Zákon, kterým se mění zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění zákona č. 104/2017 Sb., a některé další zákony

Čl. I

účinné od 1. 8. 2017Zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění zákona č. 104/2017 Sb., se mění takto:

1. účinné od 1. 8. 20171. V § 1 se za odstavec 1 vkládá nový odstavec 2, který včetně poznámky pod čarou č. 6 zní:
   účinné od 1. 8. 2017

   účinné od 1. 8. 2017„(2) Tento zákon zapracovává příslušné předpisy Evropské unie⁶) a upravuje zajišťování bezpečnosti sítí elektronických komunikací a informačních systémů.

   účinné od 1. 8. 2017⁶) Směrnice Evropského parlamentu a Rady (EU) 2016/1148 ze dne 6. července 2016 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii.“.

   účinné od 1. 8. 2017Dosavadní odstavec 2 se označuje jako odstavec 3.

1. účinné od 1. 8. 20172. V § 2 se na konci textu písmene c) doplňují slova „a dat“.
2. účinné od 1. 8. 20173. V § 2 písm. d) se za slova „informační infrastrukturou“ vkládají slova „ani informačním systémem základní služby“.
3. účinné od 1. 8. 20174. V § 2 se na konci písmene g) slovo „a“ zrušuje.
4. účinné od 1. 8. 20175. V § 2 se na konci písmene h) tečka nahrazuje čárkou a doplňují se písmena i) až m), která včetně poznámek pod čarou č. 7 až 10 znějí:
   účinné od 1. 8. 2017

   1. účinné od 1. 8. 2017„i) základní službou služba, jejíž poskytování je závislé na sítích elektronických komunikací⁷) nebo informačních systémech a jejíž narušení by mohlo mít významný dopad na zabezpečení společenských nebo ekonomických činností v některém z těchto odvětví
      1. účinné od 1. 8. 20171. energetika,
      2. účinné od 1. 8. 20172. doprava,
      3. účinné od 1. 8. 20173. bankovnictví,
      4. účinné od 1. 8. 20174. infrastruktura finančních trhů,
      5. účinné od 1. 8. 20175. zdravotnictví,
      6. účinné od 1. 8. 20176. vodní hospodářství,
      7. účinné od 1. 8. 20177. digitální infrastruktura,
      8. účinné od 1. 8. 20178. chemický průmysl,

   1. účinné od 1. 8. 2017j) informačním systémem základní služby informační systém, na jehož fungování je závislé poskytování základní služby,
   2. účinné od 1. 8. 2017k) provozovatelem základní služby orgán nebo osoba, která poskytuje základní službu a která je určena Národním úřadem pro kybernetickou a informační bezpečnost (dále jen „Úřad“) podle § 22a; pro účely plnění informační povinnosti podle příslušného předpisu Evropské unie⁸) se za provozovatele základní služby považují též orgány a osoby uvedené v § 3 písm. c) a d),
   3. účinné od 1. 8. 2017l) digitální službou služba informační společnosti podle zákona upravujícího některé služby informační společnosti⁹), která spočívá v provozování
      1. účinné od 1. 8. 20171. on-line tržiště, které spotřebiteli nebo prodávajícímu umožňuje on-line uzavírat s prodávajícím podnikatelem¹⁰) kupní smlouvu nebo smlouvu o poskytnutí služeb, a to prostřednictvím internetové stránky on-line tržiště nebo prostřednictvím internetové stránky prodávajícího, který využívá službu poskytovanou on-line tržištěm,
      2. účinné od 1. 8. 20172. internetového vyhledávače, který umožňuje provádět vyhledávání v zásadě na všech internetových stránkách, a to na základě dotazu uživatele na jakékoliv téma v podobě klíčového slova, sousloví nebo jiného zadání, přičemž služba poskytuje odkazy, na nichž lze nalézt informace související s požadovaným obsahem, nebo
      3. účinné od 1. 8. 20173. cloud computingu, který umožňuje přístup k rozšířitelnému a přizpůsobitelnému úložišti nebo výpočetním zdrojům, které je možné sdílet, a

   1. účinné od 1. 8. 2017m) příslušným orgánem orgán vykonávající působnost v oblasti kybernetické bezpečnosti.

   účinné od 1. 8. 2017⁷) § 2 písm. h) zákona č. 127/2005 Sb., ve znění pozdějších předpisů.

   účinné od 1. 8. 2017⁸) Čl. 5 odst. 7 směrnice Evropského parlamentu a Rady (EU) 2016/1148.

   účinné od 1. 8. 2017⁹) § 2 písm. a) zákona č. 480/2004 Sb., o některých službách informační společnosti a o změně některých zákonů (zákon o některých službách informační společnosti).

   účinné od 1. 8. 2017¹⁰) § 2 odst. 1 písm. a) a b) zákona č. 634/1992 Sb., o ochraně spotřebitele, ve znění pozdějších předpisů.
   § 419 a 420 zákona č. 89/2012 Sb., občanský zákoník.“.

1. účinné od 1. 8. 20176. V § 3 se na konci písmene d) slovo „a“ nahrazuje čárkou.
2. účinné od 1. 8. 20177. V § 3 se na konci písmene e) tečka nahrazuje čárkou a doplňují se písmena f) až h), která znějí:
   účinné od 1. 8. 2017

   1. účinné od 1. 8. 2017„f) správce a provozovatel informačního systému základní služby, pokud nejsou správcem nebo provozovatelem podle písmene c) nebo d),
   2. účinné od 1. 8. 2017g) provozovatel základní služby, pokud není správcem nebo provozovatelem podle písmene f), a
   3. účinné od 1. 8. 2017h) poskytovatel digitální služby.“.

1. účinné od 1. 8. 20178. Za § 3 se vkládá nový § 3a, který včetně nadpisu zní:
   účinné od 1. 8. 2017

   㤠3a

   Odkaz účinné od 1. 8. 2017„§ 3a

   účinné od 1. 8. 2017Zástupce poskytovatele digitálních služeb

   účinné od 1. 8. 2017(1) Poskytovatel digitální služby, který poskytuje tuto službu v České republice, nemá sídlo v Evropské unii a neustavil si svého zástupce v jiném členském státě Evropské unie (dále jen „jiný členský stát“), je povinen ustavit si svého zástupce v České republice. Zástupcem poskytovatele digitální služby je osoba, která je usazená v České republice a která je poskytovatelem digitální služby na základě plné moci zmocněná jej zastupovat ve vztahu k povinnostem podle tohoto zákona.

   účinné od 1. 8. 2017(2) V případě, že poskytovatel digitální služby má sídlo mimo Evropskou unii a ustavil si svého zástupce v České republice, má se za to, že je usazen v České republice a vztahují se na něj povinnosti podle tohoto zákona.

   účinné od 1. 8. 2017(3) V případě, že je poskytovatel digitální služby usazen v České republice nebo zde má ustaveného zástupce, ale jím využívané sítě elektronických komunikací a informační systémy se nacházejí v jiném členském státu, Úřad při výkonu státní správy spolupracuje s příslušným orgánem dotčeného členského státu.“.

1. účinné od 1. 8. 20179. § 4 zní:
   účinné od 1. 8. 2017

   㤠4

   Odkaz účinné od 1. 8. 2017„§ 4

   účinné od 1. 8. 2017(1) Bezpečnostním opatřením se rozumí souhrn úkonů, jejichž cílem je zajištění bezpečnosti informací v informačních systémech a dostupnosti a spolehlivosti služeb a sítí elektronických komunikací¹) v kybernetickém prostoru.

   účinné od 1. 8. 2017(2) Orgány a osoby uvedené v § 3 písm. c) až f) jsou povinny zavést a provádět bezpečnostní opatření v rozsahu nezbytném pro zajištění kybernetické bezpečnosti informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury, informačního systému základní služby a významného informačního systému a vést o nich bezpečnostní dokumentaci.

   účinné od 1. 8. 2017(3) Poskytovatel digitální služby je povinen zavést a provádět vhodná a přiměřená bezpečnostní opatření pro sítě elektronických komunikací a informační systémy, které využívá v souvislosti se zajišťováním své služby, přičemž tato bezpečnostní opatření zohledňují zajištění bezpečnosti informací, zvládání kybernetických bezpečnostních incidentů, řízení kontinuity činností, monitorování, audit, testování a soulad s mezinárodními předpisy.

   účinné od 1. 8. 2017(4) Orgány a osoby uvedené v § 3 písm. c) až f) jsou povinny zohlednit požadavky vyplývající z bezpečnostních opatření při výběru dodavatele pro jejich informační nebo komunikační systém a tyto požadavky zahrnout do smlouvy, kterou s dodavatelem uzavřou. Zohlednění požadavků vyplývajících z bezpečnostních opatření podle věty první v míře nezbytné pro splnění povinností podle tohoto zákona nelze považovat za nezákonné omezení hospodářské soutěže nebo neodůvodněnou překážku hospodářské soutěži.

   účinné od 1. 8. 2017(5) Orgány a osoby uvedené v § 3 písm. c) až g), které jsou orgány veřejné moci, jsou povinny si ve smlouvě s poskytovatelem služeb cloud computingu zejména zajistit, že budou dodržována bezpečnostní pravidla pro poskytování služeb cloud computingu stanovená Úřadem, a že budou mít na základě své žádosti bez zbytečného odkladu k dispozici informace a data, která pro ně poskytovatel služeb cloud computingu uchovává včetně možnosti kontroly uchovávaných informací a dat v reálném čase. Dalšími nezbytnými náležitostmi smlouvy jsou

   1. účinné od 1. 8. 2017a) zakotvení povinnosti poskytovatele služeb respektovat bezpečnostní politiku odběratele služeb,
   2. účinné od 1. 8. 2017b) stanovení úrovně poskytovaných služeb,
   3. účinné od 1. 8. 2017c) systém schvalování subdodavatelů služby cloud computingu,
   4. účinné od 1. 8. 2017d) podmínky ukončení smluvního vztahu z pohledu bezpečnosti,
   5. účinné od 1. 8. 2017e) řízení kontinuity činností v souvislosti s poskytovanou službou cloud computingu,
   6. účinné od 1. 8. 2017f) určení vlastníka uchovávaných dat,
   7. účinné od 1. 8. 2017g) dohoda o důvěrnosti smluvního vztahu,
   8. účinné od 1. 8. 2017h) stanovení úrovně ochrany dat z pohledu důvěrnosti, dostupnosti a integrity,
   9. účinné od 1. 8. 2017i) pravidla zákaznického auditu,
   10. účinné od 1. 8. 2017j) stanovení povinnosti poskytovatele služeb informovat odběratele o kybernetických bezpečnostních incidentech souvisejících s plněním smlouvy.

   účinné od 1. 8. 2017(6) Poskytovatel služby cloud computingu a orgány a osoby uvedené v § 3 písm. c) až g), které jsou orgány veřejné moci, si ve smlouvě dále dohodnou způsob a výši úhrady účelně vynaložených nákladů na zavedení bezpečnostních pravidel.

   účinné od 1. 8. 2017(7) Zohlednění požadavků vyplývajících z bezpečnostních pravidel, bezpečnostních opatření a dalších podmínek sjednaných ve smlouvě podle odstavce 5, které jsou nezbytné pro splnění povinností podle tohoto zákona, nelze považovat za nezákonné omezení hospodářské soutěže nebo neodůvodněnou překážku hospodářské soutěži.“.

1. účinné od 1. 8. 201710. Za § 4 se vkládá nový § 4a, který zní:
   účinné od 1. 8. 2017

   㤠4a

   Odkaz účinné od 1. 8. 2017„§ 4a

   účinné od 1. 8. 2017(1) Orgány a osoby, které se staly správci informačních nebo komunikačních systémů kritické informační infrastruktury nebo správci významných informačních systémů, a nejsou provozovateli tohoto systému, jsou povinny neprodleně a prokazatelně informovat provozovatele systému o této skutečnosti a o tom, že se tento provozovatel stal orgánem nebo osobou podle § 3 písm. c), d) nebo e).

   účinné od 1. 8. 2017(2) Orgány a osoby, které se staly správci nebo provozovateli informačních nebo komunikačních systémů kritické informační infrastruktury, jsou povinny neprodleně a prokazatelně informovat subjekt zajišťující síť elektronických komunikací, ke které je jejich předmětný informační nebo komunikační systém kritické informační infrastruktury připojen, o této skutečnosti a o tom, že se tento subjekt stal orgánem nebo osobou podle § 3 písm. b).

   účinné od 1. 8. 2017(3) Orgány a osoby, které byly podle § 22a určené provozovateli základní služby a nejsou zároveň správci nebo provozovateli svých informačních systémů základní služby, jsou povinny správce nebo provozovatele tohoto informačního systému základní služby neprodleně a prokazatelně informovat o svém určení a o tom, že se dotčený správce nebo provozovatel stal orgánem nebo osobou podle § 3 písm. f).“.

1. účinné od 1. 8. 201711. § 6 zní:
   účinné od 1. 8. 2017

   㤠6

   Odkaz účinné od 1. 8. 2017„§ 6

   účinné od 1. 8. 2017Prováděcí právní předpis stanoví

   1. účinné od 1. 8. 2017a) obsah bezpečnostních opatření,
   2. účinné od 1. 8. 2017b) obsah a strukturu bezpečnostní dokumentace,
   3. účinné od 1. 8. 2017c) rozsah bezpečnostních opatření pro orgány a osoby uvedené v § 3 písm. c) až f),
   4. účinné od 1. 8. 2017d) významné informační systémy a jejich určující kritéria,
   5. účinné od 1. 8. 2017e) obsah a rozsah bezpečnostních pravidel pro orgány veřejné moci využívající služby poskytovatelů cloud computingu.“.

1. účinné od 1. 8. 201712. V § 6a se na konci odstavce 3 doplňuje věta „Způsob likvidace dat, provozních údajů, informací a jejich kopií stanoví prováděcí právní předpis.“.
2. účinné od 1. 8. 201713. V § 7 odst. 3 se slova „§ 3 písm. b) až e)“ nahrazují slovy „§ 3 písm. b) až f)“ a za slova „komunikačním systému kritické informační infrastruktury“ se vkládají slova „, informačním systému základní služby“.
3. účinné od 1. 8. 201714. V § 8 odstavec 1 včetně poznámky pod čarou č. 11 zní:
   účinné od 1. 8. 2017

   účinné od 1. 8. 2017„(1) Orgány a osoby uvedené v § 3 písm. b) až f) jsou povinny hlásit kybernetické bezpečnostní incidenty v jejich významné síti, informačním systému kritické informační infrastruktury, komunikačním systému kritické informační infrastruktury, informačním systému základní služby nebo významném informačním systému, a to bezodkladně po jejich detekci; tím není dotčena informační povinnost podle jiného právního předpisu³) nebo přímo použitelného předpisu Evropské unie upravujícího ochranu osobních údajů¹¹). V případě, že kybernetický bezpečnostní incident má významný dopad na kontinuitu poskytování základní služby, oznámí to provozovatel základní služby Úřadu.

   účinné od 1. 8. 2017¹¹) Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů).“.

1. účinné od 1. 8. 201715. V § 8 se za odstavec 1 vkládá nový odstavec 2, který zní:
   účinné od 1. 8. 2017

   účinné od 1. 8. 2017„(2) Poskytovatel digitální služby je povinen bez zbytečného odkladu hlásit kybernetický bezpečnostní incident s významným dopadem na poskytování jeho služeb, pokud má přístup k informacím nezbytným pro posouzení významnosti tohoto dopadu.“.

   účinné od 1. 8. 2017Dosavadní odstavce 2 až 5 se označují jako odstavce 3 až 6.

1. účinné od 1. 8. 201716. V § 8 odst. 3 se text „§ 3 písm. b)“ nahrazuje slovy „§ 3 písm. b) a h)“.
2. účinné od 1. 8. 201717. V § 8 odst. 4 se slova „§ 3 písm. c) až e)“ nahrazují slovy „§ 3 písm. c) až g)“ a slova „Národnímu bezpečnostnímu úřadu (dále jen „Úřad“)“ se nahrazují slovem „Úřadu“.
3. účinné od 1. 8. 201718. V § 8 se za odstavec 5 vkládá nový odstavec 6, který zní:
   účinné od 1. 8. 2017

   účinné od 1. 8. 2017„(6) Orgány a osoby neuvedené v § 3 mohou hlásit kybernetické bezpečnostní incidenty provozovateli národního CERT, nebo Úřadu.“.

   účinné od 1. 8. 2017Dosavadní odstavec 6 se označuje jako odstavec 7.

1. účinné od 1. 8. 201719. V § 8 odst. 7 písmeno a) zní:
   účinné od 1. 8. 2017

   1. účinné od 1. 8. 2017„a) typy, kategorie a hodnocení významnosti dopadu kybernetického bezpečnostního incidentu a“.

1. účinné od 1. 8. 201720. V § 8 se doplňuje odstavec 8, který zní:
   účinné od 1. 8. 2017

   účinné od 1. 8. 2017„(8) Pokud má kybernetický bezpečnostní incident, který postihnul poskytovatele digitální služby, významný dopad na kontinuitu poskytování základní služby, je její provozovatel povinen tuto skutečnost Úřadu nahlásit.“.

1. účinné od 1. 8. 201721. V § 9 se na konci textu odstavce 2 doplňují slova „a l)“.
2. účinné od 1. 8. 201722. Za § 10 se vkládá nový § 10a, který zní:
   účinné od 1. 8. 2017

   㤠10a

   Odkaz účinné od 1. 8. 2017„§ 10a

   účinné od 1. 8. 2017Informace, jejichž zpřístupnění by mohlo ohrozit zajišťování kybernetické bezpečnosti nebo účinnost opatření vydaného podle tohoto zákona, nebo informace, které jsou vedené v evidenci incidentů, ze kterých by bylo možné identifikovat orgán nebo osobu, která kybernetický bezpečnostní incident ohlásila, se podle předpisů upravujících svobodný přístup k informacím neposkytují.“.

1. účinné od 1. 8. 201723. V § 11 odst. 3 písm. b) a v § 11 odst. 4 se slova „§ 3 písm. c) až e)“ nahrazují slovy „§ 3 písm. c) až f)“.
2. účinné od 1. 8. 201724. V § 12 se doplňuje odstavec 3, který zní:
   účinné od 1. 8. 2017

   účinné od 1. 8. 2017„(3) Úřad je z důvodu ochrany vnitřního pořádku a bezpečnosti, ochrany života a zdraví osob nebo ochrany ekonomiky státu oprávněn po konzultaci s orgánem nebo osobou uvedenými v § 3 písm. c), d), f), g) nebo h), které jsou dotčeny kybernetickým bezpečnostním incidentem, veřejnost o tomto incidentu informovat nebo dotčenému orgánu nebo osobě uložit, aby tak učinil sám.“.

1. účinné od 1. 8. 201725. V § 13 odst. 4 se za text „§ 3“ vkládají slova „písm. a) až f)“.
2. účinné od 1. 8. 201726. § 14 zní:
   účinné od 1. 8. 2017

   㤠14

   Odkaz účinné od 1. 8. 2017„§ 14

   účinné od 1. 8. 2017Úřad za účelem zvýšení ochrany informačních systémů nebo služeb a sítí elektronických komunikací¹) a na základě analýzy již vyřešeného kybernetického bezpečnostního incidentu jako ochranné opatření vydá opatření obecné povahy, ve kterém orgánům a osobám uvedeným v § 3 písm. c) až f) stanoví způsob zvýšení ochrany informačních systémů nebo služeb a sítí elektronických komunikací¹) a přiměřenou lhůtu k jeho provedení.“.

1. účinné od 1. 8. 201727. V § 16 odst. 2 písm. a) se slova „§ 3 písm. a) a b)“ nahrazují slovy „§ 3 písm. a), b) a h)“.
2. účinné od 1. 8. 201728. V § 16 odst. 2 písm. b) a v § 16 odst. 3 se slova „§ 3 písm. c) až e)“ nahrazují slovy „§ 3 písm. c) až g)“.
3. účinné od 1. 8. 201729. V § 16 se za odstavec 5 vkládá nový odstavec 6, který zní:
   účinné od 1. 8. 2017

   účinné od 1. 8. 2017„(6) Úřad je dále oprávněn si pro účely kontroly vyžádat od provozovatele národního CERT kontaktní údaje orgánů a osob uvedených v § 3 písm. h).“.

   účinné od 1. 8. 2017Dosavadní odstavec 6 se označuje jako odstavec 7.

1. účinné od 1. 8. 201730. V § 17 odst. 2 písm. a), d) a e) se slova „§ 3 písm. a) a b)“ nahrazují slovy „§ 3 písm. a), b) a h)“.
2. účinné od 1. 8. 201731. V § 17 odst. 2 písm. b) a c) se text „§ 3 písm. b)“ nahrazuje slovy „§ 3 písm. b) a h)“.
3. účinné od 1. 8. 201732. V § 17 odst. 2 písm. g) se za slovo „incidentech“ vkládají slova „ohlášených podle § 8 odst. 3,“ a slova „kybernetického bezpečnostního incidentu a“ se nahrazují čárkou.
4. účinné od 1. 8. 201733. V § 17 odst. 2 písmeno h) zní:
   účinné od 1. 8. 2017

   1. účinné od 1. 8. 2017„h) předává Úřadu na vyžádání údaje podle § 16 odst. 5 a 6,“.

1. účinné od 1. 8. 201734. V § 17 se na konci odstavce 2 doplňují písmena i) až l), která včetně poznámky pod čarou č. 12 znějí:
   účinné od 1. 8. 2017

   1. účinné od 1. 8. 2017„i) plní roli týmu CSIRT podle příslušného předpisu Evropské unie¹²),
   2. účinné od 1. 8. 2017j) informuje bez uvedení identifikačních údajů ohlašovatele příslušný orgán jiného členského státu o kybernetickém bezpečnostním incidentu s významným dopadem na kontinuitu poskytování základní nebo digitální služby v tomto členském státě a zároveň o tom informuje Úřad, přičemž zachovává bezpečnost a obchodní zájmy ohlašovatele,
   3. účinné od 1. 8. 2017k) spolupracuje s týmy CSIRT jiných členských států a
   4. účinné od 1. 8. 2017l) přijímá hlášení o kybernetických bezpečnostních incidentech od orgánů a osob neuvedených v § 3, a pokud to jeho kapacity umožňují, zpracovává je a poskytuje orgánům nebo osobám dotčeným kybernetickým bezpečnostním incidentem metodickou podporu, pomoc a součinnost.

   účinné od 1. 8. 2017¹²) Čl. 9 směrnice Evropského parlamentu a Rady (EU) 2016/1148.“.

1. účinné od 1. 8. 201735. V § 18 odst. 5 se slova „podle § 17 odst. 2 písm. a), b), c), e), g) a h)“ nahrazují slovy „podle § 17 odst. 2 písm. a) až c), e) a g) až l)“.
2. účinné od 1. 8. 201736. V § 18 se na konci odstavce 5 doplňuje věta „Provozovatel národního CERT je povinen vynaložit k řádnému a účelnému výkonu činností uvedených v § 17 odst. 2 nezbytné náklady.“.
3. účinné od 1. 8. 201737. V § 20 písm. a), b), d) a e) se slova „§ 3 písm. c) až e)“ nahrazují slovy „§ 3 písm. c) až g)“.
4. účinné od 1. 8. 201738. V § 20 písm. c) se slova „infrastruktury, z“ nahrazují slovy „infrastruktury, informačního systému základní služby,“.
5. účinné od 1. 8. 201739. V § 20 se na konci písmene i) slovo „a“ nahrazuje čárkou.
6. účinné od 1. 8. 201740. V § 20 se na konci písmene j) tečka nahrazuje čárkou a doplňují se písmena k) až n), která znějí:
   účinné od 1. 8. 2017

   1. účinné od 1. 8. 2017„k) informuje bez uvedení identifikačních údajů ohlašovatele příslušný orgán jiného členského státu o kybernetickém bezpečnostním incidentu, který má významný dopad na kontinuitu poskytování základních služeb v tomto členském státě nebo se dotýká poskytování digitálních služeb v tomto členském státě, přičemž zachovává bezpečnost a obchodní zájmy ohlašovatele,
   2. účinné od 1. 8. 2017l) přijímá hlášení o kybernetickém bezpečnostním incidentu od orgánů a osob neuvedených v § 3; vládní CERT hlášení zpracovává, a pokud to jeho kapacity umožňují a jedná se o kybernetický bezpečnostní incident s významným dopadem, poskytuje orgánům nebo osobám dotčeným kybernetickým bezpečnostním incidentem metodickou podporu, pomoc a součinnost,
   3. účinné od 1. 8. 2017m) plní roli týmu CSIRT podle příslušného předpisu Evropské unie¹²) a
   4. účinné od 1. 8. 2017n) spolupracuje s týmy CSIRT jiných členských států.“.

1. účinné od 1. 8. 201741. V § 21 odst. 1 se slova „bezpečnost a integrita služeb nebo sítí elektronických komunikací¹)“ nahrazují slovy „bezpečnost služeb elektronických komunikací anebo bezpečnost a integrita sítí elektronických komunikací¹)“.
2. účinné od 1. 8. 201742. Na začátku hlavy IV se vkládá nový § 21a, který včetně skupinového nadpisu zní:
   účinné od 1. 8. 2017

   účinné od 1. 8. 2017„Úřad

   § 21a

   Odkaz účinné od 1. 8. 2017§ 21a

   účinné od 1. 8. 2017(1) Zřizuje se Úřad se sídlem v Brně jako ústřední správní úřad pro oblast kybernetické bezpečnosti a pro vybrané oblasti ochrany utajovaných informací podle zákona o ochraně utajovaných informací a o bezpečnostní způsobilosti. Příjmy a výdaje Úřadu tvoří samostatnou kapitolu státního rozpočtu.

   účinné od 1. 8. 2017(2) V čele Úřadu je ředitel, kterého jmenuje po projednání ve výboru Poslanecké sněmovny příslušném ve věcech bezpečnosti vláda, která ho též odvolává.

   účinné od 1. 8. 2017(3) Ředitel Úřadu je odpovědný předsedovi vlády nebo pověřenému členovi vlády.“.

1. účinné od 1. 8. 201743. § 22 včetně poznámek pod čarou č. 13 a 14 zní:
   účinné od 1. 8. 2017

   㤠22

   Odkaz účinné od 1. 8. 2017„§ 22

   účinné od 1. 8. 2017Úřad

   1. účinné od 1. 8. 2017a) stanoví bezpečnostní opatření,
   2. účinné od 1. 8. 2017b) vydává opatření,
   3. účinné od 1. 8. 2017c) plní stanovené úkoly ve vybraných oblastech ochrany utajovaných informací,
   4. účinné od 1. 8. 2017d) vede evidence podle tohoto zákona a podle zákona o ochraně utajovaných informací,
   5. účinné od 1. 8. 2017e) ukládá správní tresty za nedodržení povinností stanovených tímto zákonem a zákonem o ochraně utajovaných informací a o bezpečnostní způsobilosti,
   6. účinné od 1. 8. 2017f) působí jako koordinační orgán ve stavu kybernetického nebezpečí,
   7. účinné od 1. 8. 2017g) spolupracuje s orgány a osobami, které působí v oblasti kybernetické bezpečnosti a kybernetické obrany, zejména s veřejnoprávními korporacemi, výzkumnými a vývojovými pracovišti a s ostatními pracovišti typu CERT, a s orgány a osobami, které působí ve vybraných oblastech ochrany utajovaných informací,
   8. účinné od 1. 8. 2017h) zajišťuje mezinárodní spolupráci v oblasti kybernetické bezpečnosti a ve vybraných oblastech ochrany utajovaných informací,
   9. účinné od 1. 8. 2017i) sjednává a uzavírá smlouvy o mezinárodní spolupráci v oblasti kybernetické bezpečnosti a ve vybraných oblastech ochrany utajovaných informací,
   10. účinné od 1. 8. 2017j) zajišťuje prevenci, vzdělávání a metodickou podporu v oblasti kybernetické bezpečnosti a ve vybraných oblastech ochrany utajovaných informací,
   11. účinné od 1. 8. 2017k) zajišťuje výzkum a vývoj v oblasti kybernetické bezpečnosti a ve vybraných oblastech ochrany utajovaných informací,
   12. účinné od 1. 8. 2017l) uzavírá veřejnoprávní smlouvu s provozovatelem národního CERT,
   13. účinné od 1. 8. 2017m) zasílá podle krizového zákona Ministerstvu vnitra návrh prvků kritické infrastruktury v odvětví komunikační a informační systémy v oblasti kybernetické bezpečnosti, jejichž provozovatelem je organizační složka státu,
   14. účinné od 1. 8. 2017n) určuje podle krizového zákona prvky kritické infrastruktury v odvětví komunikační a informační systémy v oblasti kybernetické bezpečnosti, pokud nejde o prvky uvedené v písmeni m),
   15. účinné od 1. 8. 2017o) ověřuje každé 2 roky aktuálnost určení prvků kritické infrastruktury podle písmen m) a n),
   16. účinné od 1. 8. 2017p) určuje provozovatele základní služby a informační systém základní služby,
   17. účinné od 1. 8. 2017q) zpracovává a vládě ke schválení předkládá národní strategii kybernetické bezpečnosti¹³) a akční plán k jejímu naplňování a tuto strategii aktualizuje nejméně každých 5 let,
   18. účinné od 1. 8. 2017r) je jednotným kontaktním místem pro zajištění přeshraniční spolupráce v oblasti kybernetické bezpečnosti v rámci Evropské unie,
   19. účinné od 1. 8. 2017s) je příslušným orgánem v České republice a plní informační povinnosti vůči Evropské komisi a skupině pro spolupráci podle příslušného předpisu Evropské unie¹⁴),
   20. účinné od 1. 8. 2017t) informuje veřejnost o kybernetickém bezpečnostním incidentu podle § 12 odst. 3,
   21. účinné od 1. 8. 2017u) provádí analýzu a monitoring kybernetických hrozeb a rizik,
   22. účinné od 1. 8. 2017v) vykonává působnost v oblasti veřejné regulované služby Evropského programu družicové navigace Galileo,
   23. účinné od 1. 8. 2017w) vydává Věstník Úřadu, který zveřejňuje na svých internetových stránkách,
   24. účinné od 1. 8. 2017x) plní další úkoly v oblasti kybernetické bezpečnosti stanovené tímto zákonem a ve vybraných oblastech ochrany utajovaných informací podle zákona o ochraně utajovaných informací a o bezpečnostní způsobilosti.

   účinné od 1. 8. 2017¹³) Čl. 7 směrnice Evropského parlamentu a Rady (EU) 2016/1148.

   účinné od 1. 8. 2017¹⁴) Například čl. 5 odst. 3, čl. 7 odst. 3 a čl. 8 směrnice Evropského parlamentu a Rady (EU) 2016/1148.“.

1. účinné od 1. 8. 201744. Za § 22 se vkládají nové § 22a a 22b, které včetně nadpisu znějí:
   účinné od 1. 8. 2017

   㤠22a

   Odkaz účinné od 1. 8. 2017„§ 22a

   účinné od 1. 8. 2017Určení provozovatele základní služby a informačního systému základní služby

   účinné od 1. 8. 2017(1) Úřad rozhodnutím určí provozovatele základní služby a informační systém základní služby, pokud naplní odvětvová a dopadová kritéria, která zohledňují významnost

   1. účinné od 1. 8. 2017a) služeb poskytovaných v jednotlivých odvětvích uvedených v § 2 písm. i) a
   2. účinné od 1. 8. 2017b) dopad kybernetického bezpečnostního incidentu zejména na
      1. účinné od 1. 8. 20171. rozsah a kvalitu poskytování základní služby uživatelům, kteří jsou na ní závislí,
      2. účinné od 1. 8. 20172. ekonomické a společenské činnosti a veřejnou bezpečnost,
      3. účinné od 1. 8. 20173. vzájemnou závislost odvětví uvedených v § 2 písm. i).
      4. účinné od 1. 8. 2017Dopadová a odvětvová kritéria pro určení provozovatele základní služby a vymezení významnosti dopadu narušení základní služby na zabezpečení společenských nebo ekonomických činností stanoví prováděcí právní předpis.

   účinné od 1. 8. 2017(2) V případě, že Úřad zjistí, že orgán nebo osoba, které hodlá určit podle odstavce 1 jako provozovatele základní služby, poskytují danou službu i v jiném členském státě, provede před rozhodnutím ve věci konzultaci s příslušným orgánem dotčeného členského státu.

   účinné od 1. 8. 2017(3) Proti rozhodnutí Úřadu o určení provozovatele základní služby a informačního systému základní služby není rozklad přípustný.

   účinné od 1. 8. 2017(4) Úřad ověřuje nejméně každé 2 roky ode dne vydání rozhodnutí o určení provozovatele základní služby, zda jsou splněny podmínky pro určení provozovatele základní služby a informačního systému základní služby.

   § 22b

   Odkaz účinné od 1. 8. 2017§ 22b

   účinné od 1. 8. 2017(1) Úřadu jsou poskytovány pro výkon působnosti podle tohoto zákona ze základního registru obyvatel referenční údaje, kterými jsou

   1. účinné od 1. 8. 2017a) příjmení,
   2. účinné od 1. 8. 2017b) jméno, popřípadě jména,
   3. účinné od 1. 8. 2017c) adresa místa pobytu,
   4. účinné od 1. 8. 2017d) datum, místo a okres narození; u subjektu údajů, který se narodil v cizině, datum, místo a stát, kde se narodil,
   5. účinné od 1. 8. 2017e) datum, místo a okres úmrtí; jde-li o úmrtí subjektu údajů mimo území České republiky, datum úmrtí, místo a stát, na jehož území k úmrtí došlo,
   6. účinné od 1. 8. 2017f) státní občanství, popřípadě více státních občanství,
   7. účinné od 1. 8. 2017g) záznam o zřízení datové schránky a identifikátor datové schránky, je-li tato datová schránka zpřístupněna.

   účinné od 1. 8. 2017(2) Úřadu jsou poskytovány pro výkon působnosti podle tohoto zákona z agendového informačního systému evidence obyvatel o státních občanech České republiky údaje, kterými jsou

   1. účinné od 1. 8. 2017a) jméno, popřípadě jména, příjmení, včetně předchozích příjmení, rodné příjmení,
   2. účinné od 1. 8. 2017b) rodné číslo, pokud není přiděleno, datum narození,
   3. účinné od 1. 8. 2017c) adresa místa trvalého pobytu, včetně předchozích adres místa trvalého pobytu, popřípadě adresa, na kterou mají být doručovány písemnosti podle jiného právního předpisu,
   4. účinné od 1. 8. 2017d) omezení svéprávnosti, jméno, popřípadě jména, příjmení a rodné číslo opatrovníka; nebylo-li opatrovníkovi rodné číslo přiděleno, datum, místo a okres narození; je-li opatrovníkem ustanoven orgán místní správy, název a adresa sídla,
   5. účinné od 1. 8. 2017e) datum, místo a okres úmrtí; jde-li o úmrtí občana mimo území České republiky, datum úmrtí, místo a stát, na jehož území k úmrtí došlo,
   6. účinné od 1. 8. 2017f) den, který byl v rozhodnutí soudu o prohlášení za mrtvého uveden jako den smrti, popřípadě jako den, který občan prohlášený za mrtvého nepřežil.
   7. účinné od 1. 8. 2017Údaje, které jsou vedeny jako referenční údaje v základním registru obyvatel, se využijí z agendového informačního systému evidence obyvatel, pouze pokud jsou ve tvaru předcházejícím současný stav.

   účinné od 1. 8. 2017(3) Úřadu jsou poskytovány pro výkon působnosti podle tohoto zákona z informačního systému cizinců o cizincích údaje, kterými jsou

   1. účinné od 1. 8. 2017a) jméno, popřípadě jména, příjmení, rodné příjmení,
   2. účinné od 1. 8. 2017b) datum narození,
   3. účinné od 1. 8. 2017c) rodné číslo,
   4. účinné od 1. 8. 2017d) státní občanství, popřípadě více státních občanství,
   5. účinné od 1. 8. 2017e) druh a adresa místa pobytu,
   6. účinné od 1. 8. 2017f) číslo a platnost oprávnění k pobytu,
   7. účinné od 1. 8. 2017g) omezení svéprávnosti,
   8. účinné od 1. 8. 2017h) datum, místo a okres úmrtí; jde-li o úmrtí mimo území České republiky, stát, na jehož území k úmrtí došlo, popřípadě datum úmrtí,
   9. účinné od 1. 8. 2017i) den, který byl v rozhodnutí soudu o prohlášení za mrtvého uveden jako den smrti, popřípadě jako den, který cizinec prohlášený za mrtvého nepřežil.
   10. účinné od 1. 8. 2017Údaje, které jsou vedeny jako referenční údaje v základním registru obyvatel, se využijí z informačního systému cizinců, pouze pokud jsou ve tvaru předcházejícím současný stav.

   účinné od 1. 8. 2017(4) Úřadu jsou poskytovány pro výkon působnosti podle tohoto zákona z registru rodných čísel o fyzických osobách, kterým bylo přiděleno rodné číslo, avšak nejsou vedeny v agendovém informačním systému evidence obyvatel, údaje, kterými jsou

   1. účinné od 1. 8. 2017a) jméno, popřípadě jména, příjmení, popřípadě rodné příjmení,
   2. účinné od 1. 8. 2017b) rodné číslo,
   3. účinné od 1. 8. 2017c) v případě změny rodného čísla původní rodné číslo,
   4. účinné od 1. 8. 2017d) den, měsíc a rok narození,
   5. účinné od 1. 8. 2017e) místo a okres narození; u fyzické osoby narozené v cizině stát, na jehož území se narodila.

   účinné od 1. 8. 2017(5) Úřadu jsou poskytovány pro výkon působnosti podle tohoto zákona ze základního registru právnických osob, podnikajících fyzických osob a orgánů veřejné moci údaje, kterými jsou

   1. účinné od 1. 8. 2017a) obchodní firma nebo název právnické osoby nebo jméno, popřípadě jména, a příjmení podnikající fyzické osoby,
   2. účinné od 1. 8. 2017b) datum vzniku nebo datum zápisu do evidence podle zvláštních právních předpisů,
   3. účinné od 1. 8. 2017c) datum zániku nebo datum výmazu z evidence podle zvláštních právních předpisů,
   4. účinné od 1. 8. 2017d) právní forma,
   5. účinné od 1. 8. 2017e) záznam o zřízení datové schránky a identifikátor datové schránky, je-li tato datová schránka zpřístupněna,
   6. účinné od 1. 8. 2017f) statutární orgán vyjádřený referenční vazbou na registr obyvatel anebo na registr osob nebo údajem o jménu, popřípadě jménech, příjmení a bydlišti u zahraniční fyzické osoby,
   7. účinné od 1. 8. 2017g) právní stav,
   8. účinné od 1. 8. 2017h) adresa sídla právnické osoby nebo adresa místa podnikání fyzické osoby ve formě referenční vazby (kódu adresního místa) na referenční údaj o adrese v registru územní identifikace.

   účinné od 1. 8. 2017(6) K údajům podle odstavců 2 až 5 vedeným v agendových informačních systémech jsou Úřadu poskytovány i jejich předchozí změny.

   účinné od 1. 8. 2017(7) Z poskytovaných údajů lze v konkrétním případě použít vždy jen takové údaje, které jsou nezbytné ke splnění daného úkolu.“.

1. účinné od 1. 8. 201745. § 23 včetně nadpisu zní:
   účinné od 1. 8. 2017

   㤠23

   Odkaz účinné od 1. 8. 2017„§ 23

   účinné od 1. 8. 2017Kontrola

   účinné od 1. 8. 2017(1) Úřad vykonává kontrolu v oblasti kybernetické bezpečnosti. Při výkonu kontroly Úřad zjišťuje, jak orgány a osoby uvedené v § 3 písm. a) až g) plní povinnosti stanovené tímto zákonem a rozhodnutími a opatřeními obecné povahy vydanými Úřadem podle tohoto zákona, a dodržují prováděcí právní předpisy v oblasti kybernetické bezpečnosti. Je-li důvodné podezření, že poskytovatel digitální služby neplní povinnosti stanovené tímto zákonem, provede u něj Úřad kontrolu.

   účinné od 1. 8. 2017(2) Při výkonu kontroly se postupuje přiměřeně podle kontrolního řádu.

   účinné od 1. 8. 2017(3) Kontrolu vykonávají pověření zaměstnanci Úřadu.“.

1. účinné od 1. 8. 201746. V § 24 odst. 2 se za slova „komunikační systém kritické informační infrastruktury“ vkládají slova „, informační systém základní služby“.
2. účinné od 1. 8. 201747. Za § 24 se vkládají nové § 24a až 24c, které včetně nadpisu a poznámky pod čarou č. 15 znějí:
   účinné od 1. 8. 2017

   účinné od 1. 8. 2017„Kontrola činnosti Úřadu

   § 24a

   Odkaz účinné od 1. 8. 2017§ 24a

   účinné od 1. 8. 2017(1) Kontrolu činnosti Úřadu vykonává Poslanecká sněmovna, která k tomuto účelu zřizuje zvláštní kontrolní orgán (dále jen „kontrolní orgán“).

   účinné od 1. 8. 2017(2) Kontrolní orgán se skládá ze 7 členů. Členem kontrolního orgánu může být pouze poslanec Poslanecké sněmovny.

   účinné od 1. 8. 2017(3) Pokud tento zákon nestanoví jinak, vztahuje se na jednání kontrolního orgánu a na práva a povinnosti jeho členů přiměřeně jiný právní předpis¹⁵).

   účinné od 1. 8. 2017(4) Členové kontrolního orgánu mohou vstupovat v doprovodu ředitele Úřadu nebo jím pověřeného zaměstnance do objektů Úřadu.

   účinné od 1. 8. 2017(5) Ředitel Úřadu předkládá kontrolnímu orgánu

   1. účinné od 1. 8. 2017a) zprávu o činnosti Úřadu,
   2. účinné od 1. 8. 2017b) návrh rozpočtu Úřadu,
   3. účinné od 1. 8. 2017c) podklady potřebné ke kontrole plnění rozpočtu Úřadu,
   4. účinné od 1. 8. 2017d) vnitřní předpisy Úřadu,
   5. účinné od 1. 8. 2017e) na vyžádání zprávu o jednotlivých kybernetických bezpečnostních incidentech z kritické informační infrastruktury, významných informačních systémů a informačních systémů základní služby.

   § 24b

   Odkaz účinné od 1. 8. 2017§ 24b

   účinné od 1. 8. 2017(1) Má-li kontrolní orgán za to, že činnost Úřadu nezákonně omezuje nebo poškozuje práva a svobody občanů nebo že rozhodovací činnost Úřadu v rámci správního řízení je stižena vadami, je oprávněn požadovat od ředitele Úřadu potřebné vysvětlení.

   účinné od 1. 8. 2017(2) Každé porušení zákona zaměstnancem Úřadu při plnění povinností podle tohoto zákona a ve vybraných oblastech podle zákona o ochraně utajovaných informací a o bezpečnostní způsobilosti, které kontrolní orgán zjistí při své činnosti, je povinen oznámit řediteli Úřadu a předsedovi vlády.

   § 24c

   Odkaz účinné od 1. 8. 2017§ 24c

   účinné od 1. 8. 2017Povinnost zachovávat mlčenlivost uložená členům kontrolního orgánu podle zákona se nevztahuje na případy, kdy kontrolní orgán podává oznámení podle § 24b odst. 2.

   účinné od 1. 8. 2017¹⁵) Zákon č. 90/1995 Sb., o jednacím řádu Poslanecké sněmovny, ve znění pozdějších předpisů.“.

1. účinné od 1. 8. 201748. V § 25 odst. 1 úvodní části ustanovení se slova „Právnická osoba nebo podnikající fyzická osoba uvedené v § 3 písm. a) nebo b)“ nahrazují slovy „Poskytovatel služby elektronických komunikací a subjekt zajišťující síť elektronických komunikací nebo orgán nebo osoba zajišťující významnou síť“.
2. účinné od 1. 8. 201749. V § 25 odst. 2 úvodní části ustanovení se slova „Právnická osoba nebo podnikající fyzická osoba uvedené v § 3 písm. c) až e)“ nahrazují slovy „Správce nebo provozovatel informačního nebo komunikačního systému kritické informační infrastruktury nebo správce nebo provozovatel významného informačního systému“.
3. účinné od 1. 8. 201750. V § 25 odst. 2 písm. b) se číslo „3“ nahrazuje číslem „4“.
4. účinné od 1. 8. 201751. V § 25 se za odstavec 2 vkládají nové odstavce 3 až 11, které znějí:
   účinné od 1. 8. 2017

   účinné od 1. 8. 2017„(3) Správce informačního nebo komunikačního systému kritické informační infrastruktury nebo významného informačního systému se dopustí přestupku tím, že neinformuje provozovatele systému podle § 4a odst. 1.

   účinné od 1. 8. 2017(4) Správce nebo provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že neinformuje subjekt zajišťující síť elektronických komunikací podle § 4a odst. 2.

   účinné od 1. 8. 2017(5) Provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že

   1. účinné od 1. 8. 2017a) nesplní povinnost uloženou Úřadem v rozhodnutí podle § 15a odst. 1,
   2. účinné od 1. 8. 2017b) nepředá data, provozní údaje a informace podle § 6a odst. 2,
   3. účinné od 1. 8. 2017c) nepředá data, provozní údaje a informace podle § 6a odst. 3,
   4. účinné od 1. 8. 2017d) nezničí kopie dat, provozních údajů a informací podle § 6a odst. 3, nebo
   5. účinné od 1. 8. 2017e) neumožní správci dohled nad průběhem zničení dat, provozních údajů a informací podle § 6a odst. 3.

   účinné od 1. 8. 2017(6) Orgán nebo osoba zajišťující významnou síť se dopustí přestupku tím, že neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 3.

   účinné od 1. 8. 2017(7) Správce a provozovatel informačního systému základní služby se dopustí přestupku tím, že

   1. účinné od 1. 8. 2017a) v rozporu s § 4 odst. 2 nezavede nebo neprovádí bezpečnostní opatření nebo nevede bezpečnostní dokumentaci,
   2. účinné od 1. 8. 2017b) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 1 a 4,
   3. účinné od 1. 8. 2017c) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3,
   4. účinné od 1. 8. 2017d) nesplní povinnost uloženou Úřadem podle § 13 nebo 14,
   5. účinné od 1. 8. 2017e) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b), nebo
   6. účinné od 1. 8. 2017f) nesplní některou z povinností uloženou nápravným opatřením podle § 24.

   účinné od 1. 8. 2017(8) Správce nebo provozovatel informačního nebo komunikačního systému kritické informační infrastruktury, správce nebo provozovatel významného informačního systému, správce nebo provozovatel informačního systému základní služby a provozovatel základní služby, kteří jsou orgánem veřejné moci, se dopustí přestupku tím, že uzavřou smlouvu s poskytovatelem služeb cloud computingu v rozporu s § 4 odst. 5.

   účinné od 1. 8. 2017(9) Správce nebo provozovatel informačního nebo komunikačního systému kritické informační infrastruktury se dopustí přestupku tím, že nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3.

   účinné od 1. 8. 2017(10) Provozovatel základní služby se dopustí přestupku tím, že

   1. účinné od 1. 8. 2017a) neinformuje správce nebo provozovatele informačního systému základní služby podle § 4a odst. 3,
   2. účinné od 1. 8. 2017b) nenahlásí významný dopad na kontinuitu poskytování základní služby podle § 8 odst. 1 a 4,
   3. účinné od 1. 8. 2017c) nenahlásí významný dopad na kontinuitu poskytování základní služby způsobený kybernetickým bezpečnostním incidentem podle § 8 odst. 8,
   4. účinné od 1. 8. 2017d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3, nebo
   5. účinné od 1. 8. 2017e) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b).

   účinné od 1. 8. 2017(11) Poskytovatel digitální služby se dopustí přestupku tím, že

   1. účinné od 1. 8. 2017a) neustaví svého zástupce podle § 3a odst. 1,
   2. účinné od 1. 8. 2017b) v rozporu s § 4 odst. 3 nezavede nebo neprovádí bezpečnostní opatření,
   3. účinné od 1. 8. 2017c) neohlásí kybernetický bezpečnostní incident podle § 8 odst. 2 a 3,
   4. účinné od 1. 8. 2017d) nesplní povinnost informovat veřejnost uloženou Úřadem podle § 12 odst. 3, nebo
   5. účinné od 1. 8. 2017e) neoznámí kontaktní údaje nebo jejich změnu podle § 16 odst. 2 písm. a).“.

   účinné od 1. 8. 2017Dosavadní odstavec 3 se označuje jako odstavec 12.

1. účinné od 1. 8. 201752. V § 25 odstavec 12 zní:
   účinné od 1. 8. 2017

   účinné od 1. 8. 2017„(12) Za přestupek lze uložit pokutu do

   1. účinné od 1. 8. 2017a) 5 000 000 Kč, jde-li o přestupek podle odstavce 2 písm. a), odstavce 7 písm. a) nebo odstavce 11 písm. b),
   2. účinné od 1. 8. 2017b) 1 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. a) nebo b), odstavce 2 písm. b), c) nebo e), odstavce 3, odstavce 4, odstavce 5 písm. a), c) nebo d), odstavce 6, odstavce 7 písm. b) až d) nebo f), odstavce 8, odstavce 9, odstavce 10 písm. a) až d) nebo odstavce 11 písm. a), c) nebo d),
   3. účinné od 1. 8. 2017c) 200 000 Kč, jde-li o přestupek podle odstavce 5 písm. b) nebo e),
   4. účinné od 1. 8. 2017d) 10 000 Kč, jde-li o přestupek podle odstavce 2 písm. d), odstavce 7 písm. e), odstavce 10 písm. e) nebo odstavce 11 písm. e).“.

1. účinné od 1. 8. 201753. V § 26 odst. 2 se slova „se uloží pokuta“ nahrazují slovy „lze uložit pokutu“.
2. účinné od 1. 8. 201754. V § 28 odst. 2 písmena a) a b) znějí:
   účinné od 1. 8. 2017

   1. účinné od 1. 8. 2017„a) obsah a strukturu bezpečnostní dokumentace, obsah bezpečnostních opatření a rozsah bezpečnostních opatření podle § 6 písm. a) až c) a obsah a rozsah bezpečnostních pravidel podle § 6 písm. e),
   2. účinné od 1. 8. 2017b) typy, kategorie a hodnocení významnosti kybernetických bezpečnostních incidentů a náležitosti a způsob hlášení kybernetického bezpečnostního incidentu podle § 8 odst. 7,“.

1. účinné od 1. 8. 201755. V § 28 odst. 2 se na konci písmene c) slovo „a“ nahrazuje čárkou.
2. účinné od 1. 8. 201756. V § 28 odst. 2 písm. d) se text „odst. 6.“ nahrazuje textem „odst. 7,“ a na konci odstavce 2 se doplňují písmena e) a f), která znějí:
   účinné od 1. 8. 2017

   1. účinné od 1. 8. 2017„e) dopadová a odvětvová kritéria pro určení provozovatele základní služby a vymezení významnosti dopadu narušení základní služby na zabezpečení společenských nebo ekonomických činností podle § 22a odst. 1,
   2. účinné od 1. 8. 2017f) způsob likvidace dat, provozních údajů, informací a jejich kopií.“.

1. účinné od 1. 8. 201757. V § 30 písm. b) a v § 31 písm. b) se číslo „3“ nahrazuje číslem „4“.
2. účinné od 1. 8. 201758. V § 33 odst. 2 se za slovo „republiky“ vkládají slova „a Generální inspekce bezpečnostních sborů“.
3. účinné od 1. 8. 201759. V § 33 se doplňují odstavce 3 a 4, které včetně poznámky pod čarou č. 16 znějí:
   účinné od 1. 8. 2017

   účinné od 1. 8. 2017„(3) Tento zákon se vztahuje pouze na poskytovatele digitální služby, který je právnickou osobou a není mikropodnikem nebo malým podnikem¹⁶).

   účinné od 1. 8. 2017(4) Tento zákon se nevztahuje na poskytovatele digitální služby, který má sídlo v jiném členském státě.

   účinné od 1. 8. 2017¹⁶) Příloha doporučení Komise 2003/361/ES ze dne 6. května 2003 o definici mikropodniků a malých a středních podniků.“.

1. účinné od 1. 8. 201760. Části druhá a čtvrtá se včetně nadpisů zrušují.

Čl. II

účinné od 1. 8. 2017Přechodná ustanovení

Čl. III

účinné od 1. 8. 2017V § 11 odst. 4 zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění zákona č. 159/2000 Sb., zákona č. 61/2006 Sb., zákona č. 254/2008 Sb., nálezu Ústavního soudu, vyhlášeného pod č. 123/2010 Sb., zákona č. 181/2014 Sb., zákona č. 301/2016 Sb. a zákona č. 368/2016 Sb., se písmeno f) zrušuje.

účinné od 1. 8. 2017Dosavadní písmeno g) se označuje jako písmeno f).

Čl. IV

účinné od 1. 8. 2017V § 2 zákona č. 2/1969 Sb., o zřízení ministerstev a jiných ústředních orgánů státní správy České republiky, ve znění zákona č. 60/1988 Sb., zákona č. 288/1990 Sb., zákona č. 575/1990 Sb., zákona č. 173/1991 Sb., zákona č. 359/1992 Sb., zákona č. 474/1992 Sb., zákona č. 21/1993 Sb., zákona č. 47/1994 Sb., zákona č. 89/1995 Sb., zákona č. 272/1996 Sb., zákona č. 15/1998 Sb., zákona č. 148/1998 Sb., zákona č. 365/2000 Sb., zákona č. 458/2000 Sb., zákona č. 219/2002 Sb., zákona č. 517/2002 Sb., zákona č. 95/2005 Sb., zákona č. 57/2006 Sb., zákona č. 250/2014 Sb. a zákona č. 319/2016 Sb., se na konci bodu 15 tečka nahrazuje čárkou a doplňuje se bod 16, který zní:

Čl. V

účinné od 1. 8. 2017V § 1 odst. 2 zákona č. 451/1991 Sb., kterým se stanoví některé další předpoklady pro výkon některých funkcí ve státních orgánech a organizacích České a Slovenské Federativní Republiky, České republiky a Slovenské republiky, ve znění zákona č. 250/2014 Sb., se za slova „Národním bezpečnostním úřadu“ vkládají slova „, Národním úřadu pro kybernetickou a informační bezpečnost“.