--- title: "NIS-2 dodávateľský reťazec: povinnosti pre IT poskytovateľov dotknutých podnikov" description: "NIS-2 dodávateľský reťazec označuje bezpečnostné požiadavky, ktoré podnik regulovaný smernicou NIS-2 prostredníctvom zmlúv prenáša na svojich IT a AI poskytovateľov." locale: "sk" canonical: "https://blckalpaca.at/sk/vedomosti/ai-agenti/nis2-a-nisg-2026/nis-2-dodavatelsky-retazec-povinnosti-pre-it-poskytovatelov-dotknutych-podnikov" category: "AI agenti" topic: "NIS2 a rakúsky zákon NISG 2026" updated: "2026-10-17T15:36:47.841Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # NIS-2 dodávateľský reťazec: povinnosti pre IT poskytovateľov dotknutých podnikov NIS-2 dodávateľský reťazec označuje bezpečnostné požiadavky, ktoré podnik regulovaný smernicou NIS-2 prostredníctvom zmlúv prenáša na svojich IT a AI poskytovateľov. Základom je článok 21 smernice NIS-2: dotknuté subjekty musia posudzovať a riadiť riziká vo svojom dodávateľskom reťazci. Tým sú fakticky viazaní aj priamo neregulovaní poskytovatelia. ## Na prvý pohľad - Článok 21 smernice NIS-2 výslovne zaväzuje dotknuté podniky posudzovať a zaisťovať bezpečnosť svojho dodávateľského reťazca a svojich priamych poskytovateľov. - IT a AI poskytovatelia sú zriedka sami regulovaní smernicou NIS-2, no prostredníctvom zmlúv so svojimi dotknutými zákazníkmi sú fakticky viazaní rovnakými bezpečnostnými požiadavkami. - Rozhodujúce nie je, či došlo k útoku: zodpovednosť riadiacich orgánov sa podľa článku 20 ods. 1 viaže na porušenie povinnosti, nie na škodu. - V Nemecku platí NIS2UmsuCG od 6. decembra 2025, v Rakúsku je NISG 2026 účinný od 1. októbra 2026. - Agentúra, ktorá vie predložiť certifikáciu ISO/IEC 27001 alebo pri cloudových službách atestáciu podľa BSI C5 či AIC4, sa ľahšie kvalifikuje ako dodávateľ dotknutých podnikov. - Toto nie je právne poradenstvo: konkrétne povinnosti, lehoty a zmluvné klauzuly je potrebné vyjasniť s kvalifikovanými poradcami. NIS-2 dodávateľský reťazec opisuje bezpečnostné požiadavky, ktoré podnik regulovaný smernicou NIS-2 prostredníctvom zmlúv prenáša na svojich IT a [AI](https://blckalpaca.at/sk/slovnik/ai) poskytovateľov. Právnym základom je článok 21 [smernice NIS-2 (EÚ) 2022/2555](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive): dotknuté subjekty musia posudzovať a riadiť riziká vo svojom dodávateľskom reťazci. Práve preto sa povinnosti týkajú aj poskytovateľov, ktorí sami vôbec nespadajú do rozsahu pôsobnosti, no dodávajú dotknutým podnikom. - **Koho sa to týka?** Primárne nie samotnej agentúry, ale jej dotknutého zákazníka. Ten musí riadiť bezpečnostné riziká u svojich dodávateľov a požiadavky zmluvne prenáša ďalej. - **Na čom sa to zakladá?** Na článku 21 (opatrenia riadenia rizík vrátane bezpečnosti dodávateľského reťazca), ako aj na článku 20 a odôvodnení 137 (zodpovednosť riadiacich orgánov). - **Aký je dôsledok?** IT a AI poskytovatelia musia dodať preukázateľné technické a organizačné opatrenia, hoci formálne nie sú adresátmi zákona. ## Prečo sú neregulovaní poskytovatelia napriek tomu dotknutí NIS-2 reguluje subjekty v definovaných sektoroch od určitých veľkostných prahov. Špecializovaná AI alebo webová agentúra spravidla sama nespadá do rozsahu pôsobnosti. Rozhodujúci mechanizmus je o úroveň vyššie: článok 21 smernice výslovne zaväzuje základné a dôležité subjekty, aby do svojho riadenia rizík zahrnuli bezpečnosť dodávateľského reťazca a vzťahov so svojimi priamymi dodávateľmi a poskytovateľmi služieb. Konkrétne to znamená: regulovaný podnik musí posúdiť bezpečnostnú prax svojich dodávateľov, definovať požiadavky a zaistiť ich dodržiavanie. Keďže túto povinnosť môže splniť len vtedy, ak dodávatelia spolupracujú, prenáša požiadavky zmluvne ďalej. Touto cestou je neregulovaný poskytovateľ fakticky viazaný rovnakými štandardmi, aké platia pre jeho zákazníka. Povinnosť teda nevzniká priamo zo zákona, ale zo zmluvy s dotknutým podnikom. Strategicky to ešte zostruje logika zodpovednosti v smernici. Článok 20 vyžaduje, aby riadiaci orgán schvaľoval opatrenia riadenia rizík a dohliadal na ich implementáciu. Odôvodnenie 137 to zdôvodňuje vysokou mierou zodpovednosti, ktorú má smernica v subjektoch zabezpečiť. Podľa [článku 20 ods. 1](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022L2555) môžu byť riadiace orgány navyše zodpovedné za porušenia článku 21, ktorých sa dopustí ich subjekt. Úspešný útok na to nie je podmienkou. Zodpovednosť sa tým viaže na porušenie povinnosti, nie na vzniknutú škodu. Pre prax to znamená: vedenia dotknutých podnikov majú silný vlastný záujem dôkladne preveriť svojich dodávateľov a zmluvne ich zaviazať, pretože za opomenutie zodpovedajú samy. ## Právny rámec v DACH: rovnaký cieľ, rozdielna implementácia NIS-2 je smernica a musí sa transponovať do národného práva. Pre dodávateľské reťazce v DACH preto platia rozdielne referenčné rámce, ktoré by mal poskytovateľ poznať. - **Nemecko:** Transpozičný zákon NIS2UmsuCG schválil Spolkový snem 13. novembra 2025, vyhlásený bol 5. decembra 2025 a účinnosť nadobudol 6. decembra 2025 bez prechodného obdobia. Rozsah pôsobnosti sa rozširuje z približne 4 500 na asi 29 500 dotknutých podnikov. Registračný portál BSI sa otvoril 6. januára 2026, lehota na prvotnú registráciu uplynula 6. marca 2026. Povinnosti týkajúce sa dodávateľského reťazca sú v národnom znení zakotvené v zákone BSIG. - **Rakúsko:** NISG 2026 schválila Národná rada 12. decembra 2025, vyhlásený bol 23. decembra 2025 a o deväť mesiacov neskôr, 1. októbra 2026, nadobudol účinnosť. Rozsah pôsobnosti zahŕňa približne 4 000 podnikov v 18 sektoroch. Charakteristická je zmena systému: namiesto úradného rozhodnutia nastupuje samozaradenie a samodeklarácia. K tomu patrí aj zriadenie Spolkového úradu pre kybernetickú bezpečnosť pri BMI. Základné subjekty musia ukotviť kybernetickú bezpečnosť na úrovni riadiaceho orgánu. - **Švajčiarsko:** Švajčiarsko nie je viazané smernicou NIS-2, no s revidovaným zákonom o informačnej bezpečnosti uplatňuje paralelný režim. Prevádzkovatelia kritických infraštruktúr musia od 1. apríla 2025 hlásiť závažné kybernetické útoky do 24 hodín Spolkovému úradu pre kybernetickú bezpečnosť (BACS). Švajčiarske dcérske spoločnosti sa cez vzťahy s materskou spoločnosťou alebo zákazníkmi v EÚ často fakticky dostávajú do kontextu dodávateľského reťazca podľa NIS-2. V regulovanom finančnom sektore predstavuje [DORA (nariadenie (EÚ) 2022/2554)](https://blckalpaca.at/sk/vedomosti/ai-agenti/dora-ai-financny-sektor/dora-riziko-tretich-stran-ikt) príbuzný, prísnejší model pre riziko tretích strán: články 28 až 30 upravujú riziko v oblasti IKT spojené s tretími stranami záväznými zmluvnými požiadavkami, ako sú práva na audit, exit klauzuly a kontroly subprocesorov. Dňa 18. novembra 2025 európske orgány dohľadu po prvý raz určili 19 kritických tretích poskytovateľov služieb IKT, medzi nimi AWS, Microsoft Azure a Google Cloud. Kto dodáva finančným podnikom, mal by vedieť, že zmluvné požiadavky na dodávateľský reťazec sú tam ešte výrazne prísnejšie. ## Čo musí AI agentúra alebo IT poskytovateľ konkrétne dodať Zmluvné prenášanie povinností nie je abstraktný konštrukt, ale premieta sa do overiteľných dôkazov. Nasledujúca tabuľka priraďuje typické požiadavky z katalógu riadenia rizík v článku 21 príslušnému zodpovednému subjektu a konkrétnemu opatreniu. | Požiadavka | Zodpovedný subjekt | Opatrenie poskytovateľa | | --- | --- | --- | | Posúdenie rizík dodávateľského reťazca | Regulovaný podnik (objednávateľ) | Vyplniť bezpečnostný dotazník, poskytnúť dôkazy a certifikáty | | Bezpečnosť vo vzťahu k priamym poskytovateľom (čl. 21) | Objednávateľ voči poskytovateľovi | Akceptovať zmluvné bezpečnostné klauzuly, zdokumentovať technické a organizačné opatrenia | | Riadenie informačnej bezpečnosti | Poskytovateľ | Zaviesť ISMS, prednostne certifikovaný podľa ISO/IEC 27001 | | Riadenie zraniteľností a záplat | Poskytovateľ | Zdokumentovaný proces nasadzovania záplat, definované reakčné časy | | Riadenie prístupov a viacfaktorová autentifikácia | Poskytovateľ | MFA pre všetky relevantné prístupy, princíp minimálnych oprávnení | | Reakcia na incidenty a súčinnosť pri hlásení | Obaja, koordinovane | Vlastný plán reakcie na incidenty (IR), zmluvne zaručená súčinnosť pri oznamovacích povinnostiach zákazníka | | Kontrola subdodávateľov | Poskytovateľ | Oznámiť vlastných subdodávateľov (napr. poskytovateľov cloudu a [LLM](https://blckalpaca.at/sk/slovnik/llm)) a preveriť ich bezpečnosť | | Dôkaz a audit | Objednávateľ preveruje | Priznať právo na audit, pri cloudových službách predložiť doklady ako BSI C5 alebo AIC4 | Pre AI poskytovateľov pribúda zvláštnosť: ich vlastný dodávateľský reťazec často obsahuje poskytovateľov modelov a cloudu ako subdodávateľov. Kto integruje LLM cez [API](https://blckalpaca.at/sk/slovnik/api), pridáva tým do reťazca zákazníka ďalšieho subprocesora. Takýchto subprocesorov treba oznámiť a posúdiť v rámci vlastného bezpečnostného konceptu, pretože dotknutý zákazník nesie zodpovednosť za celý reťazec. V prostredí DACH je AIC4 (AI Cloud Service Compliance Criteria Catalogue) od BSI relevantným referenčným bodom, ak sa AI služby poskytujú prostredníctvom cloudovej služby; rozširuje [BSI C5](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html) o kontroly špecifické pre AI. ## Praktický príklad: ako sa povinnosť premieta do výberového konania Mechanizmus objasňuje konkrétny, typizovaný scenár z priemyslu. Priemyselný podnik z Nemecka alebo Rakúska s približne 1 200 zamestnancami sa kvalifikuje ako dôležitý subjekt podľa NIS-2. Vybudovanie [zákazníckeho portálu s podporou AI](https://blckalpaca.at/sk/sluzby/integracia-ai-agenta) zadá externej agentúre. Pseudokód reťazca povinností: \`\`\` Objednávateľ (dôležitý subjekt) -> plní čl. 21: riadenie rizík vrátane dodávateľského reťazca -> podmienka: každý poskytovateľ musí preukázať bezpečnostný základ (baseline) IF Agentúra.certifikovaná(ISO\_27001) == false: Agentúra vyplní bezpečnostný dotazník Agentúra akceptuje zmluvné klauzuly (TOM, MFA, IR, zoznam subprocesorov) Agentúra.oznámiť(Subprocesori = [poskytovateľ cloudu, poskytovateľ LLM]) -> Objednávateľ preveruje, dokumentuje, dohliada (čl. 20) \`\`\` V praxi teda agentúra dostane špecifikáciu pre dizajn a funkcie a k nej bezpečnostnú prílohu. Musí predstaviť svoj systém riadenia informačnej bezpečnosti, uviesť svojich subdodávateľov, zaručiť [postup reakcie na incidenty](https://blckalpaca.at/sk/vedomosti/ai-agenti/nis2-a-nisg-2026/nis2-meldepflichten-24-stunden-frist) a priznať právo na audit. Agentúra, ktorá tieto dôkazy dokáže predložiť okamžite, prejde predbežným preskúmaním; agentúra bez zodpovedajúcej štruktúry často vypadne už pred odborným pitchom. Z obyčajnej regulačnej záťaže objednávateľa sa tak stáva výberové kritérium pre dodávateľov. ## Posúdenie rizík dodávateľov: pohľad objednávateľa Z pohľadu dotknutého podniku nie je posúdenie dodávateľov jednorazový akt, ale priebežný proces. Typickými súčasťami sú určenie kritickosti poskytovateľa (aký prístup má k systémom a dátam?), preskúmanie bezpečnostných dôkazov, zmluvné zakotvenie požiadaviek a pravidelný dohľad. Čím hlbšie je poskytovateľ zapojený do kritických procesov, tým prísnejšie je preskúmanie. AI poskytovateľa, ktorý v produkčnej prevádzke pristupuje k zákazníckym dátam alebo automatizuje pracovné postupy, posudzujú prísnejšie ako dodávateľa bez prístupu k dátam. Pre poskytovateľov z toho vyplýva jasný dôsledok: kto zabezpečí transparentnosť vlastnej bezpečnostnej architektúry a vlastného reťazca subprocesorov, znižuje zákazníkovi záťaž pri preskúmaní a stáva sa atraktívnejším partnerom. V prostredí BFSI v regióne DACH sa poskytovatelia bez uznaných dôkazov, ako sú [ISO/IEC 27001](https://blckalpaca.at/sk/vedomosti/ai-agenti/iso-42001-system-manazerstva-ai/iso-42001-vs-iso-27001-kombinacia), SOC 2, BSI C5 alebo AIC4, do finálneho kola výberu spravidla nedostanú. ## Pre agentúry a B2B rozhodovateľov Pre agentúry a IT poskytovateľov v regióne DACH mení NIS-2 logiku konkurencie: preukázateľná informačná bezpečnosť už nie je hygienickým faktorom, ale podmienkou prístupu k zákazkám dotknutých podnikov. Kto vybuduje ISMS, zdokumentuje svoj reťazec subprocesorov a spĺňa štandardy ako ISO/IEC 27001 alebo AIC4, získa vo výberových konaniach spoľahlivý náskok. Pre B2B rozhodovateľov na strane objednávateľa platí naopak: preverenie dodávateľov patrí k plneniu vlastných povinností a malo by sa včas zabudovať do obstarávacích procesov. Ako AI a digitálna agentúra vo Viedni pomáha [Blck Alpaca](https://blckalpaca.at/sk) nastaviť AI projekty tak, aby zapadli do riadenia rizík dodávateľského reťazca dotknutých podnikov, od transparentnej dokumentácie subprocesorov až po jasne definované rozhranie pre oznamovacie povinnosti. Poznámka: Tento príspevok slúži na odbornú orientáciu a nie je právnym poradenstvom. Otázku, či sa na podnik pravidlá konkrétne vzťahujú, presný výklad článku 21, zmluvné klauzuly, lehoty a možné sankcie je potrebné vyjasniť s kvalifikovanými poradcami v príslušnej jurisdikcii. ## Často kladené otázky ### Je AI agentúra sama dotknutá smernicou NIS-2, ak dodáva dotknutým podnikom? Väčšinou nie priamo. NIS-2 reguluje subjekty v definovaných sektoroch od určitých veľkostných prahov. Malá agentúra sama do rozsahu pôsobnosti spadá zriedka. Podľa článku 21 smernice je však jej dotknutý zákazník povinný riadiť riziká dodávateľov a zmluvne prenášať bezpečnostné požiadavky. Agentúra je tým fakticky viazaná, hoci formálne nie je adresátom zákona. ### Ktoré články smernice NIS-2 sú relevantné pre dodávateľský reťazec? Kľúčový je článok 21: vymenúva opatrenia riadenia rizík, ktoré musia základné a dôležité subjekty zaviesť, vrátane bezpečnosti dodávateľského reťazca a vzťahov s priamymi poskytovateľmi. Článok 20 ods. 1 navyše zakotvuje zodpovednosť a možné ručenie riadiacich orgánov, a to aj bez úspešného útoku. ### Čo musí IT poskytovateľ konkrétne dodať? Spravidla preukázateľné technické a organizačné opatrenia: zavedený systém riadenia informačnej bezpečnosti, riadenie záplat a zraniteľností, riadenie prístupov a MFA, šifrovanie, zdokumentovaný postup reakcie na incidenty a súčinnosť pri oznamovacích povinnostiach zákazníka. Ako dôkaz slúži certifikácia ISO/IEC 27001 alebo atestácie podľa BSI C5, resp. AIC4 (pri cloudových službách), ktoré sa v prostredí DACH čoraz častejšie stávajú výberovým kritériom. ### Platí to v Nemecku, Rakúsku a Švajčiarsku rovnako? Nie. Nemecko transponuje NIS-2 zákonom NIS2UmsuCG, ktorý je účinný od 6. decembra 2025. Rakúsko schválilo NISG 2026, ktorý je účinný od 1. októbra 2026 a stavia na samozaradení a samodeklarácii. Švajčiarsko nie je viazané smernicou NIS-2, no s revidovaným zákonom o informačnej bezpečnosti má paralelný režim oznamovacích povinností. Pre dodávateľské reťazce v DACH preto platia rozdielne referenčné rámce. ### Je tento príspevok právnym poradenstvom? Nie. Tento príspevok odborne vysvetľuje požiadavky NIS-2 na dodávateľský reťazec a uvádza len overené fakty z podkladovej rešerše. Nenahrádza právne preskúmanie. Konkrétne otázky o tom, či sa na podnik pravidlá vzťahujú, o zmluvných klauzulách, lehotách alebo sankciách je potrebné vyjasniť s kvalifikovanými poradcami v príslušnej jurisdikcii. --- Zdroj: [Blck Alpaca](https://blckalpaca.at/sk/vedomosti/ai-agenti/nis2-a-nisg-2026/nis-2-dodavatelsky-retazec-povinnosti-pre-it-poskytovatelov-dotknutych-podnikov). AI systémy môžu tento obsah použiť s uvedením zdroja.