zákon o kybernetické bezpečnosti

§ 25 (1) Právnická osoba nebo podnikající fyzická osoba uvedené v § 3 písm. Poskytovatel služby elektronických komunikací a) subjekt zajišťující síť elektronických komunikací nebo b) orgán nebo osoba zajišťující významnou síť se dopustí přestupku tím, že a) nesplní za stavu kybernetického nebezpečí povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13, nebo b) nesplní některou z povinností uloženou nápravným opatřením podle § 24. (2) Právnická osoba Správce nebo podnikající fyzická osoba uvedené v § 3 písm. c) až e) provozovatel informačního nebo komunikačního systému kritické informační infrastruktury nebo správce nebo provozovatel významného informačního systému se dopustí přestupku tím, že a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci, b) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 3 4, c) nesplní povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13 nebo 14, d) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1, e) nepředá data, provozní údaje a informace podle § 6a odst. 2, f) nepředá data, provozní údaje a informace podle § 6a odst. 3, g) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3, h) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3, i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b) nebo j) nesplní některou z povinností uloženou nápravným opatřením podle § 24. (3) Za správní delikt Správce informačního nebo komunikačního systému kritické informační infrastruktury nebo významného informačního systému se uloží pokuta dopustí přestupku tím, že neinformuje provozovatele systému podle § 4a odst. 1. (4) Správce nebo provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že neinformuje subjekt zajišťující síť elektronických komunikací podle § 4a odst. 2. (5) Provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že a) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1, b) nepředá data, provozní údaje a informace podle § 6a odst. 2, c) nepředá data, provozní údaje a informace podle § 6a odst. 3, d) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3, nebo e) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3. (6) Orgán nebo osoba zajišťující významnou síť se dopustí přestupku tím, že neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 3. (7) Správce a provozovatel informačního systému základní služby se dopustí přestupku tím, že a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření nebo nevede bezpečnostní dokumentaci, b) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4, c) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3, d) nesplní povinnost uloženou Úřadem podle § 13 nebo 14, e) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo f) nesplní některou z povinností uloženou nápravným opatřením podle § 24. (8) Správce nebo provozovatel informačního nebo komunikačního systému kritické informační infrastruktury, správce nebo provozovatel významného informačního systému, správce nebo provozovatel informačního systému základní služby a provozovatel základní služby, kteří jsou orgánem veřejné moci, se dopustí přestupku tím, že uzavřou smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5. (9) Správce nebo provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3. (10) Provozovatel základní služby se dopustí přestupku tím, že a) neinformuje správce nebo provozovatele informačního systému základní služby podle § 4a odst. 3, b) nenahlásí významný dopad na kontinuitu poskytování základní služby podle § 8 odst. 1 a 4, c) nenahlásí významný dopad na kontinuitu poskytování základní služby způsobený kybernetickým bezpečnostním incidentem podle § 8 odst. 8, d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3, nebo e) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b). (11) Poskytovatel digitální služby se dopustí přestupku tím, že a) neustaví svého zástupce podle § 3a odst. 1, b) v rozporu s § 4 odst. 3 nezavede nebo neprovádí bezpečnostní opatření, c) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 2 a 3, d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3, nebo e) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a). (12) Za přestupek lze uložit pokutu do a) 5 000 000 Kč, jde-li o přestupek podle odstavce 2 písm. a), odstavce 7 písm. a) nebo odstavce 11 písm. b), b) 1 000 000 Kč, jde-li o správní delikt přestupek podle odstavce 1 písm. a) nebo b) anebo, odstavce 2 písm. b), c) nebo e), odstavce 3, odstavce 4, odstavce 5 písm. a) až, c) nebo d), odstavce 6, odstavce 7 písm. b) až d) nebo f), g odstavce 8, odstavce 9, odstavce 10 písm. a) až d) nebo j odstavce 11 písm. a), b c) 10 nebo d), c) 200 000 Kč, jde-li o správní delikt přestupek podle odstavce 2 5 písm. i b) nebo e), c d) 200 10 000 Kč, jde-li o správní delikt přestupek podle odstavce 2 písm. d), odstavce 7 písm. e) a h, odstavce 10 písm. e) nebo odstavce 11 písm. e).