášení, které první údaje potvrzuje nebo aktualizuje. Nejpozději jeden měsíc po tomto hlášení následuje závěrečná zpráva; pokud incident stále trvá, nastupuje na její místo zpráva o pokroku.

Poskytovatelé služeb a dodavatelé se evidují jako aktiva a propojují se s obchodními procesy a službami, které na nich závisejí. Pro každého poskytovatele služeb lze posoudit požadavky, identifikovat a ošetřit rizika dodavatelů a uložit důkazy. Graf a matice závislostí ukazují, která služba závisí na kterém poskytovateli.

Podle § 38 BSIG musí vedení zavést opatření k řízení rizik, dohlížet na jejich zavádění a pravidelně se účastnit školení. Dashboardy a reporty v Complaica jsou proto koncipovány pro pohled vedení: míra splnění, největší rizika a otevřená opatření na jedné stránce.

Každý požadavek dostane stav zavedení. Complaica jej kumuluje zdola nahoru — od požadavku přes tematickou oblast až po organizaci — a ukazuje jej v dashboardech: jako celkovou hodnotu, podle tematické oblasti, podle lokality a ve srovnání s minulým měsícem. Míra splnění je vyhodnocení, které Complaica sestavuje z vašich vlastních posouzení, nikoli úředně stanovený ukazatel.

Dopad vyplývá z odvětví, velikosti a činnosti. Zahrnuty jsou subjekty v odvětvích podle příloh 1 a 2 BSIG — například energetika, doprava, zdravotnictví, digitální infrastruktura, služby IKT nebo zpracovatelský průmysl — zpravidla od 50 zaměstnanců nebo s ročním obratem a roční bilanční sumou nad 10 mil. eur; některé subjekty jsou zahrnuty bez ohledu na velikost. Zda se to týká vaší firmy, s vámi rádi ověříme.

NIS2 je právní předpis, ISO 27001 norma pro ISMS — obsahově se obě překrývají v mnoha tématech, od řízení rizik po kontrolu přístupu. V Complaica se NIS2 a ISO 27001 posuzují na stejném modelu rozsahu a využívají stejná aktiva, rizika, opatření a důkazy. Totéž platí pro TISAX, BSI IT-Grundschutz, DORA, GDPR a ISO 22301: co je již zdokumentováno, lze — pokud to obsahově odpovídá — využít pro každý soubor pravidel, kterého se to týká.

Pokrývá podstatnou část požadavků § 30 BSIG, nenahrazuje však registraci ani ohlašovací a důkazní povinnosti. V Complaica využívají oba soubory pravidel stejná aktiva, rizika, opatření a důkazy; rozdíl se zobrazí jako seznam otevřených požadavků.

Ne. NIS2 je právní předpis, nikoli certifikační norma: neexistuje certifikát NIS2 pro subjekty ani pro software. Subjekt musí opatření zavést a na žádost dozorového orgánu to umět prokázat; zda je povinnost splněna, posuzuje příslušný orgán. Complaica k tomu uchovává důkazy u objektu, který dokládají.

Ano. Complaica je k dispozici jako SaaS i on-premises: varianta SaaS je hostována v Německu; on-premises provozujete software pro soulad s NIS2 ve vlastní infrastruktuře. Licence stojí v obou případech stejně.

Ano. Complaica importuje a exportuje data z Excelu a do Excelu, přes REST API a z jiných nástrojů ISMS; migrace vašich dat je bezplatná a provázejí ji naši specialisté. Nástroj tak hodnotíte na vlastní datové základně místo na demo datech.

Přes REST API systémy správy aktiv a CMDB jako i-doit, GLPI, FNT Command a další a také Jira, SAP a Microsoft Azure. Aplikační data jsou k dispozici přes data marty pro externí analytické a reportovací systémy a přes MCP lze napojit asistenta AI.

Pro definovaný rozsah jsou první spolehlivé reporty o stavu k dispozici typicky po několika týdnech — podle stávající dokumentace a dostupných zdrojů. S připraveným obsahem a poradenstvím se menší organizace pohybují na dolní hranici.