Vztahuje se NIS 2 na muzea a galerie? Kdy jsou povinným subjektem

Stručná odpověď

Standardní muzeum či galerie – i když jde o příspěvkovou organizaci zřízenou státem, krajem nebo obcí – typicky nespadá do regulace podle NIS 2. Nový zákon o kybernetické bezpečnosti (č. 264/2025 Sb.) totiž nereguluje subjekty podle právní formy, ale podle toho, zda poskytují tzv. regulovanou službu vymezenou ve vyhlášce č. 408/2025 Sb. „Kultura" ani „muzejnictví" mezi regulovanými odvětvími nefigurují. Povinnost může vzniknout jen výjimečně – při provozování vedlejší regulované služby nebo při určení ze strany NÚKIB.

Právní rámec: princip regulované služby

Směrnici NIS 2 (směrnice EU 2022/2555) transponuje do českého práva zákon č. 264/2025 Sb., o kybernetické bezpečnosti, který nabyl účinnosti 1. listopadu 2025. Zatímco původní zákon č. 181/2014 Sb. dopadal na stovky subjektů, nová úprava zasáhne tisíce středních a velkých organizací v regulovaných odvětvích – od energetiky přes výrobu a zdravotnictví až po digitální služby.

Klíčové je, že o povinnostech nerozhoduje právní forma, ale regulovaná služba. Vyhláška č. 408/2025 Sb. o regulovaných službách (§ 1§ 1) stanoví seznam služeb i podmínky významnosti jejich poskytovatele. Pro každé odvětví vymezuje konkrétní služby, jejich obsah a jako orientační vodítko uvádí CZ-NACE kódy.

Regulovaná odvětví neobsahují kulturu

Regulovaných je 15 odvětví: veřejná správa, energetika, výrobní průmysl, potravinářský průmysl, chemický průmysl, vodní hospodářství, odpadové hospodářství, doprava, digitální infrastruktura a digitální služby, finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný průmysl a vesmírný průmysl. Kultura, muzejnictví ani galerie mezi nimi nejsou. Odpovídá to i přílohám samotné směrnice NIS 2, které kulturní instituce nezařazují mezi „základní" ani „důležité" subjekty.

Kritéria velikosti

U většiny odvětví platí prahové hodnoty. Rozhodují tři faktory dohromady: odvětví, velikost organizace (zpravidla ≥ 50 zaměstnanců nebo obrat > 10 mil. EUR) a typ poskytované služby. Teprve kombinace zařazení do správného odvětví a ověření konkrétní regulované služby dává jistotu, zda povinnosti dopadají.

Příspěvková organizace ≠ automatická regulace

Metodika NÚKIB výslovně řeší příspěvkové organizace. Ty mají vlastní IČO, a posuzují se proto samostatně – nezávisle na svém zřizovateli. Podle FAQ NÚKIB neplatí, že by příspěvková organizace spadala do působnosti zákona jen proto, že ji zřizuje organizační složka státu, kraj či obec, a to ani tehdy, je-li sám zřizovatel poskytovatelem regulované služby.

Odvětví „veřejná správa" – služba Výkon svěřených pravomocí

Toto odvětví se týká orgánů veřejné moci vykonávajících zákonem svěřené agendy. Poskytovatelem je podle přílohy vyhlášky pouze taxativně vymezený okruh – správní úřad s územní působností, profesní komora, vysoká škola, Akademie věd ČR, obec s rozšířenou působností nebo městská část Praha 1 až 22. Muzea a galerie do tohoto výčtu nespadají, protože nevykonávají svěřené správní pravomoci.

Kdy muzeum přece jen MŮŽE spadnout do regulace

• Vedlejší regulovaná služba. Regulovaná služba nemusí být hlavním předmětem činnosti. Pokud muzeum vedle kulturní činnosti provozuje například službu z odvětví digitální infrastruktura a digitální služby a splní podmínky významnosti, může se na něj zákon vztahovat. U typického muzea je to spíše výjimečné.
• Určení z moci úřední (§ 5§ 5). I subjekt, který nesplňuje kritéria vyhlášky, může NÚKIB dodatečně zařadit – zejména byl-li dříve správcem významného informačního systému (VIS) nebo prvku kritické informační infrastruktury (KII). Toto určení probíhá ve správním řízení a není na ně právní nárok.

Praktické kroky

1. Proveďte samoidentifikaci na Portálu NÚKIB; kritéria stanoví vyhláška č. 408/2025 Sb. Doporučuje se použít oficiální kalkulačku NÚKIB.
2. Zkontrolujte všechny činnosti, nejen hlavní. Ověřte, zda instituce neprovozuje vedlejší službu spadající pod některé z 15 regulovaných odvětví (typicky IT/digitální služby).
3. Zjistěte historický status. Prověřte, zda organizace nebyla dříve evidována jako správce VIS/KII – to zvyšuje riziko určení podle § 5§ 5.
4. Hlídejte lhůty, pokud regulace dopadne. Regulovanou službu je nutné ohlásit NÚKIB do 60 dnů od splnění podmínek (§ 6§ 6). Po registraci běží 30 dní na nahlášení kontaktní osoby a nejpozději do 1 roku musí být zavedena všechna bezpečnostní opatření.
5. Zdokumentujte výsledek samoidentifikace pro případ kontroly.

Časté chyby

• Předpoklad, že rozhoduje právní forma. Být příspěvkovou organizací automaticky neznamená být povinným subjektem.
• Posouzení jen hlavní činnosti. Riziko se skrývá ve vedlejších (zejména IT) službách.
• Přehlédnutí historického statusu VIS/KII, který otevírá cestu k určení z moci úřední.
• Podcenění sankcí. Nedodržení povinností může vést k výrazným postihům; přesnou maximální výši pokuty je vhodné ověřit přímo v sankčních ustanoveních zákona, neboť se údaje ve zdrojích liší.