Estado de NIS 2 en la República Checa
Lo que exige la directiva, cómo la transpone la República Checa y dónde encaja NÚKIB en el conjunto.
Visión general
La Directiva NIS 2 es la capa de la UE. Vincula a todos los Estados miembros, incluida la República Checa, con un único mínimo de ciberseguridad para las entidades esenciales e importantes. La República Checa debe incorporar ese mínimo a la legislación checa y aplicar un régimen de supervisión a su amparo.
La República Checa transpone NIS 2 mediante la Ley n.º 264/2025 Sb., la nueva Ley de Ciberseguridad (Zákon o kybernetické bezpečnosti), adoptada el 11 de junio de 2025, publicada en la Colección de Leyes (Sbírka zákonů) el 4 de agosto de 2025 y en vigor desde el 1 de noviembre de 2025. Sustituye a la anterior Ley n.º 181/2014 Sb. y amplía sustancialmente el alcance de las entidades y servicios regulados.
NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) es el supervisor principal y gestiona el portal nacional de registro. Las entidades reguladas se autoidentifican y se registran a través del portal de NÚKIB, con la ventana inicial de registro cerrándose el 31 de diciembre de 2025. GovCERT.CZ se sitúa dentro de NÚKIB; CSIRT.CZ es operado por la asociación CZ.NIC.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad para toda la UE. Fija las obligaciones que todo Estado miembro debe transponer, incluidos los criterios de tamaño y sector para las entidades esenciales e importantes.
Ejecución de la UE
Reglamento de Ejecución (UE) 2024/2690 de la Comisión
Medidas técnicas y metodológicas para los proveedores de infraestructura digital. Directamente aplicable en la República Checa sin transposición nacional.
Transposición checa
Ley n.º 264/2025 Sb., sobre ciberseguridad (Zákon o kybernetické bezpečnosti)
La nueva Ley checa de NIS 2. Adoptada el 11 de junio de 2025, publicada el 4 de agosto de 2025, en vigor el 1 de noviembre de 2025. Sustituye a la Ley n.º 181/2014 Sb. Los decretos de desarrollo (vyhlášky) de NÚKIB completan el detalle operativo.
Ley n.º 264/2025 Sb.
Traslada las obligaciones de NIS 2 a la legislación checa. Establece el régimen de dos niveles de servicios regulados de mayor y menor importancia (poskytovatel regulované služby), las potestades de supervisión de NÚKIB, los deberes de notificación de incidentes y sanciones de hasta 250 millones de CZK. Sustituye a la Ley n.º 181/2014 Sb. el 1 de noviembre de 2025.
NÚKIB como supervisor central
NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost), con sede en Brno, ejerce la supervisión, las auditorías y las sanciones, opera GovCERT.CZ como el CSIRT gubernamental y administra el portal de registro. CSIRT.CZ es operado por separado por la asociación CZ.NIC.
Registro y notificación
Las entidades que prestan un servicio regulado debían autoidentificarse y registrarse a través del portal de NÚKIB antes del 31 de diciembre de 2025. Se estima que entre 6.000 y 8.000 organizaciones entran en el ámbito. Los incidentes significativos siguen la cadencia de la directiva: alerta temprana de 24 h, notificación de 72 h e informe final de un mes.
La legislación local se aplica dentro de la República Checa
Las operaciones en territorio checo se rigen por la Ley n.º 264/2025 Sb. Un Geschäftsführer alemán que dirige una filial checa lee la Ley checa para esa filial, no el BSIG alemán. Las obligaciones de la directiva son las mismas; el procedimiento, el portal y las sanciones residen en la legislación checa.
La República Checa no puede situarse por debajo del mínimo de la UE
La directiva es un instrumento de armonización mínima. La República Checa puede ir más allá, y históricamente lo ha hecho mediante el régimen de ciberseguridad de 2014 que ya superaba NIS 1 en algunos puntos. No puede situarse por debajo de la directiva en los deberes de las entidades esenciales e importantes, los plazos de notificación de incidentes ni la responsabilidad del órgano de dirección.
NÚKIB
Autoridad competente principal y supervisor. Opera GovCERT.CZ como el CSIRT gubernamental, administra el portal de registro, emite decretos de desarrollo (vyhlášky) y orientaciones, realiza auditorías e impone sanciones. Conserva la memoria institucional del régimen de ciberseguridad de 2014 que ahora alimenta la supervisión de NIS 2.
Autoridades sectoriales
NÚKIB consolida la supervisión, pero los reguladores sectoriales siguen siendo relevantes donde se aplica la lex specialis. El ČNB (Banco Nacional Checo) supervisa a las entidades financieras en virtud de DORA. El ERÚ (Oficina Reguladora de la Energía) y el ČTÚ (Oficina Checa de Telecomunicaciones) conservan su competencia sectorial. CSIRT.CZ, operado por CZ.NIC, sigue siendo el CSIRT del dominio .cz y da soporte al sector digital.
ENISA
La agencia de ciberseguridad de la UE. Publica orientaciones, gestiona la base de datos europea de vulnerabilidades y apoya la coordinación transfronteriza. No es supervisor de las entidades checas; lo es NÚKIB.
Nuestra matriz alemana está registrada en virtud del BSIG, así que la entidad checa está cubierta.
La directiva es un único mínimo, pero el procedimiento es nacional. Una filial checa que presta un servicio regulado dentro de la República Checa se registra en virtud de la Ley n.º 264/2025 Sb. a través del portal de NÚKIB. El registro alemán en virtud del BSIG no lo sustituye. La estructura de grupo no traslada la competencia; lo hace el lugar de establecimiento del servicio.
No estábamos en el registro de la antigua Ley 181/2014, así que no estamos afectados.
La Ley n.º 264/2025 Sb. utiliza la autoidentificación. Las antiguas listas KII / VIS del régimen de 2014 no se trasladan una a una. Cada entidad debe comprobarse a sí misma frente a los nuevos criterios de sector y tamaño, y frente a la lista de aproximadamente 60 servicios regulados en 18 sectores. Muchas entidades fuera del antiguo registro están dentro del nuevo.
NIS 2 es solo para energía, telecomunicaciones y bancos. La fabricación o los residuos quedan fuera.
La Ley checa refleja los dos anexos de la directiva. Entre las entidades importantes figuran la fabricación de determinados productos, la producción y distribución de alimentos, la gestión de residuos, los servicios postales, la producción química y los proveedores digitales. Las empresas medianas de estos sectores quedan incluidas por defecto. Las listas sectoriales deben leerse frente a los Anexos I y II de la directiva, no según la intuición.
La mayoría de los operadores checos del mercado medio que vemos tratan NIS 2 como una extensión del antiguo régimen de la Ley 181/2014 Sb. Eso es medio cierto. NÚKIB sigue ejerciendo la supervisión y el canal de incidentes, pero el alcance es mucho más amplio, el modelo de dos niveles de mayor y menor importancia cambia las obligaciones por servicio, y el órgano social (jednatel o představenstvo) asume una responsabilidad explícita por la aprobación de la gestión de riesgos y la formación.
La medida práctica es la misma que en toda la UE: confirmar el ámbito en virtud de la directiva, autoidentificarse frente a la lista de servicios regulados, registrarse a través del portal de NÚKIB, establecer las cuatro obligaciones continuas (mantenimiento del registro, notificación de incidentes, riesgo de la cadena de suministro, supervisión del órgano de dirección) y documentar el mínimo. La documentación de 2014 ayuda, pero no sustituye al registro de obligaciones de NIS 2.
Construimos el registro de obligaciones de NIS 2 sobre la capa de la UE, no sobre ninguna transposición nacional concreta. La misma lista de comprobación sirve para una filial checa que aplica la Ley n.º 264/2025 Sb., una matriz alemana que aplica el BSIG y una hermana francesa que aplica la Ordonnance n° 2024-1093. Las referencias a los artículos cambian por configuración regional; las obligaciones sustantivas no.
Para el ámbito checo empieza con la comprobación de aplicabilidad, luego pasa a la cadencia de notificación de incidentes, las cláusulas de cadena de suministro y la firma del órgano de dirección. Donde NÚKIB publica vyhlášky y orientación sectorial, las referenciamos; no las duplicamos.
- Directiva (UE) 2022/2555 (NIS 2): EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690 de la Comisión
- Ley n.º 264/2025 Sb., sobre ciberseguridad: Sbírka zákonů (4 de agosto de 2025)
- Ley n.º 181/2014 Sb. sobre ciberseguridad: marco predecesor
- NÚKIB: Národní úřad pro kybernetickou a informační bezpečnost (Brno), sitio oficial nukib.gov.cz
- GovCERT.CZ: CSIRT gubernamental, operado por NÚKIB
- CSIRT.CZ: CSIRT nacional para la comunidad de internet .cz, operado por CZ.NIC
- Banco Nacional Checo (ČNB): autoridad competente de DORA para el sector financiero
- Comisión Europea, rastreador de transposición de NIS 2: República Checa