Zákon o právu na digitální služby a o změně některých zákonů

§ 21

Zákon č. 300/2008 Sb., o elektronických úkonech a autorizované konverzi dokumentů, ve znění zákona č. 190/2009 Sb., zákona č. 219/2009 Sb., zákona č. 227/2009 Sb., zákona č. 263/2011 Sb., zákona č. 167/2012 Sb., zákona č. 503/2012 Sb., zákona č. 192/2016 Sb., zákona č. 298/2016 Sb., zákona č. 299/2016 Sb., zákona č. 183/2017 Sb., zákona č. 255/2019 Sb. a zákona č. 279/2019 Sb., se mění takto:

1. 1. V § 1 odst. 1 písm. a) se za slovo „správy,“ vkládají slova „notářů a soudních exekutorů“.
2. 2. Nad § 9 se vkládá skupinový nadpis, který zní: „Prostředky k přístupu do datové schránky“.
3. 3. V § 9 se nadpis zrušuje.
4. 4. V § 9 odst. 3 se slova „se zaručenou identitou s využitím prostředku pro elektronickou identifikaci s vysokou úrovní záruky (dále jen „přístup s vysokou úrovní záruky“)“ nahrazují slovy „s využitím prostředku pro elektronickou identifikaci vydaným v rámci kvalifikovaného systému elektronické identifikace (dále jen „přístup pomocí kvalifikovaného prostředku“)“ a za slovy „k přihlášení“ se vkládají slova „a jejich náležitosti“.
5. 5. Za § 9 se vkládá nový § 9a, který zní:

   㤠9a

   Odkaz 㤠9a

   (1) Ministerstvo může vydávat elektronický prostředek podle § 9 odst. 3 rovněž jako prostředek pro elektronickou identifikaci určený v rámci jím spravovaného nebo stanoveného kvalifikovaného systému elektronické identifikace k autentizaci svého držitele v jiných případech, než je přihlášení do datové schránky.

   (2) Ministerstvo zajišťuje autentizaci držitele elektronického prostředku podle odstavce 1 při přihlášení do datové schránky. Správa základních registrů zajišťuje autentizaci držitele elektronického prostředku podle odstavce 1, je-li elektronický prostředek použit jako prostředek pro elektronickou identifikaci v jiných případech, než je přihlášení do datové schránky.

   (3) Ministerstvo zveřejní na svých internetových stránkách podmínky pro vydání a použití elektronického prostředku podle odstavce 1 jako prostředku pro elektronickou identifikaci určeného k autentizaci svého držitele v jiných případech, než je přihlášení do datové schránky, a doporučená bezpečnostní opatření spojená s takovým vydáním a použitím.“.

1. 6. V § 10 odst. 1 a 2 se slova „§ 27 odst. 5 nebo 6“ nahrazují textem „§ 27 odst. 4“.
2. 8. V § 27 odst. 2 se text „§ 8 odst. 1“ nahrazuje textem „§ 8 odst. 1 a 2“ a slova „prostřednictvím portálu veřejné správy s využitím přístupu s vysokou úrovní záruky nebo prostřednictvím informačního systému datových schránek s využitím přístupu s vysokou úrovní záruky“ se nahrazují slovy „s využitím přístupu pomocí kvalifikovaného prostředku“.
3. 9. V § 27 se odstavec 3 zrušuje.

   Dosavadní odstavce 4 až 7 se označují jako odstavce 3 až 6.

1. 10. V § 27 odst. 4 se za text „§ 3 odst. 4“ vkládá text „a § 4 odst. 5“, za slovem „osobou“ se vkládají slova „nebo podnikající fyzickou osobou“, za slovem „osoby“ se vkládají slova „nebo datová schránka podnikající fyzické osoby“ a slova „prostřednictvím portálu veřejné správy s využitím přístupu s vysokou úrovní záruky nebo prostřednictvím informačního systému datových schránek s využitím přístupu s vysokou úrovní záruky“ se nahrazují slovy „s využitím přístupu pomocí kvalifikovaného prostředku“.
2. 11. V § 27 se odstavec 5 zrušuje.

   Dosavadní odstavec 6 se označuje jako odstavec 5.

§ 22

Zákon č. 111/2009 Sb., o základních registrech, ve znění zákona č. 100/2010 Sb., zákona č. 424/2010 Sb., zákona č. 263/2011 Sb., zákona č. 167/2012 Sb., zákona č. 303/2013 Sb., zákona č. 312/2013 Sb., zákona č. 192/2016 Sb., zákona č. 298/2016 Sb., zákona č. 456/2016 Sb., zákona č. 460/2016 Sb., zákona č. 251/2017 Sb., zákona č. 303/2017 Sb. a zákona č. 279/2019 Sb., se mění takto:

1. 3. V § 2 písm. c) se slovo „a“ nahrazuje čárkou.
2. 4. V § 2 se na konci textu písmene c) doplňují slova „, notář, soudní exekutor a archiv“.
3. 92. V § 53 se doplňuje odstavec 5, který zní:

   „(5) Není-li orgán veřejné moci příslušný k ohlášení agendy podle odstavců 1 až 3 dosud zřízen, ohlásí agendu ústřední správní úřad, jehož oblasti působnosti je tato agenda nejbližší, a není-li ho, Ministerstvo vnitra.“.

§ 23

Přechodná ustanovení

§ 24

Zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění zákona č. 104/2017 Sb., zákona č. 183/2017 Sb., zákona č. 205/2017 Sb., zákona č. 35/2018 Sb. a zákona č. 111/2019 Sb., se mění takto:

1. 1. V § 4 se na konci textu odstavce 6 doplňují slova „a realizaci bezpečnostní politiky odběratele“.
2. 2. V § 4 odst. 7 se za slova „vyplývajících z“ vkládají slova „bezpečnostní politiky,“.
3. 3. V § 5 odst. 2 písm. h) se slova „kritické informační infrastruktury nebo významného informačního systému“ zrušují.
4. 4. V § 5 odst. 2 písm. i) se slova „ke kritické informační infrastruktuře nebo k významnému informačnímu systému“ zrušují.
5. 5. V § 5 odst. 2 písm. j) a m) se slova „kritické informační infrastruktury a významných informačních systémů“ zrušují.
6. 6. V § 5 odst. 3 písm. f) se slova „kritické informační infrastruktury a významných informačních systémů, jejich“ nahrazují slovy „informačního nebo komunikačního systému, jeho“.
7. 7. V § 6 se na konci textu písmene e) doplňují slova „, včetně bezpečnostních úrovní pro využívání cloud computingu orgány veřejné moci“.
8. 8. V § 22 písmeno c) zní:
   1. „c) vykonává státní správu v oblasti bezpečnosti informačních a komunikačních systémů nakládajících s utajovanými informacemi a v oblasti kryptografické ochrany, zajišťuje činnost Národního střediska komunikační bezpečnosti, Národního střediska pro distribuci kryptografického materiálu, Národního střediska pro měření kompromitujícího vyzařování a Národního střediska pro bezpečnost informačních systémů, které jsou jeho součástí, a plní další úkoly v souladu se závazky vyplývajícími z členství České republiky v Evropské unii, Organizaci Severoatlantické smlouvy a z mezinárodních smluv, jimiž je Česká republika vázána, ve vybraných oblastech ochrany utajovaných informací,“.

1. 9. § 25 včetně skupinového nadpisu zní:

   „Přestupky

   § 25

   Odkaz § 25

   (1) Poskytovatel služby elektronických komunikací a subjekt zajišťující síť elektronických komunikací se dopustí přestupku tím, že

   1. a) nesplní za stavu kybernetického nebezpečí nebo za nouzového stavu povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13,
   2. b) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   3. c) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo
   4. d) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (2) Orgán nebo osoba zajišťující významnou síť se dopustí přestupku tím, že

   1. a) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   2. b) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 3,
   3. c) nesplní za stavu kybernetického nebezpečí nebo za nouzového stavu povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13,
   4. d) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   5. e) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo
   6. f) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (3) Správce informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že

   1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
   2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. d) neinformuje provozovatele systému podle § 4a odst. 1,
   5. e) neinformuje subjekt zajišťující síť elektronických komunikací podle § 4a odst. 2,
   6. f) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   7. g) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   8. h) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   9. i) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   10. j) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   11. k) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   12. l) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (4) Provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že

   1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
   2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. d) neinformuje subjekt zajišťující síť elektronických komunikací podle § 4a odst. 2,
   5. e) nepředá data, provozní údaje a informace podle § 6a odst. 2,
   6. f) nepředá data, provozní údaje a informace podle § 6a odst. 3,
   7. g) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3,
   8. h) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3,
   9. i) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   10. j) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   11. k) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   12. l) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   13. m) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   14. n) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1,
   15. o) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   16. p) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (5) Správce významného informačního systému se dopustí přestupku tím, že

   1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
   2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. d) neinformuje provozovatele systému podle § 4a odst. 1,
   5. e) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   6. f) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   7. g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   8. h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   9. i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   10. j) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (6) Provozovatel významného informačního systému se dopustí přestupku tím, že

   1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
   2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. d) nepředá data, provozní údaje a informace podle § 6a odst. 2,
   5. e) nepředá data, provozní údaje a informace podle § 6a odst. 3,
   6. f) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3,
   7. g) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3,
   8. h) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   9. i) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   10. j) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   11. k) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   12. l) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1,
   13. m) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   14. n) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (7) Správce informačního systému základní služby se dopustí přestupku tím, že

   1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření nebo nevede bezpečnostní dokumentaci,
   2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. d) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   5. e) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   6. f) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   7. g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   8. h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   9. i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   10. j) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (8) Provozovatel informačního systému základní služby se dopustí přestupku tím, že

   1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření nebo nevede bezpečnostní dokumentaci,
   2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
   3. c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   4. d) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
   5. e) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   6. f) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   7. g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   8. h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
   9. i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   10. j) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (9) Provozovatel základní služby se dopustí přestupku tím, že

   1. a) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6,
   2. b) neinformuje správce nebo provozovatele informačního systému základní služby podle § 4a odst. 3,
   3. c) nenahlásí významný dopad na kontinuitu poskytování základní služby podle § 8 odst. 1, 4 nebo 8,
   4. d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   5. e) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   6. f) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (10) Poskytovatel digitální služby se dopustí přestupku tím, že

   1. a) neustaví svého zástupce podle § 3a odst. 1,
   2. b) v rozporu s § 4 odst. 3 nezavede nebo neprovádí bezpečnostní opatření,
   3. c) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 2 a 3,
   4. d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   5. e) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo
   6. f) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   (11) Za přestupek lze uložit pokutu do

   1. a) 5 000 000 Kč, jde-li o přestupek podle odstavce 3 písm. a), odstavce 4 písm. a), odstavce 5 písm. a), odstavce 6 písm. a), odstavce 7 písm. a), odstavce 8 písm. a) nebo odstavce 10 písm. b),
   2. b) 1 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. a), b) nebo d), odstavce 2 písm. a) až d) nebo písm. f), odstavce 3 písm. b) až j) nebo písm. l), odstavce 4 písm. b) až n) nebo písm. p), odstavce 5 písm. b) až h) nebo písm. j), odstavce 6 písm. b) až l) nebo písm. n), odstavce 7 písm. b) až h) nebo písm. j), odstavce 8 písm. b) až h) nebo písm. j), odstavce 9 písm. a) až d) nebo písm. f) nebo odstavce 10 písm. a), c), d) nebo f),
   3. c) 10 000 Kč, jde-li o přestupek podle odstavce 1 písm. c), odstavce 2 písm. e), odstavce 3 písm. k), odstavce 4 písm. o), odstavce 5 písm. i), odstavce 6 písm. m), odstavce 7 písm. i), odstavce 8 písm. i), odstavce 9 písm. e) nebo odstavce 10 písm. e).“.

§ 25

Zákon č. 250/2017 Sb., o elektronické identifikaci, se mění takto:

1. 1. V § 9 se na konci odstavce 1 doplňuje věta „Ministerstvo stanoví vyhláškou pravidla pro výpočet minimálního limitu pojistného plnění.“.

§ 27