Zákon o právu na digitální služby a o změně některých zákonů

§ 24

účinné od 1. 2. 2020Zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění zákona č. 104/2017 Sb., zákona č. 183/2017 Sb., zákona č. 205/2017 Sb., zákona č. 35/2018 Sb. a zákona č. 111/2019 Sb., se mění takto:

1. účinné od 1. 2. 20201. V § 4 se na konci textu odstavce 6 doplňují slova „a realizaci bezpečnostní politiky odběratele“.
2. účinné od 1. 2. 20202. V § 4 odst. 7 se za slova „vyplývajících z“ vkládají slova „bezpečnostní politiky,“.
3. účinné od 1. 2. 20203. V § 5 odst. 2 písm. h) se slova „kritické informační infrastruktury nebo významného informačního systému“ zrušují.
4. účinné od 1. 2. 20204. V § 5 odst. 2 písm. i) se slova „ke kritické informační infrastruktuře nebo k významnému informačnímu systému“ zrušují.
5. účinné od 1. 2. 20205. V § 5 odst. 2 písm. j) a m) se slova „kritické informační infrastruktury a významných informačních systémů“ zrušují.
6. účinné od 1. 2. 20206. V § 5 odst. 3 písm. f) se slova „kritické informační infrastruktury a významných informačních systémů, jejich“ nahrazují slovy „informačního nebo komunikačního systému, jeho“.
7. účinné od 1. 2. 20207. V § 6 se na konci textu písmene e) doplňují slova „, včetně bezpečnostních úrovní pro využívání cloud computingu orgány veřejné moci“.
8. účinné od 1. 2. 20208. V § 22 písmeno c) zní:
   účinné od 1. 2. 2020

   1. účinné od 1. 2. 2020„c) vykonává státní správu v oblasti bezpečnosti informačních a komunikačních systémů nakládajících s utajovanými informacemi a v oblasti kryptografické ochrany, zajišťuje činnost Národního střediska komunikační bezpečnosti, Národního střediska pro distribuci kryptografického materiálu, Národního střediska pro měření kompromitujícího vyzařování a Národního střediska pro bezpečnost informačních systémů, které jsou jeho součástí, a plní další úkoly v souladu se závazky vyplývajícími z členství České republiky v Evropské unii, Organizaci Severoatlantické smlouvy a z mezinárodních smluv, jimiž je Česká republika vázána, ve vybraných oblastech ochrany utajovaných informací,“.

1. účinné od 1. 2. 20209. § 25 včetně skupinového nadpisu zní:
   účinné od 1. 2. 2020

   účinné od 1. 2. 2020„Přestupky

   § 25

   Odkaz účinné od 1. 2. 2020§ 25

   účinné od 1. 2. 2020(1) Poskytovatel služby elektronických komunikací a subjekt zajišťující síť elektronických komunikací se dopustí přestupku tím, že

   1. účinné od 1. 2. 2020a) nesplní za stavu kybernetického nebezpečí nebo za nouzového stavu povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13,
   2. účinné od 1. 2. 2020b) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   3. účinné od 1. 2. 2020c) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo
   4. účinné od 1. 2. 2020d) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   účinné od 1. 2. 2020(2) Orgán nebo osoba zajišťující významnou síť se dopustí přestupku tím, že

   1. účinné od 1. 2. 2020a) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   2. účinné od 1. 2. 2020b) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 3,
   3. účinné od 1. 2. 2020c) nesplní za stavu kybernetického nebezpečí nebo za nouzového stavu povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13,
   4. účinné od 1. 2. 2020d) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   5. účinné od 1. 2. 2020e) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo
   6. účinné od 1. 2. 2020f) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   účinné od 1. 2. 2020(3) Správce informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že

   1. účinné od 1. 2. 2020a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
   2. účinné od 1. 2. 2020b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. účinné od 1. 2. 2020c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. účinné od 1. 2. 2020d) neinformuje provozovatele systému podle § 4a odst. 1,
   5. účinné od 1. 2. 2020e) neinformuje subjekt zajišťující síť elektronických komunikací podle § 4a odst. 2,
   6. účinné od 1. 2. 2020f) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   7. účinné od 1. 2. 2020g) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   8. účinné od 1. 2. 2020h) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   9. účinné od 1. 2. 2020i) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   10. účinné od 1. 2. 2020j) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   11. účinné od 1. 2. 2020k) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   12. účinné od 1. 2. 2020l) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   účinné od 1. 2. 2020(4) Provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že

   1. účinné od 1. 2. 2020a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
   2. účinné od 1. 2. 2020b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. účinné od 1. 2. 2020c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. účinné od 1. 2. 2020d) neinformuje subjekt zajišťující síť elektronických komunikací podle § 4a odst. 2,
   5. účinné od 1. 2. 2020e) nepředá data, provozní údaje a informace podle § 6a odst. 2,
   6. účinné od 1. 2. 2020f) nepředá data, provozní údaje a informace podle § 6a odst. 3,
   7. účinné od 1. 2. 2020g) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3,
   8. účinné od 1. 2. 2020h) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3,
   9. účinné od 1. 2. 2020i) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   10. účinné od 1. 2. 2020j) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   11. účinné od 1. 2. 2020k) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   12. účinné od 1. 2. 2020l) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   13. účinné od 1. 2. 2020m) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   14. účinné od 1. 2. 2020n) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1,
   15. účinné od 1. 2. 2020o) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   16. účinné od 1. 2. 2020p) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   účinné od 1. 2. 2020(5) Správce významného informačního systému se dopustí přestupku tím, že

   1. účinné od 1. 2. 2020a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
   2. účinné od 1. 2. 2020b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. účinné od 1. 2. 2020c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. účinné od 1. 2. 2020d) neinformuje provozovatele systému podle § 4a odst. 1,
   5. účinné od 1. 2. 2020e) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   6. účinné od 1. 2. 2020f) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   7. účinné od 1. 2. 2020g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   8. účinné od 1. 2. 2020h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   9. účinné od 1. 2. 2020i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   10. účinné od 1. 2. 2020j) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   účinné od 1. 2. 2020(6) Provozovatel významného informačního systému se dopustí přestupku tím, že

   1. účinné od 1. 2. 2020a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
   2. účinné od 1. 2. 2020b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. účinné od 1. 2. 2020c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. účinné od 1. 2. 2020d) nepředá data, provozní údaje a informace podle § 6a odst. 2,
   5. účinné od 1. 2. 2020e) nepředá data, provozní údaje a informace podle § 6a odst. 3,
   6. účinné od 1. 2. 2020f) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3,
   7. účinné od 1. 2. 2020g) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3,
   8. účinné od 1. 2. 2020h) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   9. účinné od 1. 2. 2020i) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   10. účinné od 1. 2. 2020j) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   11. účinné od 1. 2. 2020k) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   12. účinné od 1. 2. 2020l) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1,
   13. účinné od 1. 2. 2020m) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   14. účinné od 1. 2. 2020n) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   účinné od 1. 2. 2020(7) Správce informačního systému základní služby se dopustí přestupku tím, že

   1. účinné od 1. 2. 2020a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření nebo nevede bezpečnostní dokumentaci,
   2. účinné od 1. 2. 2020b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. účinné od 1. 2. 2020c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. účinné od 1. 2. 2020d) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   5. účinné od 1. 2. 2020e) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   6. účinné od 1. 2. 2020f) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   7. účinné od 1. 2. 2020g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   8. účinné od 1. 2. 2020h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   9. účinné od 1. 2. 2020i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   10. účinné od 1. 2. 2020j) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   účinné od 1. 2. 2020(8) Provozovatel informačního systému základní služby se dopustí přestupku tím, že

   1. účinné od 1. 2. 2020a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření nebo nevede bezpečnostní dokumentaci,
   2. účinné od 1. 2. 2020b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. účinné od 1. 2. 2020c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. účinné od 1. 2. 2020d) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   5. účinné od 1. 2. 2020e) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   6. účinné od 1. 2. 2020f) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   7. účinné od 1. 2. 2020g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   8. účinné od 1. 2. 2020h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   9. účinné od 1. 2. 2020i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   10. účinné od 1. 2. 2020j) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   účinné od 1. 2. 2020(9) Provozovatel základní služby se dopustí přestupku tím, že

   1. účinné od 1. 2. 2020a) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   2. účinné od 1. 2. 2020b) neinformuje správce nebo provozovatele informačního systému základní služby podle § 4a odst. 3,
   3. účinné od 1. 2. 2020c) nenahlásí významný dopad na kontinuitu poskytování základní služby podle § 8 odst. 1, 4 nebo 8,
   4. účinné od 1. 2. 2020d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   5. účinné od 1. 2. 2020e) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   6. účinné od 1. 2. 2020f) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   účinné od 1. 2. 2020(10) Poskytovatel digitální služby se dopustí přestupku tím, že

   1. účinné od 1. 2. 2020a) neustaví svého zástupce podle § 3a odst. 1,
   2. účinné od 1. 2. 2020b) v rozporu s § 4 odst. 3 nezavede nebo neprovádí bezpečnostní opatření,
   3. účinné od 1. 2. 2020c) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 2 a 3,
   4. účinné od 1. 2. 2020d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   5. účinné od 1. 2. 2020e) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo
   6. účinné od 1. 2. 2020f) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   účinné od 1. 2. 2020(11) Za přestupek lze uložit pokutu do

   1. účinné od 1. 2. 2020a) 5 000 000 Kč, jde-li o přestupek podle odstavce 3 písm. a), odstavce 4 písm. a), odstavce 5 písm. a), odstavce 6 písm. a), odstavce 7 písm. a), odstavce 8 písm. a) nebo odstavce 10 písm. b),
   2. účinné od 1. 2. 2020b) 1 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. a), b) nebo d), odstavce 2 písm. a) až d) nebo písm. f), odstavce 3 písm. b) až j) nebo písm. l), odstavce 4 písm. b) až n) nebo písm. p), odstavce 5 písm. b) až h) nebo písm. j), odstavce 6 písm. b) až l) nebo písm. n), odstavce 7 písm. b) až h) nebo písm. j), odstavce 8 písm. b) až h) nebo písm. j), odstavce 9 písm. a) až d) nebo písm. f) nebo odstavce 10 písm. a), c), d) nebo f),
   3. účinné od 1. 2. 2020c) 10 000 Kč, jde-li o přestupek podle odstavce 1 písm. c), odstavce 2 písm. e), odstavce 3 písm. k), odstavce 4 písm. o), odstavce 5 písm. i), odstavce 6 písm. m), odstavce 7 písm. i), odstavce 8 písm. i), odstavce 9 písm. e) nebo odstavce 10 písm. e).“.

§ 25

účinné od 1. 2. 2020Zákon č. 250/2017 Sb., o elektronické identifikaci, se mění takto:

1. účinné od 1. 2. 20201. V § 9 se na konci odstavce 1 doplňuje věta „Ministerstvo stanoví vyhláškou pravidla pro výpočet minimálního limitu pojistného plnění.“.
2. účinné od 1. 2. 20222. § 24 se včetně nadpisu zrušuje.

§ 26

účinné od 1. 8. 2020Zrušují se:

1. účinné od 1. 8. 20201. Vyhláška č. 469/2006 Sb., o formě a technických náležitostech předávání údajů do informačního systému o datových prvcích a o postupech Ministerstva informatiky a jiných orgánů veřejné správy při vedení, zápisu a vyhlašování datových prvků v informačním systému o datových prvcích (vyhláška o informačním systému o datových prvcích).
2. účinné od 1. 8. 20202. Vyhláška č. 528/2006 Sb., o formě a technických náležitostech předávání údajů do informačního systému, který obsahuje základní informace o dostupnosti a obsahu zpřístupněných informačních systémů veřejné správy (vyhláška o informačním systému o informačních systémech veřejné správy).

§ 27