zákon o kybernetické bezpečnosti

§ 23

Kontrola

(1) Úřad vykonává kontrolu v oblasti kybernetické bezpečnosti. Při výkonu kontroly Úřad zjišťuje, jak orgány a osoby uvedené v § 3 písm. a) až g) plní povinnosti stanovené tímto zákonem a rozhodnutími a opatřeními obecné povahy vydanými Úřadem podle tohoto zákona, a dodržují prováděcí právní předpisy v oblasti kybernetické bezpečnosti. Je-li důvodné podezření, že poskytovatel digitální služby neplní povinnosti stanovené tímto zákonem, provede u něj Úřad kontrolu.

(2) Při výkonu kontroly se postupuje přiměřeně podle kontrolního řádu.

(3) Kontrolu vykonávají pověření zaměstnanci Úřadu.

§ 24

Nápravná opatření

(1) Zjistí-li Úřad při kontrole nedostatky, uloží kontrolovanému orgánu nebo osobě, aby je ve stanovené lhůtě odstranila, popřípadě určí, jakým způsobem.

(2) Pokud je informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury, informační systém základní služby nebo významný informační systém pro zjištěné nedostatky bezprostředně ohrožen kybernetickým bezpečnostním incidentem, který jej může významně poškodit nebo zničit, může kontrolní orgán zakázat kontrolovanému orgánu nebo osobě používání tohoto systému anebo jeho části do doby, než bude zjištěný nedostatek odstraněn.

§ 24a

(1) Kontrolu činnosti Úřadu vykonává Poslanecká sněmovna, která k tomuto účelu zřizuje zvláštní kontrolní orgán (dále jen „kontrolní orgán“).

(2) Kontrolní orgán se skládá nejméně ze 7 členů. Poslanecká sněmovna stanoví počet členů tak, aby byl zastoupen každý poslanecký klub ustavený podle příslušnosti k politické straně nebo politickému hnutí, za něž poslanci kandidovali ve volbách; počet členů je vždy lichý. Členem kontrolního orgánu může být pouze poslanec Poslanecké sněmovny.

(3) Pokud tento zákon nestanoví jinak, vztahuje se na jednání kontrolního orgánu a na práva a povinnosti jeho členů přiměřeně jiný právní předpis¹⁵).

(4) Členové kontrolního orgánu mohou vstupovat v doprovodu ředitele Úřadu nebo jím pověřeného zaměstnance do objektů Úřadu.

(5) Ředitel Úřadu předkládá kontrolnímu orgánu

1. a) zprávu o činnosti Úřadu,
2. b) návrh rozpočtu Úřadu,
3. c) podklady potřebné ke kontrole plnění rozpočtu Úřadu,
4. d) vnitřní předpisy Úřadu,
5. e) na vyžádání zprávu o jednotlivých kybernetických bezpečnostních incidentech z kritické informační infrastruktury, významných informačních systémů a informačních systémů základní služby.

§ 24b

(1) Má-li kontrolní orgán za to, že činnost Úřadu nezákonně omezuje nebo poškozuje práva a svobody občanů nebo že rozhodovací činnost Úřadu v rámci správního řízení je stižena vadami, je oprávněn požadovat od ředitele Úřadu potřebné vysvětlení.

(2) Každé porušení zákona zaměstnancem Úřadu při plnění povinností podle tohoto zákona a ve vybraných oblastech podle zákona o ochraně utajovaných informací a o bezpečnostní způsobilosti, které kontrolní orgán zjistí při své činnosti, je povinen oznámit řediteli Úřadu a předsedovi vlády.

§ 24c

Povinnost zachovávat mlčenlivost uložená členům kontrolního orgánu podle zákona se nevztahuje na případy, kdy kontrolní orgán podává oznámení podle § 24b odst. 2.

§ 25

(1) Poskytovatel služby elektronických komunikací a subjekt zajišťující síť elektronických komunikací nebo orgán nebo osoba zajišťující významnou síť se dopustí přestupku tím, že

1. a) nesplní za stavu kybernetického nebezpečí povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13, nebo
2. b) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(2) Správce nebo provozovatel informačního nebo komunikačního systému kritické informační infrastruktury nebo správce nebo provozovatel významného informačního systému se dopustí přestupku tím, že

1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
2. b) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
3. c) nesplní povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13 nebo 14,
4. d) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1,
5. e) nepředá data, provozní údaje a informace podle § 6a odst. 2,
6. f) nepředá data, provozní údaje a informace podle § 6a odst. 3,
7. g) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3,
8. h) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3,
9. i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b) nebo
10. j) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(3) Správce informačního nebo komunikačního systému kritické informační infrastruktury nebo významného informačního systému se dopustí přestupku tím, že neinformuje provozovatele systému podle § 4a odst. 1.

(4) Správce nebo provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že neinformuje subjekt zajišťující síť elektronických komunikací podle § 4a odst. 2.

(5) Provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že

1. a) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1,
2. b) nepředá data, provozní údaje a informace podle § 6a odst. 2,
3. c) nepředá data, provozní údaje a informace podle § 6a odst. 3,
4. d) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3, nebo
5. e) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3.

(6) Orgán nebo osoba zajišťující významnou síť se dopustí přestupku tím, že neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 3.

(7) Správce a provozovatel informačního systému základní služby se dopustí přestupku tím, že

1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření nebo nevede bezpečnostní dokumentaci,
2. b) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
3. c) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
4. d) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
5. e) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
6. f) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(8) Správce nebo provozovatel informačního nebo komunikačního systému kritické informační infrastruktury, správce nebo provozovatel významného informačního systému, správce nebo provozovatel informačního systému základní služby a provozovatel základní služby, kteří jsou orgánem veřejné moci, se dopustí přestupku tím, že uzavřou smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5.

(9) Správce nebo provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3.

(10) Provozovatel základní služby se dopustí přestupku tím, že

1. a) neinformuje správce nebo provozovatele informačního systému základní služby podle § 4a odst. 3,
2. b) nenahlásí významný dopad na kontinuitu poskytování základní služby podle § 8 odst. 1 a 4,
3. c) nenahlásí významný dopad na kontinuitu poskytování základní služby způsobený kybernetickým bezpečnostním incidentem podle § 8 odst. 8,
4. d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3, nebo
5. e) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b).

(11) Poskytovatel digitální služby se dopustí přestupku tím, že

1. a) neustaví svého zástupce podle § 3a odst. 1,
2. b) v rozporu s § 4 odst. 3 nezavede nebo neprovádí bezpečnostní opatření,
3. c) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 2 a 3,
4. d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3, nebo
5. e) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a).

(12) Za přestupek lze uložit pokutu do

1. a) 5 000 000 Kč, jde-li o přestupek podle odstavce 2 písm. a), odstavce 7 písm. a) nebo odstavce 11 písm. b),
2. b) 1 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. a) nebo b), odstavce 2 písm. b), c) nebo e), odstavce 3, odstavce 4, odstavce 5 písm. a), c) nebo d), odstavce 6, odstavce 7 písm. b) až d) nebo f), odstavce 8, odstavce 9, odstavce 10 písm. a) až d) nebo odstavce 11 písm. a), c) nebo d),
3. c) 200 000 Kč, jde-li o přestupek podle odstavce 5 písm. b) nebo e),
4. d) 10 000 Kč, jde-li o přestupek podle odstavce 2 písm. d), odstavce 7 písm. e), odstavce 10 písm. e) nebo odstavce 11 písm. e).

§ 26

(1) Fyzická osoba se dopustí přestupku tím, že poruší povinnost uvedenou v § 10 odst. 1.

(2) Za přestupek podle odstavce 1 lze uložit pokutu do 50 000 Kč.

§ 27

Společné ustanovení k přestupkům

Přestupky podle tohoto zákona projednává a pokuty vybírá Úřad.