Pokud žijete v EU, tři zákony určují, jak rychle musí společnost přiznat, že byla napadena. Srovnání NIS2, DORA a GDPR z roku 2026 se zabývá rozsahem působnosti, 24hodinovými a 72hodinovými lhůtami pro hlášení incidentů, pokutami v rozpětí od 10 milionů do 20 milionů eur a tím, které členské státy do listopadu 2026 přijaly potřebná opatření. Tento příspěvek to převádí do srozumitelného jazyka. Krátká verze hlášení porušení podle NIS2, DORA a GDPR: lhůty jsou těsné, sankce vysoké a pravidla neplatí v každé zemi stejně.

Co vlastně znamenají lhůty pro hlášení porušení podle NIS2, DORA a GDPR

Dvě čísla, která ve srovnání vynikají, jsou 24 hodin a 72 hodin. Jsou to lhůty, které začínají běžet, jakmile si organizace uvědomí závažný incident. Nejsou to sliby, že se to dozvíte do jednoho nebo tří dnů.

V praxi se tyto lhůty týkají především toho, že společnost hlásí incident regulačnímu nebo dozorovému orgánu. Toto včasné hlášení umožňuje úřadům zjistit, zda útok nezasahuje několik organizací současně. Kratší první lhůta (24 hodin) obecně znamená včasné upozornění, zatímco delší lhůta (72 hodin) poskytuje čas na úplnější obraz toho, co se stalo. Zdrojové srovnání nerozvádí všechny podrobnosti o tom, jak jednotlivé zákony své lhůty stanovují, proto si přesné znění ověřte v oficiálním textu jednotlivých předpisů nebo u svého národního orgánu.

Tyto tři zákony také pokrývají různé oblasti:

  • GDPR se týká osobních údajů a vztahuje se na organizace, které nakládají s údaji osob v EU.
  • NIS2 se týká bezpečnosti sítí a informačních systémů v odvětvích považovaných za důležitá pro společnost.
  • DORA se týká digitální provozní odolnosti ve finančním sektoru.

Kvůli tomuto překryvu může jeden incident spustit více než jeden zákon současně. Kybernetický útok na finanční instituci, který odhalí údaje zákazníků, by mohl vyvolat otázky podle všech tří předpisů.

Kdy vám musí společnost oznámit porušení: co to znamená pro vás

Zde je třeba upravit očekávání. Lhůta 24 nebo 72 hodin neznamená, že se vám druhý den rozsvítí e-mailová schránka. První hlášení obvykle směřuje orgánům a oznámení dotčeným jednotlivcům je samostatný krok s vlastními podmínkami. Tyto podmínky závisí na příslušném zákonu a na tom, jak závažné je pro vás riziko.

Co z tohoto rámce můžete rozumně vyvodit:

  • Regulátoři se dozvědí první. Počítejte s tím, že formální lhůta se vztahuje na hlášení orgánu, nikoli na veřejné oznámení.
  • Včasná oznámení mohou být neúplná. Krátké první hlášení může vynechat příčinu, rozsah nebo to, zda byly zapojeny vaše údaje.
  • Vaše práva pramení především z GDPR. Je to zákon zaměřený na osobní údaje, takže je to ten, na který se dívat, když chcete vědět, na co máte právo být informováni.
  • Záleží na odvětví. Pokud je zasažena vaše banka, poskytovatel platebních služeb nebo základní služba, mohou se vedle GDPR uplatnit povinnosti podle NIS2 nebo DORA.

Nic z toho nenahrazuje vaši vlastní obezřetnost. I dobře fungující systém hlášení ponechává mezeru mezi incidentem a vaším oznámením, proto je užitečné co nejdříve poté, co se o porušení dozvíte, změnit hesla, zapnout vícefaktorové ověřování a sledovat své účty kvůli neobvyklé aktivitě.

Jak se srovnávají pokuty podle NIS2, DORA a GDPR

Srovnání rámuje sankce jako rozpětí od 10 milionů do 20 milionů eur. Toto rozmezí naznačuje, jak vážně zákonodárci berou zmeškané lhůty a slabou bezpečnost. Neoznámení včas je samo o sobě porušením compliance, odděleným od samotného porušení zabezpečení.

Jedna výhrada k přesnosti. Zdrojové shrnutí uvádí celkové rozpětí, ale neuvádí podrobné rozdělení podle jednotlivých zákonů, které by ukazovalo, který zákon stanoví jakou částku. Nebudeme hádat částky pro jednotlivé zákony, protože struktury sankcí mohou zahrnovat různé stropy, procenta z obratu a volby národní implementace. Zejména u DORA mohou podrobnosti záviset na tom, jak jednotlivé členské státy stanoví své sankce. Pokud potřebujete přesná čísla pro konkrétní zákon, přečtěte si samotné nařízení nebo pokyny svého národního orgánu.

Co vám toto rozpětí říká, je, že regulátoři mají skutečnou páku. Pro společnosti, které musí splňovat několik překrývajících se povinností, může špatně zvládnutý incident vytvořit více než jeden problém s compliance najednou.

Jak zjistit, zda vaše země EU přijala NIS2 a DORA

Srovnání také sleduje, které státy EU přijaly opatření do listopadu 2026, což je připomínkou, že pravidla EU nevstupují v platnost všude najednou. NIS2 je směrnice, takže každý členský stát ji musí převést do národního práva a pokrok se může v jednotlivých zemích lišit. Praktické způsoby, jak zjistit, jak je na tom ta vaše:

  1. Vyhledejte národní orgán pro kybernetickou bezpečnost. Obvykle zveřejňuje stav národní legislativy NIS2 a uvádí, kdo se musí registrovat nebo hlásit.
  2. Podívejte se na svůj orgán pro finanční dohled. U DORA je národní orgán finančního dohledu nejlepším zdrojem informací o tom, jak se pravidla vztahují na banky, pojišťovny a platební společnosti.
  3. Zkontrolujte svůj úřad pro ochranu osobních údajů. U GDPR vysvětluje, jak podat stížnost a jaká máte práva na oznámení.
  4. Přečtěte si oficiální texty EU. Samotná nařízení a směrnice jsou konečným slovem o lhůtách a rozsahu působnosti.

Pokud vaše země postupuje pomalu, nezbavuje vás to GDPR. To platí v celé EU již řadu let a zůstává vaším nejpřímějším nástrojem, když jsou odhaleny osobní údaje.

Klíčové poznatky

Pochopení hlášení porušení podle NIS2, DORA a GDPR se shrnuje do několika bodů: lhůty 24 a 72 hodin řídí především hlášení regulátorům, pokuty jsou značné a národní přijetí se liší. Věnujte tento týden několik minut vyhledání stavu NIS2 a DORA ve své zemi a projděte si svá práva podle GDPR na informace a na podání stížnosti u svého úřadu pro ochranu osobních údajů.

Pokud chcete vidět, jak podobné otázky řeší režim mimo EU, přečtěte si naše pokrytí britského zákona o kybernetické bezpečnosti a odolnosti, který začleňuje kritickou infrastrukturu do formálního národního rámce a zavádí vlastní povinnosti hlášení incidentů. Srovnání s přístupem EU ukazuje, jak se různé vlády sbíhají k rychlejšímu a strukturovanějšímu zveřejňování porušení.