Preverenie dotknutosti NIS-2 v Rakúsku: Samozaradenie podľa NISG krok za krokom

To, či je váš podnik dotknutý NIS-2, sa v Rakúsku rozhoduje podľa zákona NISG 2026, ktorý implementuje smernicu EÚ (EÚ) 2022/2555 (NIS-2) do národného práva. Základné pravidlo: zachytené sú v zásade stredné a väčšie podniky - teda organizácie od 50 zamestnancov alebo s viac ako 10 mil. EUR ročného obratu, prípadne bilančnej sumy - pokiaľ sú činné v jednom z 18 zachytených sektorov. Novinkou je systémová zmena na samozaradenie: svoju dotknutosť musíte zistiť sami, už nie úrad prostredníctvom rozhodnutia.

Tento príspevok prevedie samozaradením krok za krokom - s preverovacou tabuľkou, konkrétnym výpočtovým príkladom a najdôležitejšími osobitnými prípadmi. Je odbornou orientáciou, no nenahrádza právne poradenstvo.

• Veľkosť: Od 50 zamestnancov alebo nad 10 mil. EUR obratu/bilančnej sumy (definícia EÚ pre stredné podniky).
• Sektor: Činnosť v jednom z 18 sektorov podľa prílohy I alebo II smernice NIS-2.
• Postup: Samozaradenie a samodeklarácia namiesto úradného rozhodnutia - zodpovednosť leží na podniku.

Právny rámec: NISG 2026 a oneskorenie implementácie

Smernica NIS-2 (EÚ) 2022/2555 mala byť v celej EÚ implementovaná do národného práva do 17. októbra 2024. Rakúsko túto lehotu výrazne prekročilo. Prvý pokus, NISG 2024, bol 3. júla 2024 v Národnej rade zamietnutý - nedosiahla sa dvojtretinová väčšina potrebná pre časti zákona.

Prepracovaný návrh, NISG 2026, bol nakoniec 12. decembra 2025 schválený Národnou radou, 23. decembra 2025 vyhlásený v Spolkovej zbierke zákonov a nadobúda účinnosť deväť mesiacov po vyhlásení - 1. októbra 2026 (stav 2026). Do tohto dátumu neexistuje v Rakúsku priamo uplatniteľná národná povinnosť NIS-2, no príprava by mala už dávno bežať.

Zákon NISG 2026 prináša viacero štrukturálnych noviniek oproti návrhu z roku 2024:

• Zriadenie Spolkového úradu pre kybernetickú bezpečnosť na Spolkovom ministerstve vnútra (BMI) ako príslušného úradu pre kybernetickú bezpečnosť.
• Systémová zmena na samozaradenie a samodeklaráciu namiesto úradného zisťovacieho rozhodnutia.
• Odpadnutie koncernového privilégia - spoločnosti sa v zásade posudzujú jednotlivo.
• Dozorné orgány (napríklad dozorné rady) sú výslovne vyňaté z pojmu "riadiaceho orgánu".
• Polročná (namiesto ročnej) správa o kybernetickej bezpečnosti.

Rozsah pôsobnosti zahŕňa približne 4 000 podnikov v 18 sektoroch. Členovia riadiaceho orgánu základných subjektov sú sami povinní zúčastňovať sa na školeniach a testoch; je potrebné zriadiť tím na reakciu na incidenty (incident-response).

Dve kategórie: základné a dôležité subjekty

Rovnako ako smernica EÚ aj zákon NISG 2026 rozlišuje dve kategórie dotknutých organizácií. Zaradenie vyplýva zo súhry sektora (príloha I alebo príloha II smernice), veľkosti podniku a zákonom definovaných kritérií kritickosti.

• Základné subjekty podliehajú intenzívnejšiemu, aj proaktívnemu dohľadu. Typicky ide o väčšie podniky v obzvlášť kritických sektoroch prílohy I (napríklad energetika, doprava, bankovníctvo, zdravotníctvo, digitálna infraštruktúra).
• Dôležité subjekty sú primárne kontrolované podľa konkrétneho podnetu - úrad teda koná predovšetkým po incidente alebo upozornení. Sem patria okrem iného stredné podniky v sektoroch prílohy I, ako aj subjekty zo sektorov prílohy II.

Dôležité pre samozaradenie: obe kategórie majú povinnosti. Zodpovednosť vedenia podniku sa podľa logiky NIS-2 vzťahuje nielen na základné subjekty. Článok 20 smernice NIS-2 vyžaduje, aby riadiaci orgán schválil opatrenia na riadenie rizík, dohliadal na ich zavedenie a aby mohol byť za porušenia braný na zodpovednosť. Odôvodnenie 137 jasne stanovuje, že táto zodpovednosť sa môže vzťahovať, ak si riadiaci orgán nesplnil svoje povinnosti správy (governance) - aj bez úspešného útoku. Zodpovednosť sa teda viaže na porušenie povinnosti, nie na škodu.

Sankcie v Rakúsku neukladá samotný úrad pre kybernetickú bezpečnosť, ale okresné správne úrady; sadzba trestov je koncipovaná analogicky k požiadavkám NIS-2.

Preverovacia tabuľka: samozaradenie krok za krokom

Prejdite nasledujúce kritériá postupne. Až keď platí veľkosť aj sektor (alebo nastane osobitný prípad), je dotknutosť pravdepodobná.

Veľkostné prahové hodnoty (50 zamestnancov, 10 mil. EUR) zodpovedajú definícii EÚ pre stredné podniky. Presné zaradenie 18 sektorov do prílohy I a prílohy II, ako aj detailné pravidlá o prepojených a partnerských podnikoch vyplývajú zo smernice a zo zákona NISG 2026 - tu sa v hraničnom prípade oplatí právne preskúmanie.

Konkrétny príklad: tri podniky v porovnaní

Prípad A - stredne veľký poskytovateľ IT služieb (managed services), Viedeň. 70 zamestnancov, 14 mil. EUR obratu. Veľkostné kritérium splnené (70 ≥ 50 a 14 mil. > 10 mil.). Sektor "digitálne služby / riadenie služieb IKT" patrí medzi zachytené sektory. Výsledok: dotknutý, pravdepodobne ako dôležitý subjekt. Vyžaduje sa samodeklarácia.

Prípad B - regionálny dodávateľ energie. 40 zamestnancov, 9 mil. EUR obratu. Čisto z hľadiska veľkosti by bol pod oboma prahovými hodnotami. Energetika je však obzvlášť kritický sektor (príloha I), v ktorom môžu nastať pravidlá osobitných prípadov nezávisle od veľkosti. Výsledok: dotknutosť možná napriek malej veľkosti - tu je rozhodujúce preskúmanie jednotlivého prípadu, paušálne uistenie o nedotknutosti by bolo nesprávne.

Prípad C - reklamná a marketingová agentúra, 30 zamestnancov, 6 mil. EUR obratu. Ani veľkostná prahová hodnota nie je dosiahnutá, ani sa neuplatňuje zachytený kľúčový sektor. Výsledok: nie je priamo dotknutá. Pozor však na efekt dodávateľského reťazca: ak agentúra poskytuje kritické služby pre základný subjekt, môže byť prostredníctvom zmluvných požiadaviek svojho zákazníka fakticky zaviazaná k bezpečnostným opatreniam v súlade s NIS-2 - bez toho, aby sama podliehala povinnosti registrácie.

Tieto prípady ukazujú základnú schému: veľkosť a sektor spoločne tvoria pravidlo, no osobitné prípady a dodávateľské reťazce môžu výsledok posunúť.

Povinnosť registrácie a ďalšie kroky

Ak vaše samozaradenie vedie k dotknutosti, nasleduje samodeklarácia, resp. registrácia na Spolkovom úrade pre kybernetickú bezpečnosť. Keďže už neprichádza úradné rozhodnutie, ktoré vás aktívne informuje, povinnosť konať leží úplne na vás. Opomenuté alebo chybné zaradenie môže byť sankcionované.

Praktické poradie pri príprave na 1. október 2026:

1. Zistite veľkosť a sektor - zdokumentujte zamestnancov, obrat, bilančnú sumu a konkrétnu činnosť.
2. Určte kategóriu - základný alebo dôležitý subjekt, na základe zaradenia do prílohy a kritickosti.
3. Preskúmajte osobitné prípady a koncernovú štruktúru - každú spoločnosť jednotlivo, s ohľadom na požiadavky dodávateľského reťazca.
4. Právne zabezpečenie v hraničnom prípade - pri nejasnom zaradení do sektora alebo podielových vzťahoch.
5. Nastavte správu (governance) - opatrenia na riadenie rizík, tím na reakciu na incidenty, školenie riadiaceho orgánu, procesy hlásenia.

Upozornenie: Tento príspevok nepredstavuje právne poradenstvo. Záväzné posúdenie dotknutosti NIS-2 - najmä pri hraničných prípadoch, zaradení do sektora a otázkach dodávateľského reťazca - si vyžaduje advokátske preskúmanie jednotlivého prípadu.

Pre B2B rozhodovateľov a agentúry

Pre B2B rozhodovateľov nie je samozaradenie jednorazovým aktom, ale opakujúcou sa povinnosťou: ak váš podnik prerastie cez prahovú hodnotu alebo sa zmení činnosť, môže sa zaradenie zmeniť. Ukotvite preverenie ako pevnú súčasť svojej compliance rutiny a zdokumentujte výsledok spôsobom odolným voči auditu - zodpovednosť nesie riadiaci orgán.

Pre marketingové a digitálne agentúry sa oplatí dvojitý pohľad: väčšina agentúr nedosahuje prahovú hodnotu priamej dotknutosti, dostávajú sa však prostredníctvom zákazníkov v regulovaných sektoroch do dodávateľského reťazca. Kto pracuje pre základné alebo dôležité subjekty, mal by bezpečnostné a preukazovacie požiadavky zahrnúť do ponúk a zmlúv včas - to sa čoraz viac stáva výberovým kritériom v pitchi. Ako agentúra vo Viedni vás sprevádzame pri štruktúrovanom spracovaní vašej komunikácie v oblasti kybernetickej bezpečnosti a obsahu okolo NIS-2 - samotné právne zaradenie patrí do rúk špecializovaného právneho poradenstva.