KYBERNETICKÁ BEZPEČNOST § 1

 181
ZÁKON

ze dne 23. července 2014

o kybernetické bezpečnosti a o změně souvisejících zákonů
(zákon o kybernetické bezpečnosti)

Parlament se usnesl na tomto zákoně České republiky:

ČÁST PRVNÍ
KYBERNETICKÁ BEZPEČNOST

Hlava I
Základní ustanovení

§ 1
Předmět úpravy

(1) Tento zákon upravuje práva a povinnosti osob a působnost a pravomoci orgánů veřejné moci v oblasti kybernetické bezpečnosti.
(2) Tento zákon se nevztahuje na informační nebo komunikační systémy, které nakládají s utajovanými informacemi.

Vymezení pojmů
§ 2

V tomto zákoně se rozumí

a) kybernetickým prostorem digitální prostředí umozňující vznik, zpracování a výměnu informací, tvořené informačními systémy, a sluzbami a sítěmi elektronických komunikací ),
b) kritickou informační infrastrukturou prvek nebo systém prvků kritické infrastruktury v odvětví komunikační a informační systémy ) v oblasti kybernetické bezpečnosti,
c) bezpečností informací zajistění důvěrnosti, integrity a dostupnosti informací,
d) významným informačním systémem informační systém spravovaný orgánem veřejné moci, který není kritickou informační infrastrukturou a u kterého narusení bezpečnosti informací můze omezit nebo výrazně ohrozit výkon působnosti orgánu veřejné moci,
e) správcem informačního systému orgán nebo osoba, které určují účel zpracování informací a podmínky provozování informačního systému,
f) správcem komunikačního systému orgán nebo osoba, které určují účel komunikačního systému a podmínky jeho provozování a
g) významnou sítí síť elektronických komunikací1) zajisťující přímé zahraniční propojení do veřejných komunikačních sítí nebo zajisťující přímé připojení ke kritické informační infrastruktuře.
 

§ 3

Orgány a osobami, kterým se ukládají povinnosti v oblasti kybernetické bezpečnosti, jsou

a) poskytovatel sluzby elektronických komunikací a subjekt zajisťující síť elektronických komunikací 1), pokud není orgánem nebo osobou podle písmene b),
b) orgán nebo osoba zajisťující významnou síť, pokud nejsou správcem komunikačního systému podle písmene d),
c) správce informačního systému kritické informační infrastruktury,
d) správce komunikačního systému kritické informační infrastruktury a
e) správce významného informačního systému.

Hlava II

Systém zajistění kybernetické bezpečnosti

Bezpečnostní opatření

§ 4

(1) Bezpečnostním opatřením se rozumí souhrn úkonů, jejichz cílem je zajistění bezpečnosti informací v informačních systémech a dostupnosti a spolehlivosti sluzeb a sítí elektronických komunikací 1) v kybernetickém prostoru.
(2) Orgány a osoby uvedené v § 3 písm. c) az e) jsou povinny v rozsahu nezbytném pro zajistění kybernetické bezpečnosti zavést a provádět bezpečnostní opatření pro informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury nebo významný informační systém a vést o nich bezpečnostní dokumentaci.
(3) Orgány a osoby uvedené v § 3 písm. c) az e) jsou povinny zohlednit pozadavky vyplývající z bezpečnostních opatření při výběru dodavatelů pro informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury nebo významný informační systém. Zohlednění pozadavků vyplývajících z bezpečnostních opatření podle věty první v míře nezbytné pro splnění povinností podle tohoto zákona nelze povazovat za nezákonné omezení hospodářské soutěze nebo neodůvodněnou překázku hospodářské soutězi.

§ 5

(1) Bezpečnostními opatřeními jsou

a) organizační opatření a
b) technická opatření.

(1) Organizačními opatřeními jsou

a) systém řízení bezpečnosti informací,
b) řízení rizik,
c) bezpečnostní politika,
d) organizační bezpečnost,
e) stanovení bezpečnostních pozadavků pro dodavatele,
f) řízení aktiv,
g) bezpečnost lidských zdrojů,
h) řízení provozu a komunikací kritické informační infrastruktury nebo významného informačního systému,
i) řízení přístupu osob ke kritické informační infrastruktuře nebo k významnému informačnímu systému,
j) akvizice, vývoj a údrzba kritické informační infrastruktury a významných informačních systémů,
k) zvládání kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů,
l) řízení kontinuity činností a
m) kontrola a audit kritické informační infrastruktury a významných informačních systémů.

(2) Technickými opatřeními jsou

a) fyzická bezpečnost,
b) nástroj pro ochranu integrity komunikačních sítí,
c) nástroj pro ověřování identity uzivatelů,
d) nástroj pro řízení přístupových oprávnění,
e) nástroj pro ochranu před skodlivým kódem,
f) nástroj pro zaznamenávání činnosti kritické informační infrastruktury a významných informačních systémů, jejich uzivatelů a administrátorů,
g) nástroj pro detekci kybernetických bezpečnostních událostí,
h) nástroj pro sběr a vyhodnocení kybernetických bezpečnostních událostí,
i) aplikační bezpečnost,
j) kryptografické prostředky,
k) nástroj pro zajisťování úrovně dostupnosti informací a
l) bezpečnost průmyslových a řídících systémů.

§ 6

Prováděcí právní předpis stanoví

a) obsah bezpečnostních opatření,
b) obsah a strukturu bezpečnostní dokumentace,
c) rozsah bezpečnostních opatření pro orgány a osoby uvedené v § 3 písm. c) az e) a
d) významné informační systémy a jejich určující kritéria.

Kybernetická bezpečnostní událost a kybernetický bezpečnostní incident

§ 7

(1) Kybernetickou bezpečnostní událostí je událost, která můze způsobit narusení bezpečnosti informací v informačních systémech nebo narusení bezpečnosti sluzeb anebo bezpečnosti a integrity sítí elektronických komunikací 1).
(2) Kybernetickým bezpečnostním incidentem je narusení bezpečnosti informací v informačních systémech nebo narusení bezpečnosti sluzeb anebo bezpečnosti a integrity sítí elektronických komunikací1) v důsledku kybernetické bezpečnostní události.
(3) Orgány a osoby uvedené v § 3 písm. b) az e) jsou povinny detekovat kybernetické bezpečnostní události v jejich významné síti, informačním systému kritické informační infrastruktury, komunikačním systému kritické informační infrastruktury nebo významném informačním systému.

§ 8

Hlásení kybernetického bezpečnostního incidentu

(1) Orgány a osoby uvedené v § 3 písm. b) az e) jsou povinny hlásit kybernetické bezpečnostní incidenty v jejich významné síti, informačním systému kritické informační infrastruktury, komunikačním systému kritické informační infrastruktury nebo významném informačním systému, a to bezodkladně po jejich detekci; tím není dotčena informační povinnost podle jiného právního předpisu ).
(2) Orgány a osoby uvedené v § 3 písm. b) hlásí kybernetické bezpečnostní incidenty provozovateli národního CERT.
(3) Orgány a osoby uvedené v § 3 písm. c) az e) hlásí kybernetické bezpečnostní incidenty Národnímu bezpečnostnímu úřadu (dále jen „Úřad“).
(4) Prováděcí právní předpis stanoví
a) typy a kategorie kybernetických bezpečnostních incidentů a
b) nálezitosti a způsob hlásení kybernetického bezpečnostního incidentu.

Evidence

§ 9

(1) Úřad vede evidenci kybernetických bezpečnostních incidentů (dále jen „evidence incidentů“), která obsahuje

a) hlásení kybernetického bezpečnostního incidentu,
b) identifikační údaje systému, ve kterém se kybernetický bezpečnostní incident vyskytl,
c) údaje o zdroji kybernetického bezpečnostního incidentu a
d) postup při řesení kybernetického bezpečnostního incidentu a jeho výsledek.

(2) Součástí evidence incidentů jsou údaje podle § 20 písm. f) az h).

(3) Úřad poskytuje údaje z evidence incidentů orgánům veřejné moci pro výkon jejich působnosti.
(4) Úřad můze poskytovat údaje z evidence incidentů provozovateli národního CERT, orgánům vykonávajícím působnost v oblasti kybernetické bezpečnosti v zahraničí a jiným osobám působícím v oblasti kybernetické bezpečnosti v rozsahu nezbytném pro zajistění ochrany kybernetického prostoru.

§ 10

(1) Zaměstnanci České republiky zařazení k výkonu práce v Úřadu, kteří se podílejí na řesení kybernetického bezpečnostního incidentu, jsou vázáni povinností mlčenlivosti o údajích z evidence incidentů. Povinnost mlčenlivosti trvá i po skončení pracovněprávního vztahu k Úřadu.

(2) Ředitel Úřadu můze osoby podle odstavce 1 zprostit povinnosti mlčenlivosti o údajích z evidence incidentů, s uvedením rozsahu údajů a rozsahu zprostění.

§ 11

Opatření

(1) Opatřeními se rozumí úkony, jichz je třeba k ochraně informačních systémů nebo sluzeb a sítí elektronických komunikací 1) před hrozbou v oblasti kybernetické bezpečnosti nebo před kybernetickým bezpečnostním incidentem anebo k řesení jiz nastalého kybernetického bezpečnostního incidentu.

(2) Opatřeními jsou

a) varování,
b) reaktivní opatření a
c) ochranné opatření.

(3) Reaktivní opatření jsou povinny provádět

a) orgány a osoby uvedené v § 3 písm. a) a b) za stavu kybernetického nebezpečí nebo za nouzového stavu ) vyhláseného na základě zádosti podle § 21 odst. 6 a
b) orgány a osoby uvedené v § 3 písm. c) az e).

(4) Ochranné opatření jsou povinny provádět orgány a osoby uvedené v § 3 písm. c) az e).

§ 12

Varování

(1) Úřad vydá varování, dozví-li se zejména z vlastní činnosti nebo z podnětu provozovatele národního CERT anebo od orgánů, které vykonávají působnost v oblasti kybernetické bezpečnosti v zahraničí, o hrozbě v oblasti kybernetické bezpečnosti.
(2) Varování Úřad zveřejní na svých internetových stránkách a oznámí je orgánům a osobám uvedeným v § 3, jejichz kontaktní údaje jsou vedeny v evidenci podle § 16 odst. 4.

Reaktivní a ochranné opatření

§ 13

(1) Úřad vydá rozhodnutí, ve kterém ulozí provést reaktivní opatření k řesení kybernetického bezpečnostního incidentu anebo k zabezpečení informačních systémů nebo sítí a sluzeb elektronických komunikací 1) před kybernetickým bezpečnostním incidentem, které je prvním úkonem ve věci. Nepodaří-li se rozhodnutí adresátovi doručit do vlastních rukou do 3 dnů ode dne jeho vydání, doručí se mu tak, ze se vyvěsí na úřední desce Úřadu a tímto okamzikem je vykonatelné. Rozhodnutí podle věty první můze Úřad vydat i v řízení na místě podle správního řádu.
(2) Rozklad podaný proti rozhodnutí podle odstavce 1 nemá odkladný účinek.
(3) Má-li se reaktivní opatření k řesení kybernetického bezpečnostního incidentu anebo k zabezpečení informačních systémů nebo sítí a sluzeb elektronických komunikací 1) před kybernetickým bezpečnostním incidentem týkat blíze neurčeného okruhu orgánů nebo osob, vydá je Úřad formou opatření obecné povahy.
(4) Orgány a osoby uvedené v § 3 jsou povinny bez zbytečného odkladu oznámit Úřadu provedení reaktivního opatření a jeho výsledek. Nálezitosti oznámení stanoví prováděcí právní předpis.

§ 14

(1) Úřad ulozí za účelem zvýsení ochrany informačních systémů nebo sluzeb a sítí elektronických komunikací 1), na základě analýzy jiz vyřeseného kybernetického bezpečnostního incidentu, provést ochranné opatření formou opatření obecné povahy.
(2) Opatřením obecné povahy Úřad orgánům a osobám uvedeným v § 3 písm. c) az e) stanoví způsob zvýsení ochrany informačních systémů nebo sluzeb a sítí elektronických komunikací 1) a lhůtu k jeho provedení.

§ 15

(1) Opatření obecné povahy podle § 13 nebo 14 nabývá účinnosti okamzikem jeho vyvěsení na úřední desce Úřadu; ustanovení § 172 správního řádu se nepouzije. O vydání opatření obecné povahy Úřad rovněz vyrozumí orgány a osoby uvedené v § 3, jejichz kontaktní údaje jsou vedeny v evidenci podle § 16 odst. 4.
(2) Připomínky k opatření obecné povahy vydanému podle § 13 nebo 14 lze uplatnit ve lhůtě 30 dnů ode dne jeho vyvěsení na úřední desce Úřadu. Úřad můze na základě uplatněných připomínek opatření obecné povahy změnit nebo zrusit.

§ 16

Kontaktní údaje

(1) Kontaktními údaji jsou

a) u právnické osoby obchodní firma nebo název, adresa sídla, identifikační číslo osoby nebo obdobné číslo přidělované v zahraničí,
b) u podnikající fyzické osoby obchodní firma nebo jméno včetně odlisujícího dodatku nebo dalsího označení, adresa sídla a identifikační číslo osoby,
c) u orgánu veřejné moci jeho název, adresa sídla, identifikační číslo osoby, bylo-li přiděleno a identifikátor orgánu veřejné moci, pokud mu není přiděleno identifikační číslo osoby,
a údaje o fyzické osobě, která je za orgán nebo osobu uvedené v § 3 oprávněna jednat ve věcech upravených tímto zákonem, a to jméno, příjmení, telefonní číslo a adresa elektronické posty.

(2) Kontaktní údaje a jejich změny oznamují
a) orgány a osoby uvedené v § 3 písm. a) a b) provozovateli národního CERT a
b) orgány a osoby uvedené v § 3 písm. c) az e) Úřadu.

(3) Orgány a osoby uvedené v § 3 písm. c) az e) oznamují změny pouze těch údajů podle odstavce 1, které nejsou referenčními údaji vedenými v základních registrech, a to neprodleně.
(4) Úřad vede evidenci kontaktních údajů, která obsahuje údaje uvedené v odstavci 1.
(5) Úřad je za stavu kybernetického nebezpečí oprávněn vyzadovat kontaktní údaje shromázděné provozovatelem národního CERT podle odstavce 2 písm. a).
(6) Vzor oznámení kontaktních údajů a jeho formu stanoví prováděcí právní předpis.

§ 17

Národní CERT

(1) Národní CERT zajisťuje v rozsahu stanoveném tímto zákonem sdílení informací na národní a mezinárodní úrovni v oblasti kybernetické bezpečnosti.

(2) Provozovatel národního CERT
a) přijímá oznámení kontaktních údajů od orgánů a osob uvedených v § 3 písm. a) a b) a tyto údaje eviduje a uchovává,
b) přijímá hlásení o kybernetických bezpečnostních incidentech od orgánů a osob uvedených v § 3 písm. b) a tyto údaje eviduje, uchovává a chrání,
c) vyhodnocuje kybernetické bezpečnostní incidenty u orgánů a osob uvedených v § 3 písm. b),
d) poskytuje orgánům a osobám uvedeným v § 3 písm. a) a b) metodickou podporu, pomoc a součinnost při výskytu kybernetického bezpečnostního incidentu,
e) působí jako kontaktní místo pro orgány a osoby uvedené v § 3 písm. a) a b),
f) provádí hodnocení zranitelností v oblasti kybernetické bezpečnosti,
g) předává Úřadu údaje o kybernetických bezpečnostních incidentech bez uvedení ohlasovatele kybernetického bezpečnostního incidentu a
h) předává na vyzádání Úřadu za stavu kybernetického nebezpečí kontaktní údaje orgánů a osob uvedených v § 3 písm. a) a b).

(3) Provozovatel národního CERT můze vlastním jménem a na vlastní odpovědnost vykonávat i dalsí hospodářskou činnost v oblasti kybernetické bezpečnosti neupravenou tímto zákonem, pokud tato činnost nenarusí plnění povinností uvedených v odstavci 2.
(4) Provozovatel národního CERT při plnění povinností uvedených v odstavci 2 koordinuje svou činnost s Úřadem.
(5) Provozovatel národního CERT musí při plnění povinností podle odstavce 2 postupovat nestranně.

§ 18

Provozovatel národního CERT

(1) Provozovatelem národního CERT se můze stát pouze právnická osoba,
a) která splňuje podmínky uvedené v odstavci 2 a
b) se kterou Úřad uzavřel veřejnoprávní smlouvu podle § 19.

(2) Provozovatelem národního CERT můze být pouze právnická osoba, která
a) nevyvíjí ani nevyvíjela činnost proti zájmu České republiky ve smyslu zákona upravujícího ochranu utajovaných informací,
b) provozuje nebo spravuje informační systémy nebo sluzby a sítě elektronických komunikací1) anebo se na jejich provozu a správě podílí, a to nejméně po dobu 5 let,
c) má technické předpoklady v oblasti kybernetické bezpečnosti,
d) je členem nadnárodní organizace působící v oblasti kybernetické bezpečnosti,
e) nemá v evidenci daní u orgánů Finanční správy České republiky ani orgánů Celní správy České republiky ani v evidenci daní, pojistného na sociální zabezpečení a pojistného na veřejné zdravotní pojistění evidovány nedoplatky,
f) nebyla pravomocně odsouzena za spáchání trestného činu uvedeného v § 7 zákona o trestní odpovědnosti právnických osob a řízení proti nim,
g) není zahraniční osobou podle jiného právního předpisu a
h) nebyla zalozena nebo zřízena výlučně za účelem dosazení zisku; tím není dotčena moznost provozovatele národního CERT postupovat podle § 17 odst. 3.

(3) Zájemce prokazuje splnění podmínek předlozením
a) čestného prohlásení v případě odstavce 2 písm. a) az d), g) a h) a
b) potvrzení orgánu Finanční správy České republiky a Celní správy České republiky v případě odstavce 2 písm. e).

(4) Z obsahu čestného prohlásení podle odstavce 3 písm. a) musí být zřejmé, ze uchazeč splňuje příslusné předpoklady. Potvrzení podle odstavce 3 písm. b), ze uchazeč nemá v evidenci daní u orgánů Finanční správy České republiky ani orgánů Celní správy České republiky ani v evidenci daní, pojistného na sociální zabezpečení a pojistného na veřejné zdravotní pojistění evidovány nedoplatky, nesmí být starsí nez 30 dnů. Za účelem prokázání podmínky uvedené v odstavci 2 písm. f) si Úřad vyzádá výpis z evidence Rejstříku trestů podle jiného právního předpisu ).
(5) Provozovatel národního CERT vykonává činnosti podle § 17 odst. 2 písm. a), b), c), e), g) a h) bezúplatně.
(6) Úřad zveřejní na svých internetových stránkách údaje o provozovateli národního CERT, a to jeho obchodní firmu nebo název, adresu sídla, identifikační číslo osoby, identifikátor datové schránky a adresu jeho internetových stránek.

§ 19

Veřejnoprávní smlouva

(1) Úřad uzavírá veřejnoprávní smlouvu (dále jen „smlouva“) s právnickou osobou vybranou postupem podle § 163 odst. 4 správního řádu za účelem spolupráce v oblasti kybernetické bezpečnosti a zajistění činností podle § 17 odst. 2. Řízení o výběru zádosti vyhlasuje Úřad.

(2) Smlouva obsahuje alespoň
a) označení smluvních stran,
b) vymezení předmětu smlouvy,
c) práva a povinnosti smluvních stran,
d) podmínky spolupráce smluvních stran,
e) způsob a podmínky odstoupení smluvních stran od smlouvy,
f) výpovědní lhůtu a výpovědní důvody,
g) zákaz zneuzití údajů získaných v souvislosti s výkonem činností uvedených v § 17 odst. 2,
h) vymezení podmínek pro výkon činnosti národního CERT podle § 17 odst. 3 a
i) způsob předání a rozsah údajů předávaných Úřadu v případě zániku závazku.

(3) Smlouvu uzavřenou podle odstavce 1 Úřad zveřejňuje ve Věstníku Úřadu, s výjimkou těch částí smlouvy, jejichz zveřejnění neumozňuje jiný právní předpis.
(4) Není-li uzavřena smlouva podle odstavce 1, nebo v případě zániku závazku, vykonává činnost národního CERT Úřad.

§ 20

Vládní CERT

Vládní CERT jako součást Úřadu
a) přijímá oznámení kontaktních údajů od orgánů a osob uvedených v § 3 písm. c) az e),
b) přijímá hlásení o kybernetických bezpečnostních incidentech od orgánů a osob uvedených v § 3 písm. c) az e),
c) vyhodnocuje údaje o kybernetických bezpečnostních událostech a kybernetických bezpečnostních incidentech z kritické informační infrastruktury, z významných informačních systémů a dalsích informačních systémů veřejné správy,
d) poskytuje orgánům a osobám uvedeným v § 3 písm. c) az e) metodickou podporu a pomoc,
e) poskytuje součinnost orgánům a osobám uvedeným v § 3 písm. c) az e) při výskytu kybernetického bezpečnostního incidentu a kybernetické bezpečnostní události,
f) přijímá podněty a údaje od orgánů a osob uvedených v § 3 a od jiných orgánů a osob a tyto podněty a údaje vyhodnocuje,
g) přijímá údaje od provozovatele národního CERT a tyto údaje vyhodnocuje,
h) přijímá údaje od orgánů, které vykonávají působnost v oblasti kybernetické bezpečnosti v zahraničí, a tyto údaje vyhodnocuje,
i) poskytuje podle § 9 odst. 4 provozovateli národního CERT, orgánům vykonávajícím působnost v oblasti kybernetické bezpečnosti v zahraničí a jiným osobám působícím v oblasti kybernetické bezpečnosti údaje z evidence incidentů a
j) provádí hodnocení zranitelností v oblasti kybernetické bezpečnosti.

Hlava III

Stav kybernetického nebezpečí

§ 21

(1) Stavem kybernetického nebezpečí se rozumí stav, ve kterém je ve velkém rozsahu ohrozena bezpečnost informací v informačních systémech nebo bezpečnost a integrita sluzeb nebo sítí elektronických komunikací 1), a tím by mohlo dojít k porusení nebo doslo k ohrození zájmu České republiky ve smyslu zákona upravujícího ochranu utajovaných informací.
(2) O vyhlásení stavu kybernetického nebezpečí rozhoduje ředitel Úřadu. Rozhodnutí o vyhlásení stavu kybernetického nebezpečí se vyhlasuje vyvěsením na úřední desce Úřadu. Informace o vyhlásení stavu kybernetického nebezpečí se zveřejňuje v celoplosném rozhlasovém a televizním vysílání. Provozovatel celoplosného televizního nebo rozhlasového vysílání je povinen bez náhrady nákladů na základě zádosti Úřadu neprodleně a bez úpravy obsahu a smyslu uveřejnit informace o vyhlásení stavu kybernetického nebezpečí.
(3) Rozhodnutí o vyhlásení stavu kybernetického nebezpečí nabývá účinnosti okamzikem, který se v rozhodnutí stanoví. Stav kybernetického nebezpečí se vyhlasuje na dobu nezbytně nutnou, nejdéle vsak na 7 dnů. Uvedenou dobu můze ředitel Úřadu prodlouzit; souhrnná doba trvání vyhláseného stavu kybernetického nebezpečí nesmí být delsí nez 30 dnů.
(4) V průběhu vyhláseného stavu kybernetického nebezpečí ředitel Úřadu informuje vládu o postupech při řesení stavu kybernetického nebezpečí a o aktuálním stavu hrozeb, které vedly k vyhlásení stavu kybernetického nebezpečí. Za stavu kybernetického nebezpečí a za nouzového stavu4) v případech podle odstavce 6 je Úřad oprávněn vydat rozhodnutí nebo opatření obecné povahy podle § 13 rovněz orgánům a osobám uvedeným v § 3 písm. a) a b).
(5) Stav kybernetického nebezpečí nelze vyhlásit v případě, kdy ohrození bezpečnosti informací v informačních systémech nebo bezpečnosti sluzeb anebo bezpečnosti a integrity sítí elektronických komunikací 1) lze odvrátit činností Úřadu podle tohoto zákona.
(6) Není-li mozné odvrátit ohrození bezpečnosti informací v informačních systémech nebo bezpečnosti sluzeb anebo bezpečnosti a integrity sítí elektronických komunikací1) v rámci stavu kybernetického nebezpečí, ředitel Úřadu neprodleně pozádá vládu o vyhlásení nouzového stavu 4). Rozhodnutí a opatření obecné povahy vydaná Úřadem podle § 13 před vyhlásením nouzového stavu zůstávají v platnosti, pokud tato opatření nejsou v rozporu s krizovými opatřeními vyhlásenými vládou.
(7) Stav kybernetického nebezpečí končí uplynutím doby, na kterou byl vyhlásen, pokud ředitel Úřadu nerozhodne o jeho zrusení před uplynutím této doby, nebo vyhlásením nouzového stavu 4).

Hlava IV

Výkon státní správy

§ 22

(1) Státní správu v oblasti kybernetické bezpečnosti vykonává Úřad, nestanoví-li zákon jinak.

(2) Úřad
a) stanoví bezpečnostní opatření,
b) vydává opatření,
c) zajisťuje činnost Národního centra kybernetické bezpečnosti,
d) vede evidence podle tohoto zákona,
e) ukládá pokuty za správní delikty podle tohoto zákona,
f) působí jako koordinační orgán ve stavu kybernetického nebezpečí,
g) spolupracuje s orgány a osobami, které působí v oblasti kybernetické bezpečnosti, zejména s veřejnoprávními korporacemi, výzkumnými a vývojovými pracovisti a s ostatními pracovisti typu CERT,
h) zajisťuje mezinárodní spolupráci,
i) sjednává a uzavírá smlouvy o mezinárodní spolupráci,
j) zajisťuje prevenci, vzdělávání a metodickou podporu v oblasti kybernetické bezpečnosti,
k) zajisťuje výzkum a vývoj v oblasti kybernetické bezpečnosti,
l) uzavírá veřejnoprávní smlouvu s provozovatelem národního CERT,
m) zasílá podle krizového zákona Ministerstvu vnitra návrh prvků kritické infrastruktury v odvětví komunikační a informační systémy v oblasti kybernetické bezpečnosti, jejichz provozovatelem je organizační slozka státu,
n) určuje podle krizového zákona prvky kritické infrastruktury v odvětví komunikační a informační systémy v oblasti kybernetické bezpečnosti, pokud nejde o prvky uvedené v písmeni m) a
o) plní dalsí úkoly v oblasti kybernetické bezpečnosti stanovené tímto zákonem.

Hlava V

Kontrola, nápravná opatření a správní delikty

§ 23

Kontrola

(1) Úřad vykonává kontrolu v oblasti kybernetické bezpečnosti. Při výkonu kontroly Úřad zjisťuje, jak orgány a osoby uvedené v § 3 plní povinnosti stanovené tímto zákonem a rozhodnutími a opatřeními obecné povahy vydanými Úřadem, a dodrzují prováděcí právní předpisy v oblasti kybernetické bezpečnosti.

(2) Úřad kontroluje, jak
a) orgány a osoby uvedené v § 3 písm. a) a b) plní povinnosti ulozené Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13 za stavu kybernetického nebezpečí,
b) orgány a osoby uvedené v § 3 písm. c) az e) plní povinnosti stanovené v § 4 odst. 2, § 8 odst. 3 a § 16 odst. 2 písm. b) a povinnosti ulozené Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13 nebo 14.

§ 24

Nápravná opatření

(1) Zjistí-li Úřad při kontrole nedostatky, ulozí kontrolovanému orgánu nebo osobě, aby je ve stanovené lhůtě odstranila, popřípadě určí, jakým způsobem.
(2) Pokud je informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury nebo významný informační systém pro zjistěné nedostatky bezprostředně ohrozen kybernetickým bezpečnostním incidentem, který jej můze významně poskodit nebo zničit, můze kontrolní orgán zakázat kontrolovanému orgánu nebo osobě pouzívání tohoto systému anebo jeho části do doby, nez bude zjistěný nedostatek odstraněn.

Správní delikty

§ 25

(1) Právnická osoba nebo podnikající fyzická osoba uvedené v § 3 písm. a) nebo b) se dopustí správního deliktu tím, ze
a) nesplní za stavu kybernetického nebezpečí povinnost ulozenou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13, nebo
b) nesplní některou z povinností ulozenou nápravným opatřením podle § 24.

(2) Právnická osoba nebo podnikající fyzická osoba uvedené v § 3 písm. c) az e) se dopustí správního deliktu tím, ze
a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
b) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 3,
c) nesplní povinnost ulozenou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13 nebo 14,
d) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b) nebo
e) nesplní některou z povinností ulozenou nápravným opatřením podle § 24.

(3) Za správní delikt se ulozí pokuta do
a) 100 000 Kč, jde-li o správní delikt podle odstavce 1 písm. a) nebo b) anebo odstavce 2 písm. a) az c) nebo e),
b) 10 000 Kč, jde-li o správní delikt podle odstavce 2 písm. d).

§ 26

(1) Fyzická osoba se dopustí přestupku tím, ze porusí povinnost uvedenou v § 10 odst. 1.
(2) Za přestupek podle odstavce 1 se ulozí pokuta do 50 000 Kč.

§ 27

(1) Právnická osoba za správní delikt neodpovídá, jestlize prokáze, ze vynalozila veskeré úsilí, které bylo mozno pozadovat, aby porusení právní povinnosti zabránila.
(2) Odpovědnost právnické osoby za správní delikt zaniká, jestlize Úřad o něm nezahájil řízení do 1 roku ode dne, kdy se o něm dozvěděl, nejpozději vsak do 3 let ode dne, kdy byl správní delikt spáchán.
(3) Při určení výměry pokuty právnické osobě se přihlédne k závaznosti správního deliktu, zejména ke způsobu jeho spáchání a jeho následkům a k okolnostem, za nichz byl spáchán.
(4) Správní delikty podle tohoto zákona projednává Úřad.
(5) Na odpovědnost za jednání, k němuz doslo při podnikání fyzické osoby nebo v přímé souvislosti s ním, se vztahují ustanovení tohoto zákona o odpovědnosti a postihu právnické osoby.
(6) Pokuty vybírá Úřad. Příjem z pokut je příjmem státního rozpočtu.
(7) Pokuta je splatná do 30 dnů ode dne nabytí právní moci rozhodnutí o jejím ulození.

Hlava VI

Závěrečná ustanovení

§ 28

Zmocňovací ustanovení

(1) Úřad a Ministerstvo vnitra stanoví vyhláskou významné informační systémy a jejich určující kritéria podle § 6 písm. d).

(2) Úřad stanoví vyhláskou
a) obsah a strukturu bezpečnostní dokumentace, obsah bezpečnostních opatření a rozsah bezpečnostních opatření podle § 6 písm. a) az c),
b) typy a kategorie kybernetických bezpečnostních incidentů a nálezitosti a způsob hlásení kybernetického bezpečnostního incidentu podle § 8 odst. 4,
c) nálezitosti oznámení o provedení reaktivního opatření a jeho výsledku podle § 13 odst. 4 a
d) vzor oznámení kontaktních údajů a jeho formu podle § 16 odst. 6.

Přechodná ustanovení

§ 29

(1) Orgány a osoby uvedené v § 3 písm. a) a b) oznámí kontaktní údaje podle § 16 nejpozději do 30 dnů ode dne nabytí účinnosti tohoto zákona.
(2) Orgány a osoby uvedené v § 3 písm. b) začnou plnit povinnost stanovenou v § 8 odst. 1 a 2 nejpozději do 1 roku ode dne nabytí účinnosti tohoto zákona.

§ 30

Orgány a osoby uvedené v § 3 písm. c) a d)

a) oznámí kontaktní údaje podle § 16 nejpozději do 30 dnů ode dne určení jejich informačního systému nebo komunikačního systému kritickou informační infrastrukturou,
b) začnou plnit povinnost stanovenou v § 8 odst. 1 a 3 nejpozději do 1 roku ode dne určení jejich informačního systému nebo komunikačního systému kritickou informační infrastrukturou a
c) zavedou bezpečnostní opatření podle § 4 odst. 2 nejpozději do 1 roku ode dne určení jejich informačního systému nebo komunikačního systému kritickou informační infrastrukturou.

§ 31

Orgány a osoby uvedené v § 3 písm. e)

a) oznámí kontaktní údaje podle § 16 nejpozději do 30 dnů ode dne naplnění určujících kritérií významného informačního systému jejich informačních systémů,
b) začnou plnit povinnost stanovenou v § 8 odst. 1 a 3 nejpozději do 1 roku ode dne naplnění určujících kritérií významného informačního systému a
c) zavedou bezpečnostní opatření podle § 4 odst. 2 nejpozději do 1 roku ode dne naplnění určujících kritérií významného informačního systému.

§ 32

Činnost národního CERT vykonává do doby, nez nabude účinnosti veřejnoprávní smlouva uzavřená podle § 19 ten, kdo přede dnem nabytí účinnosti tohoto zákona vykonával činnost, kterou podle tohoto zákona vykonává národní CERT, nejdéle vsak do 2 let ode dne nabytí účinnosti tohoto zákona.

 

§ 33

Společná ustanovení

(1) Tento zákon se vztahuje pouze na takové informační nebo komunikační systémy zpravodajských sluzeb, které splňují podmínky pro určení kritické informační infrastruktury, a to v rozsahu § 12 a 16; ustanovení § 4 se na tyto systémy pouzije přiměřeně a Úřad je jako prvky kritické infrastruktury podle § 22 odst. 2 písm. m) nenavrhuje.
(2) Na informační systém Policie České republiky pro analytickou činnost v trestním řízení se tento zákon vztahuje pouze v rozsahu § 12 a 16; ustanovení § 4 se na tento systém pouzije přiměřeně. To neplatí, pokud je tento systém kritickou informační infrastrukturou.

ČÁST DRUHÁ

Změna zákona o ochraně utajovaných informací a o bezpečnostní způsobilosti

§ 34

Zákon č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti, ve znění zákona č. 119/2007 Sb., zákona č. 177/2007 Sb., zákona č. 296/2007 Sb., zákona č. 32/2008 Sb., zákona č. 124/2008 Sb., zákona č. 126/2008 Sb., zákona č. 250/2008 Sb., zákona č. 41/2009 Sb., zákona č. 227/2009 Sb., zákona č. 281/2009 Sb., zákona č. 255/2011 Sb., zákona č. 420/2011 Sb., zákona č. 458/2011 Sb., zákona č. 167/2012 Sb. a zákona č. 303/2013 Sb., se mění takto:

1. V § 145 se na konci odstavce 5 tečka nahrazuje čárkou a doplňuje se písmeno f), které zní:
„f) na vyzádání zprávu o jednotlivých kybernetických bezpečnostních incidentech z kritické informační infrastruktury.

2. V § 146 odst. 1 se za slova „bezpečnostního řízení“ vkládají slova „nebo v rámci správního řízení o vydání opatření podle zákona o kybernetické bezpečnosti“.
3. V § 146 odst. 2 se za slova „podle tohoto zákona“ vkládají slova „nebo podle zákona o kybernetické bezpečnosti“.

ČÁST TŘETÍ

Změna zákona o elektronických komunikacích

§ 35

Zákon č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích), ve znění zákona č. 290/2005 Sb., zákona č. 361/2005 Sb., zákona č. 186/2006 Sb., zákona č. 235/2006 Sb., zákona č. 310/2006 Sb., zákona č. 110/2007 Sb., zákona č. 261/2007 Sb., zákona č. 304/2007 Sb., zákona č. 124/2008 Sb., zákona č. 177/2008 Sb., zákona č. 189/2008 Sb., zákona č. 247/2008 Sb., zákona č. 384/2008 Sb., zákona č. 227/2009 Sb., zákona č. 281/2009 Sb., zákona č. 153/2010 Sb., nálezu Ústavního soudu, vyhláseného pod č. 94/2011 Sb., zákona č. 137/2011 Sb., zákona č. 341/2011 Sb., zákona č. 375/2011 Sb., zákona č. 420/2011 Sb., zákona č. 457/2011 Sb., zákona č. 458/2011 Sb., zákona č. 468/2011 Sb., zákona č. 18/2012 Sb., zákona č. 19/2012 Sb., zákona č. 142/2012 Sb., zákona č. 167/2012 Sb., zákona č. 273/2012 Sb., zákona č. 214/2013 Sb. a zákona č. 303/2013 Sb., se mění takto:
1. V § 89 se doplňuje odstavec 4, který včetně poznámky pod čarou č. 62 zní:
„(4) Podnikatel zajisťující veřejnou komunikační síť nebo poskytující veřejně dostupnou sluzbu elektronických komunikací je povinen na zádost účastníka bezplatně a ve formě umozňující dalsí elektronické zpracování dat poskytnout mu provozní a lokalizační údaje, které má k dispozici na základě tohoto zákona, pokud je nemohl účastník pro poruchu na jeho zařízení v důsledku kybernetického bezpečnostního incidentu62) zachytit nebo ulozit. Údaje podnikatel předá, je-li to technicky mozné bezodkladně, nejpozději vsak do 3 dnů ode dne doručení zádosti nebo v případě probíhající komunikace ode dne jejího uskutečnění.

---

62) § 7 odst. 2 zákona č. …/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti).“.
2. V § 118 odst. 14 písm. y) se slovo „nebo“ zrusuje.
3. V § 118 se na konci odstavce 14 tečka nahrazuje slovem „ , nebo“ a doplňuje se písmeno ad), které zní:
„ad) v rozporu s § 89 odst. 4 neposkytne údaje, nebo je poskytne opozděně.“.
4. V § 118 odst. 22 písm. a) se slovo „nebo“ nahrazuje čárkou a na konci textu písmene a) se doplňují slova „nebo odstavce 14 písm. ad)“.

ČÁST ČTVRTÁ

Změna zákona o svobodném přístupu k informacím

§ 36

V § 11 odst. 4 zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění zákona č. 61/2006 Sb., se na konci písmene e) tečka nahrazuje čárkou a doplňuje se písmeno f), které zní:

„f) údajích vedených v evidenci incidentů podle zákona o kybernetické bezpečnosti, ze kterých bylo mozné identifikovat orgán nebo osobu, která kybernetický bezpečnostní incident ohlásila nebo jejichz poskytnutí by ohrozilo účinnost reaktivního nebo ochranného opatření podle zákona o kybernetické bezpečnosti.“.

ČÁST PÁTÁ

Změna zákona o provozování rozhlasového a televizního vysílání

§ 37

V § 32 odst. 1 písm. k) zákona č. 231/2001 Sb., o provozování rozhlasového a televizního vysílání a o změně dalsích zákonů, ve znění zákona č. 274/2003 Sb., se za slova „válečného stavu,“ vkládají slova „stavu kybernetického nebezpečí,“.

ČÁST SESTÁ

ÚČINNOST

§ 38

Tento zákon nabývá účinnosti dnem 1. ledna 2015.

 

317/2014 Sb.

PČ	SPRÁVCE	NÁZEV
1	Agentura ochrany přírody a krajiny České republiky	Ekonomický informační systém JASU CS
2	Agentura ochrany přírody a krajiny České republiky	Elektronický systém spisové sluzby - státní správa
3	Česká inspekce zivotního prostředí	Centrální informační systém (CIS)
4	Česká národní banka	JERRS­ – Jednotná evidence regulovaných a registrovaných subjektů
5	Česká národní banka	KRZR – Komunikační rozhraní pro Základní registry
6	Český statistický úřad	Integrovaný agendový informační systém – registr osob (IAIS-ROS)
7	Český telekomunikační úřad	ASMKS
8	Český telekomunikační úřad	MOSS
9	Český telekomunikační úřad	Spectra
10	Český úřad zeměměřický a katastrální	IS územní identifikace (ISÚI)
11	Český úřad zeměměřický a katastrální	Informační systém katastru nemovitostí (ISKN)
12	Energetický regulační úřad	Jednotný informační systém Energetického regulačního úřadu
13	Generální ředitelství cel	Centrální registr subjektů (CRS)
14	Hlavní město Praha	Ekonomický systém
15	Hlavní město Praha	Spisová sluzba
16	Hlavní město Praha	Webový portál (Praha.eu)
17	Hlavní město Praha	Elektronický postovní systém
18	Jihočeský kraj	Elektronický systém
19	Jihočeský kraj	Spisová sluzba
20	Jihočeský kraj	Firemní e-mailová komunikace (elektronický postovní systém)
21	Jihočeský kraj	Webový portál (webové stránky kraje)
22	Jihomoravský kraj	Postovní server – Exchange
23	Jihomoravský kraj	Geoportál
24	Jihomoravský kraj	Ginis
25	Jihomoravský kraj	Kevis  – Krajský evidenční informační systém
26	Jihomoravský kraj	Redakční systém JMK
27	Kancelář veřejného ochránce práv	Personální informační systém VEMA
28	Kancelář veřejného ochránce práv	Informační systém spisové sluzby a ekonomických informací GINIS
29	Kancelář veřejného ochránce práv	Systém elektronické posty MS Exchange
30	Karlovarský kraj	Ekonomický systém (ERP)
31	Karlovarský kraj	Spisová sluzba
32	Karlovarský kraj	Integrační směrnice
33	Karlovarský kraj	Webový portál (Webové stránky kraje)
34	Kraj Vysočina	Webový portál WISMO
35	Kraj Vysočina	Elektronický postovní systém
36	Kraj Vysočina	GINIS – spisová sluzba
37	Kraj Vysočina	GINIS – ekonomické moduly
38	Královéhradecký kraj	Spisová sluzba EZOP
39	Královéhradecký kraj	Ekonomický informační systém
40	Liberecký kraj	Informační systém ekonomické agendy
41	Liberecký kraj	Informační systém elektronické spisové sluzby
42	Liberecký kraj	Webový portál Libereckého kraje
42	Liberecký kraj	Elektronický postovní systém
43	Ministerstvo dopravy	Přeprava nebezpečných věcí (ADR)
44	Ministerstvo dopravy	Centralizovaný informační systém STK (CIS STK)
45	Ministerstvo dopravy	Rejstřík podnikatelů v silniční dopravě (RPSD)
46	Ministerstvo dopravy	Databáze vozidel (DAVOZ)
47	Ministerstvo dopravy	Aplikace pro testování nových řidičů a dopravců v rámci autoskol (eTesty)
48	Ministerstvo dopravy	IS Digitální tachograf (ISDT)
49	Ministerstvo dopravy	Informační systém pro podporu při schvalování technické způsobilosti vozidel (ZTP)
50	Ministerstvo dopravy	Evidence údajů o mýtném (MÝTO)
51	Ministerstvo dopravy	Informační systém o silniční a dálniční síti ČR (ISSDS)
52	Ministerstvo financí	ISPROFIN - IS programového financování
53	Ministerstvo obrany	Biologický a monitorovací informační systém (BMIS)
54	Ministerstvo obrany	Informační systém Vojenské policie (ISVP)
55	Ministerstvo obrany	LETVIS
56	Ministerstvo obrany	Síť včasného zjistění armádní radiační monitorovací sítě (SVZ ARMS)
57	Ministerstvo obrany	Stábní informační systém AČR (SIS)
58	Ministerstvo obrany	Zdravotnický IS (ZDRAVIS)
59	Ministerstvo práce a sociálních věcí	Informační systém registr poskytovatelů sociálních sluzeb
60	Ministerstvo práce a sociálních věcí	Jednotný informační systém práce a sociálních věcí
61	Ministerstvo práce a sociálních věcí	Informační systém sociálně- právní ochrany dětí
62	Ministerstvo průmyslu a obchodu	Registr zivnostenského podnikání
63	Ministerstvo průmyslu a obchodu	Ekonomický informační systém
64	Ministerstvo spravedlnosti	Evidence znalců a tlumočníků – prezenční část
65	Ministerstvo spravedlnosti	Seznam ústavů kvalifikovaných pro znaleckou činnost
66	Ministerstvo skolství, mládeze a tělovýchovy	Informační systém pro kvalifikace a autorizace ISKA
67	Ministerstvo skolství, mládeze a tělovýchovy	EIS (Ekonomický IS)
68	Ministerstvo skolství, mládeze a tělovýchovy	EPD
69	Ministerstvo skolství, mládeze a tělovýchovy	Informační systém Akreditační komise (ISACC)
70	Ministerstvo vnitra	AIS PČR – Agendový informační systém Policie ČR
71	Ministerstvo vnitra	AZYL II – Informační systém pro evidenci udělení azylu
72	Ministerstvo vnitra	DP-2 – Informační systém orgánu sociálního zabezpečení, výpočet a výplata dávek sociálního zabezpečení
73	Ministerstvo vnitra	EKIS MV – Ekonomický informační systém Ministerstva vnitra
74	Ministerstvo vnitra	GINIS – Informační systém elektronické spisové sluzby
75	Ministerstvo vnitra	IS ISVS – Informační systém o informačních systémech veřejné správy
76	Ministerstvo vnitra	PVS – Portál veřejné správy
77	Ministerstvo vnitra	Systém SO – Informační systém – registr státního občanství
78	Ministerstvo vnitra	Informační systém Ústřední evidence fyzických osob, které nabyly nebo pozbyly státní občanství České republiky
79	Ministerstvo vnitra	ISoSS – Informační systém o státní sluzbě
80	Ministerstvo zahraničních věcí	ePasy
81	Ministerstvo zahraničních věcí	Víza ČR (EVC2)
82	Ministerstvo zdravotnictví	Národní zdravotnický informační systém (NZIS)
83	Ministerstvo zdravotnictví	Ochrana veřejného zdraví
84	Ministerstvo zemědělství	Informační systém VODA
85	Ministerstvo zemědělství	Informační systém vodovodů a kanalizací (IS VaK)
86	Ministerstvo zemědělství	Integrovaný zemědělský registr (IZR)
87	Ministerstvo zemědělství	Evidence vyuzití půdy podle uzivatelských vztahů (LPIS)
88	Ministerstvo zemědělství	Společný zemědělský registr (SZR)
89	Ministerstvo zivotního prostředí	IRZ – Integrovaný registr znečisťování zivotního prostředí
90	Ministerstvo zivotního prostředí	ISPOP – Integrovaný systém plnění ohlasovacích povinností
91	Ministerstvo zivotního prostředí	Informační systém SEA
92	Ministerstvo zivotního prostředí	Informační systém EIA
93	Ministerstvo zivotního prostředí	MA ISOH – modul autovraky IS odpadového hospodářství
94	Ministerstvo zivotního prostředí	Registr CITES
95	Ministerstvo zivotního prostředí	IPPC – IS integrované prevence
96	Moravskoslezský kraj	Integrační sběrnice
97	Moravskoslezský kraj	Firemní e-mailová komunikace (Elektronický postovní systém)
98	Moravskoslezský kraj	Webový portál (Webové stránky kraje www.msk.cz)
99	Moravskoslezský kraj	Systém GINIS
100	Nejvyssí kontrolní úřad	Kontrolní informační systém (KIS)
101	Nejvyssí státní zastupitelství	Centrální evidence stíhaných osob
102	Olomoucký kraj	ERP - Ekonomický systém
103	Olomoucký kraj	Spisová sluzba (SSL)
104	Olomoucký kraj	Integrační směrnice (ISb)
105	Olomoucký kraj	Webový portál (WP)
106	Olomoucký kraj	Elektronický postovní systém (EPS)
107	Pardubický kraj	Integrovaný informační systém GINIS
108	Plzeňský kraj	Mailový server
109	Plzeňský kraj	Integrační sběrnice
110	Plzeňský kraj	Spisová sluzba
111	Plzeňský kraj	Webový portál kraje
112	Plzeňský kraj	ERP
113	Probační a mediační sluzba	Agendový informační systém AIS PMS
114	Rada pro rozhlasové a televizní vysílání	Intranet RRTV
115	Správa státních hmotných rezerv	IS Argis – IS pro plánování civilních zdrojů (provozní i cvičné prostředí)
116	Správa státních hmotných rezerv	IS Krizkom – IS krizové komunikace
117	Správa základních registrů	Systém řízení přístupů do základních registrů (RACS)
118	Státní fond zivotního prostředí	EIS-JASU
119	Státní fond zivotního prostředí	SFZP-CENTRAL
120	Státní fond zivotního prostředí	E-SPIS
121	Státní pozemkový úřad	Agendový systém pro pozemkové úpravy (ASPU – DMS)
122	Státní pozemkový úřad	Centrální informační systém (CIS)
123	Státní úřad inspekce práce	Registr elektronizace úkonů inspekce práce (REÚIP)
124	Státní úřad pro jadernou bezpečnost	Registr externích adres (REA)
125	Státní ústav pro kontrolu léčiv	Centrální úlozistě elektronických receptů
126	Státní ústav pro kontrolu léčiv	Registr léčivých přípravků s omezením
127	Státní zemědělská a potravinářská inspekce	Kontrolní a laboratorní činnost (KLČ)
128	Státní zemědělská a potravinářská inspekce	Spisová sluzba SZPI
129	Státní zemědělský intervenční fond	Informační systém platební agentury (ISPA)
130	Středočeský kraj	IS Ginis – ekonomický systém
131	Středočeský kraj	E-spis – spisová sluzba
132	Středočeský kraj	Firemní e-mailová komunikace (elektronický postovní systém)
133	Středočeský kraj	Webový portál (webové stránky kraje)
134	Úřad pro civilní letectví	IS Úřadu pro civilní letectví
135	Úřad pro ochranu hospodářské soutěze	GINIS – gordic integrovaný informační systém
136	Úřad pro ochranu hospodářské soutěze	elektronická posta
137	Úřad pro ochranu hospodářské soutěze	internetové stránky
138	Úřad pro ochranu osobních údajů	IS ÚOOÚ
139	Úřad pro zastupování státu ve věcech majetkových	Informační systém majetku státu (ISMS)
140	Úřad průmyslového vlastnictví	Informační systém dusevního vlastnictví (ISDV)
141	Úřad průmyslového vlastnictví	Systém průmyslových práv (SyPP)
142	Úřad vlády České republiky	Elektronická knihovna legislativního procesu (eKLEP)
143	Úřad vlády České republiky	IS výzkumu, experimentálního vývoje a inovací (IS VaVaI)
144	Ústecký kraj	Ekonomický systém Navision
145	Ústecký kraj	Spisová a archivní sluzba EZOP
146	Ústecký kraj	Internetový portál Ústeckého kraje VISMO
147	Ústecký kraj	Postovní server Microsoft Exchange
148	Vězeňská sluzba České republiky	Vězeňský informační systém (VIS)
149	Vseobecná zdravotní pojisťovna České republiky	Centrální registr pojistěnců
150	Zeměměřický úřad	IS zeměměřictví
151	Zlínský kraj	Ekonomický systém a spisová sluzba
152	Zlínský kraj	Webové stránky kraje
153	Zlínský kraj	Elektronický postovní systém

<

PČ	SPRÁVCE	NÁZEV
1	Agentura ochrany přírody a krajiny České republiky	Ekonomický informační systém JASU CS
2	Agentura ochrany přírody a krajiny České republiky	Elektronický systém spisové sluzby - státní správa
3	Česká inspekce zivotního prostředí	Centrální informační systém (CIS)
4	Česká národní banka	JERRS­ – Jednotná evidence regulovaných a registrovaných subjektů
5	Česká národní banka	KRZR – Komunikační rozhraní pro Základní registry
6	Český statistický úřad	Integrovaný agendový informační systém – registr osob (IAIS-ROS)
7	Český telekomunikační úřad	ASMKS
8	Český telekomunikační úřad	MOSS
9	Český telekomunikační úřad	Spectra
10	Český úřad zeměměřický a katastrální	IS územní identifikace (ISÚI)
11	Český úřad zeměměřický a katastrální	Informační systém katastru nemovitostí (ISKN)
12	Energetický regulační úřad	Jednotný informační systém Energetického regulačního úřadu
13	Generální ředitelství cel	Centrální registr subjektů (CRS)
14	Hlavní město Praha	Ekonomický systém
15	Hlavní město Praha	Spisová sluzba
16	Hlavní město Praha	Webový portál (Praha.eu)
17	Hlavní město Praha	Elektronický postovní systém
18	Jihočeský kraj	Elektronický systém
19	Jihočeský kraj	Spisová sluzba
20	Jihočeský kraj	Firemní e-mailová komunikace (elektronický postovní systém)
21	Jihočeský kraj	Webový portál (webové stránky kraje)
22	Jihomoravský kraj	Postovní server – Exchange
23	Jihomoravský kraj	Geoportál
24	Jihomoravský kraj	Ginis
25	Jihomoravský kraj	Kevis  – Krajský evidenční informační systém
26	Jihomoravský kraj	Redakční systém JMK
27	Kancelář veřejného ochránce práv	Personální informační systém VEMA
28	Kancelář veřejného ochránce práv	Informační systém spisové sluzby a ekonomických informací GINIS
29	Kancelář veřejného ochránce práv	Systém elektronické posty MS Exchange
30	Karlovarský kraj	Ekonomický systém (ERP)
31	Karlovarský kraj	Spisová sluzba
32	Karlovarský kraj	Integrační směrnice
33	Karlovarský kraj	Webový portál (Webové stránky kraje)
34	Kraj Vysočina	Webový portál WISMO
35	Kraj Vysočina	Elektronický postovní systém
36	Kraj Vysočina	GINIS – spisová sluzba
37	Kraj Vysočina	GINIS – ekonomické moduly
38	Královéhradecký kraj	Spisová sluzba EZOP
39	Královéhradecký kraj	Ekonomický informační systém
40	Liberecký kraj	Informační systém ekonomické agendy
41	Liberecký kraj	Informační systém elektronické spisové sluzby
42	Liberecký kraj	Webový portál Libereckého kraje
42	Liberecký kraj	Elektronický postovní systém
43	Ministerstvo dopravy	Přeprava nebezpečných věcí (ADR)
44	Ministerstvo dopravy	Centralizovaný informační systém STK (CIS STK)
45	Ministerstvo dopravy	Rejstřík podnikatelů v silniční dopravě (RPSD)
46	Ministerstvo dopravy	Databáze vozidel (DAVOZ)
47	Ministerstvo dopravy	Aplikace pro testování nových řidičů a dopravců v rámci autoskol (eTesty)
48	Ministerstvo dopravy	IS Digitální tachograf (ISDT)
49	Ministerstvo dopravy	Informační systém pro podporu při schvalování technické způsobilosti vozidel (ZTP)
50	Ministerstvo dopravy	Evidence údajů o mýtném (MÝTO)
51	Ministerstvo dopravy	Informační systém o silniční a dálniční síti ČR (ISSDS)
52	Ministerstvo financí	ISPROFIN - IS programového financování
53	Ministerstvo obrany	Biologický a monitorovací informační systém (BMIS)
54	Ministerstvo obrany	Informační systém Vojenské policie (ISVP)
55	Ministerstvo obrany	LETVIS
56	Ministerstvo obrany	Síť včasného zjistění armádní radiační monitorovací sítě (SVZ ARMS)
57	Ministerstvo obrany	Stábní informační systém AČR (SIS)
58	Ministerstvo obrany	Zdravotnický IS (ZDRAVIS)
59	Ministerstvo práce a sociálních věcí	Informační systém registr poskytovatelů sociálních sluzeb
60	Ministerstvo práce a sociálních věcí	Jednotný informační systém práce a sociálních věcí
61	Ministerstvo práce a sociálních věcí	Informační systém sociálně- právní ochrany dětí
62	Ministerstvo průmyslu a obchodu	Registr zivnostenského podnikání
63	Ministerstvo průmyslu a obchodu	Ekonomický informační systém
64	Ministerstvo spravedlnosti	Evidence znalců a tlumočníků – prezenční část
65	Ministerstvo spravedlnosti	Seznam ústavů kvalifikovaných pro znaleckou činnost
66	Ministerstvo skolství, mládeze a tělovýchovy	Informační systém pro kvalifikace a autorizace ISKA
67	Ministerstvo skolství, mládeze a tělovýchovy	EIS (Ekonomický IS)
68	Ministerstvo skolství, mládeze a tělovýchovy	EPD
69	Ministerstvo skolství, mládeze a tělovýchovy	Informační systém Akreditační komise (ISACC)
70	Ministerstvo vnitra	AIS PČR – Agendový informační systém Policie ČR
71	Ministerstvo vnitra	AZYL II – Informační systém pro evidenci udělení azylu
72	Ministerstvo vnitra	DP-2 – Informační systém orgánu sociálního zabezpečení, výpočet a výplata dávek sociálního zabezpečení
73	Ministerstvo vnitra	EKIS MV – Ekonomický informační systém Ministerstva vnitra
74	Ministerstvo vnitra	GINIS – Informační systém elektronické spisové sluzby
75	Ministerstvo vnitra	IS ISVS – Informační systém o informačních systémech veřejné správy
76	Ministerstvo vnitra	PVS – Portál veřejné správy
77	Ministerstvo vnitra	Systém SO – Informační systém – registr státního občanství
78	Ministerstvo vnitra	Informační systém Ústřední evidence fyzických osob, které nabyly nebo pozbyly státní občanství České republiky
79	Ministerstvo vnitra	ISoSS – Informační systém o státní sluzbě
80	Ministerstvo zahraničních věcí	ePasy
81	Ministerstvo zahraničních věcí	Víza ČR (EVC2)
82	Ministerstvo zdravotnictví	Národní zdravotnický informační systém (NZIS)
83	Ministerstvo zdravotnictví	Ochrana veřejného zdraví
84	Ministerstvo zemědělství	Informační systém VODA
85	Ministerstvo zemědělství	Informační systém vodovodů a kanalizací (IS VaK)
86	Ministerstvo zemědělství	Integrovaný zemědělský registr (IZR)
87	Ministerstvo zemědělství	Evidence vyuzití půdy podle uzivatelských vztahů (LPIS)
88	Ministerstvo zemědělství	Společný zemědělský registr (SZR)
89	Ministerstvo zivotního prostředí	IRZ – Integrovaný registr znečisťování zivotního prostředí
90	Ministerstvo zivotního prostředí	ISPOP – Integrovaný systém plnění ohlasovacích povinností
91	Ministerstvo zivotního prostředí	Informační systém SEA
92	Ministerstvo zivotního prostředí	Informační systém EIA
93	Ministerstvo zivotního prostředí	MA ISOH – modul autovraky IS odpadového hospodářství
94	Ministerstvo zivotního prostředí	Registr CITES
95	Ministerstvo zivotního prostředí	IPPC – IS integrované prevence
96	Moravskoslezský kraj	Integrační sběrnice
97	Moravskoslezský kraj	Firemní e-mailová komunikace (Elektronický postovní systém)
98	Moravskoslezský kraj	Webový portál (Webové stránky kraje www.msk.cz)
99	Moravskoslezský kraj	Systém GINIS
100	Nejvyssí kontrolní úřad	Kontrolní informační systém (KIS)
101	Nejvyssí státní zastupitelství	Centrální evidence stíhaných osob
102	Olomoucký kraj	ERP - Ekonomický systém
103	Olomoucký kraj	Spisová sluzba (SSL)
104	Olomoucký kraj	Integrační směrnice (ISb)
105	Olomoucký kraj	Webový portál (WP)
106	Olomoucký kraj	Elektronický postovní systém (EPS)
107	Pardubický kraj	Integrovaný informační systém GINIS
108	Plzeňský kraj	Mailový server
109	Plzeňský kraj	Integrační sběrnice
110	Plzeňský kraj	Spisová sluzba
111	Plzeňský kraj	Webový portál kraje
112	Plzeňský kraj	ERP
113	Probační a mediační sluzba	Agendový informační systém AIS PMS
114	Rada pro rozhlasové a televizní vysílání	Intranet RRTV
115	Správa státních hmotných rezerv	IS Argis – IS pro plánování civilních zdrojů (provozní i cvičné prostředí)
116	Správa státních hmotných rezerv	IS Krizkom – IS krizové komunikace
117	Správa základních registrů	Systém řízení přístupů do základních registrů (RACS)
118	Státní fond zivotního prostředí	EIS-JASU
119	Státní fond zivotního prostředí	SFZP-CENTRAL
120	Státní fond zivotního prostředí	E-SPIS
121	Státní pozemkový úřad	Agendový systém pro pozemkové úpravy (ASPU – DMS)
122	Státní pozemkový úřad	Centrální informační systém (CIS)
123	Státní úřad inspekce práce	Registr elektronizace úkonů inspekce práce (REÚIP)
124	Státní úřad pro jadernou bezpečnost	Registr externích adres (REA)
125	Státní ústav pro kontrolu léčiv	Centrální úlozistě elektronických receptů
126	Státní ústav pro kontrolu léčiv	Registr léčivých přípravků s omezením
127	Státní zemědělská a potravinářská inspekce	Kontrolní a laboratorní činnost (KLČ)
128	Státní zemědělská a potravinářská inspekce	Spisová sluzba SZPI
129	Státní zemědělský intervenční fond	Informační systém platební agentury (ISPA)
130	Středočeský kraj	IS Ginis – ekonomický systém
131	Středočeský kraj	E-spis – spisová sluzba
132	Středočeský kraj	Firemní e-mailová komunikace (elektronický postovní systém)
133	Středočeský kraj	Webový portál (webové stránky kraje)
134	Úřad pro civilní letectví	IS Úřadu pro civilní letectví
135	Úřad pro ochranu hospodářské soutěze	GINIS – gordic integrovaný informační systém
136	Úřad pro ochranu hospodářské soutěze	elektronická posta
137	Úřad pro ochranu hospodářské soutěze	internetové stránky
138	Úřad pro ochranu osobních údajů	IS ÚOOÚ
139	Úřad pro zastupování státu ve věcech majetkových	Informační systém majetku státu (ISMS)
140	Úřad průmyslového vlastnictví	Informační systém dusevního vlastnictví (ISDV)
141	Úřad průmyslového vlastnictví	Systém průmyslových práv (SyPP)
142	Úřad vlády České republiky	Elektronická knihovna legislativního procesu (eKLEP)
143	Úřad vlády České republiky	IS výzkumu, experimentálního vývoje a inovací (IS VaVaI)
144	Ústecký kraj	Ekonomický systém Navision
145	Ústecký kraj	Spisová a archivní sluzba EZOP
146	Ústecký kraj	Internetový portál Ústeckého kraje VISMO
147	Ústecký kraj	Postovní server Microsoft Exchange
148	Vězeňská sluzba České republiky	Vězeňský informační systém (VIS)
149	Vseobecná zdravotní pojisťovna České republiky	Centrální registr pojistěnců
150	Zeměměřický úřad	IS zeměměřictví
151	Zlínský kraj	Ekonomický systém a spisová sluzba
152	Zlínský kraj	Webové stránky kraje
153	Zlínský kraj	Elektronický postovní systém

316
VYHLÁSKA

ze dne 15. prosince 2014

o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech,
reaktivních opatřeních a o stanovení nálezitostí podání v oblasti kybernetické bezpečnosti
(vyhláska o kybernetické bezpečnosti)

 

 

Národní bezpečnostní úřad stanoví podle § 28 odst. 2 zákona č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), (dále jen ˙zákon˙) k provedení § 6 písm. a) az c), § 8 odst. 4, § 13 odst. 4 a § 16 odst. 6 zákona.

ČÁST PRVNÍ
ÚVODNÍ USTANOVENÍ

§ 1

Předmět úpravy

Touto vyhláskou se stanoví obsah a struktura bezpečnostní dokumentace pro informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury nebo významný informační systém, obsah bezpečnostních opatření, rozsah jejich zavedení, typy a kategorie kybernetických bezpečnostních incidentů, nálezitosti a způsob hlásení kybernetického bezpečnostního incidentu, nálezitosti oznámení o provedení reaktivního opatření a jeho výsledku a vzor oznámení kontaktních údajů a jeho formu.

§ 2

Vymezení pojmů

V této vyhlásce se rozumí
a) systémem řízení bezpečnosti informací část systému řízení orgánu a osoby uvedené v § 3 písm. c) az e) zákona zalozená na přístupu k rizikům informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému, která stanoví způsob ustavení, zavádění, provoz, monitorování, přezkoumání, udrzování a zlepsování bezpečnosti informací,
b) aktivem primární aktivum a podpůrné aktivum,
c) primárním aktivem informace nebo sluzba, kterou zpracovává nebo poskytuje informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury nebo významný informační systém,
d) podpůrným aktivem technické aktivum, zaměstnanci a dodavatelé podílející se na provozu, rozvoji, správě nebo bezpečnosti informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního sy-stému,
e) technickým aktivem technické vybavení, komunikační prostředky a programové vybavení informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému a objekty, ve kterých jsou tyto systémy umístěny,
f) rizikem moznost, ze určitá hrozba vyuzije zranitelnosti informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému a způsobí poskození aktiva,
g) hodnocením rizik proces, při němz je určována významnost rizik a jejich přijatelná úroveň,
h) řízením rizik činnost zahrnující hodnocení rizik, výběr a zavedení opatření ke zvládání rizik, sdílení informací o riziku a sledování a přezkoumání rizik,
i) hrozbou potencionální příčina kybernetické bezpečnostní události nebo kybernetického bezpečnostního incidentu, jejímz výsledkem můze být poskození aktiva,
j) zranitelností slabé místo aktiva nebo bezpečnostního opatření, které můze být zneuzito jednou nebo více hrozbami,
k) přijatelným rizikem riziko zbývající po uplatnění bezpečnostních opatření, jehoz úroveň odpovídá kritériím pro přijatelnost rizik,
l) bezpečnostní politikou soubor zásad a pravidel, které určují způsob zajistění ochrany aktiv orgánem a osobou uvedenou v § 3 písm. c) az e) zákona,
m) garantem aktiva fyzická osoba pověřená orgánem nebo osobou uvedenou v § 3 písm. c) az e) zákona k zajistění rozvoje, pouzití a bezpečnosti aktiva,
n) uzivatelem fyzická nebo právnická osoba anebo orgán veřejné moci, která vyuzívá primární aktiva,
o) administrátorem fyzická osoba pověřená garantem aktiva zajisťující správu, provoz, pouzití, údrzbu a bezpečnost technického aktiva.

ČÁST DRUHÁ
BEZPEČNOSTNÍ OPATŘENÍ

HLAVA I

ORGANIZAČNÍ OPATŘENÍ

§ 3

Systém řízení bezpečnosti informací

(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona v rámci systému řízení bezpečnosti informací
a) stanoví s ohledem na aktiva a organizační bezpečnost rozsah a hranice systému řízení bezpečnosti informací, ve kterém určí, kterých organizačních částí a technických prvků se systém řízení bezpečnosti informací týká,
b) řídí rizika podle § 4 odst. 1,
c) vytvoří a schválí bezpečnostní politiku v oblasti systému řízení bezpečnosti informací, která obsahuje hlavní zásady, cíle, bezpečnostní potřeby, práva a povinnosti ve vztahu k řízení bezpečnosti informací a na základě bezpečnostních potřeb a výsledků hodnocení rizik stanoví bezpečnostní politiku v dalsích oblastech podle § 5 a zavede příslusná bezpečnostní opatření,
d) monitoruje účinnost bezpečnostních opatření,
e) vyhodnocuje vhodnost a účinnost bezpečnostní politiky podle § 5,
f) zajistí provedení auditu kybernetické bezpečnosti podle § 15, a to nejméně jednou ročně,
g) zajistí vyhodnocení účinnosti systému řízení bezpečnosti informací, které obsahuje hodnocení stavu systému řízení bezpečnosti informací včetně revize hodnocení rizik, posouzení výsledků provedených kontrol a auditů kybernetické bezpečnosti a dopadů kybernetických bezpečnostních incidentů na systém řízení bezpečnosti informací, a to nejméně jednou ročně,
h) aktualizuje systém řízení bezpečnosti informací a příslusnou dokumentaci na základě zjistění auditů kybernetické bezpečnosti, výsledků vyhodnocení účinnosti systému řízení bezpečnosti informací a v souvislosti s prováděnými nebo plánovanými změnami a
i) řídí provoz a zdroje systému řízení bezpečnosti informací, zaznamenává činnosti spojené se systémem řízení bezpečnosti informací a řízením rizik.

(2) Orgán a osoba uvedená v § 3 písm. e) zákona v rámci systému řízení bezpečnosti informací
a) řídí rizika podle § 4 odst. 2,
b) vytvoří a schválí bezpečnostní politiku v oblasti systému řízení bezpečnosti informací, která obsahuje hlavní zásady, cíle, bezpečnostní potřeby, práva a povinnosti ve vztahu k řízení bezpečnosti informací a na základě bezpečnostních potřeb a výsledků hodnocení rizik stanoví bezpečnostní politiku v dalsích oblastech podle § 5, a zavede příslusná bezpečnostní opatření a
c) provádí aktualizaci zprávy o hodnocení aktiv a rizik, bezpečnostní politiky, plánu zvládání rizik a plánu rozvoje bezpečnostního povědomí, a to nejméně jednou za tři roky nebo v souvislosti s prováděnými nebo plánovanými změnami.

§ 4

Řízení rizik

(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona v rámci řízení rizik
a) stanoví metodiku pro identifikaci a hodnocení aktiv a pro identifikaci a hodnocení rizik včetně stanovení kritérií pro přijatelnost rizik,
b) identifikuje a hodnotí důlezitost aktiv, která patří do rozsahu systému řízení bezpečnosti informací, podle § 8 v rozsahu přílohy č. 1 k této vyhlásce a výstupy zapracuje do zprávy o hodnocení aktiv a rizik,
c) identifikuje rizika, při kterých zohlední hrozby a zranitelnosti, posoudí mozné dopady na aktiva, hodnotí tato rizika minimálně v rozsahu podle přílohy č. 2 k této vyhlásce, určí a schválí přijatelná rizika a zpracuje zprávu o hodnocení aktiv a rizik,
d) zpracuje na základě bezpečnostních potřeb a výsledků hodnocení rizik prohlásení o aplikovatelnosti, které obsahuje přehled vybraných a zavedených bezpečnostních opatření,
e) zpracuje a zavede plán zvládání rizik, který obsahuje cíle a přínosy bezpečnostních opatření pro zvládání rizik, určení osoby zajisťující prosazování bezpečnostních opatření pro zvládání rizik, potřebné finanční, technické, lidské a informační zdroje, termín jejich zavedení a popis vazeb mezi riziky a příslusnými bezpečnostními opatřeními a
f) zohlední bez zbytečného odkladu reaktivní a ochranná opatření vydaná Národním bezpečnostním úřadem (dále jen ˙Úřad˙) v hodnocení rizik a v případě, ze hodnocení rizik aktualizované o nové zranitelnosti spojené s realizací reaktivního nebo ochranného opatření překročí stanovená kritéria pro přijatelnost rizik, doplní plán zvládání rizik.

(2) Orgán a osoba uvedená v § 3 písm. e) zákona v rámci řízení rizik
a) stanoví metodiku pro identifikaci a hodnocení aktiv a pro identifikaci a hodnocení rizik včetně stanovení kritérií pro přijatelnost rizik,
b) identifikuje a hodnotí důlezitost primárních aktiv, která patří do rozsahu systému řízení bezpečnosti informací, podle § 8 minimálně v rozsahu přílohy č. 1 k této vyhlásce a výstupy zapracuje do zprávy o hodnocení aktiv a rizik,
c) identifikuje rizika, při kterých zohlední hrozby a zranitelnosti, posoudí mozné dopady na primární aktiva, hodnotí tato rizika minimálně v rozsahu podle přílohy č. 2 k této vyhlásce a zpracuje zprávu o hodnocení aktiv a rizik,
d) zpracuje na základě bezpečnostních potřeb a výsledků hodnocení rizik prohlásení o aplikovatelnosti, které obsahuje přehled vybraných a zavedených bezpečnostních opatření,
e) zpracuje a zavede plán zvládání rizik, který obsahuje cíle a přínosy bezpečnostních opatření pro zvládání rizik, určení osoby zajisťující prosazování bezpečnostních opatření pro zvládání rizik, potřebné finanční, technické, lidské a informační zdroje, termíny jejich zavedení a popis vazeb mezi identifikovanými riziky a příslusnými bezpečnostními opatřeními a
f) zohlední bez zbytečného odkladu reaktivní a ochranná opatření vydaná Úřadem v hodnocení rizik a v případě, ze hodnocení rizik aktualizované o nové zranitelnosti spojené s realizací reaktivního nebo ochranného opatření překročí stanovená kritéria pro přijatelnost rizik, doplní plán zvládání rizik.

(3) Řízení rizik můze být zajistěno i jinými způsoby, nez jak je stanoveno v odstavcích 1 a 2, pokud orgán a osoba uvedená v § 3 písm. c) az e) zákona zabezpečí, ze pouzívá opatření zajisťující stejnou nebo vyssí úroveň řízení rizik.

(4) Orgán a osoba uvedená v § 3 písm. c) az e) zákona při hodnocení rizik zvazuje zejména tyto hrozby
a) porusení bezpečnostní politiky, provedení neoprávněných činností, zneuzití oprávnění ze strany uzivatelů a administrátorů,
b) poskození nebo selhání technického anebo programového vybavení,
c) zneuzití identity fyzické osoby,
d) uzívání programového vybavení v rozporu s licenčními podmínkami,
e) kybernetický útok z komunikační sítě,
f) skodlivý kód (například viry, spyware, trojské koně),
g) nedostatky při poskytování sluzeb informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému,
h) narusení fyzické bezpečnosti,
i) přerusení poskytování sluzeb elektronických komunikací nebo dodávek elektrické energie,
j) zneuzití nebo neoprávněná modifikace údajů,
k) trvale působící hrozby a
l) odcizení nebo poskození aktiva.

(5) Orgán a osoba uvedená v § 3 písm. c) az e) zákona při hodnocení rizik zvazuje zejména tyto zranitelnosti
a) nedostatečná ochrana vnějsího perimetru,
b) nedostatečné bezpečnostní povědomí uzivatelů a administrátorů,
c) nedostatečná údrzba informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému,
d) nevhodné nastavení přístupových oprávnění,
e) nedostatečné postupy při identifikování a odhalení negativních bezpečnostních jevů, kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů,
f) nedostatečné monitorování činnosti uzivatelů a administrátorů a neschopnost odhalit jejich nevhodné nebo závadné způsoby chování a
g) nedostatečné stanovení bezpečnostních pravidel, nepřesné nebo nejednoznačné vymezení práv a povinností uzivatelů, administrátorů a bezpečnostních rolí.

(6) Orgán a osoba uvedená v § 3 písm. c) a d) zákona při hodnocení rizik dále zvazuje tyto hrozby
a) porusení bezpečnostní politiky, provedení neoprávněných činností, zneuzití oprávnění ze strany administrátorů kritické informační infrastruktury,
b) pochybení ze strany zaměstnanců,
c) zneuzití vnitřních prostředků, sabotáz,
d) dlouhodobé přerusení poskytování sluzeb elektronických komunikací, dodávky elektrické energie nebo jiných důlezitých sluzeb,
e) nedostatek zaměstnanců s potřebnou odbornou úrovní,
f) cílený kybernetický útok pomocí sociálního inzenýrství, pouzití spionázních technik a
g) zneuzití vyměnitelných technických nosičů dat.

(7) Orgán a osoba uvedená v § 3 písm. c) a d) zákona při hodnocení rizik dále zvazuje tyto zranitelnosti
a) nedostatečná ochrana prostředků kritické informační infrastruktury,
b) nevhodná bezpečnostní architektura,
c) nedostatečná míra nezávislé kontroly a
d) neschopnost včasného odhalení pochybení ze strany zaměstnanců.

§ 5

Bezpečnostní politika

(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona stanoví bezpečnostní politiku v oblastech
a) systém řízení bezpečnosti informací,
b) organizační bezpečnost,
c) řízení vztahů s dodavateli,
d) klasifikace aktiv,
e) bezpečnost lidských zdrojů,
f) řízení provozu a komunikací,
g) řízení přístupu,
h) bezpečné chování uzivatelů,
i) zálohování a obnova,
j) bezpečné předávání a výměna informací,
k) řízení technických zranitelností,
l) bezpečné pouzívání mobilních zařízení,
m) poskytování a nabývání licencí programového vybavení a informací,
n) dlouhodobé ukládání a archivace informací,
o) ochrana osobních údajů,
p) fyzická bezpečnost,
q) bezpečnost komunikační sítě,
r) ochrana před skodlivým kódem,
s) nasazení a pouzívání nástroje pro detekci kybernetických bezpečnostních událostí,
t) vyuzití a údrzba nástroje pro sběr a vyhodnocení kybernetických bezpečnostních událostí a
u) pouzívání kryptografické ochrany.

(2) Orgán a osoba uvedená v § 3 písm. e) zákona stanoví bezpečnostní politiku v oblastech
a) systém řízení bezpečnosti informací,
b) organizační bezpečnost,
c) řízení dodavatelů,
d) klasifikace aktiv,
e) bezpečnost lidských zdrojů,
f) řízení provozu a komunikací,
g) řízení přístupu,
h) bezpečné chování uzivatelů,
i) zálohování a obnova,
j) poskytování a nabývání licencí programového vybavení a informací,
k) ochrana osobních údajů,
l) pouzívání kryptografické ochrany,
m) ochrana před skodlivým kódem a
n) nasazení a pouzívání nástroje pro detekci kybernetických bezpečnostních událostí.

(3) Orgán a osoba uvedená v § 3 písm. c) az e) zákona pravidelně hodnotí účinnost bezpečnostní politiky a aktualizuje ji.

§ 6

Organizační bezpečnost

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona zavede organizaci řízení bezpečnosti informací, v rámci které určí výbor pro řízení kybernetické bezpečnosti a bezpečnostní role a jejich práva a povinnosti související s informačním systémem kritické informační infrastruktury, komunikačním systémem kritické informační infrastruktury nebo významným informačním systémem.

(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona určí bezpečnostní role
a) manazer kybernetické bezpečnosti,
b) architekt kybernetické bezpečnosti,
c) auditor kybernetické bezpečnosti a
d) garant aktiva podle § 2 písm. m).

(3) Orgán a osoba uvedená v § 3 písm. e) určí bezpečnostní role přiměřeně podle odstavce 2.

(4) Manazer kybernetické bezpečnosti je osoba, odpovědná za systém řízení bezpečnosti informací, která je pro tuto činnost vyskolena a prokáze odbornou způsobilost praxí s řízením bezpečnosti informací po dobu nejméně tří let.

(5) Architekt kybernetické bezpečnosti je osoba zajisťující návrh a implementaci bezpečnostních opatření, která je pro tuto činnost vyskolena a prokáze odbornou způsobilost praxí s navrhováním bezpečnostní architektury po dobu nejméně tří let.

(6) Auditor kybernetické bezpečnosti je osoba provádějící audit kybernetické bezpečnosti, která je pro tuto činnost vyskolena a prokáze odbornou způsobilost praxí s prováděním auditů kybernetické bezpečnosti po dobu nejméně tří let. Auditor kybernetické bezpečnosti vykonává svoji roli nestranně a výkon jeho role je oddělen od výkonu rolí uvedených v odstavci 2 písm. a), b) nebo d).

(7) Výbor pro řízení kybernetické bezpečnosti je organizovaná skupina tvořená osobami, které jsou pověřeny celkovým řízením a rozvojem informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému, anebo se významně podílejí na řízení a koordinaci činností spojených s kybernetickou bezpečností těchto systémů.

(8) Orgán a osoba uvedená v § 3 písm. c) az e) zákona zajistí odborné skolení osob, které zastávají bezpečnostní role v souladu s plánem rozvoje bezpečnostního povědomí podle § 9 odst. 1 písm. b).

 

§ 7

Stanovení bezpečnostních pozadavků pro dodavatele

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona zavede pravidla pro dodavatele, která zohledňují potřeby řízení bezpečnosti informací, a zohlední je u dodavatelů nebo jiných osob, které se podílejí na rozvoji, provozu nebo zajistění bezpečnosti informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému. Rozsah zapojení dodavatelů na rozvoji, provozu nebo zajistění bezpečnosti informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému prokazatelně dokumentuje orgán a osoba uvedená v § 3 písm. c) az e) zákona smlouvou, jejíz součástí je ustanovení o bezpečnosti informací.

(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona u dodavatelů uvedených v odstavci 1 dále
a) před uzavřením smlouvy provádí hodnocení rizik podle přílohy č. 2 k této vyhlásce, která jsou spojena s podstatnými dodávkami,
b) uzavírá smlouvu o úrovni sluzeb, která stanoví způsoby a úrovně realizace bezpečnostních opatření a určí vztah vzájemné smluvní odpovědnosti za zavedení a kontrolu bezpečnostních opatření, a
c) provádí pravidelné hodnocení rizik a pravidelnou kontrolu zavedených bezpečnostních opatření u poskytovaných sluzeb a zjistěné ne- dostatky odstraňuje nebo po dohodě s dodavatelem zajistí jejich odstranění.

 

§ 8

Řízení aktiv

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona v rámci řízení aktiv
a) identifikuje a eviduje primární aktiva,
b) určí garanty aktiv, kteří jsou odpovědní za primární aktiva, a
c) hodnotí důlezitost primárních aktiv z hlediska důvěrnosti, integrity a dostupnosti a zařadí je do jednotlivých úrovní minimálně v rozsahu podle přílohy č. 1 k této vyhlásce.

(2) Při hodnocení důlezitosti primárních aktiv je třeba předevsím posoudit
a) rozsah a důlezitost osobních údajů nebo obchodního tajemství,
b) rozsah dotčených právních povinností nebo jiných závazků,
c) rozsah narusení vnitřních řídících a kontrolních činností,
d) poskození veřejných, obchodních nebo ekonomických zájmů,
e) mozné finanční ztráty,
f) rozsah narusení bězných činností orgánu a osoby uvedené v § 3 písm. c) az e) zákona,
g) dopady spojené s narusením důvěrnosti, integrity a dostupnosti a
h) dopady na zachování dobrého jména nebo ochranu dobré pověsti.

(3) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále
a) identifikuje a eviduje podpůrná aktiva,
b) určí garanty aktiv, kteří jsou odpovědní za podpůrná aktiva, a
c) určí vazby mezi primárními a podpůrnými aktivy a hodnotí důsledky závislostí mezi primárními a podpůrnými aktivy.

(4) Orgán a osoba uvedená v § 3 písm. c) az e) zákona dále
a) stanoví pravidla ochrany, nutná pro zabezpečení jednotlivých úrovní aktiv tím, ze

1. určí způsoby rozlisování jednotlivých úrovní aktiv,
2. stanoví pravidla pro manipulaci a evidenci s aktivy podle úrovní aktiv, včetně pravidel pro bezpečné elektronické sdílení a fyzické přenásení aktiv a
3. stanoví přípustné způsoby pouzívání aktiv,
b) zavede pravidla ochrany odpovídající úrovni aktiv a
c) určí způsoby pro spolehlivé smazání nebo ničení technických nosičů dat s ohledem na úroveň aktiv.

 

§ 9

Bezpečnost lidských zdrojů

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona v rámci řízení bezpečnosti lidských zdrojů
a) stanoví plán rozvoje bezpečnostního povědomí, který obsahuje formu, obsah a rozsah potřebných skolení a určí osoby provádějící realizaci jednotlivých činností, které jsou v plánu uvedeny,
b) v souladu s plánem rozvoje bezpečnostního povědomí zajistí poučení uzivatelů, administrátorů a osob zastávajících bezpečnostní role o jejich povinnostech a o bezpečnostní politice formou vstupních a pravidelných skolení,
c) zajistí kontrolu dodrzování bezpečnostní politiky ze strany uzivatelů, administrátorů a osob zastávajících bezpečnostní role a
d) zajistí vrácení svěřených aktiv a odebrání přístupových oprávnění při ukončení smluvního vztahu s uzivateli, administrátory nebo osobami zastávajícími bezpečnostní role.

(2) Orgán a osoba uvedená v § 3 písm. c) az e) zákona vede o skolení podle odstavce 1 přehledy, které obsahují předmět skolení a seznam osob, které skolení absolvovaly.

(3) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále
a) stanoví pravidla pro určení osob, které budou zastávat bezpečnostní role, role administrátorů nebo uzivatelů,
b) hodnotí účinnost plánu rozvoje bezpečnostního povědomí, provedených skolení a dalsích činností spojených s prohlubováním bezpečnostního povědomí,
c) určí pravidla a postupy pro řesení případů porusení stanovených bezpečnostních pravidel ze strany uzivatelů, administrátorů a osob zastávajících bezpečnostní role a
d) zajistí změnu přístupových oprávnění při změně postavení uzivatelů, administrátorů nebo osob zastávajících bezpečnostní role.

 

§ 10

Řízení provozu a komunikací

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona v rámci řízení provozu a komunikací pomocí technických nástrojů uvedených v § 21 az 23 detekuje kybernetické bezpečnostní události, pravidelně vyhodnocuje získané informace a na zjistěné nedos-tatky reaguje v souladu s § 13.

(2) Orgán a osoba uvedená v § 3 písm. c) az e) zákona v rámci řízení provozu a komunikací dále zajisťuje bezpečný provoz informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému. Za tímto účelem stanoví provozní pravidla a postupy.

(3) Provozní pravidla a postupy orgánu a osoby uvedené v § 3 písm. c) a d) zákona obsahují
a) práva a povinnosti osob zastávajících bezpečnostní role, administrátorů a uzivatelů,
b) postupy pro spustění a ukončení chodu systému, pro restart nebo obnovení chodu systému po selhání a pro osetření chybových stavů nebo mimořádných jevů,
c) postupy pro sledování kybernetických bezpečnostních událostí a pro ochranu přístupu k záznamům o těchto činnostech,
d) spojení na kontaktní osoby, které jsou určeny jako podpora při řesení neočekávaných systémových nebo technických potízí,
e) postupy řízení a schvalování provozních změn a
f) postupy pro sledování, plánování a řízení kapacity lidských a technických zdrojů.

(4) Řízení provozu orgánu a osoby uvedené v § 3 písm. c) az e) zákona spočívá v provádění pravidelného zálohování a prověřování pouzitelnosti provedených záloh.

(5) Řízení provozu orgánu a osoby uvedené v § 3 písm. c) a d) zákona spočívá v
a) zajistění oddělení vývojového, testovacího a produkčního prostředí,
b) řesení reaktivních opatření vydaných Úřadem tím, ze orgán a osoba uvedená v § 3 písm. c) a d) zákona

1. posoudí očekávané dopady reaktivního opatření na informační systém kritické informační infrastruktury nebo komunikační systém kritické informační infrastruktury a na zavedená bezpečnostní opatření, vyhodnotí mozné negativní účinky a bez zbytečného odkladu je oznámí Úřadu a

2. stanoví způsob rychlého provedení reaktivního opatření, který minimalizuje mozné negativní účinky, a určí časový plán jeho provedení.

(6) Orgán a osoba uvedená v § 3 písm. c) a d) zákona v rámci řízení komunikací
a) zajisťuje bezpečnost a integritu komunikačních sítí a bezpečnost komunikačních sluzeb podle § 17,
b) určí pravidla a postupy pro ochranu informací, které jsou přenáseny komunikačními sítěmi,
c) provádí výměnu a předávání informací na základě pravidel stanovených právními předpisy za současného zajistění bezpečnosti informací a tato pravidla dokumentuje a
d) s ohledem na klasifikaci aktiv provádí výměnu a předávání informací na základě písemných smluv, jejíchz součástí je ustanovení o bezpečnosti informací.

 

§ 11

Řízení přístupu a bezpečné chování uzivatelů

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona na základě provozních a bezpečnostních potřeb řídí přístup k informačnímu systému kritické informační infrastruktury, komunikačnímu systému kritické informační infrastruktury a významnému informačnímu systému a přidělí kazdému uzivateli jednoznačný identifikátor.

(2) Orgán a osoba uvedená v § 3 písm. c) az e) zákona přijme opatření, která slouzí k zajistění ochrany údajů, které jsou pouzívány pro přihlásení uzivatelů a administrátorů informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému podle § 18 a 19, a která brání ve zneuzití těchto údajů neoprávněnou osobou.

(3) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále v rámci řízení přístupu
a) přidělí přistupujícím aplikacím samostatný identifikátor,
b) omezí přidělování administrátorských oprávnění,
c) přiděluje a odebírá přístupová oprávnění v souladu s politikou řízení přístupu,
d) provádí pravidelné přezkoumání nastavení přístupových oprávnění včetně rozdělení jednotlivých uzivatelů v přístupových skupinách nebo rolích,
e) vyuzívá nástroj pro ověřování identity uzivatelů podle § 18 a nástroj pro řízení přístupových oprávnění podle § 19 a
f) zavede bezpečnostní opatření potřebná pro bezpečné pouzívání mobilních zařízení, případně i bezpečnostní opatření spojená s vyuzitím technických zařízení, kterými orgán a osoba uvedená v § 3 písm. c) a d) zákona nedisponuje.

 

§ 12

Akvizice, vývoj a údrzba

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona stanoví bezpečnostní pozadavky na změny informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému spojené s jejich akvizicí, vývojem a údrzbou a zahrne je do projektu akvizice, vývoje a údrzby systému.

(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále
a) identifikuje, hodnotí a řídí rizika související s akvizicí, vývojem a údrzbou informačního systému kritické informační infrastruktury nebo komunikačního systému kritické informační infrastruktury; pro postupy hodnocení a řízení rizik se metodiky podle § 4 odst. 1 písm. a) pouzijí obdobně,
b) zajistí bezpečnost vývojového prostředí a zajistí ochranu pouzívaných testovacích dat a
c) provádí bezpečnostní testování změn informačního systému kritické informační infrastruktury nebo komunikačního systému kritické informační infrastruktury před jejich zavedením do provozu.

 

§ 13

Zvládání kybernetických bezpečnostních událostí a incidentů

Orgán a osoba uvedená v § 3 písm. c) az e) zákona při zvládání kybernetických událostí a incidentů
a) přijme nezbytná opatření, která zajistí oznamování kybernetických bezpečnostních událostí u informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému ze strany uzivatelů, administrátorů a osob zastávajících bezpečnostní role a o oznámeních vede záznamy,
b) připraví prostředí pro vyhodnocení oznámených kybernetických bezpečnostních událostí a kybernetických bezpečnostních událostí detekovaných technickými nástroji podle § 21 az 23, provádí jejich vyhodnocení a identifikuje kybernetické bezpečnostní incidenty,
c) provádí klasifikaci kybernetických bezpečnostních incidentů, přijímá opatření pro odvrácení a zmírnění dopadu kybernetického bezpečnostního incidentu, provádí hlásení kybernetického bezpečnostního incidentu podle § 32 a zajistí sběr věrohodných podkladů potřebných pro analýzu kybernetického bezpečnostního incidentu,
d) prosetří a určí příčiny kybernetického bezpečnostního incidentu, vyhodnotí účinnost řesení kybernetického bezpečnostního incidentu a na základě vyhodnocení stanoví nutná bezpečnostní opatření k zamezení opakování řeseného kybernetického bezpečnostního incidentu a
e) dokumentuje zvládání kybernetických bezpečnostních incidentů.

 

§ 14

Řízení kontinuity činností

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona v rámci řízení kontinuity činností stanoví
a) práva a povinnosti garantů aktiv, administrátorů a osob zastávajících bezpečnostní role,
b) cíle řízení kontinuity činností formou určení

1. minimální úrovně poskytovaných sluzeb, která je přijatelná pro uzívání, provoz a správu informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému,

2. doby obnovení chodu, během které bude po kybernetickém bezpečnostním incidentu obnovena minimální úroveň poskytovaných sluzeb informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému, a

3. dobu obnovení dat jako termínu, ke kterému budou obnovena data po kybernetickém bezpečnostním incidentu, a
c) strategii řízení kontinuity činností, která obsahuje naplnění cílů podle písmene b).

(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále
a) vyhodnotí a dokumentuje mozné dopady kybernetických bezpečnostních incidentů a posoudí mozná rizika související s ohrozením kontinuity činností,
b) stanoví, aktualizuje a pravidelně testuje plány kontinuity činností informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury,
c) realizuje opatření pro zvýsení odolnosti informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury vůči kybernetickému bezpečnostnímu incidentu a vyuzívá nástroj pro zajisťování úrovně dostupnosti podle § 26 a
d) stanoví a aktualizuje postupy pro provedení opatření vydaných Úřadem podle § 13 a 14 zákona, ve kterých zohlední

1. výsledky hodnocení rizik provedení opatření,
2. stav dotčených bezpečnostních opatření a
3. vyhodnocení případných negativních dopadů na provoz a bezpečnost informačního systému kritické informační infrastruktury nebo komunikačního systému kritické informační infrastruktury.

 

§ 15

Kontrola a audit kritické informační infrastruktury a významných informačních systémů

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona v rámci kontroly a auditu kritické informační infrastruktury a významných informačních systémů (dále jen ˙audit kybernetické bezpečnosti˙)
a) posuzuje soulad bezpečnostních opatření s právními předpisy, vnitřními předpisy, jinými předpisy a smluvními závazky vztahujícími se k informačnímu systému kritické informační infrastruktury, komunikačnímu systému kritické informační infrastruktury a významnému informačnímu systému a určí opatření pro jeho prosazování a
b) provádí a dokumentuje pravidelné kontroly dodrzování bezpečnostní politiky a výsledky těchto kontrol zohlední v plánu rozvoje bezpečnostního povědomí a plánu zvládání rizik.

(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona zajisťuje provedení auditu kybernetické bezpečnosti osobou s odbornou kvalifikací podle § 6 odst. 6, která hodnotí správnost a účinnost zavedených bezpečnostních opatření.

(3) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále pro informační systém kritické informační infrastruktury a komunikační systém kritické informační infrastruktury provádí kontrolu zranitelnosti technických prostředků pomocí automatizovaných nástrojů a jejich odborné vyhodnocení a reaguje na zjistěné zranitelnosti.

 

 

HLAVA II

TECHNICKÁ OPATŘENÍ

§ 16

Fyzická bezpečnost

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona v rámci fyzické bezpečnosti
a) přijme nezbytná opatření k zamezení neoprávněnému vstupu do vymezených prostor, kde jsou zpracovávány informace a umístěna technická aktiva informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému,
b) přijme nezbytná opatření k zamezení poskození a zásahům do vymezených prostor, kde jsou uchovány informace a umístěna technická aktiva informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému, a
c) předchází poskození, krádezi nebo zneuzití aktiv nebo přerusení poskytování sluzeb informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému.

(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále uplatňuje prostředky fyzické bezpečnosti
a) pro zajistění ochrany na úrovni objektů a
b) pro zajistění ochrany v rámci objektů zajistěním zvýsené bezpečnosti vymezených prostor, ve kterých jsou umístěna technická aktiva informačního systému kritické informační infrastruktury nebo komunikačního systému kritické informační infrastruktury.

(3) Prostředky fyzické bezpečnosti jsou zejména
a) mechanické zábranné prostředky,
b) zařízení elektrické zabezpečovací signalizace,
c) prostředky omezující působení pozárů,
d) prostředky omezující působení projevů zivelních událostí,
e) systémy pro kontrolu vstupu,
f) kamerové systémy,
g) zařízení pro zajistění ochrany před selháním dodávky elektrického napájení a
h) zařízení pro zajistění optimálních provozních podmínek.

 

§ 17

Nástroj pro ochranu integrity komunikačních sítí

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona pro ochranu integrity rozhraní vnějsí komunikační sítě, která není pod správou orgánu nebo osoby, a vnitřní komunikační sítě, která je pod správou orgánu nebo osoby, zavede
a) řízení bezpečného přístupu mezi vnějsí a vnitřní sítí,
b) segmentaci zejména pouzitím demilitarizovaných zón jako speciálního typu sítě pouzívaného ke zvýsení bezpečnosti aplikací dostupných z vnějsí sítě a k zamezení přímé komunikace vnitřní sítě s vnějsí sítí,
c) kryptografické prostředky (§ 25) pro vzdálený přístup, vzdálenou správu nebo pro přístup pomocí bezdrátových technologií a
d) opatření pro odstranění nebo blokování přenásených dat, které neodpovídají pozadavkům na ochranu integrity komunikační sítě.

(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále vyuzívá nástroje pro ochranu integrity vnitřní komunikační sítě, které zajistí její segmentaci.

 

§ 18

Nástroj pro ověřování identity uzivatelů

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona pouzívá nástroje pro ověření identity uzivatelů a administrátorů informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému.

(2) Nástroj pro ověřování identity uzivatelů a administrátorů zajisťuje ověření identity uzivatelů a administrátorů před zahájením jejich aktivit v informačním systému kritické informační infrastruktury, komunikačním systému kritické informační infrastruktury a významném informačním systému.

(3) Nástroj pro ověřování identity uzivatelů, který pouzívá autentizaci pouze heslem, zajisťuje
a) minimální délku hesla osm znaků,
b) minimální slozitost hesla tak, ze heslo bude obsahovat alespoň 3 z následujících čtyř pozadavků

1. nejméně jedno velké písmeno,
2. nejméně jedno malé písmeno,
3. nejméně jednu číslici, nebo
4. nejméně jeden speciální znak odlisný od pozadavků uvedených v bodech 1 az 3,
c)maximální dobu pro povinnou výměnu hesla nepřesahující sto dnů; tento pozadavek není vyzadován pro samostatné identifikátory aplikací.

(4) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále
a) pouzívá nástroj pro ověření identity, který
1. zamezí opětovnému pouzívání dříve pouzívaných hesel a neumozní více změn hesla jednoho uzivatele během stanoveného období, které musí být nejméně 24 hodin, a
2. provádí opětovné ověření identity po určené době nečinnosti a
b)vyuzívá nástroj pro ověřování identity administrátorů. V případě, ze tento nástroj vyuzívá autentizaci heslem, zajistí prosazení minimální délky hesla patnáct znaků při dodrzení pozadavků podle odstavce 3 písm. b) a c).

(5) Nástroj pro ověřování identity uzivatelů můze být zajistěn i jinými způsoby, nez jaké jsou stanoveny v odstavcích 3 az 5, pokud orgán a osoba uvedená v § 3 písm. c) az e) zákona zabezpečí, ze pouzívá opatření zajisťující stejnou nebo vyssí úroveň odolnosti hesla.

 

§ 19

Nástroj pro řízení přístupových oprávnění

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona pouzívá nástroj pro řízení přístupových oprávnění, kterým zajistí řízení oprávnění
a) pro přístup k jednotlivým aplikacím a datům a
b) pro čtení dat, pro zápis dat a pro změnu oprávnění.

(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále pouzívá nástroj pro řízení přístupových oprávnění, který zaznamenává pouzití přístupových oprávnění v souladu s bezpečnostními potřebami a výsledky hodnocení rizik.

 

§ 20

Nástroj pro ochranu před skodlivým kódem

Orgán a osoba uvedená v § 3 písm. c) az e) zákona pro řízení rizik spojených s působením skodlivého kódu pouzívá nástroj pro ochranu informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému před skodlivým kódem, který zajistí ověření a stálou kontrolu
a) komunikace mezi vnitřní sítí a vnějsí sítí,
b) serverů a sdílených datových úlozisť a
c) pracovních stanic,

přičemz provádí pravidelnou a účinnou aktualizaci nástroje pro ochranu před skodlivým kódem, jeho definic a signatur.

 

§ 21

Nástroj pro zaznamenávání činností kritické informační infrastruktury a významných informačních systémů, jejich uzivatelů a administrátorů

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona pouzívá nástroj pro zaznamenávání činností informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému, který zajistí
a) sběr informací o provozních a bezpečnostních činnostech, zejména typ činnosti, datum a čas, identifikaci technického aktiva, které činnost zaznamenalo, identifikaci původce a místa činnosti a úspěsnost nebo neúspěsnost činnosti a
b) ochranu získaných informací před neoprávněným čtením nebo změnou.

(2) Orgán a osoba uvedená v § 3 písm. c) az e) zákona dále pomocí nástroje pro zaznamenávání činnosti informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému zaznamenává
a) přihlásení a odhlásení uzivatelů a administrátorů,
b) činnosti provedené administrátory,
c) činnosti vedoucí ke změně přístupových oprávnění,
d) neprovedení činností v důsledku nedostatku přístupových oprávnění a dalsí neúspěsné činnosti uzivatelů,
e) zahájení a ukončení činností technických aktiv informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému,
f) automatická varovná nebo chybová hlásení technických aktiv,
g) přístupy k záznamům o činnostech, pokusy o manipulaci se záznamy o činnostech a změny nastavení nástroje pro zaznamenávání činností a
h) pouzití mechanismů identifikace a autentizace včetně změny údajů, které slouzí k přihlásení.

(3) Orgán a osoba uvedená v § 3 písm. c) a d) zákona záznamy činností zaznamenané podle odstavce 2 uchovává nejméně po dobu 3 měsíců.

(4) Orgán a osoba uvedená v § 3 písm. c) az e) zákona zajisťuje nejméně jednou za 24 hodin syn-chronizaci jednotného systémového času technických aktiv patřících do informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému.

 

§ 22

Nástroj pro detekci kybernetických bezpečnostních událostí

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona pouzívá nástroj pro detekci kybernetických bezpečnostních událostí, který vychází ze stanovených bezpečnostních potřeb a výsledků hodnocení rizik a který zajistí ověření, kontrolu a případně zablokování komunikace mezi vnitřní komunikační sítí a vnějsí sítí.

(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále pouzívá nástroj pro detekci kybernetických bezpečnostních událostí, které zajistí ověření, kontrolu a případně zablokování komunikace
a) v rámci vnitřní komunikační sítě a
b) serverů patřících do informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury.

 

§ 23

Nástroj pro sběr a vyhodnocení kybernetických bezpečnostních událostí

(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona pouzívá nástroj pro sběr a průbězné vyhodnocení kybernetických bezpečnostních událostí, který v souladu s bezpečnostními potřebami a výsledky hodnocení rizik zajistí
a) integrovaný sběr a vyhodnocení kybernetických bezpečnostních událostí z informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury,
b) poskytování informací pro určené bezpečnostní role o detekovaných kybernetických bezpečnostních událostech v informačním systému kritické informační infrastruktury nebo komunikačním systému kritické informační infrastruktury a
c) nepřetrzité vyhodnocování kybernetických bezpečnostních událostí s cílem identifikace kybernetických bezpečnostních incidentů, včetně včasného varování určených bezpečnostních rolí.

(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále zajistí
a) pravidelnou aktualizaci nastavení pravidel pro vyhodnocování kybernetických bezpečnostních událostí a včasné varování, aby byly omezovány případy nesprávného vyhodnocení událostí nebo případy falesných varování, a
b) vyuzívání informací, které jsou připraveny nástrojem pro sběr a vyhodnocení kybernetických bezpečnostních událostí, pro optimální nastavení bezpečnostních opatření informačního sy-stému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury.

 

§ 24

Aplikační bezpečnost

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona provádí bezpečnostní testy zranitelnosti aplikací, které jsou přístupné z vnějsí sítě, a to před jejich uvedením do provozu a po kazdé zásadní změně bezpečnostních mechanismů.

(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále v rámci aplikační bezpečnosti zajistí trvalou ochranu
a) aplikací a informací dostupných z vnějsí sítě před neoprávněnou činností, popřením provedených činností, kompromitací nebo neautorizovanou změnou a
b) transakcí před jejich nedokončením, nesprávným směrováním, neautorizovanou změnou předávaného datového obsahu, kompromitací, neautorizovaným duplikováním nebo opakováním.

 

§ 25

Kryptografické prostředky

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona
a) pro pouzívání kryptografické ochrany stanoví

1. úroveň ochrany s ohledem na typ a sílu kryptografického algoritmu a

2. pravidla kryptografické ochrany informací při přenosu po komunikačních sítích nebo při ulození na mobilní zařízení nebo vyměnitelné technické nosiče dat a
b) v souladu s bezpečnostními potřebami a výsledky hodnocení rizik pouzívá kryptografické prostředky, které zajistí ochranu důvěrnosti a integrity předávaných nebo ukládaných dat a průkaznou identifikaci osoby za provedené činnosti.

(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále
a) stanoví pro pouzívání kryptografických prostředků systém správy klíčů, který zajistí generování, distribuci, ukládání, archivaci, změny, ničení, kontrolu a audit klíčů, a
b) pouzívá odolné kryptografické algoritmy a kryptografické klíče; v případě nesouladu s minimálními pozadavky na kryptografické algoritmy uvedenými v příloze č. 3 k této vyhlásce řídí rizika spojená s tímto nesouladem.

 

§ 26

Nástroj pro zajisťování úrovně dostupnosti

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona v souladu s bezpečnostními potřebami a výsledky hodnocení rizik pouzívá nástroj pro zajisťování úrovně dostupnosti informací.

(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona pouzívá nástroj pro zajisťování úrovně dostupnosti informací, který zajistí
a) dostupnost informačního systému kritické informační infrastruktury a komunikačního sy-stému kritické informační infrastruktury pro splnění cílů řízení kontinuity činností,
b) odolnost informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury vůči kybernetickým bezpečnostním incidentům, které by mohly snízit dostupnost, a
c) zálohování důlezitých technických aktiv informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury

1. vyuzitím redundance v návrhu řesení a

2. zajistěním náhradních technických aktiv v určeném čase.

 

§ 27

Bezpečnost průmyslových a řídicích systémů

Orgán a osoba uvedená v § 3 písm. c) a d) zákona pro bezpečnost průmyslových a řídicích systémů, které jsou informačním systémem kritické informační infrastruktury nebo komunikačním systémem kritické informační infrastruktury anebo jsou jejich součástí, pouzívá nástroje, které zajistí
a) omezení fyzického přístupu k síti a zařízením průmyslových a řídicích systémů,
b) omezení propojení a vzdáleného přístupu k síti průmyslových a řídicích systémů,
c) ochranu jednotlivých technických aktiv průmyslových a řídicích systémů před vyuzitím známých zranitelností a
d) obnovení chodu průmyslových a řídicích systémů po kybernetickém bezpečnostním incidentu.

 

HLAVA III

BEZPEČNOSTNÍ DOKUMENTACE

§ 28

Bezpečnostní dokumentace

(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona vede a aktualizuje bezpečnostní dokumentaci, která obsahuje
a) bezpečnostní politiku podle § 5 odst. 1,
b) zprávy z auditu kybernetické bezpečnosti podle § 3 odst. 1 písm. f),
c) zprávy z přezkoumání systému řízení bezpečnosti informací podle § 3 odst. 1 písm. g),
d) metodiku pro identifikaci a hodnocení aktiv a pro identifikaci a hodnocení rizik,
e) zprávu o hodnocení aktiv a rizik,
f) prohlásení o aplikovatelnosti,
g) plán zvládání rizik,
h) plán rozvoje bezpečnostního povědomí podle § 9 odst. 1 písm. a),
i) zvládání kybernetických bezpečnostních incidentů podle § 13 písm. e),
j) strategii řízení kontinuity činností podle § 14 odst. 1 písm. c) a
k) přehled právních předpisů, vnitřních předpisů a jiných předpisů a smluvních závazků podle § 15 odst. 1 písm. a).

(2) Orgán a osoba uvedená v § 3 písm. e) zákona vede a aktualizuje bezpečnostní dokumentaci, která obsahuje
a) bezpečnostní politiku podle § 5 odst. 2,
b) metodiku pro identifikaci a hodnocení aktiv a pro identifikaci a hodnocení rizik podle § 4 odst. 2 písm. a),
c) zprávu o hodnocení aktiv a rizik podle § 4 odst. 2 písm. b) a c),
d) prohlásení o aplikovatelnosti podle § 4 odst. 2 písm. d),
e) plán zvládání rizik podle § 4 odst. 2 písm. e),
f) plán rozvoje bezpečnostního povědomí podle § 9 odst. 1 písm. a),
g) zvládání kybernetických bezpečnostních incidentů podle § 13 písm. e),
h) strategii řízení kontinuity činností podle § 14 odst. 1 písm. c) a
i) přehled právních předpisů, vnitřních předpisů a jiných předpisů a smluvních závazků podle § 15 odst. 1 písm. a).

(3) Orgán a osoba uvedená v § 3 písm. c) az e) zákona vede bezpečnostní dokumentaci tak, aby záznamy o provedených činnostech byly úplné, čitelné, snadno identifikovatelné a aby se daly snadno vyhledat. Opatření potřebná k identifikaci, ulození, ochraně, vyhledání, době platnosti a uspořádání záznamů o provedených činnostech dokumentuje.

(4) Doporučená struktura bezpečnostní dokumentace je stanovena v příloze č. 4 k této vyhlásce.

 

§ 29

Prokázání certifikace

Orgán a osoba uvedená v § 3 písm. c) az e) zákona, jejíz informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury nebo významný informační systém je zcela zahrnut do rozsahu systému řízení bezpečnosti informací, který byl certifikován podle příslusné technické normy1) akreditovaným certifikačním orgánem, a která vede dokumenty obsahující
a) popis rozsahu systému řízení bezpečnosti informací,
b) prohlásení politiky a cílů systému řízení bezpečnosti informací,
c) popis pouzité metody hodnocení rizik a zprávu o hodnocení rizik,
d) prohlásení o aplikovatelnosti,
e) certifikát systému řízení bezpečnosti informací splňující pozadavky příslusné technické normy zabývající se bezpečností informací1),
f) záznam o přezkoumání systému řízení bezpečnosti informací včetně souvisejících vstupů a výstupů přezkoumání a
g) zprávu z auditů provedených certifikačním orgánem včetně příslusných záznamů o nápravě zjistěných neshod s příslusnou normou,
splňuje pozadavky na zavedení bezpečnostních opatření podle zákona a této vyhlásky.

 

ČÁST TŘETÍ

KYBERNETICKÝ BEZPEČNOSTNÍ INCIDENT

§ 30

Typy kybernetických bezpečnostních incidentů

(1) Podle příčiny jsou kybernetické bezpečnostní incidenty rozděleny do následujících typů
a) kybernetický bezpečnostní incident způsobený kybernetickým útokem nebo jinou událostí vedoucí k průniku do systému nebo k omezení dostupnosti sluzeb,
b) kybernetický bezpečnostní incident způsobený skodlivým kódem,
c) kybernetický bezpečnostní incident způsobený překonáním technických opatření,
d) kybernetický bezpečnostní incident způsobený porusením organizačních opatření,
e) kybernetický bezpečnostní incident spojený s projevem trvale působících hrozeb a

ČÁST TŘETÍ

KYBERNETICKÝ BEZPEČNOSTNÍ INCIDENT

§ 30

Typy kybernetických bezpečnostních incidentů

(1) Podle příčiny jsou kybernetické bezpečnostní incidenty rozděleny do následujících typů
a) kybernetický bezpečnostní incident způsobený kybernetickým útokem nebo jinou událostí vedoucí k průniku do systému nebo k omezení dostupnosti sluzeb,
b) kybernetický bezpečnostní incident způsobený skodlivým kódem,
c) kybernetický bezpečnostní incident způsobený překonáním technických opatření,
d) kybernetický bezpečnostní incident způsobený porusením organizačních opatření,
e) kybernetický bezpečnostní incident spojený s projevem trvale působících hrozeb a
f) ostatní kybernetické bezpečnostní incidenty způsobené kybernetickým útokem.

(2) Podle dopadu jsou kybernetické bezpečnostní incidenty rozděleny do následujících typů
a) kybernetický bezpečnostní incident způsobující narusení důvěrnosti aktiv,
b) kybernetický bezpečnostní incident způsobující narusení integrity aktiv,
c) kybernetický bezpečnostní incident způsobující narusení dostupnosti aktiv, nebo
d) kybernetický bezpečnostní incident způsobující kombinaci dopadů uvedených v písmenech a) az c).

 

§ 31

Kategorie kybernetických bezpečnostních incidentů

(1) Pro potřeby zvládání kybernetických bezpečnostních incidentů se podle následků a negativních projevů kybernetické bezpečnostní incidenty dělí do následujících kategorií
a) Kategorie III - velmi závazný kybernetický bezpečnostní incident, při kterém je přímo a významně narusena bezpečnost poskytovaných sluzeb nebo aktiv. Jeho řesení vyzaduje neprodlené zásahy obsluhy s tím, ze musí být vsemi dostupnými prostředky zabráněno dalsímu síření kybernetického bezpečnostního incidentu včetně minimalizace vzniklých i potenciálních skod.
b) Kategorie II - závazný kybernetický bezpečnostní incident, při kterém je narusena bezpečnost poskytovaných sluzeb nebo aktiv. Jeho řesení vyzaduje neprodlené zásahy obsluhy s tím, ze musí být vhodnými prostředky zabráněno dalsímu síření kybernetického incidentu včetně minimalizace vzniklých skod.
c) Kategorie I - méně závazný kybernetický bezpečnostní incident, při kterém dochází k méně významnému narusení bezpečnosti poskytovaných sluzeb nebo aktiv. Jeho řesení vyzaduje zásahy obsluhy s tím, ze musí být vhodnými prostředky omezeno dalsí síření kybernetického bezpečnostního incidentu včetně minimalizace vzniklých skod.

(2) Orgán a osoba uvedená v § 3 písm. c) az e) zákona při kategorizaci jednotlivých kybernetických bezpečnostních incidentů podle odstavce 1 zohlední
a) důlezitost dotčených aktiv informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému,
b) dopady na poskytované sluzby informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury, nebo významného informačního systému,
c) dopady na sluzby poskytované jinými informačními systémy kritické informační infrastruktury, komunikačními systémy kritické informační infrastruktury, nebo významnými informačními systémy a
d) předpokládané skody a dalsí dopady.

 

§ 32

Forma a nálezitosti hlásení kybernetických bezpečnostních incidentů

(1) Orgán a osoba uvedená v § 3 písm. c) az e) zákona hlásí kybernetický bezpečnostní incident
a) v elektronické podobě prostřednictvím

1. elektronického formuláře zveřejněného na internetových stránkách Úřadu,
2. emailu na adresu elektronické posty Úřadu určené pro příjem hlásení kybernetických bezpečnostních incidentů, zveřejněné na internetových stránkách Úřadu,
3. datové zprávy do datové schránky Úřadu, nebo
4. prostřednictvím určeného datového rozhraní, jehoz popis je zveřejněn na internetových stránkách Úřadu, anebo
b) v listinné podobě na adresu Národního centra kybernetické bezpečnosti, zveřejněné na internetových stránkách Úřadu.

(2) Hlásení v listinné podobě se zasílá pouze v případech, kdy nelze vyuzít zádný ze způsobů uvedených v odstavci 1 písm. a).

(3) Nálezitosti hlásení kybernetického bezpečnostního incidentu jsou uvedeny v příloze č. 5 k této vyhlásce.

 

ČÁST ČTVRTÁ

REAKTIVNÍ OPATŘENÍ A KONTAKTNÍ ÚDAJE

§ 33

Reaktivní opatření

Orgán a osoba uvedená v § 3 písm. c) az e) zákona oznámí provedení reaktivního opatření a jeho výsledek na formuláři, jehoz vzor je uveden v příloze č. 6 k této vyhlásce.

 

§ 34

Kontaktní údaje

Orgán a osoba uvedená v § 3 zákona oznamuje kontaktní údaje na formuláři, jehoz vzor je uveden v příloze č. 7 k této vyhlásce. Orgán a osoba uvedená v § 3 písm. c) az e) zákona oznamuje kontaktní údaje formou uvedenou v § 32 odst. 1 písm. a).

 

ČÁST PÁTÁ

ÚČINNOST

§ 35

Tato vyhláska nabývá účinnosti dnem 1. ledna 2015.

 

Ředitel:

Ing. Navrátil v. r.

§ 1

Předmět úpravy

(1) Tento zákon upravuje práva a povinnosti osob a působnost a pravomoci orgánů veřejné moci v oblasti kybernetické bezpečnosti.

(2) Tento zákon zapracovává příslušný předpis Evropské unie⁶), zároveň navazuje na přímo použitelný předpis Evropské unie¹⁷) a upravuje zajišťování bezpečnosti sítí elektronických komunikací a informačních systémů.

(3) Tento zákon se nevztahuje na informační nebo komunikační systémy, které nakládají s utajovanými informacemi.

§ 2

V tomto zákoně se rozumí

a) kybernetickým prostorem digitální prostředí umožňující vznik, zpracování a výměnu informací, tvořené informačními systémy, a službami a sítěmi elektronických komunikací¹),

b) kritickou informační infrastrukturou prvek nebo systém prvků kritické infrastruktury v odvětví komunikační a informační systémy²) v oblasti kybernetické bezpečnosti,

c) bezpečností informací zajištění důvěrnosti, integrity a dostupnosti informací a dat,

d) významným informačním systémem informační systém spravovaný orgánem veřejné moci, který není kritickou informační infrastrukturou ani informačním systémem základní služby a u kterého narušení bezpečnosti informací může omezit nebo výrazně ohrozit výkon působnosti orgánu veřejné moci,

e) správcem informačního systému orgán nebo osoba, které určují účel zpracování informací a podmínky provozování informačního systému,

f) správcem komunikačního systému orgán nebo osoba, které určují účel komunikačního systému a podmínky jeho provozování,

g) provozovatelem informačního nebo komunikačního systému orgán nebo osoba zajišťující funkčnost technických a programových prostředků tvořících informační nebo komunikační systém

h) významnou sítí síť elektronických komunikací¹) zajišťující přímé zahraniční propojení do veřejných komunikačních sítí nebo zajišťující přímé připojení ke kritické informační infrastruktuře,

i) základní službou služba, jejíž poskytování je závislé na sítích elektronických komunikací⁷) nebo informačních systémech a jejíž narušení by mohlo mít významný dopad na zabezpečení společenských nebo ekonomických činností v některém z těchto odvětví

1. energetika,

2. doprava,

3. bankovnictví,

4. infrastruktura finančních trhů,

5. zdravotnictví,

6. vodní hospodářství,

7. digitální infrastruktura,

8. chemický průmysl,

j) informačním systémem základní služby informační systém, na jehož fungování je závislé poskytování základní služby,

k) provozovatelem základní služby orgán nebo osoba, která poskytuje základní službu a která je určena Národním úřadem pro kybernetickou a informační bezpečnost (dále jen „Úřad“) podle § 22a; pro účely plnění informační povinnosti podle příslušného předpisu Evropské unie⁸) se za provozovatele základní služby považují též orgány a osoby uvedené v § 3 písm. c) a d),

l) digitální službou služba informační společnosti podle zákona upravujícího některé služby informační společnosti⁹), která spočívá v provozování

1. on-line tržiště, které spotřebiteli nebo prodávajícímu umožňuje on-line uzavírat s prodávajícím podnikatelem¹⁰) kupní smlouvu nebo smlouvu o poskytnutí služeb, a to prostřednictvím internetové stránky on-line tržiště nebo prostřednictvím internetové stránky prodávajícího, který využívá službu poskytovanou on-line tržištěm,

2. internetového vyhledávače, který umožňuje provádět vyhledávání v zásadě na všech internetových stránkách, a to na základě dotazu uživatele na jakékoliv téma v podobě klíčového slova, sousloví nebo jiného zadání, přičemž služba poskytuje odkazy, na nichž lze nalézt informace související s požadovaným obsahem, nebo

3. cloud computingu, který umožňuje přístup k rozšířitelnému a přizpůsobitelnému úložišti nebo výpočetním zdrojům, které je možné sdílet, a

m) příslušným orgánem orgán vykonávající působnost v oblasti kybernetické bezpečnosti.

§ 3

Orgány a osobami, kterým se ukládají povinnosti v oblasti kybernetické bezpečnosti, jsou

a) poskytovatel služby elektronických komunikací a subjekt zajišťující síť elektronických komunikací¹), pokud není orgánem nebo osobou podle písmene b),

b) orgán nebo osoba zajišťující významnou síť, pokud nejsou správcem nebo provozovatelem komunikačního systému podle písmene d),

c) správce a provozovatel informačního systému kritické informační infrastruktury,

d) správce a provozovatel komunikačního systému kritické informační infrastruktury,

e) správce a provozovatel významného informačního systému,

f) správce a provozovatel informačního systému základní služby, pokud nejsou správcem nebo provozovatelem podle písmene c) nebo d),

g) provozovatel základní služby, pokud není správcem nebo provozovatelem podle písmene f), a

h) poskytovatel digitální služby.

§ 3a

Zástupce poskytovatele digitálních služeb

(1) Poskytovatel digitální služby, který poskytuje tuto službu v České republice, nemá sídlo v Evropské unii a neustavil si svého zástupce v jiném členském státě Evropské unie (dále jen „jiný členský stát“), je povinen ustavit si svého zástupce v České republice. Zástupcem poskytovatele digitální služby je osoba, která je usazená v České republice a která je poskytovatelem digitální služby na základě plné moci zmocněná jej zastupovat ve vztahu k povinnostem podle tohoto zákona.

(2) V případě, že poskytovatel digitální služby má sídlo mimo Evropskou unii a ustavil si svého zástupce v České republice, má se za to, že je usazen v České republice a vztahují se na něj povinnosti podle tohoto zákona.

(3) V případě, že je poskytovatel digitální služby usazen v České republice nebo zde má ustaveného zástupce, ale jím využívané sítě elektronických komunikací a informační systémy se nacházejí v jiném členském státu, Úřad při výkonu státní správy spolupracuje s příslušným orgánem dotčeného členského státu.

§ 4

(1) Bezpečnostním opatřením se rozumí souhrn úkonů, jejichž cílem je zajištění bezpečnosti informací v informačních systémech a dostupnosti a spolehlivosti služeb a sítí elektronických komunikací¹) v kybernetickém prostoru.

(2) Orgány a osoby uvedené v § 3 písm. c) až f) jsou povinny zavést a provádět bezpečnostní opatření v rozsahu nezbytném pro zajištění kybernetické bezpečnosti informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury, informačního systému základní služby a významného informačního systému a vést o nich bezpečnostní dokumentaci.

(3) Poskytovatel digitální služby je povinen zavést a provádět vhodná a přiměřená bezpečnostní opatření pro sítě elektronických komunikací a informační systémy, které využívá v souvislosti se zajišťováním své služby, přičemž tato bezpečnostní opatření zohledňují zajištění bezpečnosti informací, zvládání kybernetických bezpečnostních incidentů, řízení kontinuity činností, monitorování, audit, testování a soulad s mezinárodními předpisy.

(4) Orgány a osoby uvedené v § 3 písm. c) až f) jsou povinny zohlednit požadavky vyplývající z bezpečnostních opatření při výběru dodavatele pro jejich informační nebo komunikační systém a tyto požadavky zahrnout do smlouvy, kterou s dodavatelem uzavřou. Zohlednění požadavků vyplývajících z bezpečnostních opatření podle věty první v míře nezbytné pro splnění povinností podle tohoto zákona nelze považovat za nezákonné omezení hospodářské soutěže nebo neodůvodněnou překážku hospodářské soutěži.

(5) Orgány veřejné moci jsou povinny před uzavřením smlouvy s poskytovatelem služeb cloud computingu zařadit poptávaný cloud computing do bezpečnostní úrovně s ohledem na povahu dotčeného informačního nebo komunikačního systému podle prováděcího právního předpisu a zajistit, že budou dodržována bezpečnostní pravidla pro poskytování služeb cloud computingu stanovená Úřadem a že budou mít na základě své žádosti bez zbytečného odkladu k dispozici informace a data, která pro ně poskytovatel služeb cloud computingu uchovává včetně možnosti kontroly uchovávaných informací a dat v reálném čase.

(6) Poskytovatel služby cloud computingu a orgán veřejné moci si ve smlouvě dále dohodnou způsob a výši úhrady účelně vynaložených nákladů na zavedení bezpečnostních pravidel a realizaci bezpečnostní politiky odběratele.

(7) Zohlednění požadavků vyplývajících z bezpečnostní politiky, bezpečnostních pravidel, bezpečnostních opatření a dalších podmínek sjednaných ve smlouvě podle odstavce 5, které jsou nezbytné pro splnění povinností podle tohoto zákona, nelze považovat za nezákonné omezení hospodářské soutěže nebo neodůvodněnou překážku hospodářské soutěži.

§ 4a

(1) Orgány a osoby, které se staly správci informačních nebo komunikačních systémů kritické informační infrastruktury nebo správci významných informačních systémů, a nejsou provozovateli tohoto systému, jsou povinny neprodleně a prokazatelně informovat provozovatele systému o této skutečnosti a o tom, že se tento provozovatel stal orgánem nebo osobou podle § 3 písm. c), d) nebo e).

(2) Orgány a osoby, které se staly správci nebo provozovateli informačních nebo komunikačních systémů kritické informační infrastruktury, jsou povinny neprodleně a prokazatelně informovat subjekt zajišťující síť elektronických komunikací, ke které je jejich předmětný informační nebo komunikační systém kritické informační infrastruktury připojen, o této skutečnosti a o tom, že se tento subjekt stal orgánem nebo osobou podle § 3 písm. b).

(3) Orgány a osoby, které byly podle § 22a určené provozovateli základní služby a nejsou zároveň správci nebo provozovateli svých informačních systémů základní služby, jsou povinny správce nebo provozovatele tohoto informačního systému základní služby neprodleně a prokazatelně informovat o svém určení a o tom, že se dotčený správce nebo provozovatel stal orgánem nebo osobou podle § 3 písm. f).

§ 5

(1) Bezpečnostními opatřeními jsou

a) organizační opatření a

b) technická opatření.

(2) Organizačními opatřeními jsou

a) systém řízení bezpečnosti informací,

b) řízení rizik,

c) bezpečnostní politika,

d) organizační bezpečnost,

e) stanovení bezpečnostních požadavků pro dodavatele,

f) řízení aktiv,

g) bezpečnost lidských zdrojů,

h) řízení provozu a komunikací,

i) řízení přístupu osob,

j) akvizice, vývoj a údržba,

k) zvládání kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů,

l) řízení kontinuity činností a

m) kontrola a audit.

(3) Technickými opatřeními jsou

a) fyzická bezpečnost,

b) nástroj pro ochranu integrity komunikačních sítí,

c) nástroj pro ověřování identity uživatelů,

d) nástroj pro řízení přístupových oprávnění,

e) nástroj pro ochranu před škodlivým kódem,

f) nástroj pro zaznamenávání činnosti informačního nebo komunikačního systému, jeho uživatelů a administrátorů,

g) nástroj pro detekci kybernetických bezpečnostních událostí,

h) nástroj pro sběr a vyhodnocení kybernetických bezpečnostních událostí,

i) aplikační bezpečnost,

j) kryptografické prostředky,

k) nástroj pro zajišťování úrovně dostupnosti informací a

l) bezpečnost průmyslových a řídících systémů.

§ 6

Prováděcí právní předpis stanoví

a) obsah bezpečnostních opatření,

b) obsah a strukturu bezpečnostní dokumentace,

c) rozsah bezpečnostních opatření pro orgány a osoby uvedené v § 3 písm. c) až f),

d) významné informační systémy a jejich určující kritéria,

e) obsah a rozsah bezpečnostních pravidel pro orgány veřejné moci využívající služby poskytovatelů cloud computingu, včetně bezpečnostních úrovní pro využívání cloud computingu orgány veřejné moci.

§ 6a

(1) Správce informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému může pověřit provozováním informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému jiný orgán nebo osobu, pokud to jiný zákon nevylučuje.

(2) Provozovatel informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému předá na vyžádání správce tohoto systému bez zbytečného odkladu a v dohodnutém formátu data, provozní údaje a informace, které má k dispozici v souvislosti s provozováním tohoto systému. Ustanovení právního předpisu upravujícího práva k duševnímu vlastnictví nejsou předáním dat, provozních údajů a informací dotčena.

(3) Pokud provozovatel informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému nebude tento systém nadále provozovat, předá správci tohoto systému data, provozní údaje a informace, které má k dispozici v souvislosti s provozováním tohoto systému a které jsou nezbytné pro případné další provozování tohoto informačního systému nebo jeho jiné využití a bezpečně zlikviduje ve svém digitálním prostředí jejich kopie. Způsob likvidace dat, provozních údajů, informací a jejich kopií stanoví prováděcí právní předpis.

(4) Provozovatel informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému má nárok na úhradu účelně vynaložených nákladů za předání dat, provozních údajů a informací podle odstavců 2 a 3; náklady provozovateli uhradí správce takového systému.

§ 7

(1) Kybernetickou bezpečnostní událostí je událost, která může způsobit narušení bezpečnosti informací v informačních systémech nebo narušení bezpečnosti služeb anebo bezpečnosti a integrity sítí elektronických komunikací¹).

(2) Kybernetickým bezpečnostním incidentem je narušení bezpečnosti informací v informačních systémech nebo narušení bezpečnosti služeb anebo bezpečnosti a integrity sítí elektronických komunikací¹) v důsledku kybernetické bezpečnostní události.

(3) Orgány a osoby uvedené v § 3 písm. b) až f) jsou povinny detekovat kybernetické bezpečnostní události v jejich významné síti, informačním systému kritické informační infrastruktury, komunikačním systému kritické informační infrastruktury, informačním systému základní služby nebo významném informačním systému.

§ 8

Hlášení kybernetického bezpečnostního incidentu

(1) Orgány a osoby uvedené v § 3 písm. b) až f) jsou povinny hlásit kybernetické bezpečnostní incidenty v jejich významné síti, informačním systému kritické informační infrastruktury, komunikačním systému kritické informační infrastruktury, informačním systému základní služby nebo významném informačním systému, a to bezodkladně po jejich detekci; tím není dotčena informační povinnost podle jiného právního předpisu³) nebo přímo použitelného předpisu Evropské unie upravujícího ochranu osobních údajů¹¹). V případě, že kybernetický bezpečnostní incident má významný dopad na kontinuitu poskytování základní služby, oznámí to provozovatel základní služby Úřadu.

(2) Poskytovatel digitální služby je povinen bez zbytečného odkladu hlásit kybernetický bezpečnostní incident s významným dopadem na poskytování jeho služeb, pokud má přístup k informacím nezbytným pro posouzení významnosti tohoto dopadu.

(3) Orgány a osoby uvedené v § 3 písm. b) a h) hlásí kybernetické bezpečnostní incidenty provozovateli národního CERT.

(4) Orgány a osoby uvedené v § 3 písm. c) až g) hlásí kybernetické bezpečnostní incidenty Úřadu.

(5) Povinnost podle odstavce 1 je správcem informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému splněna i tehdy, pokud byl kybernetický bezpečnostní incident hlášen provozovatelem tohoto systému. Provozovatel informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému informuje správce tohoto systému o hlášených kybernetických bezpečnostních incidentech bez zbytečného odkladu.

(6) Orgány a osoby neuvedené v § 3 mohou hlásit kybernetické bezpečnostní incidenty provozovateli národního CERT, nebo Úřadu.

(7) Prováděcí právní předpis stanoví

a) typy, kategorie a hodnocení významnosti dopadu kybernetického bezpečnostního incidentu a

b) náležitosti a způsob hlášení kybernetického bezpečnostního incidentu.

(8) Pokud má kybernetický bezpečnostní incident, který postihnul poskytovatele digitální služby, významný dopad na kontinuitu poskytování základní služby, je její provozovatel povinen tuto skutečnost Úřadu nahlásit.

§ 9

(1) Úřad vede evidenci kybernetických bezpečnostních incidentů (dále jen „evidence incidentů“), která obsahuje

a) hlášení kybernetického bezpečnostního incidentu,

b) identifikační údaje systému, ve kterém se kybernetický bezpečnostní incident vyskytl,

c) údaje o zdroji kybernetického bezpečnostního incidentu a

d) postup při řešení kybernetického bezpečnostního incidentu a jeho výsledek.

(2) Součástí evidence incidentů jsou údaje podle § 20 písm. f) až h) a l).

(3) Úřad poskytuje údaje z evidence incidentů orgánům veřejné moci pro výkon jejich působnosti.

(4) Úřad může poskytovat údaje z evidence incidentů provozovateli národního CERT, orgánům vykonávajícím působnost v oblasti kybernetické bezpečnosti v zahraničí a jiným osobám působícím v oblasti kybernetické bezpečnosti v rozsahu nezbytném pro zajištění ochrany kybernetického prostoru.

§ 10

(1) Zaměstnanci České republiky zařazení k výkonu práce v Úřadu, kteří se podílejí na řešení kybernetického bezpečnostního incidentu, jsou vázáni povinností mlčenlivosti o údajích z evidence incidentů. Povinnost mlčenlivosti trvá i po skončení pracovněprávního vztahu k Úřadu.

(2) Ředitel Úřadu může osoby podle odstavce 1 zprostit povinnosti mlčenlivosti o údajích z evidence incidentů, s uvedením rozsahu údajů a rozsahu zproštění.

§ 10a

Informace, jejichž zpřístupnění by mohlo ohrozit zajišťování kybernetické bezpečnosti nebo účinnost opatření vydaného podle tohoto zákona, nebo informace, které jsou vedené v evidenci incidentů, ze kterých by bylo možné identifikovat orgán nebo osobu, která kybernetický bezpečnostní incident ohlásila, se podle předpisů upravujících svobodný přístup k informacím neposkytují.

§ 11

Opatření

(1) Opatřeními se rozumí úkony, jichž je třeba k ochraně informačních systémů nebo služeb a sítí elektronických komunikací¹) před hrozbou v oblasti kybernetické bezpečnosti nebo před kybernetickým bezpečnostním incidentem anebo k řešení již nastalého kybernetického bezpečnostního incidentu.

(2) Opatřeními jsou

a) varování,

b) reaktivní opatření a

c) ochranné opatření.

(3) Reaktivní opatření jsou povinny provádět

a) orgány a osoby uvedené v § 3 písm. a) a b) za stavu kybernetického nebezpečí nebo za nouzového stavu⁴) vyhlášeného na základě žádosti podle § 21 odst. 6 a

b) orgány a osoby uvedené v § 3 písm. c) až f).

(4) Ochranné opatření jsou povinny provádět orgány a osoby uvedené v § 3 písm. c) až f).

§ 12

Varování

(1) Úřad vydá varování, dozví-li se zejména z vlastní činnosti nebo z podnětu provozovatele národního CERT anebo od orgánů, které vykonávají působnost v oblasti kybernetické bezpečnosti v zahraničí, o hrozbě v oblasti kybernetické bezpečnosti.

(2) Varování Úřad zveřejní na svých internetových stránkách a oznámí je orgánům a osobám uvedeným v § 3, jejichž kontaktní údaje jsou vedeny v evidenci podle § 16 odst. 4.

(3) Úřad je z důvodu ochrany vnitřního pořádku a bezpečnosti, ochrany života a zdraví osob nebo ochrany ekonomiky státu oprávněn po konzultaci s orgánem nebo osobou uvedenými v § 3 písm. c), d), f), g) nebo h), které jsou dotčeny kybernetickým bezpečnostním incidentem, veřejnost o tomto incidentu informovat nebo dotčenému orgánu nebo osobě uložit, aby tak učinil sám.

§ 13

(1) Úřad vydá rozhodnutí, ve kterém uloží provést reaktivní opatření k řešení kybernetického bezpečnostního incidentu anebo k zabezpečení informačních systémů nebo sítí a služeb elektronických komunikací¹) před kybernetickým bezpečnostním incidentem, které je prvním úkonem ve věci. Nepodaří-li se rozhodnutí adresátovi doručit do vlastních rukou do 3 dnů ode dne jeho vydání, doručí se mu tak, že se vyvěsí na úřední desce Úřadu a tímto okamžikem je vykonatelné. Rozhodnutí podle věty první může Úřad vydat i v řízení na místě podle správního řádu.

(2) Rozklad podaný proti rozhodnutí podle odstavce 1 nemá odkladný účinek.

(3) Má-li se reaktivní opatření k řešení kybernetického bezpečnostního incidentu anebo k zabezpečení informačních systémů nebo sítí a služeb elektronických komunikací¹) před kybernetickým bezpečnostním incidentem týkat blíže neurčeného okruhu orgánů nebo osob, vydá je Úřad formou opatření obecné povahy.

(4) Orgány a osoby uvedené v § 3 písm. a) až f) jsou povinny bez zbytečného odkladu oznámit Úřadu provedení reaktivního opatření a jeho výsledek. Náležitosti oznámení stanoví prováděcí právní předpis.

§ 14

Úřad za účelem zvýšení ochrany informačních systémů nebo služeb a sítí elektronických komunikací¹) a na základě analýzy již vyřešeného kybernetického bezpečnostního incidentu jako ochranné opatření vydá opatření obecné povahy, ve kterém orgánům a osobám uvedeným v § 3 písm. c) až f) stanoví způsob zvýšení ochrany informačních systémů nebo služeb a sítí elektronických komunikací¹) a přiměřenou lhůtu k jeho provedení.

§ 15

(1) Opatření obecné povahy podle § 13 nebo 14 nabývá účinnosti okamžikem jeho vyvěšení na úřední desce Úřadu; ustanovení § 172 správního řádu se nepoužije. O vydání opatření obecné povahy Úřad rovněž vyrozumí orgány a osoby uvedené v § 3, jejichž kontaktní údaje jsou vedeny v evidenci podle § 16 odst. 4.

(2) Připomínky k opatření obecné povahy vydanému podle § 13 nebo 14 lze uplatnit ve lhůtě 30 dnů ode dne jeho vyvěšení na úřední desce Úřadu. Úřad může na základě uplatněných připomínek opatření obecné povahy změnit nebo zrušit.

§ 15a

(1) Úřad může v případě hrozícího kybernetického bezpečnostního incidentu na návrh správce informačního systému, který marně vyzval provozovatele ke splnění povinnosti předat správci data, provozní údaje a informace, které má k dispozici v souvislosti s provozováním tohoto systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému, rozhodnutím uložit provozovateli tohoto systému povinnost předat správci data, provozní údaje a informace, které má k dispozici v souvislosti s provozováním tohoto systému; návrh musí obsahovat odůvodnění požadavku s ohledem na hrozící kybernetický bezpečnostní incident, podrobný popis předchozího jednání mezi provozovatelem a správcem tohoto systému zejména s ohledem na nesplnění smluvní povinnosti provozovatele a možné následky, pokud nedojde k předání požadovaných dat, provozních údajů a informací.

(2) Rozhodnutí o uložení povinnosti předat data, provozní údaje a informace podle odstavce 1 je prvním úkonem v řízení, je vykonatelné dnem doručení rozhodnutí a rozklad proti němu nemá odkladný účinek.

(3) Pro úhradu nákladů vynaložených provozovatelem informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému na předání dat, provozních údajů a informací podle odstavce 1 se ustanovení § 6a odst. 4 použije obdobně.

§ 16

Kontaktní údaje

(1) Kontaktními údaji jsou

a) u právnické osoby obchodní firma nebo název, adresa sídla, identifikační číslo osoby nebo obdobné číslo přidělované v zahraničí,

b) u podnikající fyzické osoby obchodní firma nebo jméno včetně odlišujícího dodatku nebo dalšího označení, adresa sídla a identifikační číslo osoby,

c) u orgánu veřejné moci jeho název, adresa sídla, identifikační číslo osoby, bylo-li přiděleno, a identifikátor orgánu veřejné moci, pokud mu není přiděleno identifikační číslo osoby,

a údaje o fyzické osobě, která je za orgán nebo osobu uvedené v § 3 oprávněna jednat ve věcech upravených tímto zákonem, a to jméno, příjmení, telefonní číslo a adresa elektronické pošty.

(2) Kontaktní údaje a jejich změny oznamují

a) orgány a osoby uvedené v § 3 písm. a), b) a h) provozovateli národního CERT a

b) orgány a osoby uvedené v § 3 písm. c) až g) Úřadu.

(3) Orgány a osoby uvedené v § 3 písm. c) až g) oznamují změny pouze těch údajů podle odstavce 1, které nejsou referenčními údaji vedenými v základních registrech, a to neprodleně.

(4) Úřad vede evidenci kontaktních údajů, která obsahuje údaje uvedené v odstavci 1.

(5) Úřad je za stavu kybernetického nebezpečí oprávněn vyžadovat kontaktní údaje shromážděné provozovatelem národního CERT podle odstavce 2 písm. a).

(6) Úřad je dále oprávněn si pro účely kontroly vyžádat od provozovatele národního CERT kontaktní údaje orgánů a osob uvedených v § 3 písm. h).

(7) Vzor oznámení kontaktních údajů a jeho formu stanoví prováděcí právní předpis.

§ 17

Národní CERT

(1) Národní CERT zajišťuje v rozsahu stanoveném tímto zákonem sdílení informací na národní a mezinárodní úrovni v oblasti kybernetické bezpečnosti.

(2) Provozovatel národního CERT

a) přijímá oznámení kontaktních údajů od orgánů a osob uvedených v § 3 písm. a), b) a h) a tyto údaje eviduje a uchovává,

b) přijímá hlášení o kybernetických bezpečnostních incidentech od orgánů a osob uvedených v § 3 písm. b) a h) a tyto údaje eviduje, uchovává a chrání,

c) vyhodnocuje kybernetické bezpečnostní incidenty u orgánů a osob uvedených v § 3 písm. b) a h),

d) poskytuje orgánům a osobám uvedeným v § 3 písm. a), b) a h) metodickou podporu, pomoc a součinnost při výskytu kybernetického bezpečnostního incidentu,

e) působí jako kontaktní místo pro orgány a osoby uvedené v § 3 písm. a), b) a h),

f) provádí hodnocení zranitelností v oblasti kybernetické bezpečnosti,

g) předává Úřadu údaje o kybernetických bezpečnostních incidentech ohlášených podle § 8 odst. 3, bez uvedení ohlašovatele,

h) předává Úřadu na vyžádání údaje podle § 16 odst. 5 a 6,

i) plní roli týmu CSIRT podle příslušného předpisu Evropské unie¹²),

j) informuje bez uvedení identifikačních údajů ohlašovatele příslušný orgán jiného členského státu o kybernetickém bezpečnostním incidentu s významným dopadem na kontinuitu poskytování základní nebo digitální služby v tomto členském státě a zároveň o tom informuje Úřad, přičemž zachovává bezpečnost a obchodní zájmy ohlašovatele,

k) spolupracuje s týmy CSIRT jiných členských států a

l) přijímá hlášení o kybernetických bezpečnostních incidentech od orgánů a osob neuvedených v § 3, a pokud to jeho kapacity umožňují, zpracovává je a poskytuje orgánům nebo osobám dotčeným kybernetickým bezpečnostním incidentem metodickou podporu, pomoc a součinnost.

(3) Provozovatel národního CERT může vlastním jménem a na vlastní odpovědnost vykonávat i další hospodářskou činnost v oblasti kybernetické bezpečnosti neupravenou tímto zákonem, pokud tato činnost nenaruší plnění povinností uvedených v odstavci 2.

(4) Provozovatel národního CERT při plnění povinností uvedených v odstavci 2 koordinuje svou činnost s Úřadem.

(5) Provozovatel národního CERT musí při plnění povinností podle odstavce 2 postupovat nestranně.

§ 18

Provozovatel národního CERT

(1) Provozovatelem národního CERT se může stát pouze právnická osoba,

a) která splňuje podmínky uvedené v odstavci 2 a

b) se kterou Úřad uzavřel veřejnoprávní smlouvu podle § 19.

(2) Provozovatelem národního CERT může být pouze právnická osoba, která

a) nevyvíjí ani nevyvíjela činnost proti zájmu České republiky ve smyslu zákona upravujícího ochranu utajovaných informací,

b) provozuje nebo spravuje informační systémy nebo služby a sítě elektronických komunikací¹) anebo se na jejich provozu a správě podílí, a to nejméně po dobu 5 let,

c) má technické předpoklady v oblasti kybernetické bezpečnosti,

d) je členem nadnárodní organizace působící v oblasti kybernetické bezpečnosti,

e) nemá v evidenci daní u orgánů Finanční správy České republiky ani orgánů Celní správy České republiky ani v evidenci daní, pojistného na sociální zabezpečení a pojistného na veřejné zdravotní pojištění evidovány nedoplatky,

f) nebyla pravomocně odsouzena za spáchání trestného činu uvedeného v § 7 zákona o trestní odpovědnosti právnických osob a řízení proti nim,

g) není zahraniční osobou podle jiného právního předpisu a

h) nebyla založena nebo zřízena výlučně za účelem dosažení zisku; tím není dotčena možnost provozovatele národního CERT postupovat podle § 17 odst. 3.

(3) Zájemce prokazuje splnění podmínek předložením

a) čestného prohlášení v případě odstavce 2 písm. a) až d), g) a h) a

b) potvrzení orgánu Finanční správy České republiky a Celní správy České republiky v případě odstavce 2 písm. e).

(4) Z obsahu čestného prohlášení podle odstavce 3 písm. a) musí být zřejmé, že uchazeč splňuje příslušné předpoklady. Potvrzení podle odstavce 3 písm. b), že uchazeč nemá v evidenci daní u orgánů Finanční správy České republiky ani orgánů Celní správy České republiky ani v evidenci daní, pojistného na sociální zabezpečení a pojistného na veřejné zdravotní pojištění evidovány nedoplatky, nesmí být starší než 30 dnů. Za účelem prokázání podmínky uvedené v odstavci 2 písm. f) si Úřad vyžádá výpis z evidence Rejstříku trestů podle jiného právního předpisu⁵).

(5) Provozovatel národního CERT vykonává činnosti podle § 17 odst. 2 písm. a) až c), e) a g) až l) bezúplatně. Provozovatel národního CERT je povinen vynaložit k řádnému a účelnému výkonu činností uvedených v § 17 odst. 2 nezbytné náklady.

(6) Úřad zveřejní na svých internetových stránkách údaje o provozovateli národního CERT, a to jeho obchodní firmu nebo název, adresu sídla, identifikační číslo osoby, identifikátor datové schránky a adresu jeho internetových stránek.

§ 19

Veřejnoprávní smlouva

(1) Úřad uzavírá veřejnoprávní smlouvu (dále jen „smlouva“) s právnickou osobou vybranou postupem podle § 163 odst. 4 správního řádu za účelem spolupráce v oblasti kybernetické bezpečnosti a zajištění činností podle § 17 odst. 2. Řízení o výběru žádosti vyhlašuje Úřad.

(2) Smlouva obsahuje alespoň

a) označení smluvních stran,

b) vymezení předmětu smlouvy,

c) práva a povinnosti smluvních stran,

d) podmínky spolupráce smluvních stran,

e) způsob a podmínky odstoupení smluvních stran od smlouvy,

f) výpovědní lhůtu a výpovědní důvody,

g) zákaz zneužití údajů získaných v souvislosti s výkonem činností uvedených v § 17 odst. 2,

h) vymezení podmínek pro výkon činnosti národního CERT podle § 17 odst. 3 a

i) způsob předání a rozsah údajů předávaných Úřadu v případě zániku závazku.

(3) Smlouvu uzavřenou podle odstavce 1 Úřad zveřejňuje ve Věstníku Úřadu, s výjimkou těch částí smlouvy, jejichž zveřejnění neumožňuje jiný právní předpis.

(4) Není-li uzavřena smlouva podle odstavce 1, nebo v případě zániku závazku, vykonává činnost národního CERT Úřad.

§ 20

Vládní CERT

Vládní CERT jako součást Úřadu

a) přijímá oznámení kontaktních údajů od orgánů a osob uvedených v § 3 písm. c) až g),

b) přijímá hlášení o kybernetických bezpečnostních incidentech od orgánů a osob uvedených v § 3 písm. c) až g),

c) vyhodnocuje údaje o kybernetických bezpečnostních událostech a kybernetických bezpečnostních incidentech z kritické informační infrastruktury, informačního systému základní služby, významných informačních systémů a dalších informačních systémů veřejné správy,

d) poskytuje orgánům a osobám uvedeným v § 3 písm. c) až g) metodickou podporu a pomoc,

e) poskytuje součinnost orgánům a osobám uvedeným v § 3 písm. c) až g) při výskytu kybernetického bezpečnostního incidentu a kybernetické bezpečnostní události,

f) přijímá podněty a údaje od orgánů a osob uvedených v § 3 a od jiných orgánů a osob a tyto podněty a údaje vyhodnocuje,

g) přijímá údaje od provozovatele národního CERT a tyto údaje vyhodnocuje,

h) přijímá údaje od orgánů, které vykonávají působnost v oblasti kybernetické bezpečnosti v zahraničí, a tyto údaje vyhodnocuje,

i) poskytuje podle § 9 odst. 4 provozovateli národního CERT, orgánům vykonávajícím působnost v oblasti kybernetické bezpečnosti v zahraničí a jiným osobám působícím v oblasti kybernetické bezpečnosti údaje z evidence incidentů,

j) provádí hodnocení zranitelností v oblasti kybernetické bezpečnosti,

k) informuje bez uvedení identifikačních údajů ohlašovatele příslušný orgán jiného členského státu o kybernetickém bezpečnostním incidentu, který má významný dopad na kontinuitu poskytování základních služeb v tomto členském státě nebo se dotýká poskytování digitálních služeb v tomto členském státě, přičemž zachovává bezpečnost a obchodní zájmy ohlašovatele,

l) přijímá hlášení o kybernetickém bezpečnostním incidentu od orgánů a osob neuvedených v § 3; vládní CERT hlášení zpracovává, a pokud to jeho kapacity umožňují a jedná se o kybernetický bezpečnostní incident s významným dopadem, poskytuje orgánům nebo osobám dotčeným kybernetickým bezpečnostním incidentem metodickou podporu, pomoc a součinnost,

m) plní roli týmu CSIRT podle příslušného předpisu Evropské unie¹²) a

n) spolupracuje s týmy CSIRT jiných členských států.

§ 21

(1) Stavem kybernetického nebezpečí se rozumí stav, ve kterém je ve velkém rozsahu ohrožena bezpečnost informací v informačních systémech nebo bezpečnost služeb elektronických komunikací anebo bezpečnost a integrita sítí elektronických komunikací¹), a tím by mohlo dojít k porušení nebo došlo k ohrožení zájmu České republiky ve smyslu zákona upravujícího ochranu utajovaných informací.

(2) O vyhlášení stavu kybernetického nebezpečí rozhoduje ředitel Úřadu. Rozhodnutí o vyhlášení stavu kybernetického nebezpečí se vyhlašuje vyvěšením na úřední desce Úřadu. Informace o vyhlášení stavu kybernetického nebezpečí se zveřejňuje v celoplošném rozhlasovém a televizním vysílání. Provozovatel celoplošného televizního nebo rozhlasového vysílání je povinen bez náhrady nákladů na základě žádosti Úřadu neprodleně a bez úpravy obsahu a smyslu uveřejnit informace o vyhlášení stavu kybernetického nebezpečí.

(3) Rozhodnutí o vyhlášení stavu kybernetického nebezpečí nabývá účinnosti okamžikem, který se v rozhodnutí stanoví. Stav kybernetického nebezpečí se vyhlašuje na dobu nezbytně nutnou, nejdéle však na 7 dnů. Uvedenou dobu může ředitel Úřadu prodloužit; souhrnná doba trvání vyhlášeného stavu kybernetického nebezpečí nesmí být delší než 30 dnů.

(4) V průběhu vyhlášeného stavu kybernetického nebezpečí ředitel Úřadu informuje vládu o postupech při řešení stavu kybernetického nebezpečí a o aktuálním stavu hrozeb, které vedly k vyhlášení stavu kybernetického nebezpečí. Za stavu kybernetického nebezpečí a za nouzového stavu⁴) v případech podle odstavce 6 je Úřad oprávněn vydat rozhodnutí nebo opatření obecné povahy podle § 13 rovněž orgánům a osobám uvedeným v § 3 písm. a) a b).

(5) Stav kybernetického nebezpečí nelze vyhlásit v případě, kdy ohrožení bezpečnosti informací v informačních systémech nebo bezpečnosti služeb anebo bezpečnosti a integrity sítí elektronických komunikací¹) lze odvrátit činností Úřadu podle tohoto zákona.

(6) Není-li možné odvrátit ohrožení bezpečnosti informací v informačních systémech nebo bezpečnosti služeb anebo bezpečnosti a integrity sítí elektronických komunikací¹) v rámci stavu kybernetického nebezpečí, ředitel Úřadu neprodleně požádá vládu o vyhlášení nouzového stavu⁴). Rozhodnutí a opatření obecné povahy vydaná Úřadem podle § 13 před vyhlášením nouzového stavu zůstávají v platnosti, pokud tato opatření nejsou v rozporu s krizovými opatřeními vyhlášenými vládou.

(7) Stav kybernetického nebezpečí končí uplynutím doby, na kterou byl vyhlášen, pokud ředitel Úřadu nerozhodne o jeho zrušení před uplynutím této doby, nebo vyhlášením nouzového stavu⁴).

§ 21a

(1) Zřizuje se Úřad se sídlem v Brně jako ústřední správní úřad pro oblast kybernetické bezpečnosti a pro vybrané oblasti ochrany utajovaných informací podle zákona o ochraně utajovaných informací a o bezpečnostní způsobilosti. Příjmy a výdaje Úřadu tvoří samostatnou kapitolu státního rozpočtu.

(2) V čele Úřadu je ředitel, kterého jmenuje po projednání ve výboru Poslanecké sněmovny příslušném ve věcech bezpečnosti vláda, která ho též odvolává.

(3) Ředitel Úřadu je odpovědný předsedovi vlády nebo pověřenému členovi vlády.

§ 22

Úřad

a) stanoví bezpečnostní opatření,

b) vydává opatření,

c) vykonává státní správu v oblasti bezpečnosti informačních a komunikačních systémů nakládajících s utajovanými informacemi a v oblasti kryptografické ochrany, zajišťuje činnost Národního střediska komunikační bezpečnosti, Národního střediska pro distribuci kryptografického materiálu, Národního střediska pro měření kompromitujícího vyzařování a Národního střediska pro bezpečnost informačních systémů, které jsou jeho součástí, a plní další úkoly v souladu se závazky vyplývajícími z členství České republiky v Evropské unii, Organizaci Severoatlantické smlouvy a z mezinárodních smluv, jimiž je Česká republika vázána, ve vybraných oblastech ochrany utajovaných informací,

d) vede evidence podle tohoto zákona a podle zákona o ochraně utajovaných informací,

e) ukládá správní tresty za nedodržení povinností stanovených tímto zákonem a zákonem o ochraně utajovaných informací a o bezpečnostní způsobilosti,

f) působí jako koordinační orgán ve stavu kybernetického nebezpečí,

g) spolupracuje s orgány a osobami, které působí v oblasti kybernetické bezpečnosti a kybernetické obrany, zejména s veřejnoprávními korporacemi, výzkumnými a vývojovými pracovišti a s ostatními pracovišti typu CERT, a s orgány a osobami, které působí ve vybraných oblastech ochrany utajovaných informací,

h) zajišťuje mezinárodní spolupráci v oblasti kybernetické bezpečnosti a ve vybraných oblastech ochrany utajovaných informací,

i) sjednává a uzavírá smlouvy o mezinárodní spolupráci v oblasti kybernetické bezpečnosti a ve vybraných oblastech ochrany utajovaných informací,

j) zajišťuje prevenci, vzdělávání a metodickou podporu v oblasti kybernetické bezpečnosti a ve vybraných oblastech ochrany utajovaných informací,

k) zajišťuje výzkum a vývoj v oblasti kybernetické bezpečnosti a ve vybraných oblastech ochrany utajovaných informací,

l) uzavírá veřejnoprávní smlouvu s provozovatelem národního CERT,

m) zasílá podle krizového zákona Ministerstvu vnitra návrh prvků kritické infrastruktury v odvětví komunikační a informační systémy v oblasti kybernetické bezpečnosti, jejichž provozovatelem je organizační složka státu,

n) určuje podle krizového zákona prvky kritické infrastruktury v odvětví komunikační a informační systémy v oblasti kybernetické bezpečnosti, pokud nejde o prvky uvedené v písmeni m),

o) ověřuje každé 2 roky aktuálnost určení prvků kritické infrastruktury podle písmen m) a n),

p) určuje provozovatele základní služby a informační systém základní služby,

q) zpracovává a vládě ke schválení předkládá národní strategii kybernetické bezpečnosti¹³) a akční plán k jejímu naplňování a tuto strategii aktualizuje nejméně každých 5 let,

r) je jednotným kontaktním místem pro zajištění přeshraniční spolupráce v oblasti kybernetické bezpečnosti v rámci Evropské unie,

s) je příslušným orgánem v České republice a plní informační povinnosti vůči Evropské komisi a skupině pro spolupráci podle příslušného předpisu Evropské unie¹⁴),

t) informuje veřejnost o kybernetickém bezpečnostním incidentu podle § 12 odst. 3,

u) provádí analýzu a monitoring kybernetických hrozeb a rizik,

v) vykonává působnost v oblasti veřejné regulované služby Evropského programu družicové navigace Galileo,

w) vydává Věstník Úřadu, který zveřejňuje na svých internetových stránkách,

x) plní další úkoly v oblasti kybernetické bezpečnosti stanovené tímto zákonem a ve vybraných oblastech ochrany utajovaných informací podle zákona o ochraně utajovaných informací a o bezpečnostní způsobilosti,

y) je orgánem certifikace kybernetické bezpečnosti podle čl. 58 aktu o kybernetické bezpečnosti¹⁷).

§ 22a

Určení provozovatele základní služby a informačního systému základní služby

(1) Úřad rozhodnutím určí provozovatele základní služby a informační systém základní služby, pokud naplní odvětvová a dopadová kritéria, která zohledňují významnost

a) služeb poskytovaných v jednotlivých odvětvích uvedených v § 2 písm. i) a

b) dopad kybernetického bezpečnostního incidentu zejména na

1. rozsah a kvalitu poskytování základní služby uživatelům, kteří jsou na ní závislí,

2. ekonomické a společenské činnosti a veřejnou bezpečnost,

3. vzájemnou závislost odvětví uvedených v § 2 písm. i).

Dopadová a odvětvová kritéria pro určení provozovatele základní služby a vymezení významnosti dopadu narušení základní služby na zabezpečení společenských nebo ekonomických činností stanoví prováděcí právní předpis.

(2) V případě, že Úřad zjistí, že orgán nebo osoba, které hodlá určit podle odstavce 1 jako provozovatele základní služby, poskytují danou službu i v jiném členském státě, provede před rozhodnutím ve věci konzultaci s příslušným orgánem dotčeného členského státu.

(3) Proti rozhodnutí Úřadu o určení provozovatele základní služby a informačního systému základní služby není rozklad přípustný.

(4) Úřad ověřuje nejméně každé 2 roky ode dne vydání rozhodnutí o určení provozovatele základní služby, zda jsou splněny podmínky pro určení provozovatele základní služby a informačního systému základní služby.

§ 22b

Autorizace subjektů posuzování shody podle aktu o kybernetické bezpečnosti

(1) Stanoví-li přímo použitelný předpis Evropské unie vydaný na základě aktu o kybernetické bezpečnosti konkrétní nebo dodatečné požadavky na subjekty posuzování shody s cílem zajistit jejich technickou způsobilost k hodnocení požadavků na kybernetickou bezpečnost, Úřad v souladu s čl. 58 odst. 7 písm. e) aktu o kybernetické bezpečnosti¹⁷) rozhoduje o žádostech o autorizaci subjektu posuzování shody, a pokud autorizovaný subjekt posuzování shody porušuje požadavky aktu o kybernetické bezpečnosti¹⁷) nebo přímo použitelného předpisu Evropské unie vydaného na základě aktu o kybernetické bezpečnosti, o pozastavení vykonatelnosti, o změně nebo o zrušení rozhodnutí o autorizaci.

(2) Subjekt posuzování shody v žádosti o autorizaci podle odstavce 1 doloží plnění konkrétních nebo dodatečných požadavků stanovených přímo použitelným předpisem Evropské unie vydaným na základě aktu o kybernetické bezpečnosti.

(3) V rozhodnutí o pozastavení vykonatelnosti rozhodnutí o autorizaci podle odstavce 1 stanoví Úřad lhůtu pro zjednání nápravy. Zjedná-li subjekt posuzování shody nápravu, sdělí tuto skutečnost bez zbytečného odkladu Úřadu. Shledá-li Úřad zjednání nápravy za dostačující, zruší rozhodnutí o pozastavení vykonatelnosti rozhodnutí o autorizaci. Jestliže autorizovaný subjekt posuzování shody ve stanovené lhůtě nezjedná nápravu, rozhodne Úřad o změně či zrušení rozhodnutí o autorizaci.

(4) Úřad rozhodne v řízení o žádosti o autorizaci podle odstavce 1 nejdéle do 120 dnů od zahájení řízení, v mimořádných případech do 180 dnů.

§ 22c

Zpracování osobních údajů

(1) Úřad a provozovatel národního CERT zpracovávají osobní údaje, jsou-li nezbytné pro výkon jejich působnosti. Tyto údaje Úřad a provozovatel národního CERT předávají orgánům veřejné moci nebo osobám, je-li to nezbytné pro plnění jejich úkolů.

(2) Úřad a provozovatel národního CERT při zpracování osobních údajů, na které se vztahuje nařízení Evropského parlamentu a Rady (EU) 2016/679,

a) nemusí omezit zpracování osobních údajů v případě, že subjekt údajů popírá jejich přesnost nebo vznesl námitku proti tomuto zpracování, a

b) může v rámci výkonu své působnosti využít osobní údaje i pro jiné účely, než pro které byly shromážděny.

(3) Pokud Úřad nebo provozovatel národního CERT v rámci činnosti, na kterou se vztahuje nařízení Evropského parlamentu a Rady (EU) 2016/679, při řešení kybernetického bezpečnostního incidentu nebo kybernetické bezpečnostní události anebo při prevenci kybernetických hrozeb nebo rizik obdrží osobní údaje, které zpracovává pouze za účelem plnění povinností podle tohoto zákona, po dobu plnění těchto povinností dále nemusí

a) poskytovat subjektu údajů informace o opravách nebo výmazech osobních údajů nebo omezení jejich zpracování,

b) zajistit přístup subjektu údajů k osobním údajům, nebo

c) opravit či doplnit osobní údaje na žádost subjektu údajů.

§ 23

Kontrola

(1) Úřad vykonává kontrolu v oblasti kybernetické bezpečnosti. Při výkonu kontroly Úřad zjišťuje, jak orgány a osoby uvedené v § 3 písm. a) až g) plní povinnosti stanovené tímto zákonem a rozhodnutími a opatřeními obecné povahy vydanými Úřadem podle tohoto zákona, a dodržují prováděcí právní předpisy v oblasti kybernetické bezpečnosti. Je-li důvodné podezření, že poskytovatel digitální služby neplní povinnosti stanovené tímto zákonem, provede u něj Úřad kontrolu.

(2) Při výkonu kontroly se postupuje přiměřeně podle kontrolního řádu.

(3) Kontrolu vykonávají pověření zaměstnanci Úřadu.

§ 24

Nápravná opatření

(1) Zjistí-li Úřad při kontrole nedostatky, uloží kontrolovanému orgánu nebo osobě, aby je ve stanovené lhůtě odstranila, popřípadě určí, jakým způsobem.

(2) Pokud je informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury, informační systém základní služby nebo významný informační systém pro zjištěné nedostatky bezprostředně ohrožen kybernetickým bezpečnostním incidentem, který jej může významně poškodit nebo zničit, může kontrolní orgán zakázat kontrolovanému orgánu nebo osobě používání tohoto systému anebo jeho části do doby, než bude zjištěný nedostatek odstraněn.

§ 24a

(1) Kontrolu činnosti Úřadu vykonává Poslanecká sněmovna, která k tomuto účelu zřizuje zvláštní kontrolní orgán (dále jen „kontrolní orgán“).

(2) Kontrolní orgán se skládá nejméně ze 7 členů. Poslanecká sněmovna stanoví počet členů tak, aby byl zastoupen každý poslanecký klub ustavený podle příslušnosti k politické straně nebo politickému hnutí, za něž poslanci kandidovali ve volbách; počet členů je vždy lichý. Členem kontrolního orgánu může být pouze poslanec Poslanecké sněmovny.

(3) Pokud tento zákon nestanoví jinak, vztahuje se na jednání kontrolního orgánu a na práva a povinnosti jeho členů přiměřeně jiný právní předpis¹⁵).

(4) Členové kontrolního orgánu mohou vstupovat v doprovodu ředitele Úřadu nebo jím pověřeného zaměstnance do objektů Úřadu.

(5) Ředitel Úřadu předkládá kontrolnímu orgánu

a) zprávu o činnosti Úřadu,

b) návrh rozpočtu Úřadu,

c) podklady potřebné ke kontrole plnění rozpočtu Úřadu,

d) vnitřní předpisy Úřadu,

e) na vyžádání zprávu o jednotlivých kybernetických bezpečnostních incidentech z kritické informační infrastruktury, významných informačních systémů a informačních systémů základní služby.

§ 24b

(1) Má-li kontrolní orgán za to, že činnost Úřadu nezákonně omezuje nebo poškozuje práva a svobody občanů nebo že rozhodovací činnost Úřadu v rámci správního řízení je stižena vadami, je oprávněn požadovat od ředitele Úřadu potřebné vysvětlení.

(2) Každé porušení zákona zaměstnancem Úřadu při plnění povinností podle tohoto zákona a ve vybraných oblastech podle zákona o ochraně utajovaných informací a o bezpečnostní způsobilosti, které kontrolní orgán zjistí při své činnosti, je povinen oznámit řediteli Úřadu a předsedovi vlády.

§ 24c

Povinnost zachovávat mlčenlivost uložená členům kontrolního orgánu podle zákona se nevztahuje na případy, kdy kontrolní orgán podává oznámení podle § 24b odst. 2.

§ 25

(1) Poskytovatel služby elektronických komunikací a subjekt zajišťující síť elektronických komunikací se dopustí přestupku tím, že

a) nesplní za stavu kybernetického nebezpečí nebo za nouzového stavu povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13,

b) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,

c) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo

d) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(2) Orgán nebo osoba zajišťující významnou síť se dopustí přestupku tím, že

a) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,

b) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 3,

c) nesplní za stavu kybernetického nebezpečí nebo za nouzového stavu povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13,

d) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,

e) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo

f) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(3) Správce informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že

a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,

b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,

c) jako orgán veřejné moci v rozporu s § 4 odst. 5 nezařadí poptávaný cloud computing do bezpečnostní úrovně, nezajistí dodržení bezpečnostních pravidel pro poskytování služeb cloud computingu nebo dodržení podmínek dostupnosti anebo uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 6,

d) neinformuje provozovatele systému podle § 4a odst. 1,

e) neinformuje subjekt zajišťující síť elektronických komunikací podle § 4a odst. 2,

f) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,

g) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,

h) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,

i) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,

j) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,

k) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo

l) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(4) Provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že

a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,

b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,

c) jako orgán veřejné moci v rozporu s § 4 odst. 5 nezařadí poptávaný cloud computing do bezpečnostní úrovně, nezajistí dodržení bezpečnostních pravidel pro poskytování služeb cloud computingu nebo dodržení podmínek dostupnosti anebo uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 6,

d) neinformuje subjekt zajišťující síť elektronických komunikací podle § 4a odst. 2,

e) nepředá data, provozní údaje a informace podle § 6a odst. 2,

f) nepředá data, provozní údaje a informace podle § 6a odst. 3,

g) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3,

h) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3,

i) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,

j) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,

k) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,

l) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,

m) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,

n) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1,

o) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo

p) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(5) Správce významného informačního systému se dopustí přestupku tím, že

a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,

b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,

c) jako orgán veřejné moci v rozporu s § 4 odst. 5 nezařadí poptávaný cloud computing do bezpečnostní úrovně, nezajistí dodržení bezpečnostních pravidel pro poskytování služeb cloud computingu nebo dodržení podmínek dostupnosti anebo uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 6,

d) neinformuje provozovatele systému podle § 4a odst. 1,

e) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,

f) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,

g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,

h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,

i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo

j) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(6) Provozovatel významného informačního systému se dopustí přestupku tím, že

a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,

b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,

c) jako orgán veřejné moci v rozporu s § 4 odst. 5 nezařadí poptávaný cloud computing do bezpečnostní úrovně, nezajistí dodržení bezpečnostních pravidel pro poskytování služeb cloud computingu nebo dodržení podmínek dostupnosti anebo uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 6,

d) nepředá data, provozní údaje a informace podle § 6a odst. 2,

e) nepředá data, provozní údaje a informace podle § 6a odst. 3,

f) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3,

g) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3,

h) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,

i) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,

j) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,

k) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,

l) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1,

m) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo

n) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(7) Správce informačního systému základní služby se dopustí přestupku tím, že

a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření nebo nevede bezpečnostní dokumentaci,

b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,

c) jako orgán veřejné moci v rozporu s § 4 odst. 5 nezařadí poptávaný cloud computing do bezpečnostní úrovně, nezajistí dodržení bezpečnostních pravidel pro poskytování služeb cloud computingu nebo dodržení podmínek dostupnosti anebo uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 6,

d) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,

e) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,

f) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,

g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,

h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,

i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo

j) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(8) Provozovatel informačního systému základní služby se dopustí přestupku tím, že

a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření nebo nevede bezpečnostní dokumentaci,

b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,

c) jako orgán veřejné moci v rozporu s § 4 odst. 5 nezařadí poptávaný cloud computing do bezpečnostní úrovně, nezajistí dodržení bezpečnostních pravidel pro poskytování služeb cloud computingu nebo dodržení podmínek dostupnosti anebo uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 6,

d) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,

e) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,

f) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,

g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,

h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,

i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo

j) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(9) Provozovatel základní služby se dopustí přestupku tím, že

a) jako orgán veřejné moci v rozporu s § 4 odst. 5 nezařadí poptávaný cloud computing do bezpečnostní úrovně, nezajistí dodržení bezpečnostních pravidel pro poskytování služeb cloud computingu nebo dodržení podmínek dostupnosti anebo uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 6,

b) neinformuje správce nebo provozovatele informačního systému základní služby podle § 4a odst. 3,

c) nenahlásí významný dopad na kontinuitu poskytování základní služby podle § 8 odst. 1, 4 nebo 8,

d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,

e) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo

f) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(10) Poskytovatel digitální služby se dopustí přestupku tím, že

a) neustaví svého zástupce podle § 3a odst. 1,

b) v rozporu s § 4 odst. 3 nezavede nebo neprovádí bezpečnostní opatření,

c) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 2 a 3,

d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,

e) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo

f) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(11) Výrobce nebo poskytovatel produktů, služeb nebo procesů vydávající EU prohlášení o shodě se dopustí přestupku tím, že

a) vydá EU prohlášení o shodě, ač pro jeho vydání nejsou splněny podmínky stanovené aktem o kybernetické bezpečnosti¹⁷),

b) neuchovává dokumenty a informace podle čl. 53 odst. 3 aktu o kybernetické bezpečnosti¹⁷),

c) nepředloží vyhotovení EU prohlášení o shodě Úřadu a agentuře ENISA podle čl. 53 odst. 3 aktu o kybernetické bezpečnosti¹⁷), nebo

d) neposkytuje informace o kybernetické bezpečnosti v rozsahu a způsobem uvedeným v čl. 55 aktu o kybernetické bezpečnosti¹⁷).

(12) Držitel evropského certifikátu kybernetické bezpečnosti se dopustí přestupku tím, že neinformuje příslušné subjekty posuzování shody o veškerých později zjištěných zranitelnostech nebo nesrovnalostech.

(13) Právnická nebo podnikající fyzická osoba se dopustí přestupku tím, že

a) zneužije známku nebo označení evropského systému certifikace kybernetické bezpečnosti, evropský certifikát kybernetické bezpečnosti, EU prohlášení o shodě anebo jiný dokument podle aktu o kybernetické bezpečnosti¹⁷),

b) padělá nebo pozmění evropský certifikát kybernetické bezpečnosti, EU prohlášení o shodě anebo jiný dokument podle aktu o kybernetické bezpečnosti¹⁷),

c) provede činnost posouzení shody podle aktu o kybernetické bezpečnosti¹⁷) na úroveň záruky „vysoká“, přestože k tomu není oprávněna podle čl. 56 odst. 6 aktu o kybernetické bezpečnosti¹⁷),

d) jako subjekt posuzování shody autorizovaný podle čl. 60 odst. 3 aktu o kybernetické bezpečnosti¹⁷) vydá evropský certifikát kybernetické bezpečnosti k produktu, procesu nebo službě, které nesplňují kritéria obsažená v přímo použitelném předpise Evropské unie vydaném na základě aktu o kybernetické bezpečnosti,

e) provede činnost posouzení shody, vyhrazenou přímo použitelným předpisem Evropské unie vydaným na základě aktu o kybernetické bezpečnosti autorizovanému subjektu posuzování shody, bez autorizace, nebo

f) vystupuje jako akreditovaný subjekt posuzování shody bez akreditace podle čl. 60 odst. 1 aktu o kybernetické bezpečnosti¹⁷) nebo mimo rozsah této akreditace.

(14) Za přestupek lze uložit pokutu do

a) 5 000 000 Kč, jde-li o přestupek podle odstavce 3 písm. a), odstavce 4 písm. a), odstavce 5 písm. a), odstavce 6 písm. a), odstavce 7 písm. a), odstavce 8 písm. a), odstavce 10 písm. b) anebo odstavce 12 nebo 13,

b) 1 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. a), b) nebo d), odstavce 2 písm. a) až d) nebo písm. f), odstavce 3 písm. b) až j) nebo písm. l), odstavce 4 písm. b) až n) nebo písm. p), odstavce 5 písm. b) až h) nebo písm. j), odstavce 6 písm. b) až l) nebo písm. n), odstavce 7 písm. b) až h) nebo písm. j), odstavce 8 písm. b) až h) nebo písm. j), odstavce 9 písm. a) až d) nebo písm. f), odstavce 10 písm. a), c), d) nebo f) nebo odstavce 11,

c) 10 000 Kč, jde-li o přestupek podle odstavce 1 písm. c), odstavce 2 písm. e), odstavce 3 písm. k), odstavce 4 písm. o), odstavce 5 písm. i), odstavce 6 písm. m), odstavce 7 písm. i), odstavce 8 písm. i), odstavce 9 písm. e) nebo odstavce 10 písm. e).

§ 26

(1) Fyzická osoba se dopustí přestupku tím, že poruší povinnost uvedenou v § 10 odst. 1.

(2) Za přestupek podle odstavce 1 lze uložit pokutu do 50 000 Kč.

§ 27

Společné ustanovení k přestupkům

Přestupky podle tohoto zákona projednává a pokuty vybírá Úřad.

§ 28

Zmocňovací ustanovení

(1) Úřad a Ministerstvo vnitra stanoví vyhláškou významné informační systémy a jejich určující kritéria podle § 6 písm. d).

(2) Úřad stanoví vyhláškou

a) obsah a strukturu bezpečnostní dokumentace, obsah bezpečnostních opatření a rozsah bezpečnostních opatření podle § 6 písm. a) až c) a obsah a rozsah bezpečnostních pravidel podle § 6 písm. e),

b) typy, kategorie a hodnocení významnosti kybernetických bezpečnostních incidentů a náležitosti a způsob hlášení kybernetického bezpečnostního incidentu podle § 8 odst. 7,

c) náležitosti oznámení o provedení reaktivního opatření a jeho výsledku podle § 13 odst. 4,

d) vzor oznámení kontaktních údajů a jeho formu podle § 16 odst. 7,

e) dopadová a odvětvová kritéria pro určení provozovatele základní služby a vymezení významnosti dopadu narušení základní služby na zabezpečení společenských nebo ekonomických činností podle § 22a odst. 1,

f) způsob likvidace dat, provozních údajů, informací a jejich kopií.

§ 29

(1) Orgány a osoby uvedené v § 3 písm. a) a b) oznámí kontaktní údaje podle § 16 nejpozději do 30 dnů ode dne nabytí účinnosti tohoto zákona.

(2) Orgány a osoby uvedené v § 3 písm. b) začnou plnit povinnost stanovenou v § 8 odst. 1 a 2 nejpozději do 1 roku ode dne nabytí účinnosti tohoto zákona.

§ 30

Orgány a osoby uvedené v § 3 písm. c), d) a f)

a) oznámí kontaktní údaje podle § 16 nejpozději do 30 dnů ode dne určení jejich informačního systému nebo komunikačního systému kritickou informační infrastrukturou nebo určení infomačního systému infomačním systémem základní služby,

b) začnou plnit povinnost stanovenou v § 8 odst. 1 a 4 nejpozději do 1 roku ode dne určení jejich informačního systému nebo komunikačního systému kritickou informační infrastrukturou nebo určení infomačního systému infomačním systémem základní služby a

c) zavedou bezpečnostní opatření podle § 4 odst. 2 nejpozději do 1 roku ode dne určení jejich informačního systému nebo komunikačního systému kritickou informační infrastrukturou nebo určení infomačního systému infomačním systémem základní služby.

§ 31

Orgány a osoby uvedené v § 3 písm. e)

a) oznámí kontaktní údaje podle § 16 nejpozději do 30 dnů ode dne naplnění určujících kritérií významného informačního systému jejich informačních systémů,

b) začnou plnit povinnost stanovenou v § 8 odst. 1 a 4 nejpozději do 1 roku ode dne naplnění určujících kritérií významného informačního systému a

c) zavedou bezpečnostní opatření podle § 4 odst. 2 nejpozději do 1 roku ode dne naplnění určujících kritérií významného informačního systému.

§ 32

Činnost národního CERT vykonává do doby, než nabude účinnosti veřejnoprávní smlouva uzavřená podle § 19, ten, kdo přede dnem nabytí účinnosti tohoto zákona vykonával činnost, kterou podle tohoto zákona vykonává národní CERT, nejdéle však do 2 let ode dne nabytí účinnosti tohoto zákona.

§ 33

Společná ustanovení

(1) Tento zákon se vztahuje pouze na takové informační nebo komunikační systémy zpravodajských služeb, které splňují podmínky pro určení kritické informační infrastruktury, a to v rozsahu § 12 a 16; ustanovení § 4 se na tyto systémy použije přiměřeně a Úřad je jako prvky kritické infrastruktury podle § 22 odst. 2 písm. m) nenavrhuje.

(2) Na informační systém Policie České republiky a Generální inspekce bezpečnostních sborů pro analytickou činnost v trestním řízení se tento zákon vztahuje pouze v rozsahu § 12 a 16; ustanovení § 4 se na tento systém použije přiměřeně. To neplatí, pokud je tento systém kritickou informační infrastrukturou.

(3) Tento zákon se vztahuje pouze na poskytovatele digitální služby, který je právnickou osobou a není mikropodnikem nebo malým podnikem¹⁶).

(4) Tento zákon se nevztahuje na poskytovatele digitální služby, který má sídlo v jiném členském státě.

§ 35

Zákon č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích), ve znění zákona č. 290/2005 Sb., zákona č. 361/2005 Sb., zákona č. 186/2006 Sb., zákona č. 235/2006 Sb., zákona č. 310/2006 Sb., zákona č. 110/2007 Sb., zákona č. 261/2007 Sb., zákona č. 304/2007 Sb., zákona č. 124/2008 Sb., zákona č. 177/2008 Sb., zákona č. 189/2008 Sb., zákona č. 247/2008 Sb., zákona č. 384/2008 Sb., zákona č. 227/2009 Sb., zákona č. 281/2009 Sb., zákona č. 153/2010 Sb., nálezu Ústavního soudu, vyhlášeného pod č. 94/2011 Sb., zákona č. 137/2011 Sb., zákona č. 341/2011 Sb., zákona č. 375/2011 Sb., zákona č. 420/2011 Sb., zákona č. 457/2011 Sb., zákona č. 458/2011 Sb., zákona č. 468/2011 Sb., zákona č. 18/2012 Sb., zákona č. 19/2012 Sb., zákona č. 142/2012 Sb., zákona č. 167/2012 Sb., zákona č. 273/2012 Sb., zákona č. 214/2013 Sb. a zákona č. 303/2013 Sb., se mění takto:

1. V § 89 se doplňuje odstavec 4, který včetně poznámky pod čarou č. 62 zní:

„(4) Podnikatel zajišťující veřejnou komunikační síť nebo poskytující veřejně dostupnou službu elektronických komunikací je povinen na žádost účastníka bezplatně a ve formě umožňující další elektronické zpracování dat poskytnout mu provozní a lokalizační údaje, které má k dispozici na základě tohoto zákona, pokud je nemohl účastník pro poruchu na jeho zařízení v důsledku kybernetického bezpečnostního incidentu⁶²) zachytit nebo uložit. Údaje podnikatel předá, je-li to technicky možné, bezodkladně, nejpozději však do 3 dnů ode dne doručení žádosti nebo v případě probíhající komunikace ode dne jejího uskutečnění.

⁶²) § 7 odst. 2 zákona č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti).“.

2. V § 118 odst. 14 písm. y) se slovo „nebo“ zrušuje.

3. V § 118 se na konci odstavce 14 tečka nahrazuje slovem „, nebo“ a doplňuje se písmeno ad), které zní:

„ad) v rozporu s § 89 odst. 4 neposkytne údaje, nebo je poskytne opožděně.“.

4. V § 118 odst. 22 písm. a) se slovo „nebo“ nahrazuje čárkou a na konci textu písmene a) se doplňují slova „nebo odstavce 14 písm. ad)“.

§ 37

V § 32 odst. 1 písm. k) zákona č. 231/2001 Sb., o provozování rozhlasového a televizního vysílání a o změně dalších zákonů, ve znění zákona č. 274/2003 Sb., se za slova „válečného stavu,“ vkládají slova „stavu kybernetického nebezpečí,“.

§ 38

Tento zákon nabývá účinnosti dnem 1. ledna 2015.