§ 25
změněno 1. 2. 2020 zákonem 12/2020 Sb.
§ 25 (1) Poskytovatel služby elektronických komunikací a subjekt zajišťující síť elektronických komunikací se dopustí přestupku tím, že a) nesplní za stavu kybernetického nebezpečí nebo orgán za nouzového stavu povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13, b) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4, c) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo d) nesplní některou z povinností uloženou nápravným opatřením podle § 24. (2) Orgán nebo osoba zajišťující významnou síť se dopustí přestupku tím, že a) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3, b) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 3, c) nesplní za stavu kybernetického nebezpečí nebo za nouzového stavu povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13, d) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4, e) neoznámí kontaktní údaje nebo b jejich změnu podle § 16 odst. 2 písm. a), nebo f) nesplní některou z povinností uloženou nápravným opatřením podle § 24. (23) Správce nebo provozovatel informačního nebo komunikačního systému kritické informační infrastruktury nebo správce nebo provozovatel významného informačního systému se dopustí přestupku tím, že a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci, b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4, c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6, d) neinformuje provozovatele systému podle § 4a odst. 1, e) neinformuje subjekt zajišťující síť elektronických komunikací podle § 4a odst. 2, f) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3, g) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4, c h) nesplní povinnost informovat veřejnost uloženou Úřadem v rozhodnutí podle § 12 odst. 3, i) nesplní povinnost uloženou Úřadem podle § 13 nebo v 14, j) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření obecné povahy podle § 13 odst. 4, k) neoznámí kontaktní údaje nebo 14 jejich změnu Úřadu podle § 16 odst. 2 písm. b), d nebo l) nesplní povinnost některou z povinností uloženou Úřadem nápravným opatřením podle § 24. (4) Provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že a) v rozhodnutí rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci, b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4, c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6, d) neinformuje subjekt zajišťující síť elektronických komunikací podle § 15a 4a odst. 1 2, e) nepředá data, provozní údaje a informace podle § 6a odst. 2, f) nepředá data, provozní údaje a informace podle § 6a odst. 3, g) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3, h) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3, i) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3, j) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4, k) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3, l) nesplní povinnost uloženou Úřadem podle § 13 nebo 14, m) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4, n) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1, o) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo j p) nesplní některou z povinností uloženou nápravným opatřením podle § 24. (35) Správce informačního nebo komunikačního systému kritické informační infrastruktury nebo významného informačního systému se dopustí přestupku tím, že a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci, b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4, c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6, d) neinformuje provozovatele systému podle § 4a odst. 1, e) nedetekuje kybernetické bezpečnostní události podle § 7 odst. (4 3, f) Správce neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4, g) nesplní povinnost uloženou Úřadem podle § 13 nebo provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím 14, že neinformuje subjekt zajišťující síť elektronických komunikací h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 4a 13 odst. 4, i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo j) nesplní některou z povinností uloženou nápravným opatřením podle § 24. (56) Provozovatel významného informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že a) nesplní povinnost uloženou Úřadem v rozhodnutí podle rozporu s § 15a 4 odst. 1 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci, b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4, c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6, d) nepředá data, provozní údaje a informace podle § 6a odst. 2, c e) nepředá data, provozní údaje a informace podle § 6a odst. 3, d f) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3, nebo e g) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3. (6, h) Orgán nebo osoba zajišťující významnou síť se dopustí přestupku tím nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3, že i) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 3 4, j) nesplní povinnost uloženou Úřadem podle § 13 nebo 14, k) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4, l) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1, m) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo n) nesplní některou z povinností uloženou nápravným opatřením podle § 24. (7) Správce a provozovatel informačního systému základní služby se dopustí přestupku tím, že a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření nebo nevede bezpečnostní dokumentaci, b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4, c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6, d) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3, e) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4, c f) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3, d g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14, e h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4, i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo f j) nesplní některou z povinností uloženou nápravným opatřením podle § 24. (8) Správce nebo provozovatel Provozovatel informačního nebo komunikačního systému kritické informační infrastruktury, správce nebo provozovatel významného informačního systému, správce nebo provozovatel informačního systému základní služby a provozovatel základní služby, kteří jsou orgánem veřejné moci, se dopustí přestupku tím, že uzavřou a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření nebo nevede bezpečnostní dokumentaci, b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4, c) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6, d) nedetekuje kybernetické bezpečnostní události podle § 7 odst. (9 3, e) Správce nebo provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4, že f) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3, g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14, h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4, i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo j) nesplní některou z povinností uloženou nápravným opatřením podle § 24. (109) Provozovatel základní služby se dopustí přestupku tím, že a) jako orgán veřejné moci uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5 nebo 6, b) neinformuje správce nebo provozovatele informačního systému základní služby podle § 4a odst. 3, b c) nenahlásí významný dopad na kontinuitu poskytování základní služby podle § 8 odst. 1 a 4, c) nenahlásí významný dopad na kontinuitu poskytování základní služby způsobený kybernetickým bezpečnostním incidentem podle § 4 nebo 8 odst. 8, d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3, nebo e) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo f) nesplní některou z povinností uloženou nápravným opatřením podle § 24. (1110) Poskytovatel digitální služby se dopustí přestupku tím, že a) neustaví svého zástupce podle § 3a odst. 1, b) v rozporu s § 4 odst. 3 nezavede nebo neprovádí bezpečnostní opatření, c) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 2 a 3, d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3, nebo e) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo f) nesplní některou z povinností uloženou nápravným opatřením podle § 24. (1211) Za přestupek lze uložit pokutu do a) 5 000 000 Kč, jde-li o přestupek podle odstavce 2 3 písm. a), odstavce 4 písm. a), odstavce 5 písm. a), odstavce 6 písm. a), odstavce 7 písm. a), odstavce 8 písm. a) nebo odstavce 11 10 písm. b), b) 1 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. a) nebo, b) nebo d), odstavce 2 písm. b a), c až d) nebo e písm. f), odstavce 3 písm. b) až j) nebo písm. l), odstavce 4 písm. b) až n) nebo písm. p), odstavce 5 písm. a b), c až h) nebo d písm. j), odstavce 6 písm. b) až l) nebo písm. n), odstavce 7 písm. b) až d h) nebo f písm. j), odstavce 8 písm. b) až h) nebo písm. j), odstavce 9, odstavce 10 písm. a) až d) nebo písm. f) nebo odstavce 11 10 písm. a), c) nebo, d) nebo f), c) 200 10 000 Kč, jde-li o přestupek podle odstavce 5 1 písm. b c) nebo, odstavce 2 písm. e), d odstavce 3 písm. k) 10 000 Kč, jde-li odstavce 4 písm. o přestupek podle), odstavce 2 5 písm. d i), odstavce 6 písm. m), odstavce 7 písm. e i), odstavce 10 8 písm. i), odstavce 9 písm. e) nebo odstavce 11 10 písm. e).