Potřebují nečlenské cloudové nebo SaaS firmy oba – GDPR i NIS2 zástupce?

• Článek 27 GDPR a článek 26 NIS2 se často vztahují na nečlenské cloudové/SaaS poskytovatele
• Pro GDPR neexistuje žádný minimální limit velikosti; NIS2 platí pro cloud/CDN/DNS bez ohledu na velikost
• REP27, EU Presence, DataShield Guardian a Regingada nabízejí obě služby
• Zveřejněné ceny se výrazně liší; vždy si ověřte, co je v ceně zahrnuto
• Pokuty za nedodržení mohou dosáhnout až 10 milionů € nebo 2 % obratu (GDPR)
• Proces jmenování, výjimky a skryté poplatky se liší podle poskytovatele

Aktualizováno 3. listopadu 2026 · 8 ověřených zdrojů

Srovnání poskytovatelů

Ceny podle webu každého poskytovatele ke dni 3. listopadu 2026, bez DPH, pokud není uvedeno jinak. Každý řádek odkazuje na svůj zdroj.

Co vyžaduje zákon: GDPR článek 27 a NIS2 článek 26

Nečlenské cloudové a SaaS firmy obsluhující EU čelí dvěma odlišným právním povinnostem:

• Zástupce podle článku 27 GDPR: Každý nečlenský správce nebo zpracovatel, který nabízí zboží/služby nebo monitoruje osoby v EU, musí jmenovat zástupce v EU. Platí to i pro SaaS a cloudové poskytovatele, i když jsou služby B2B, pokud se zpracovávají data osob z EU. Neexistuje žádný minimální limit velikosti – každý nečlenský subjekt zpracovávající data EU musí dodržovat. (GDPR čl. 27)
• Zástupce podle článku 26 NIS2: Nečlenské subjekty poskytující cloud, DNS, CDN, spravované služby, tržiště a sociální platformy musí jmenovat zástupce v členském státě EU, kde služby nabízejí. Na rozdíl od jiných povinností NIS2 platí bez ohledu na velikost firmy či obrat pro tyto digitální služby. (NIS2 čl. 26)

Tyto požadavky se sčítají. Jmenování zástupce GDPR nezbavuje povinnosti NIS2 a naopak. Obě role slouží jako kontaktní místa pro úřady EU a dotčené osoby, ale každá pokrývá jiný právní rámec a povinnosti hlášení. NIS2 například zahrnuje povinné hlášení incidentů a registraci u národních úřadů do ledna 2025, zatímco GDPR se zaměřuje na ochranu dat a práva subjektů údajů.

Nejmenování požadovaných zástupců může vést k vážným sankcím. Nedodržení GDPR může znamenat pokuty až do výše 10 milionů € nebo 2 % obratu. NIS2 umožňuje členským státům přímo vymáhat opatření proti nečlenským poskytovatelům, i když mají zástupce. Compliance tedy není jen o jmenování zástupce, ale také o zajištění spolupráce a reakce na úřady EU.

Stručně řečeno, nečlenské SaaS a cloud firmy musí pečlivě posoudit, zda na ně dopadají tyto povinnosti, a vybrat poskytovatele, který pokryje obě role, pokud je to potřeba.

Jak vybrat: rozhodovací matice pro nečlenské poskytovatele

Výběr správného zástupce závisí na vašem obchodním modelu, povaze služeb a zákaznické základně. Následující matice pomáhá vyjasnit, co potřebujete podle vaší situace:

Praktické rady:

• Zkontrolujte toky dat: Pokud zpracováváte osobní data rezidentů EU, platí GDPR.
• Zhodnoťte digitální služby: Pokud nabízíte cloud, CDN, DNS nebo spravované služby EU, platí NIS2 bez ohledu na osobní data.
• Tržiště: Pokud prodáváte jen fyzické produkty přes Amazon nebo eBay a nezpracováváte osobní data EU ani nenabízíte digitální služby, potřebujete osobu odpovědnou za produkt, ne GDPR nebo NIS2 zástupce.
• EU sídlo: Pokud máte firmu v EU, tyto povinnosti se nevztahují, pokud nejednáte za nečlenskou mateřskou firmu.

Volba poskytovatele, který pokryje obě role (GDPR i NIS2), může zjednodušit dodržování předpisů, snížit administrativní zátěž a zajistit konzistentní komunikaci s úřady. Vždy ověřte schopnost poskytovatele pokrýt obě povinnosti a zkontrolujte zveřejněné ceny a služby v ceně.

Co cena skutečně zahrnuje (a nezahrnuje)

Zveřejněné ceny za zástupce GDPR a NIS2 se výrazně liší. Je důležité pochopit, co každý poskytovatel zahrnuje v základním poplatku a co může znamenat dodatečné náklady. Přehled níže:

Klíčové detaily od poskytovatelů:

• REP27: Nabízí zástupce GDPR i NIS2, certifikát, veřejnou verifikaci a jednu smlouvu pro více rolí. Cena GDPR začíná na 290 €/rok; cena NIS2 na vyžádání. Všechna jmenování podepisuje Europe Services SE (EU) a jsou opatřena ověřitelným certifikátem. (zdroj)
• EU Presence: Účtuje 127 $/měsíc za GDPR a 327 $/měsíc za NIS2 (cena ověřena na stránce). Zahrnuje workflow pro hlášení incidentů a pokrytí všech 27 států EU. (zdroj)
• DataShield Guardian: Plán Full Presence od 12 000 $/rok, zahrnující GDPR, NIS2, AI Act, spravovaný DPO a podporu compliance. (zdroj)
• Regingada: GDPR od 490 €/rok; NIS2 na vyžádání. Poskytuje dokumentované předávání, evidenci termínů a sídlí v Německu. (zdroj)

Vždy požádejte o podrobnou nabídku a smlouvu. Mnoho poskytovatelů nezveřejňuje všechny dodatečné poplatky, jako jsou poplatky za incidenty, odpovědi úřadům nebo obnovy. Ptejte se na tyto body před podpisem.

Skryté náklady a co poskytovatelé obvykle neříkají

I když poskytovatelé inzerují roční nebo měsíční poplatky za zástupce, řada důležitých detailů je často opomenuta v veřejných materiálech. Kupující by měli být obezřetní ohledně možných skrytých nákladů a výjimek:

• Výpovědní lhůty: Žádný z výše uvedených poskytovatelů nespecifikuje minimální dobu trvání smlouvy nebo výpovědní lhůty. Vždy si smlouvu důkladně pročtěte.
• Poplatky za požadavky/incidenty: Žádný poskytovatel nezveřejňuje poplatky za jednotlivé incidenty nebo požadavky úřadů. U NIS2 může hlášení incidentů a komunikace s úřady znamenat dodatečné náklady. Požádejte o kompletní ceník.
• Omezení odpovědnosti: Veřejně nejsou dostupné informace o limitech odpovědnosti nebo výjimkách. Běžné je, že poskytovatelé omezují svou odpovědnost za pokuty či škody ve smlouvě – požádejte o tuto část před podpisem.
• Výluky služeb: Někteří poskytovatelé nemusí zahrnovat veškerou komunikaci s úřady, řízení incidentů nebo obnovu certifikátů v základní ceně. Například Regingada nabízí zástupce NIS2 jen na vyžádání a neuvádí podrobnosti o hlášení incidentů. DataShield Guardian kombinuje DPO a podporu compliance, ale rozsah může být omezen na určité hodiny nebo typy incidentů.
• Verifikace a dokumentace: REP27 poskytuje veřejný certifikát a verifikační kód, což může být užitečné pro prokázání compliance úřadům a tržištím. Ne všichni poskytovatelé tuto funkci nabízejí.

Co poskytovatelé obvykle neříkají:

• Zda reagují na každý požadavek úřadů nebo zda si účtují extra za složité případy
• Zda cena zahrnuje průběžné poradenství v oblasti compliance nebo jen právní jmenování
• Jak rychle zpracovávají hlášení incidentů nebo korespondenci s úřady
• Zda se smlouva automaticky obnovuje a za jakých podmínek

Abyste se vyhnuli překvapením, vždy požadujte plnou smlouvu, žádejte podrobný rozpis zahrnutých a vyloučených služeb a ujasněte si postup pro urgentní incidenty či šetření úřadů.

Jak probíhá jmenování: krok za krokem

Jmenování zástupce GDPR a/nebo NIS2 zahrnuje několik konkrétních kroků. Proces je navržen tak, aby zajistil řádné zmocnění zástupce a připravenost vaší firmy reagovat na úřady EU a plnit právní povinnosti. Typický postup na příkladu REP27:

1. Posuďte své povinnosti: Použijte výše uvedenou rozhodovací matici, zda potřebujete zástupce GDPR a/nebo NIS2. Zkontrolujte zpracování dat a digitální služby nabízené EU.
2. Vyberte poskytovatele: Porovnejte poskytovatele podle zveřejněných cen, služeb v ceně a reputace. Potvrďte, že pokryje obě role, pokud je to potřeba.
3. Zašlete informace o firmě: Budete muset poskytnout právní údaje firmy, popis služeb a informace o zákaznících nebo uživatelích z EU. REP27 například vyžaduje soubor s těmito informacemi pro lidskou kontrolu.
4. Kontrola poskytovatelem: Poskytovatel zkontroluje soubor, zda jsou údaje kompletní a správné. U REP27 je to obvykle do 24 pracovních hodin.
5. Jmenování a podpis: Statutární orgán poskytovatele podepíše dopis o jmenování, čímž formálně jmenuje zástupce. REP27 vydá podepsaný certifikát, QR kód a verifikační kód.
6. Obdržení dokumentace: Obdržíte podepsané jmenování, certifikát a vzorové znění do zásad ochrany soukromí nebo webu. Tyto dokumenty jsou klíčové pro prokázání compliance úřadům, zákazníkům a tržištím.
7. Aktualizace právních oznámení: Aktualizujte zásady ochrany soukromí, web a (pro NIS2) zaregistrujte kontaktní údaje zástupce u příslušného národního úřadu. NIS2 vyžaduje registraci do ledna 2025.
8. Průběžná spolupráce: Udržujte komunikaci se zástupcem pro hlášení incidentů, požadavky úřadů a aktualizace compliance. Ujistěte se, že rozumíte postupu pro urgentní oznámení a reakčním časům poskytovatele.

Kontrolní seznam pro kupující:

1. Potvrďte, zda zpracováváte osobní data EU nebo poskytujete cloud/digitální služby EU.
2. Zjistěte, zda se na vás vztahuje GDPR i NIS2.
3. Shromážděte všechny potřebné dokumenty firmy a popisy služeb.
4. Kontaktujte poskytovatele pro kompletní nabídku a smlouvu, ptejte se na dodatečné poplatky.
5. Prostudujte smluvní podmínky, včetně výpovědních lhůt a omezení odpovědnosti.
6. Jmenujte zástupce a obdržíte dokumentaci.
7. Aktualizujte zásady ochrany soukromí a registrujte zástupce u úřadů, pokud je to potřeba.
8. Nastavte interní postupy pro hlášení incidentů a komunikaci s úřady.

Dodržení těchto kroků zajistí splnění právních požadavků EU a vyhnete se nákladným sankcím.

Rizika, pokuty a vymáhání

Nedodržení GDPR čl. 27 nebo NIS2 čl. 26 může vystavit nečlenské cloudové a SaaS poskytovatele značným právním a finančním rizikům. Porozumění těmto rizikům je klíčové pro informované rozhodování:

• GDPR: Nepojmenování zástupce GDPR je porušením, za které hrozí pokuty až do výše 10 milionů € nebo 2 % celosvětového ročního obratu, podle toho, co je vyšší. Tyto pokuty jsou navíc k sankcím za jiné porušení GDPR. Úřady mohou také blokovat vaše služby v EU nebo nařídit vymazání nezákonně zpracovaných dat.
• NIS2: Podle NIS2 mají členské státy pravomoc přímo vymáhat opatření proti nečlenským poskytovatelům, kteří nezjmenují zástupce. Může jít o šetření, blokování služeb a správní sankce. Zástupce nezajišťuje ochranu před vymáháním, slouží pouze jako místní kontaktní bod pro úřady.
• Termíny registrace: NIS2 vyžaduje, aby nečlenské firmy zaregistrovaly kontaktní údaje zástupce u příslušného národního úřadu do 17. ledna 2025. Nedodržení může vést k okamžitým opatřením.
• Hlášení incidentů: NIS2 ukládá povinnost hlásit významné bezpečnostní incidenty. Zpoždění nebo nehlášení může znamenat další sankce a poškození reputace.
• Reputační riziko: Veřejné vymáhání nebo blokování služeb může poškodit vaši značku a důvěru zákazníků, zejména na trhu EU citlivém na ochranu soukromí a bezpečnost.

Pro zmírnění rizik jmenujte kvalifikovaného zástupce, udržujte aktuální dokumentaci a nastavte jasné interní postupy pro reakci na incidenty a komunikaci s úřady. Pravidelně kontrolujte stav compliance a aktualizujte údaje zástupce podle vývoje vašeho podnikání.

Reálné scénáře: co platí a nejjednodušší cesta

Následují tři praktické scénáře ukazující, jak se pravidla vztahují a jaká je nejjednodušší cesta k dodržení předpisů:

• Scénář 1: Americká SaaS firma nabízející B2B i B2C služby zákazníkům v EU
  Povinnosti: Potřebuje oba zástupce – GDPR čl. 27 i NIS2. Firma zpracovává osobní data EU (GDPR) a poskytuje cloudové služby (NIS2).
  Dodržení: Jmenujte poskytovatele (např. REP27), který pokryje obě role. Aktualizujte zásady ochrany soukromí s údaji zástupce, zaregistrujte se u příslušného úřadu NIS2 a nastavte interní postupy hlášení incidentů a komunikace s úřady.
• Scénář 2: Čínský prodejce na Amazonu exportující pouze fyzické zboží do EU
  Povinnosti: Potřebuje osobu odpovědnou za produkt pro bezpečnost výrobků. Nepotřebuje zástupce GDPR nebo NIS2, pokud nezpracovává osobní data EU nebo nenabízí digitální/cloudové služby.
  Dodržení: Jmenujte osobu odpovědnou za produkt (není předmětem této příručky), zajistěte označení a dokumentaci výrobků a ověřte, zda digitální služby nebo zpracování dat nevyvolávají další povinnosti.
• Scénář 3: Britský online obchod prodávající spotřebitelům v EU
  Povinnosti: Potřebuje zástupce GDPR, pokud zpracovává osobní data EU. NIS2 platí jen pokud obchod nabízí cloudové nebo digitální služby (ne pro čistý e-commerce).
  Dodržení: Jmenujte zástupce GDPR (např. REP27), aktualizujte zásady ochrany soukromí a ověřte, zda digitální služby vyžadují zástupce NIS2. Pokud ne, další kroky pro NIS2 nejsou potřeba.

Tyto scénáře ukazují, že povinnosti závisí na povaze vašeho podnikání a služeb. Vždy proveďte podrobné posouzení a konzultujte s poskytovatelem zkušeným v obou oblastech – GDPR i NIS2 zástupců.