zákon o kybernetické bezpečnosti

§ 4

účinné od 1. 1. 2015(1) Bezpečnostním opatřením se rozumí souhrn úkonů, jejichž cílem je zajištění bezpečnosti informací v informačních systémech a dostupnosti a spolehlivosti služeb a sítí elektronických komunikací¹) v kybernetickém prostoru.

účinné od 1. 1. 2015(2) Orgány a osoby uvedené v § 3 písm. c) až e) jsou povinny v rozsahu nezbytném pro zajištění kybernetické bezpečnosti zavést a provádět bezpečnostní opatření pro informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury nebo významný informační systém a vést o nich bezpečnostní dokumentaci.

účinné od 1. 1. 2015(3) Orgány a osoby uvedené v § 3 písm. c) až e) jsou povinny zohlednit požadavky vyplývající z bezpečnostních opatření při výběru dodavatelů pro informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury nebo významný informační systém. Zohlednění požadavků vyplývajících z bezpečnostních opatření podle věty první v míře nezbytné pro splnění povinností podle tohoto zákona nelze považovat za nezákonné omezení hospodářské soutěže nebo neodůvodněnou překážku hospodářské soutěži.

§ 5

účinné od 1. 1. 2015(1) Bezpečnostními opatřeními jsou

1. účinné od 1. 1. 2015a) organizační opatření a
2. účinné od 1. 1. 2015b) technická opatření.

účinné od 1. 1. 2015(2) Organizačními opatřeními jsou

1. účinné od 1. 1. 2015a) systém řízení bezpečnosti informací,
2. účinné od 1. 1. 2015b) řízení rizik,
3. účinné od 1. 1. 2015c) bezpečnostní politika,
4. účinné od 1. 1. 2015d) organizační bezpečnost,
5. účinné od 1. 1. 2015e) stanovení bezpečnostních požadavků pro dodavatele,
6. účinné od 1. 1. 2015f) řízení aktiv,
7. účinné od 1. 1. 2015g) bezpečnost lidských zdrojů,
8. účinné od 1. 1. 2015h) řízení provozu a komunikací kritické informační infrastruktury nebo významného informačního systému,
9. účinné od 1. 1. 2015i) řízení přístupu osob ke kritické informační infrastruktuře nebo k významnému informačnímu systému,
10. účinné od 1. 1. 2015j) akvizice, vývoj a údržba kritické informační infrastruktury a významných informačních systémů,
11. účinné od 1. 1. 2015k) zvládání kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů,
12. účinné od 1. 1. 2015l) řízení kontinuity činností a
13. účinné od 1. 1. 2015m) kontrola a audit kritické informační infrastruktury a významných informačních systémů.

účinné od 1. 1. 2015(3) Technickými opatřeními jsou

1. účinné od 1. 1. 2015a) fyzická bezpečnost,
2. účinné od 1. 1. 2015b) nástroj pro ochranu integrity komunikačních sítí,
3. účinné od 1. 1. 2015c) nástroj pro ověřování identity uživatelů,
4. účinné od 1. 1. 2015d) nástroj pro řízení přístupových oprávnění,
5. účinné od 1. 1. 2015e) nástroj pro ochranu před škodlivým kódem,
6. účinné od 1. 1. 2015f) nástroj pro zaznamenávání činnosti kritické informační infrastruktury a významných informačních systémů, jejich uživatelů a administrátorů,
7. účinné od 1. 1. 2015g) nástroj pro detekci kybernetických bezpečnostních událostí,
8. účinné od 1. 1. 2015h) nástroj pro sběr a vyhodnocení kybernetických bezpečnostních událostí,
9. účinné od 1. 1. 2015i) aplikační bezpečnost,
10. účinné od 1. 1. 2015j) kryptografické prostředky,
11. účinné od 1. 1. 2015k) nástroj pro zajišťování úrovně dostupnosti informací a
12. účinné od 1. 1. 2015l) bezpečnost průmyslových a řídících systémů.

§ 6

účinné od 1. 1. 2015Prováděcí právní předpis stanoví

1. účinné od 1. 1. 2015a) obsah bezpečnostních opatření,
2. účinné od 1. 1. 2015b) obsah a strukturu bezpečnostní dokumentace,
3. účinné od 1. 1. 2015c) rozsah bezpečnostních opatření pro orgány a osoby uvedené v § 3 písm. c) až e) a
4. účinné od 1. 1. 2015d) významné informační systémy a jejich určující kritéria.

§ 7

účinné od 1. 1. 2015(1) Kybernetickou bezpečnostní událostí je událost, která může způsobit narušení bezpečnosti informací v informačních systémech nebo narušení bezpečnosti služeb anebo bezpečnosti a integrity sítí elektronických komunikací¹).

účinné od 1. 1. 2015(2) Kybernetickým bezpečnostním incidentem je narušení bezpečnosti informací v informačních systémech nebo narušení bezpečnosti služeb anebo bezpečnosti a integrity sítí elektronických komunikací¹) v důsledku kybernetické bezpečnostní události.

účinné od 1. 1. 2015(3) Orgány a osoby uvedené v § 3 písm. c) až e) jsou povinny detekovat kybernetické bezpečnostní události v jejich významné síti, informačním systému kritické informační infrastruktury, komunikačním systému kritické informační infrastruktury nebo významném informačním systému.

§ 8

účinné od 1. 1. 2015Hlášení kybernetického bezpečnostního incidentu

účinné od 1. 1. 2015(1) Orgány a osoby uvedené v § 3 písm. b) až e) jsou povinny hlásit kybernetické bezpečnostní incidenty v jejich významné síti, informačním systému kritické informační infrastruktury, komunikačním systému kritické informační infrastruktury nebo významném informačním systému, a to bezodkladně po jejich detekci; tím není dotčena informační povinnost podle jiného právního předpisu³).

účinné od 1. 1. 2015(2) Orgány a osoby uvedené v § 3 písm. b) hlásí kybernetické bezpečnostní incidenty provozovateli národního CERT.

účinné od 1. 1. 2015(3) Orgány a osoby uvedené v § 3 písm. c) až e) hlásí kybernetické bezpečnostní incidenty Národnímu bezpečnostnímu úřadu (dále jen „Úřad“).

účinné od 1. 1. 2015(4) Prováděcí právní předpis stanoví

1. účinné od 1. 1. 2015a) typy a kategorie kybernetických bezpečnostních incidentů a
2. účinné od 1. 1. 2015b) náležitosti a způsob hlášení kybernetického bezpečnostního incidentu.

§ 9

účinné od 1. 1. 2015(1) Úřad vede evidenci kybernetických bezpečnostních incidentů (dále jen „evidence incidentů“), která obsahuje

1. účinné od 1. 1. 2015a) hlášení kybernetického bezpečnostního incidentu,
2. účinné od 1. 1. 2015b) identifikační údaje systému, ve kterém se kybernetický bezpečnostní incident vyskytl,
3. účinné od 1. 1. 2015c) údaje o zdroji kybernetického bezpečnostního incidentu a
4. účinné od 1. 1. 2015d) postup při řešení kybernetického bezpečnostního incidentu a jeho výsledek.

účinné od 1. 1. 2015(2) Součástí evidence incidentů jsou údaje podle § 20 písm. f) až h).

účinné od 1. 1. 2015(3) Úřad poskytuje údaje z evidence incidentů orgánům veřejné moci pro výkon jejich působnosti.

účinné od 1. 1. 2015(4) Úřad může poskytovat údaje z evidence incidentů provozovateli národního CERT, orgánům vykonávajícím působnost v oblasti kybernetické bezpečnosti v zahraničí a jiným osobám působícím v oblasti kybernetické bezpečnosti v rozsahu nezbytném pro zajištění ochrany kybernetického prostoru.

§ 10

účinné od 1. 1. 2015(1) Zaměstnanci České republiky zařazení k výkonu práce v Úřadu, kteří se podílejí na řešení kybernetického bezpečnostního incidentu, jsou vázáni povinností mlčenlivosti o údajích z evidence incidentů. Povinnost mlčenlivosti trvá i po skončení pracovněprávního vztahu k Úřadu.

účinné od 1. 1. 2015(2) Ředitel Úřadu může osoby podle odstavce 1 zprostit povinnosti mlčenlivosti o údajích z evidence incidentů, s uvedením rozsahu údajů a rozsahu zproštění.

§ 11

účinné od 1. 1. 2015Opatření

účinné od 1. 1. 2015(1) Opatřeními se rozumí úkony, jichž je třeba k ochraně informačních systémů nebo služeb a sítí elektronických komunikací¹) před hrozbou v oblasti kybernetické bezpečnosti nebo před kybernetickým bezpečnostním incidentem anebo k řešení již nastalého kybernetického bezpečnostního incidentu.

účinné od 1. 1. 2015(2) Opatřeními jsou

1. účinné od 1. 1. 2015a) varování,
2. účinné od 1. 1. 2015b) reaktivní opatření a
3. účinné od 1. 1. 2015c) ochranné opatření.

účinné od 1. 1. 2015(3) Reaktivní opatření jsou povinny provádět

1. účinné od 1. 1. 2015a) orgány a osoby uvedené v § 3 písm. a) a b) za stavu kybernetického nebezpečí nebo za nouzového stavu⁴) vyhlášeného na základě žádosti podle § 21 odst. 6 a
2. účinné od 1. 1. 2015b) orgány a osoby uvedené v § 3 písm. c) až e).

účinné od 1. 1. 2015(4) Ochranné opatření jsou povinny provádět orgány a osoby uvedené v § 3 písm. c) až e).

§ 12

účinné od 1. 1. 2015Varování

účinné od 1. 1. 2015(1) Úřad vydá varování, dozví-li se zejména z vlastní činnosti nebo z podnětu provozovatele národního CERT anebo od orgánů, které vykonávají působnost v oblasti kybernetické bezpečnosti v zahraničí, o hrozbě v oblasti kybernetické bezpečnosti.

účinné od 1. 1. 2015(2) Varování Úřad zveřejní na svých internetových stránkách a oznámí je orgánům a osobám uvedeným v § 3, jejichž kontaktní údaje jsou vedeny v evidenci podle § 16 odst. 4.

§ 13

účinné od 1. 1. 2015(1) Úřad vydá rozhodnutí, ve kterém uloží provést reaktivní opatření k řešení kybernetického bezpečnostního incidentu anebo k zabezpečení informačních systémů nebo sítí a služeb elektronických komunikací¹) před kybernetickým bezpečnostním incidentem, které je prvním úkonem ve věci. Nepodaří-li se rozhodnutí adresátovi doručit do vlastních rukou do 3 dnů ode dne jeho vydání, doručí se mu tak, že se vyvěsí na úřední desce Úřadu a tímto okamžikem je vykonatelné. Rozhodnutí podle věty první může Úřad vydat i v řízení na místě podle správního řádu.

účinné od 1. 1. 2015(2) Rozklad podaný proti rozhodnutí podle odstavce 1 nemá odkladný účinek.

účinné od 1. 1. 2015(3) Má-li se reaktivní opatření k řešení kybernetického bezpečnostního incidentu anebo k zabezpečení informačních systémů nebo sítí a služeb elektronických komunikací¹) před kybernetickým bezpečnostním incidentem týkat blíže neurčeného okruhu orgánů nebo osob, vydá je Úřad formou opatření obecné povahy.

účinné od 1. 1. 2015(4) Orgány a osoby uvedené v § 3 jsou povinny bez zbytečného odkladu oznámit Úřadu provedení reaktivního opatření a jeho výsledek. Náležitosti oznámení stanoví prováděcí právní předpis.

§ 14

účinné od 1. 1. 2015(1) Úřad uloží za účelem zvýšení ochrany informačních systémů nebo služeb a sítí elektronických komunikací¹), na základě analýzy již vyřešeného kybernetického bezpečnostního incidentu, provést ochranné opatření formou opatření obecné povahy.

účinné od 1. 1. 2015(2) Opatřením obecné povahy Úřad orgánům a osobám uvedeným v § 3 písm. c) až e) stanoví způsob zvýšení ochrany informačních systémů nebo služeb a sítí elektronických komunikací¹) a lhůtu k jeho provedení.

§ 15

účinné od 1. 1. 2015(1) Opatření obecné povahy podle § 13 nebo 14 nabývá účinnosti okamžikem jeho vyvěšení na úřední desce Úřadu; ustanovení § 172 správního řádu se nepoužije. O vydání opatření obecné povahy Úřad rovněž vyrozumí orgány a osoby uvedené v § 3, jejichž kontaktní údaje jsou vedeny v evidenci podle § 16 odst. 4.

účinné od 1. 1. 2015(2) Připomínky k opatření obecné povahy vydanému podle § 13 nebo 14 lze uplatnit ve lhůtě 30 dnů ode dne jeho vyvěšení na úřední desce Úřadu. Úřad může na základě uplatněných připomínek opatření obecné povahy změnit nebo zrušit.

§ 16

účinné od 1. 1. 2015Kontaktní údaje

účinné od 1. 1. 2015(1) Kontaktními údaji jsou

1. účinné od 1. 1. 2015a) u právnické osoby obchodní firma nebo název, adresa sídla, identifikační číslo osoby nebo obdobné číslo přidělované v zahraničí,
2. účinné od 1. 1. 2015b) u podnikající fyzické osoby obchodní firma nebo jméno včetně odlišujícího dodatku nebo dalšího označení, adresa sídla a identifikační číslo osoby,
3. účinné od 1. 1. 2015c) u orgánu veřejné moci jeho název, adresa sídla, identifikační číslo osoby, bylo-li přiděleno, a identifikátor orgánu veřejné moci, pokud mu není přiděleno identifikační číslo osoby,

účinné od 1. 1. 2015a údaje o fyzické osobě, která je za orgán nebo osobu uvedené v § 3 oprávněna jednat ve věcech upravených tímto zákonem, a to jméno, příjmení, telefonní číslo a adresa elektronické pošty.

účinné od 1. 1. 2015(2) Kontaktní údaje a jejich změny oznamují

1. účinné od 1. 1. 2015a) orgány a osoby uvedené v § 3 písm. a) a b) provozovateli národního CERT a
2. účinné od 1. 1. 2015b) orgány a osoby uvedené v § 3 písm. c) až e) Úřadu.

účinné od 1. 1. 2015(3) Orgány a osoby uvedené v § 3 písm. c) až e) oznamují změny pouze těch údajů podle odstavce 1, které nejsou referenčními údaji vedenými v základních registrech, a to neprodleně.

účinné od 1. 1. 2015(4) Úřad vede evidenci kontaktních údajů, která obsahuje údaje uvedené v odstavci 1.

účinné od 1. 1. 2015(5) Úřad je za stavu kybernetického nebezpečí oprávněn vyžadovat kontaktní údaje shromážděné provozovatelem národního CERT podle odstavce 2 písm. a).

účinné od 1. 1. 2015(6) Vzor oznámení kontaktních údajů a jeho formu stanoví prováděcí právní předpis.

§ 17

účinné od 1. 1. 2015Národní CERT

účinné od 1. 1. 2015(1) Národní CERT zajišťuje v rozsahu stanoveném tímto zákonem sdílení informací na národní a mezinárodní úrovni v oblasti kybernetické bezpečnosti.

účinné od 1. 1. 2015(2) Provozovatel národního CERT

1. účinné od 1. 1. 2015a) přijímá oznámení kontaktních údajů od orgánů a osob uvedených v § 3 písm. a) a b) a tyto údaje eviduje a uchovává,
2. účinné od 1. 1. 2015b) přijímá hlášení o kybernetických bezpečnostních incidentech od orgánů a osob uvedených v § 3 písm. b) a tyto údaje eviduje, uchovává a chrání,
3. účinné od 1. 1. 2015c) vyhodnocuje kybernetické bezpečnostní incidenty u orgánů a osob uvedených v § 3 písm. b),
4. účinné od 1. 1. 2015d) poskytuje orgánům a osobám uvedeným v § 3 písm. a) a b) metodickou podporu, pomoc a součinnost při výskytu kybernetického bezpečnostního incidentu,
5. účinné od 1. 1. 2015e) působí jako kontaktní místo pro orgány a osoby uvedené v § 3 písm. a) a b),
6. účinné od 1. 1. 2015f) provádí hodnocení zranitelností v oblasti kybernetické bezpečnosti,
7. účinné od 1. 1. 2015g) předává Úřadu údaje o kybernetických bezpečnostních incidentech bez uvedení ohlašovatele kybernetického bezpečnostního incidentu a
8. účinné od 1. 1. 2015h) předává na vyžádání Úřadu za stavu kybernetického nebezpečí kontaktní údaje orgánů a osob uvedených v § 3 písm. a) a b).

účinné od 1. 1. 2015(3) Provozovatel národního CERT může vlastním jménem a na vlastní odpovědnost vykonávat i další hospodářskou činnost v oblasti kybernetické bezpečnosti neupravenou tímto zákonem, pokud tato činnost nenaruší plnění povinností uvedených v odstavci 2.

účinné od 1. 1. 2015(4) Provozovatel národního CERT při plnění povinností uvedených v odstavci 2 koordinuje svou činnost s Úřadem.

účinné od 1. 1. 2015(5) Provozovatel národního CERT musí při plnění povinností podle odstavce 2 postupovat nestranně.

§ 18

účinné od 1. 1. 2015Provozovatel národního CERT

účinné od 1. 1. 2015(1) Provozovatelem národního CERT se může stát pouze právnická osoba,

1. účinné od 1. 1. 2015a) která splňuje podmínky uvedené v odstavci 2 a
2. účinné od 1. 1. 2015b) se kterou Úřad uzavřel veřejnoprávní smlouvu podle § 19.

účinné od 1. 1. 2015(2) Provozovatelem národního CERT může být pouze právnická osoba, která

1. účinné od 1. 1. 2015a) nevyvíjí ani nevyvíjela činnost proti zájmu České republiky ve smyslu zákona upravujícího ochranu utajovaných informací,
2. účinné od 1. 1. 2015b) provozuje nebo spravuje informační systémy nebo služby a sítě elektronických komunikací¹) anebo se na jejich provozu a správě podílí, a to nejméně po dobu 5 let,
3. účinné od 1. 1. 2015c) má technické předpoklady v oblasti kybernetické bezpečnosti,
4. účinné od 1. 1. 2015d) je členem nadnárodní organizace působící v oblasti kybernetické bezpečnosti,
5. účinné od 1. 1. 2015e) nemá v evidenci daní u orgánů Finanční správy České republiky ani orgánů Celní správy České republiky ani v evidenci daní, pojistného na sociální zabezpečení a pojistného na veřejné zdravotní pojištění evidovány nedoplatky,
6. účinné od 1. 1. 2015f) nebyla pravomocně odsouzena za spáchání trestného činu uvedeného v § 7 zákona o trestní odpovědnosti právnických osob a řízení proti nim,
7. účinné od 1. 1. 2015g) není zahraniční osobou podle jiného právního předpisu a
8. účinné od 1. 1. 2015h) nebyla založena nebo zřízena výlučně za účelem dosažení zisku; tím není dotčena možnost provozovatele národního CERT postupovat podle § 17 odst. 3.

účinné od 1. 1. 2015(3) Zájemce prokazuje splnění podmínek předložením

1. účinné od 1. 1. 2015a) čestného prohlášení v případě odstavce 2 písm. a) až d), g) a h) a
2. účinné od 1. 1. 2015b) potvrzení orgánu Finanční správy České republiky a Celní správy České republiky v případě odstavce 2 písm. e).

účinné od 1. 1. 2015(4) Z obsahu čestného prohlášení podle odstavce 3 písm. a) musí být zřejmé, že uchazeč splňuje příslušné předpoklady. Potvrzení podle odstavce 3 písm. b), že uchazeč nemá v evidenci daní u orgánů Finanční správy České republiky ani orgánů Celní správy České republiky ani v evidenci daní, pojistného na sociální zabezpečení a pojistného na veřejné zdravotní pojištění evidovány nedoplatky, nesmí být starší než 30 dnů. Za účelem prokázání podmínky uvedené v odstavci 2 písm. f) si Úřad vyžádá výpis z evidence Rejstříku trestů podle jiného právního předpisu⁵).

účinné od 1. 1. 2015(5) Provozovatel národního CERT vykonává činnosti podle § 17 odst. 2 písm. a), b), c), e), g) a h) bezúplatně.

účinné od 1. 1. 2015(6) Úřad zveřejní na svých internetových stránkách údaje o provozovateli národního CERT, a to jeho obchodní firmu nebo název, adresu sídla, identifikační číslo osoby, identifikátor datové schránky a adresu jeho internetových stránek.

§ 19

účinné od 1. 1. 2015Veřejnoprávní smlouva

účinné od 1. 1. 2015(1) Úřad uzavírá veřejnoprávní smlouvu (dále jen „smlouva“) s právnickou osobou vybranou postupem podle § 163 odst. 4 správního řádu za účelem spolupráce v oblasti kybernetické bezpečnosti a zajištění činností podle § 17 odst. 2. Řízení o výběru žádosti vyhlašuje Úřad.

účinné od 1. 1. 2015(2) Smlouva obsahuje alespoň

1. účinné od 1. 1. 2015a) označení smluvních stran,
2. účinné od 1. 1. 2015b) vymezení předmětu smlouvy,
3. účinné od 1. 1. 2015c) práva a povinnosti smluvních stran,
4. účinné od 1. 1. 2015d) podmínky spolupráce smluvních stran,
5. účinné od 1. 1. 2015e) způsob a podmínky odstoupení smluvních stran od smlouvy,
6. účinné od 1. 1. 2015f) výpovědní lhůtu a výpovědní důvody,
7. účinné od 1. 1. 2015g) zákaz zneužití údajů získaných v souvislosti s výkonem činností uvedených v § 17 odst. 2,
8. účinné od 1. 1. 2015h) vymezení podmínek pro výkon činnosti národního CERT podle § 17 odst. 3 a
9. účinné od 1. 1. 2015i) způsob předání a rozsah údajů předávaných Úřadu v případě zániku závazku.

účinné od 1. 1. 2015(3) Smlouvu uzavřenou podle odstavce 1 Úřad zveřejňuje ve Věstníku Úřadu, s výjimkou těch částí smlouvy, jejichž zveřejnění neumožňuje jiný právní předpis.

účinné od 1. 1. 2015(4) Není-li uzavřena smlouva podle odstavce 1, nebo v případě zániku závazku, vykonává činnost národního CERT Úřad.