Preverenie dotknutosti NIS-2 v Rakúsku: Samozaradenie podľa NISG krok za krokom

To, či je tvoj podnik dotknutý NIS-2, sa v Rakúsku rozhoduje podľa zákona NISG 2026, ktorý implementuje smernicu (EÚ) 2022/2555 (NIS-2) do národného práva. Základné pravidlo: zahrnuté sú v zásade stredné a veľké podniky, teda organizácie od 50 zamestnancov alebo s ročným obratom aj ročnou bilančnou sumou nad 10 mil. EUR, ak pôsobia v jednom z 18 zahrnutých sektorov. Novinkou je systémová zmena na samozaradenie: svoju dotknutosť musíš určiť sám, už to nerobí úrad rozhodnutím.

Tento príspevok ťa prevedie samozaradením s preverovacou tabuľkou, tromi príkladmi a najdôležitejšími osobitnými prípadmi. Je odbornou orientáciou, nenahrádza však právne poradenstvo.

• Veľkosť: Od 50 zamestnancov alebo s ročným obratom aj ročnou bilančnou sumou nad 10 mil. EUR (definícia EÚ pre stredné podniky).
• Sektor: Činnosť v jednom z 18 sektorov podľa prílohy I alebo II smernice NIS-2.
• Postup: Samozaradenie a samodeklarácia namiesto úradného rozhodnutia. Zodpovednosť nesie podnik.

Právny rámec: NISG 2026 a oneskorená implementácia

Smernica NIS-2 (EÚ) 2022/2555 mala byť v celej EÚ prebratá do národného práva do 17. októbra 2024. Rakúsko túto lehotu výrazne prekročilo. Prvý pokus, NISG 2024, Národná rada 3. júla 2024 zamietla, pretože sa nedosiahla dvojtretinová väčšina potrebná pre časti zákona.

Prepracovaný návrh, NISG 2026, Národná rada nakoniec schválila 12. decembra 2025 a 23. decembra 2025 bol vyhlásený v Spolkovej zbierke zákonov. Podľa § 51 NISG 2026 nadobudol účinnosť prvým dňom mesiaca nasledujúceho po uplynutí deviatich mesiacov, teda 1. októbra 2026. Odvtedy povinnosti platia priamo. Ak si samozaradenie ešte neurobil, mal by si ho urobiť teraz: registrácia musí prebehnúť do troch mesiacov od nadobudnutia účinnosti (§ 29 ods. 3 NISG 2026).

Zákon NISG 2026 prináša oproti návrhu z roku 2024 viacero štrukturálnych noviniek:

• Zriadenie Spolkového úradu pre kybernetickú bezpečnosť na Spolkovom ministerstve vnútra (BMI) ako príslušného orgánu pre kybernetickú bezpečnosť.
• Systémová zmena na samozaradenie a samodeklaráciu namiesto úradného rozhodnutia o dotknutosti.
• Dozorné orgány (napríklad dozorné rady) sú výslovne vyňaté z pojmu „riadiaci orgán“.
• Polročná (namiesto ročnej) správa o kybernetickej bezpečnosti.

Rozsah pôsobnosti zahŕňa približne 4 000 podnikov v 18 sektoroch. Členovia riadiacich orgánov základných a dôležitých subjektov sa musia zúčastňovať na školeniach o kybernetickej bezpečnosti, ktoré sú pripravené špeciálne pre nich (§ 31 ods. 2 NISG 2026); treba zriadiť tím pre reakciu na incidenty.

Dve kategórie: základné a dôležité subjekty

Rovnako ako smernica EÚ aj zákon NISG 2026 rozlišuje dve kategórie dotknutých organizácií. Zaradenie vyplýva zo súhry sektora (príloha I alebo príloha II smernice), veľkosti podniku a zákonom definovaných kritérií kritickosti.

• Základné subjekty podliehajú intenzívnejšiemu, aj proaktívnemu dohľadu. Typicky ide o veľké podniky v obzvlášť kritických sektoroch prílohy I (napríklad energetika, doprava, bankovníctvo, zdravotníctvo, digitálna infraštruktúra). Veľký je podnik od 250 zamestnancov alebo s ročným obratom nad 50 mil. EUR a zároveň ročnou bilančnou sumou nad 43 mil. EUR (§ 25 ods. 2 NISG 2026).
• Dôležité subjekty sú pod dohľadom primárne pri konkrétnom podnete: úrad teda koná najmä po incidente alebo upozornení. Patria sem okrem iného stredné podniky v sektoroch prílohy I a subjekty zo sektorov prílohy II.

Pre samozaradenie je dôležité: Povinnosti majú obe kategórie. Zodpovednosť vedenia sa podľa logiky NIS-2 netýka len základných subjektov. Článok 20 smernice NIS-2 vyžaduje, aby riadiaci orgán schvaľoval opatrenia na riadenie rizík, dohliadal na ich zavedenie a mohol niesť zodpovednosť za porušenia. Odôvodnenie 137 objasňuje, že táto zodpovednosť môže nastať, ak riadiaci orgán nesplnil svoje povinnosti v oblasti správy a riadenia (governance), a to aj bez úspešného útoku. Zodpovednosť sa teda viaže na porušenie povinnosti, nie na škodu.

Sankcie v Rakúsku neukladá samotný orgán pre kybernetickú bezpečnosť, ale okresné správne úrady; rámec sankcií je nastavený analogicky k požiadavkám NIS-2.

Preverovacia tabuľka: samozaradenie krok za krokom

Prejdi nasledujúce kritériá v uvedenom poradí. Až keď platí veľkosť aj sektor (alebo sa uplatní osobitný prípad), je dotknutosť pravdepodobná.

Veľkostné prahové hodnoty vychádzajú z odporúčania o MSP 2003/361/ES, na ktoré odkazuje § 25 NISG 2026. Presné priradenie 18 sektorov k prílohe I a prílohe II, ako aj podrobné pravidlá o prepojených a partnerských podnikoch vyplývajú zo smernice a zo zákona NISG 2026. V hraničnom prípade sa oplatí právne preskúmanie.

Konkrétny príklad: tri podniky v porovnaní

Prípad A: stredne veľký poskytovateľ IT služieb (managed services), Viedeň. 70 zamestnancov, 14 mil. EUR obratu. Veľkostné kritérium je splnené (70 ≥ 50 zamestnancov, stredný podnik). Managed services patria do sektora „riadenie služieb IKT (B2B)“ v prílohe I. Ako stredný podnik v sektore prílohy I je poskytovateľ pravdepodobne dôležitým subjektom. Výsledok: dotknutý. Vyžaduje sa registrácia a samodeklarácia.

Prípad B: regionálny dodávateľ energie. 40 zamestnancov, 9 mil. EUR obratu. Čisto z hľadiska veľkosti by bol pod oboma prahovými hodnotami. Nezávisle od veľkosti však môže byť zahrnutý aj tak. Ak bol určený ako kritický subjekt podľa smernice CER (EÚ) 2022/2557, považuje sa za základný subjekt (§ 24 ods. 1 NISG 2026). Okrem toho ho môže orgán pre kybernetickú bezpečnosť zaradiť rozhodnutím, napríklad preto, že je jediným poskytovateľom nevyhnutnej služby v Rakúsku alebo že by jeho výpadok mohol výrazne narušiť verejný poriadok, bezpečnosť alebo zdravie (§ 26 NISG 2026). Výsledok: dotknutosť možná napriek malej veľkosti. Tu rozhoduje preskúmanie jednotlivého prípadu, paušálne konštatovanie, že sa ho NIS-2 netýka, by bolo nesprávne.

Prípad C: reklamná a marketingová agentúra, 30 zamestnancov, 6 mil. EUR obratu. Nedosahuje veľkostnú prahovú hodnotu ani nepôsobí v žiadnom zo zahrnutých kľúčových sektorov. Výsledok: nie je priamo dotknutá. Pozor však na efekt dodávateľského reťazca: ak agentúra poskytuje kritické služby pre základný subjekt, môžu ju zmluvné požiadavky jej zákazníka fakticky zaviazať k bezpečnostným opatreniam v súlade s NIS-2, hoci sama nemá povinnosť registrácie.

Tieto prípady ukazujú základný vzorec: pravidlo tvoria veľkosť a sektor spoločne, osobitné prípady a dodávateľské reťazce však môžu výsledok posunúť.

Povinnosť registrácie a ďalšie kroky

Ak tvoje samozaradenie vedie k dotknutosti, musíš sa zaregistrovať na Spolkovom úrade pre kybernetickú bezpečnosť, a to do troch mesiacov od nadobudnutia účinnosti 1. októbra 2026 (§ 29 ods. 3 NISG 2026). Kto spadne do rozsahu pôsobnosti až neskôr, má tri mesiace od tohto okamihu. Do dvanástich mesiacov od vzniku registračnej povinnosti nasleduje samodeklarácia: oznámiš úradu, ktoré opatrenia na riadenie rizík sú zavedené (§ 33 ods. 1 NISG 2026). Keďže spravidla už neprichádza úradné rozhodnutie, ktoré by ťa aktívne informovalo, povinnosť konať je na tebe. Opomenuté alebo chybné zaradenie môže byť sankcionované.

Praktické poradie, ak ešte nemáš samozaradenie hotové:

1. Zisti veľkosť a sektor: zdokumentuj počet zamestnancov, obrat, bilančnú sumu a konkrétnu činnosť.
2. Urči kategóriu: základný alebo dôležitý subjekt podľa zaradenia do prílohy, veľkosti a kritickosti.
3. Preskúmaj osobitné prípady a koncernovú štruktúru: pri veľkosti započítaj prepojené podniky v plnej výške a partnerské podniky pomerne, preskúmaj výnimku nezávislosti a zohľadni požiadavky dodávateľského reťazca.
4. Právne zabezpečenie v hraničnom prípade: pri nejasnom zaradení do sektora alebo nejasných majetkových účastiach.
5. Zaregistruj sa: na Spolkovom úrade pre kybernetickú bezpečnosť, najneskôr tri mesiace po nadobudnutí účinnosti.
6. Nastav governance: opatrenia na riadenie rizík, tím pre reakciu na incidenty, školenie riadiaceho orgánu, procesy hlásenia.

Upozornenie: Tento príspevok nie je právnym poradenstvom. Záväzné posúdenie dotknutosti NIS-2, najmä pri hraničných prípadoch, zaradení do sektora a otázkach dodávateľského reťazca, si vyžaduje advokátske preskúmanie jednotlivého prípadu.

Pre B2B manažérov a agentúry

Pre B2B manažérov s rozhodovacou právomocou nie je samozaradenie jednorazový úkon, ale opakujúca sa povinnosť: ak tvoj podnik prerastie prahovú hodnotu alebo sa zmení jeho činnosť, môže sa zmeniť aj zaradenie. Ukotvi preverenie ako pevnú súčasť svojej compliance rutiny a výsledok zdokumentuj tak, aby obstál pri audite. Zodpovednosť nesie riadiaci orgán (§ 31 ods. 1 NISG 2026).

Pre marketingové a digitálne agentúry sa oplatí dvojitý pohľad: väčšina agentúr nedosahuje prahovú hodnotu priamej dotknutosti, cez zákazníkov v regulovaných sektoroch sa však dostáva do dodávateľského reťazca. Kto pracuje pre základné alebo dôležité subjekty, mal by bezpečnostné požiadavky a požiadavky na preukazovanie včas zapracovať do ponúk a zmlúv. V pitchi sa to čoraz častejšie stáva kritériom výberu. Ako agentúra vo Viedni ťa sprevádzame pri štruktúrovanom spracovaní tvojej komunikácie o kybernetickej bezpečnosti a obsahu k NIS-2. Samotné právne zaradenie patrí do rúk špecializovaného právneho poradenstva.