zákon o kybernetické bezpečnosti

§ 21

účinné od 1. 1. 2015(1) Stavem kybernetického nebezpečí se rozumí stav, ve kterém je ve velkém rozsahu ohrožena bezpečnost informací v informačních systémech nebo bezpečnost a integrita služeb nebo sítí elektronických komunikací¹), a tím by mohlo dojít k porušení nebo došlo k ohrožení zájmu České republiky ve smyslu zákona upravujícího ochranu utajovaných informací.

účinné od 1. 1. 2015(2) O vyhlášení stavu kybernetického nebezpečí rozhoduje ředitel Úřadu. Rozhodnutí o vyhlášení stavu kybernetického nebezpečí se vyhlašuje vyvěšením na úřední desce Úřadu. Informace o vyhlášení stavu kybernetického nebezpečí se zveřejňuje v celoplošném rozhlasovém a televizním vysílání. Provozovatel celoplošného televizního nebo rozhlasového vysílání je povinen bez náhrady nákladů na základě žádosti Úřadu neprodleně a bez úpravy obsahu a smyslu uveřejnit informace o vyhlášení stavu kybernetického nebezpečí.

účinné od 1. 1. 2015(3) Rozhodnutí o vyhlášení stavu kybernetického nebezpečí nabývá účinnosti okamžikem, který se v rozhodnutí stanoví. Stav kybernetického nebezpečí se vyhlašuje na dobu nezbytně nutnou, nejdéle však na 7 dnů. Uvedenou dobu může ředitel Úřadu prodloužit; souhrnná doba trvání vyhlášeného stavu kybernetického nebezpečí nesmí být delší než 30 dnů.

účinné od 1. 1. 2015(4) V průběhu vyhlášeného stavu kybernetického nebezpečí ředitel Úřadu informuje vládu o postupech při řešení stavu kybernetického nebezpečí a o aktuálním stavu hrozeb, které vedly k vyhlášení stavu kybernetického nebezpečí. Za stavu kybernetického nebezpečí a za nouzového stavu⁴) v případech podle odstavce 6 je Úřad oprávněn vydat rozhodnutí nebo opatření obecné povahy podle § 13 rovněž orgánům a osobám uvedeným v § 3 písm. a) a b).

účinné od 1. 1. 2015(5) Stav kybernetického nebezpečí nelze vyhlásit v případě, kdy ohrožení bezpečnosti informací v informačních systémech nebo bezpečnosti služeb anebo bezpečnosti a integrity sítí elektronických komunikací¹) lze odvrátit činností Úřadu podle tohoto zákona.

účinné od 1. 1. 2015(6) Není-li možné odvrátit ohrožení bezpečnosti informací v informačních systémech nebo bezpečnosti služeb anebo bezpečnosti a integrity sítí elektronických komunikací¹) v rámci stavu kybernetického nebezpečí, ředitel Úřadu neprodleně požádá vládu o vyhlášení nouzového stavu⁴). Rozhodnutí a opatření obecné povahy vydaná Úřadem podle § 13 před vyhlášením nouzového stavu zůstávají v platnosti, pokud tato opatření nejsou v rozporu s krizovými opatřeními vyhlášenými vládou.

účinné od 1. 1. 2015(7) Stav kybernetického nebezpečí končí uplynutím doby, na kterou byl vyhlášen, pokud ředitel Úřadu nerozhodne o jeho zrušení před uplynutím této doby, nebo vyhlášením nouzového stavu⁴).

§ 22

účinné od 1. 1. 2015(1) Státní správu v oblasti kybernetické bezpečnosti vykonává Úřad, nestanoví-li zákon jinak.

účinné od 1. 1. 2015(2) Úřad

1. účinné od 1. 1. 2015a) stanoví bezpečnostní opatření,
2. účinné od 1. 1. 2015b) vydává opatření,
3. účinné od 1. 1. 2015c) zajišťuje činnost Národního centra kybernetické bezpečnosti,
4. účinné od 1. 1. 2015d) vede evidence podle tohoto zákona,
5. účinné od 1. 1. 2015e) ukládá pokuty za správní delikty podle tohoto zákona,
6. účinné od 1. 1. 2015f) působí jako koordinační orgán ve stavu kybernetického nebezpečí,
7. účinné od 1. 1. 2015g) spolupracuje s orgány a osobami, které působí v oblasti kybernetické bezpečnosti, zejména s veřejnoprávními korporacemi, výzkumnými a vývojovými pracovišti a s ostatními pracovišti typu CERT,
8. účinné od 1. 1. 2015h) zajišťuje mezinárodní spolupráci,
9. účinné od 1. 1. 2015i) sjednává a uzavírá smlouvy o mezinárodní spolupráci,
10. účinné od 1. 1. 2015j) zajišťuje prevenci, vzdělávání a metodickou podporu v oblasti kybernetické bezpečnosti,
11. účinné od 1. 1. 2015k) zajišťuje výzkum a vývoj v oblasti kybernetické bezpečnosti,
12. účinné od 1. 1. 2015l) uzavírá veřejnoprávní smlouvu s provozovatelem národního CERT,
13. účinné od 1. 1. 2015m) zasílá podle krizového zákona Ministerstvu vnitra návrh prvků kritické infrastruktury v odvětví komunikační a informační systémy v oblasti kybernetické bezpečnosti, jejichž provozovatelem je organizační složka státu,
14. účinné od 1. 1. 2015n) určuje podle krizového zákona prvky kritické infrastruktury v odvětví komunikační a informační systémy v oblasti kybernetické bezpečnosti, pokud nejde o prvky uvedené v písmeni m), a
15. účinné od 1. 1. 2015o) plní další úkoly v oblasti kybernetické bezpečnosti stanovené tímto zákonem.

§ 23

účinné od 1. 1. 2015Kontrola

účinné od 1. 1. 2015(1) Úřad vykonává kontrolu v oblasti kybernetické bezpečnosti. Při výkonu kontroly Úřad zjišťuje, jak orgány a osoby uvedené v § 3 plní povinnosti stanovené tímto zákonem a rozhodnutími a opatřeními obecné povahy vydanými Úřadem, a dodržují prováděcí právní předpisy v oblasti kybernetické bezpečnosti.

účinné od 1. 1. 2015(2) Úřad kontroluje, jak

1. účinné od 1. 1. 2015a) orgány a osoby uvedené v § 3 písm. a) a b) plní povinnosti uložené Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13 za stavu kybernetického nebezpečí,
2. účinné od 1. 1. 2015b) orgány a osoby uvedené v § 3 písm. c) až e) plní povinnosti stanovené v § 4 odst. 2, § 8 odst. 3 a § 16 odst. 2 písm. b) a povinnosti uložené Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13 nebo 14.

§ 24

účinné od 1. 1. 2015Nápravná opatření

účinné od 1. 1. 2015(1) Zjistí-li Úřad při kontrole nedostatky, uloží kontrolovanému orgánu nebo osobě, aby je ve stanovené lhůtě odstranila, popřípadě určí, jakým způsobem.

účinné od 1. 1. 2015(2) Pokud je informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury nebo významný informační systém pro zjištěné nedostatky bezprostředně ohrožen kybernetickým bezpečnostním incidentem, který jej může významně poškodit nebo zničit, může kontrolní orgán zakázat kontrolovanému orgánu nebo osobě používání tohoto systému anebo jeho části do doby, než bude zjištěný nedostatek odstraněn.

§ 25

účinné od 1. 1. 2015(1) Právnická osoba nebo podnikající fyzická osoba uvedené v § 3 písm. a) nebo b) se dopustí správního deliktu tím, že

1. účinné od 1. 1. 2015a) nesplní za stavu kybernetického nebezpečí povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13, nebo
2. účinné od 1. 1. 2015b) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

účinné od 1. 1. 2015(2) Právnická osoba nebo podnikající fyzická osoba uvedené v § 3 písm. c) až e) se dopustí správního deliktu tím, že

1. účinné od 1. 1. 2015a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
2. účinné od 1. 1. 2015b) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 3,
3. účinné od 1. 1. 2015c) nesplní povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13 nebo 14,
4. účinné od 1. 1. 2015d) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b) nebo
5. účinné od 1. 1. 2015e) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

účinné od 1. 1. 2015(3) Za správní delikt se uloží pokuta do

1. účinné od 1. 1. 2015a) 100 000 Kč, jde-li o správní delikt podle odstavce 1 písm. a) nebo b) anebo odstavce 2 písm. a) až c) nebo e),
2. účinné od 1. 1. 2015b) 10 000 Kč, jde-li o správní delikt podle odstavce 2 písm. d).

§ 26

účinné od 1. 1. 2015(1) Fyzická osoba se dopustí přestupku tím, že poruší povinnost uvedenou v § 10 odst. 1.

účinné od 1. 1. 2015(2) Za přestupek podle odstavce 1 se uloží pokuta do 50 000 Kč.

§ 27

účinné od 1. 1. 2015(1) Právnická osoba za správní delikt neodpovídá, jestliže prokáže, že vynaložila veškeré úsilí, které bylo možno požadovat, aby porušení právní povinnosti zabránila.

účinné od 1. 1. 2015(2) Odpovědnost právnické osoby za správní delikt zaniká, jestliže Úřad o něm nezahájil řízení do 1 roku ode dne, kdy se o něm dozvěděl, nejpozději však do 3 let ode dne, kdy byl správní delikt spáchán.

účinné od 1. 1. 2015(3) Při určení výměry pokuty právnické osobě se přihlédne k závažnosti správního deliktu, zejména ke způsobu jeho spáchání a jeho následkům a k okolnostem, za nichž byl spáchán.

účinné od 1. 1. 2015(4) Správní delikty podle tohoto zákona projednává Úřad.

účinné od 1. 1. 2015(5) Na odpovědnost za jednání, k němuž došlo při podnikání fyzické osoby nebo v přímé souvislosti s ním, se vztahují ustanovení tohoto zákona o odpovědnosti a postihu právnické osoby.

účinné od 1. 1. 2015(6) Pokuty vybírá Úřad. Příjem z pokut je příjmem státního rozpočtu.

účinné od 1. 1. 2015(7) Pokuta je splatná do 30 dnů ode dne nabytí právní moci rozhodnutí o jejím uložení.

§ 28

účinné od 1. 1. 2015Zmocňovací ustanovení

účinné od 1. 1. 2015(1) Úřad a Ministerstvo vnitra stanoví vyhláškou významné informační systémy a jejich určující kritéria podle § 6 písm. d).

účinné od 1. 1. 2015(2) Úřad stanoví vyhláškou

1. účinné od 1. 1. 2015a) obsah a strukturu bezpečnostní dokumentace, obsah bezpečnostních opatření a rozsah bezpečnostních opatření podle § 6 písm. a) až c),
2. účinné od 1. 1. 2015b) typy a kategorie kybernetických bezpečnostních incidentů a náležitosti a způsob hlášení kybernetického bezpečnostního incidentu podle § 8 odst. 4,
3. účinné od 1. 1. 2015c) náležitosti oznámení o provedení reaktivního opatření a jeho výsledku podle § 13 odst. 4 a
4. účinné od 1. 1. 2015d) vzor oznámení kontaktních údajů a jeho formu podle § 16 odst. 6.

§ 29

účinné od 1. 1. 2015(1) Orgány a osoby uvedené v § 3 písm. a) a b) oznámí kontaktní údaje podle § 16 nejpozději do 30 dnů ode dne nabytí účinnosti tohoto zákona.

účinné od 1. 1. 2015(2) Orgány a osoby uvedené v § 3 písm. b) začnou plnit povinnost stanovenou v § 8 odst. 1 a 2 nejpozději do 1 roku ode dne nabytí účinnosti tohoto zákona.

§ 30

účinné od 1. 1. 2015Orgány a osoby uvedené v § 3 písm. c) a d)

1. účinné od 1. 1. 2015a) oznámí kontaktní údaje podle § 16 nejpozději do 30 dnů ode dne určení jejich informačního systému nebo komunikačního systému kritickou informační infrastrukturou,
2. účinné od 1. 1. 2015b) začnou plnit povinnost stanovenou v § 8 odst. 1 a 3 nejpozději do 1 roku ode dne určení jejich informačního systému nebo komunikačního systému kritickou informační infrastrukturou a
3. účinné od 1. 1. 2015c) zavedou bezpečnostní opatření podle § 4 odst. 2 nejpozději do 1 roku ode dne určení jejich informačního systému nebo komunikačního systému kritickou informační infrastrukturou.

§ 31

účinné od 1. 1. 2015Orgány a osoby uvedené v § 3 písm. e)

1. účinné od 1. 1. 2015a) oznámí kontaktní údaje podle § 16 nejpozději do 30 dnů ode dne naplnění určujících kritérií významného informačního systému jejich informačních systémů,
2. účinné od 1. 1. 2015b) začnou plnit povinnost stanovenou v § 8 odst. 1 a 3 nejpozději do 1 roku ode dne naplnění určujících kritérií významného informačního systému a
3. účinné od 1. 1. 2015c) zavedou bezpečnostní opatření podle § 4 odst. 2 nejpozději do 1 roku ode dne naplnění určujících kritérií významného informačního systému.

§ 32

účinné od 1. 1. 2015Činnost národního CERT vykonává do doby, než nabude účinnosti veřejnoprávní smlouva uzavřená podle § 19, ten, kdo přede dnem nabytí účinnosti tohoto zákona vykonával činnost, kterou podle tohoto zákona vykonává národní CERT, nejdéle však do 2 let ode dne nabytí účinnosti tohoto zákona.

§ 33

účinné od 1. 1. 2015Společná ustanovení

účinné od 1. 1. 2015(1) Tento zákon se vztahuje pouze na takové informační nebo komunikační systémy zpravodajských služeb, které splňují podmínky pro určení kritické informační infrastruktury, a to v rozsahu § 12 a 16; ustanovení § 4 se na tyto systémy použije přiměřeně a Úřad je jako prvky kritické infrastruktury podle § 22 odst. 2 písm. m) nenavrhuje.

účinné od 1. 1. 2015(2) Na informační systém Policie České republiky pro analytickou činnost v trestním řízení se tento zákon vztahuje pouze v rozsahu § 12 a 16; ustanovení § 4 se na tento systém použije přiměřeně. To neplatí, pokud je tento systém kritickou informační infrastrukturou.