Zákon o právu na digitální služby a o změně některých zákonů

§ 24

Zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění zákona č. 104/2017 Sb., zákona č. 183/2017 Sb., zákona č. 205/2017 Sb., zákona č. 35/2018 Sb. a zákona č. 111/2019 Sb., se mění takto:

1. 1. V § 4 se na konci textu odstavce 6 doplňují slova „a realizaci bezpečnostní politiky odběratele“.
2. 2. V § 4 odst. 7 se za slova „vyplývajících z“ vkládají slova „bezpečnostní politiky,“.
3. 3. V § 5 odst. 2 písm. h) se slova „kritické informační infrastruktury nebo významného informačního systému“ zrušují.
4. 4. V § 5 odst. 2 písm. i) se slova „ke kritické informační infrastruktuře nebo k významnému informačnímu systému“ zrušují.
5. 5. V § 5 odst. 2 písm. j) a m) se slova „kritické informační infrastruktury a významných informačních systémů“ zrušují.
6. 6. V § 5 odst. 3 písm. f) se slova „kritické informační infrastruktury a významných informačních systémů, jejich“ nahrazují slovy „informačního nebo komunikačního systému, jeho“.
7. 7. V § 6 se na konci textu písmene e) doplňují slova „, včetně bezpečnostních úrovní pro využívání cloud computingu orgány veřejné moci“.
8. 8. V § 22 písmeno c) zní:
   1. „c) vykonává státní správu v oblasti bezpečnosti informačních a komunikačních systémů nakládajících s utajovanými informacemi a v oblasti kryptografické ochrany, zajišťuje činnost Národního střediska komunikační bezpečnosti, Národního střediska pro distribuci kryptografického materiálu, Národního střediska pro měření kompromitujícího vyzařování a Národního střediska pro bezpečnost informačních systémů, které jsou jeho součástí, a plní další úkoly v souladu se závazky vyplývajícími z členství České republiky v Evropské unii, Organizaci Severoatlantické smlouvy a z mezinárodních smluv, jimiž je Česká republika vázána, ve vybraných oblastech ochrany utajovaných informací,“.

1. 9. § 25 včetně skupinového nadpisu zní:

   „Přestupky

   § 25

   Odkaz § 25

   (1) Poskytovatel služby elektronických komunikací a subjekt zajišťující síť elektronických komunikací se dopustí přestupku tím, že

   1. a) nesplní za stavu kybernetického nebezpečí nebo za nouzového stavu povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13,
   2. b) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   3. c) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo
   4. d) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (2) Orgán nebo osoba zajišťující významnou síť se dopustí přestupku tím, že

   1. a) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   2. b) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 3,
   3. c) nesplní za stavu kybernetického nebezpečí nebo za nouzového stavu povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13,
   4. d) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   5. e) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo
   6. f) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (3) Správce informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že

   1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
   2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. d) neinformuje provozovatele systému podle § 4a odst. 1,
   5. e) neinformuje subjekt zajišťující síť elektronických komunikací podle § 4a odst. 2,
   6. f) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   7. g) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   8. h) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   9. i) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   10. j) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   11. k) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   12. l) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (4) Provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že

   1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
   2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. d) neinformuje subjekt zajišťující síť elektronických komunikací podle § 4a odst. 2,
   5. e) nepředá data, provozní údaje a informace podle § 6a odst. 2,
   6. f) nepředá data, provozní údaje a informace podle § 6a odst. 3,
   7. g) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3,
   8. h) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3,
   9. i) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   10. j) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   11. k) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   12. l) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   13. m) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   14. n) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1,
   15. o) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   16. p) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (5) Správce významného informačního systému se dopustí přestupku tím, že

   1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
   2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. d) neinformuje provozovatele systému podle § 4a odst. 1,
   5. e) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   6. f) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   7. g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   8. h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   9. i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   10. j) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (6) Provozovatel významného informačního systému se dopustí přestupku tím, že

   1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
   2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. d) nepředá data, provozní údaje a informace podle § 6a odst. 2,
   5. e) nepředá data, provozní údaje a informace podle § 6a odst. 3,
   6. f) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3,
   7. g) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3,
   8. h) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   9. i) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   10. j) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   11. k) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   12. l) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1,
   13. m) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   14. n) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (7) Správce informačního systému základní služby se dopustí přestupku tím, že

   1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření nebo nevede bezpečnostní dokumentaci,
   2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. d) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   5. e) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   6. f) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   7. g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   8. h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   9. i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   10. j) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (8) Provozovatel informačního systému základní služby se dopustí přestupku tím, že

   1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření nebo nevede bezpečnostní dokumentaci,
   2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. d) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   5. e) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   6. f) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   7. g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   8. h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   9. i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   10. j) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (9) Provozovatel základní služby se dopustí přestupku tím, že

   1. a) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   2. b) neinformuje správce nebo provozovatele informačního systému základní služby podle § 4a odst. 3,
   3. c) nenahlásí významný dopad na kontinuitu poskytování základní služby podle § 8 odst. 1, 4 nebo 8,
   4. d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   5. e) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   6. f) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (10) Poskytovatel digitální služby se dopustí přestupku tím, že

   1. a) neustaví svého zástupce podle § 3a odst. 1,
   2. b) v rozporu s § 4 odst. 3 nezavede nebo neprovádí bezpečnostní opatření,
   3. c) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 2 a 3,
   4. d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   5. e) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo
   6. f) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (11) Za přestupek lze uložit pokutu do

   1. a) 5 000 000 Kč, jde-li o přestupek podle odstavce 3 písm. a), odstavce 4 písm. a), odstavce 5 písm. a), odstavce 6 písm. a), odstavce 7 písm. a), odstavce 8 písm. a) nebo odstavce 10 písm. b),
   2. b) 1 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. a), b) nebo d), odstavce 2 písm. a) až d) nebo písm. f), odstavce 3 písm. b) až j) nebo písm. l), odstavce 4 písm. b) až n) nebo písm. p), odstavce 5 písm. b) až h) nebo písm. j), odstavce 6 písm. b) až l) nebo písm. n), odstavce 7 písm. b) až h) nebo písm. j), odstavce 8 písm. b) až h) nebo písm. j), odstavce 9 písm. a) až d) nebo písm. f) nebo odstavce 10 písm. a), c), d) nebo f),
   3. c) 10 000 Kč, jde-li o přestupek podle odstavce 1 písm. c), odstavce 2 písm. e), odstavce 3 písm. k), odstavce 4 písm. o), odstavce 5 písm. i), odstavce 6 písm. m), odstavce 7 písm. i), odstavce 8 písm. i), odstavce 9 písm. e) nebo odstavce 10 písm. e).“.

§ 25

Zákon č. 250/2017 Sb., o elektronické identifikaci, se mění takto:

1. 1. V § 9 se na konci odstavce 1 doplňuje věta „Ministerstvo stanoví vyhláškou pravidla pro výpočet minimálního limitu pojistného plnění.“.
2. 2. § 24 se včetně nadpisu zrušuje.

§ 26

Zrušují se:

1. 1. Vyhláška č. 469/2006 Sb., o formě a technických náležitostech předávání údajů do informačního systému o datových prvcích a o postupech Ministerstva informatiky a jiných orgánů veřejné správy při vedení, zápisu a vyhlašování datových prvků v informačním systému o datových prvcích (vyhláška o informačním systému o datových prvcích).
2. 2. Vyhláška č. 528/2006 Sb., o formě a technických náležitostech předávání údajů do informačního systému, který obsahuje základní informace o dostupnosti a obsahu zpřístupněných informačních systémů veřejné správy (vyhláška o informačním systému o informačních systémech veřejné správy).

§ 27