zákon o kybernetické bezpečnosti

§ 25

(1) Poskytovatel služby elektronických komunikací a subjekt zajišťující síť elektronických komunikací se dopustí přestupku tím, že

1. a) nesplní za stavu kybernetického nebezpečí nebo za nouzového stavu povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13,
2. b) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
3. c) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo
4. d) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(2) Orgán nebo osoba zajišťující významnou síť se dopustí přestupku tím, že

1. a) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
2. b) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 3,
3. c) nesplní za stavu kybernetického nebezpečí nebo za nouzového stavu povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13,
4. d) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
5. e) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a), nebo
6. f) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(3) Správce informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že

1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
3. c) jako orgán veřejné moci v rozporu s § 4 odst. 5 nezařadí poptávaný cloud computing do bezpečnostní úrovně, nezajistí dodržení bezpečnostních pravidel pro poskytování služeb cloud computingu nebo dodržení podmínek dostupnosti anebo uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 6,
4. d) neinformuje provozovatele systému podle § 4a odst. 1,
5. e) neinformuje subjekt zajišťující síť elektronických komunikací podle § 4a odst. 2,
6. f) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
7. g) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
8. h) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
9. i) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
10. j) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
11. k) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
12. l) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(4) Provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že

1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
3. c) jako orgán veřejné moci v rozporu s § 4 odst. 5 nezařadí poptávaný cloud computing do bezpečnostní úrovně, nezajistí dodržení bezpečnostních pravidel pro poskytování služeb cloud computingu nebo dodržení podmínek dostupnosti anebo uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 6,
4. d) neinformuje subjekt zajišťující síť elektronických komunikací podle § 4a odst. 2,
5. e) nepředá data, provozní údaje a informace podle § 6a odst. 2,
6. f) nepředá data, provozní údaje a informace podle § 6a odst. 3,
7. g) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3,
8. h) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3,
9. i) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
10. j) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
11. k) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
12. l) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
13. m) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
14. n) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1,
15. o) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
16. p) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(5) Správce významného informačního systému se dopustí přestupku tím, že

1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
3. c) jako orgán veřejné moci v rozporu s § 4 odst. 5 nezařadí poptávaný cloud computing do bezpečnostní úrovně, nezajistí dodržení bezpečnostních pravidel pro poskytování služeb cloud computingu nebo dodržení podmínek dostupnosti anebo uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 6,
4. d) neinformuje provozovatele systému podle § 4a odst. 1,
5. e) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
6. f) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
7. g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
8. h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
9. i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
10. j) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(6) Provozovatel významného informačního systému se dopustí přestupku tím, že

1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření anebo nevede bezpečnostní dokumentaci,
2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
3. c) jako orgán veřejné moci v rozporu s § 4 odst. 5 nezařadí poptávaný cloud computing do bezpečnostní úrovně, nezajistí dodržení bezpečnostních pravidel pro poskytování služeb cloud computingu nebo dodržení podmínek dostupnosti anebo uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 6,
4. d) nepředá data, provozní údaje a informace podle § 6a odst. 2,
5. e) nepředá data, provozní údaje a informace podle § 6a odst. 3,
6. f) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3,
7. g) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3,
8. h) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
9. i) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
10. j) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
11. k) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
12. l) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1,
13. m) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
14. n) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

(7) Správce informačního systému základní služby se dopustí přestupku tím, že

1. a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření nebo nevede bezpečnostní dokumentaci,
2. b) v rozporu s § 4 odst. 4 nezohlední požadavky vyplývající z bezpečnostních opatření při výběru dodavatele nebo s takovým dodavatelem uzavře smlouvu v rozporu s § 4 odst. 4,
3. c) jako orgán veřejné moci v rozporu s § 4 odst. 5 nezařadí poptávaný cloud computing do bezpečnostní úrovně, nezajistí dodržení bezpečnostních pravidel pro poskytování služeb cloud computingu nebo dodržení podmínek dostupnosti anebo uzavře smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 6,
4. d) nedetekuje kybernetické bezpečnostní události podle § 7 odst. 3,
5. e) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
6. f) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
7. g) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
8. h) bez zbytečného odkladu neoznámí Úřadu výsledek provedení reaktivního opatření podle § 13 odst. 4,
9. i) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo