Zákon, kterým se mění zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění zákona č. 104/2017 Sb., a některé další zákony

Čl. XIV

Zákon č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti, ve znění zákona č. 119/2007 Sb., zákona č. 177/2007 Sb., zákona č. 296/2007 Sb., zákona č. 32/2008 Sb., zákona č. 124/2008 Sb., zákona č. 126/2008 Sb., zákona č. 250/2008 Sb., zákona č. 41/2009 Sb., zákona č. 227/2009 Sb., zákona č. 281/2009 Sb., zákona č. 255/2011 Sb., zákona č. 420/2011 Sb., zákona č. 458/2011 Sb., zákona č. 167/2012 Sb., zákona č. 303/2013 Sb., zákona č. 181/2014 Sb., zákona č. 250/2014 Sb., zákona č. 204/2015 Sb., zákona č. 375/2015 Sb., zákona č. 135/2016 Sb. a zákona č. 298/2016 Sb., se mění takto:

1. 1. Na začátku hlavy VI se vkládá nový § 33a, který zní:

   㤠33a

   Odkaz 㤠33a

   Státní správu v oblasti ochrany utajovaných informací podle této hlavy vykonává Národní úřad pro kybernetickou a informační bezpečnost, pokud tento zákon nestanoví jinak.“.

1. 2. V § 34 odst. 2, § 35 odst. 2, § 37 odst. 2 a 4, § 45 odst. 2, § 46 odst. 17, § 69 odst. 1 písm. e), g) a i) a § 153 odst. 1 písm. s), t) a v) se slovo „Úřadem“ nahrazuje slovy „Národním úřadem pro kybernetickou a informační bezpečnost“.
2. 3. V § 34 odst. 5, § 43 odst. 2, § 43a odst. 2, § 45 odst. 5, § 46 odst. 17, § 48 odst. 5, § 49 odst. 6, § 50 odst. 5, § 51 odst. 5 a § 67 odst. 1 písm. d) se slovo „Úřadu“ nahrazuje slovy „Národnímu úřadu pro kybernetickou a informační bezpečnost“.
3. 4. V § 35 odst. 2, § 39 odst. 1 a 2, § 42 odst. 2, § 45 odst. 6, § 46 odst. 5 písm. d) a odst. 18, § 48 odst. 1 a 2, odst. 4 písm. d) a odst. 6, § 49 odst. 1 a 3 a odst. 5 písm. b), § 50 odst. 1, 2, odst. 4 písm. d) a odst. 6, § 51 odst. 1 a 2 a odst. 4 písm. d) a § 148 odst. 1 písm. j) se slovo „Úřadu“ nahrazuje slovy „Národního úřadu pro kybernetickou a informační bezpečnost“.
4. 5. Na začátku hlavy VIII se vkládá nový § 36a, který zní:

   㤠36a

   Odkaz 㤠36a

   Státní správu v oblasti ochrany utajovaných informací podle této hlavy vykonává Národní úřad pro kybernetickou a informační bezpečnost, pokud tento zákon nestanoví jinak.“.

1. 6. V § 37a odst. 3, § 39 odst. 1 až 3, § 42 odst. 3 a 4, § 43a odst. 1, § 45 odst. 3 a 4, § 48 odst. 3, odst. 5 a 6, § 49 odst. 2, 4, 6, 7 a 9, § 50 odst. 3, 5 a 6, § 51 odst. 3 a 5 a § 69 odst. 1 písm. f) a h) se slovo „Úřad“ nahrazuje slovy „Národní úřad pro kybernetickou a informační bezpečnost“.
2. 7. V § 38 odst. 1 písm. c) se za slovo „výroba“ vkládají slova „nebo servis“.
3. 8. Na začátku hlavy IX se vkládá nový § 45a, který zní:

   㤠45a

   Odkaz 㤠45a

   Státní správu v oblasti ochrany utajovaných informací podle této hlavy vykonává Národní úřad pro kybernetickou a informační bezpečnost, pokud tento zákon nestanoví jinak.“.

1. 9. V § 46 odst. 1 a 2 a v § 52 odst. 5 a 6 se za slovo „Úřad“ vkládají slova „nebo Národní úřad pro kybernetickou a informační bezpečnost“.
2. 10. V § 46 odst. 10 a § 52 odst. 4 písm. d) se za slovo „Úřadem“ vkládají slova „nebo Národním úřadem pro kybernetickou a informační bezpečnost“.
3. 11. V § 46 odstavce 11 a 12 znějí:

   „(11) Úřad rozhoduje o zániku platnosti certifikátu v případech uvedených v § 47 odst. 4 písm. b). Národní úřad pro kybernetickou a informační bezpečnost rozhoduje o zániku platnosti certifikátu v případech uvedených v § 48 odst. 4 písm. d), § 49 odst. 5 písm. b), § 50 odst. 4 písm. d) a § 51 odst. 4 písm. d). Odvolání podané proti rozhodnutí Úřadu nebo Národního úřadu pro kybernetickou a informační bezpečnost o zániku platnosti certifikátu nemá odkladný účinek. Proti rozhodnutí Národního úřadu pro kybernetickou a informační bezpečnost o zániku platnosti certifikátu informačního systému a certifikátu kryptografického prostředku není odvolání přípustné.

   (12) Jestliže platnost certifikátu zanikla podle § 48 odst. 4 písm. b) a d), § 49 odst. 5 písm. b), § 50 odst. 4 písm. b) a d) nebo § 51 odst. 4 písm. b) a d), je držitel certifikátu povinen do 5 dnů ode dne doručení oznámení Národního úřadu pro kybernetickou a informační bezpečnost odevzdat certifikát Národnímu úřadu pro kybernetickou a informační bezpečnost. Jestliže platnost certifikátu zanikla podle § 47 odst. 4 písm. b), je držitel certifikátu povinen do 5 dnů ode dne doručení oznámení Úřadu odevzdat certifikát Úřadu.“.

1. 12. V § 46 se na konci odstavce 14 doplňuje věta „K vydávání posudku podle věty první může Úřad uzavřít s orgánem státu nebo podnikatelem smlouvu podle § 52 o zajištění činnosti.“.
2. 13. V § 46 odstavec 15 zní:

   „(15) K provádění dílčích úloh při ověřování způsobilosti podle odstavce 1 písm. b) až e) může Národní úřad pro kybernetickou a informační bezpečnost uzavřít s orgánem státu nebo podnikatelem smlouvu podle § 52 o zajištění těchto činností; to neplatí, jde-li o ověřování způsobilosti informačního systému, kryptografického prostředku nebo pracoviště anebo stínící komory, které mají být provozovány zpravodajskými službami.“.

1. 14. V § 46 odst. 16 se slova „ve Věstníku Úřadu“ nahrazují slovy „a Národní úřad pro kybernetickou a informační bezpečnost v příslušném věstníku“.
2. 15. V § 50 odst. 4 se na konci písmene c) slovo „nebo“ zrušuje.
3. 16. V § 50 odst. 4 se na konci písmene d) tečka nahrazuje textem „, nebo“ a doplňuje se písmeno e), které zní:
   1. „e) oznámením orgánu státu nebo podnikatele, který je držitelem certifikátu, o zrušení kryptografického pracoviště.“.

1. 17. V § 52 odst. 1 a odst. 3 písm. b) se za slova „a § 46 odst.“ vkládá text „14 a“.
2. 18. V § 52 odst. 4 písm. f) se slova „§ 46 odst. 15“ nahrazují slovy „§ 46 odst. 14“.
3. 19. § 53 včetně nadpisu zní:

   㤠53

   Odkaz 㤠53

   Zmocňovací ustanovení

   Prováděcí právní předpis stanoví

   1. a) náležitosti žádosti o certifikaci technického prostředku, dokumentaci nezbytnou k provedení certifikace technického prostředku, pravidla pro stanovení doby platnosti certifikátu technického prostředku, pravidla a způsob používání technického prostředku po uplynutí doby platnosti jeho certifikátu a vzor certifikátu technického prostředku,
   2. b) náležitosti žádosti a opakované žádosti o certifikaci informačního systému, certifikaci kryptografického prostředku, certifikaci kryptografického pracoviště a certifikaci stínící komory, a dokumentaci nezbytnou k provedení certifikace informačního systému, certifikace kryptografického prostředku, certifikace kryptografického pracoviště a certifikace stínící komory,
   3. c) způsob a podmínky provádění certifikace informačního systému, certifikace kryptografického prostředku, certifikace kryptografického pracoviště a certifikace stínící komory a jejich opakování a obsah certifikační zprávy podle § 46 odst. 13,
   4. d) vzory certifikátu informačního systému, certifikátu kryptografického prostředku, certifikátu kryptografického pracoviště a certifikátu stínící komory,
   5. e) náležitosti žádosti o ověření způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím vyzařováním a způsob hodnocení jejich způsobilosti a
   6. f) náležitosti žádosti orgánu státu nebo podnikatele o uzavření smlouvy podle § 52.“.

1. 20. V § 65 odst. 3 se slovo „státní“ zrušuje.
2. 21. V § 69 odst. 1 písm. j) se slova „evidenci kryptografického materiálu, evidenci pracovníků kryptografické ochrany, evidenci provozní obsluhy kryptografického prostředku, evidenci kurýrů kryptografického materiálu“ zrušují.
3. 22. V § 69 odst. 1 se na konci písmene s) tečka nahrazuje čárkou a doplňuje se písmeno t), které zní:
   1. „t) vést evidenci kryptografického materiálu, evidenci pracovníků kryptografické ochrany, evidenci provozní obsluhy kryptografického prostředku a evidenci kurýrů kryptografického materiálu.“.

1. 23. V § 75a odst. 2 písm. b), § 143 odst. 2 a § 144 odst. 1 se slova „podle zákona upravujícího státní kontrolu⁴⁵)“ nahrazují slovy „podle kontrolního řádu“.

   Poznámka pod čarou č. 45 se zrušuje, a to včetně odkazu na poznámku pod čarou.

1. 24. § 137 včetně nadpisu zní:

   㤠137

   Odkaz 㤠137

   Úřad

   Úřad

   1. a) rozhoduje o žádosti fyzické osoby, žádosti podnikatele a žádosti o doklad a o zrušení platnosti osvědčení fyzické osoby, osvědčení podnikatele a dokladu, s výjimkou případů stanovených tímto zákonem [§ 140 odst. 1 písm. a) a § 141 odst. 1], a vydává osvědčení fyzické osoby podle § 56a,
   2. b) vykonává kontrolu v oblasti ochrany utajovaných informací a bezpečnostní způsobilosti (§ 143) a metodickou činnost, s výjimkou případů stanovených tímto zákonem (§ 143 odst. 5),
   3. c) plní úkoly v oblasti ochrany utajovaných informací v souladu se závazky vyplývajícími z členství České republiky v Evropské unii, Organizaci Severoatlantické smlouvy a z mezinárodních smluv, jimiž je Česká republika vázána,
   4. d) vede ústřední registr a schvaluje zřízení registrů v orgánech státu a u podnikatelů,
   5. e) ve stanovených případech povoluje poskytování utajovaných informací v mezinárodním styku,
   6. f) ke kurýrní přepravě utajovaných informací stupně utajení Přísně tajné, Tajné nebo Důvěrné poskytovaných v rámci mezinárodního styku, s výjimkou utajované informace poskytované podle § 78 odst. 1, vydává na základě písemné žádosti odpovědné osoby nebo bezpečnostního ředitele kurýrní listy a v odůvodněných případech zajišťuje jejich přepravu,
   7. g) provádí certifikace technického prostředku,
   8. h) vydává bezpečnostní standardy,
   9. i) ukládá správní tresty za nedodržení povinností stanovených tímto zákonem,
   10. j) rozhoduje v dalších věcech a plní další úkoly na úseku ochrany utajovaných informací a bezpečnostní způsobilosti stanovené tímto zákonem a
   11. k) vydává Věstník Úřadu, který zveřejňuje na svých internetových stránkách.“.

1. 25. Za § 137 se vkládá nový § 137a, který včetně nadpisu zní:

   㤠137a

   Odkaz 㤠137a

   Národní úřad pro kybernetickou a informační bezpečnost

   Národní úřad pro kybernetickou a informační bezpečnost v oblasti působnosti svěřené mu tímto zákonem

   1. a) zajišťuje zkoušky zvláštní odborné způsobilosti a vydává osvědčení o zvláštní odborné způsobilosti,
   2. b) plní úkoly v souladu se závazky vyplývajícími z členství České republiky v Evropské unii, Organizaci Severoatlantické smlouvy a z mezinárodních smluv, jimiž je Česká republika vázána, ve vybraných oblastech ochrany utajovaných informací,
   3. c) vykonává metodickou činnost,
   4. d) zajišťuje činnost Národního střediska komunikační bezpečnosti, Národního střediska pro distribuci kryptografického materiálu, Národního střediska pro měření kompromitujícího vyzařování a Národního střediska pro bezpečnost informačních systémů, které jsou jeho součástí,
   5. e) provádí certifikace informačního systému, kryptografického prostředku, kryptografického pracoviště a stínící komory a schvaluje projekt bezpečnosti komunikačního systému,
   6. f) zajišťuje výzkum, vývoj a výrobu národních kryptografických prostředků,
   7. g) vyvíjí a schvaluje národní šifrové algoritmy a vytváří národní politiku kryptografické ochrany,
   8. h) zjišťuje kompromitující vyzařování tam, kde se vyskytují nebo budou vyskytovat utajované informace,
   9. i) zjišťuje v součinnosti se zpravodajskými službami a policií, zda v jednací oblasti nedochází nedovoleným použitím technických prostředků určených k získávání informací k ohrožení nebo únikům utajovaných informací,
   10. j) vydává bezpečnostní standardy,
   11. k) ukládá správní tresty za nedodržení povinností stanovených tímto zákonem,
   12. l) rozhoduje v dalších věcech a plní další úkoly na úseku ochrany utajovaných informací stanovené tímto zákonem.“.

1. 26. V § 138 odst. 1 písm. b) se slova „evidenci pracovníků kryptografické ochrany, kurýrů kryptografického materiálu a evidenci fyzických osob, které jsou držiteli osvědčení o zvláštní odborné způsobilosti,“ zrušují.
2. 27. V § 138 odst. 1 se písmeno c) zrušuje.

   Dosavadní písmena d) až m) se označují jako písmena c) až l).

1. 28. V § 138 odst. 1 písm. h) se slova „informačních systémů, kryptografických prostředků, kryptografického pracoviště, stínících komor, k provádění školení zvláštní odborné způsobilosti pracovníků kryptografické ochrany a zjišťování možnosti výskytu kompromitujícího vyzařování tam, kde se utajované informace budou vyskytovat, a provádět výrobu kryptografických prostředků,“ zrušují.
2. 29. V § 138 se doplňuje odstavec 3, který zní:

   „(3) Národní úřad pro kybernetickou a informační bezpečnost je při plnění úkolů podle tohoto zákona oprávněn k činnostem podle odstavce 1 písm. a), c), g) a i), a dále je oprávněn

   1. a) vést evidenci fyzických osob, které jsou držiteli osvědčení o zvláštní odborné způsobilosti, evidenci porušení ochrany utajovaných informací a evidenci pracovníků kryptografické ochrany a kurýrů kryptografického materiálu,
   2. b) uzavírat smlouvu s orgánem státu nebo podnikatelem k provádění dílčích úloh při certifikaci informačních systémů, kryptografických prostředků, kryptografického pracoviště, stínících komor, k provádění školení zvláštní odborné způsobilosti pracovníků kryptografické ochrany a zjišťování možnosti výskytu kompromitujícího vyzařování tam, kde se utajované informace budou vyskytovat, a provádět výrobu kryptografických prostředků a
   3. c) vést certifikační spis informačního systému, kryptografického prostředku, kryptografického pracoviště a stínící komory, vést seznam kontrolovaných kryptografických položek a vést dokumentaci pro provádění činností podle § 45.“.

1. 30. V § 138a se na konci odstavce 1 tečka nahrazuje čárkou a doplňuje se písmeno g), které zní:
   1. „g) záznam o zřízení datové schránky a identifikátor datové schránky, je-li tato datová schránka zpřístupněna.“.

1. 31. V § 138a se za odstavec 4 vkládá nový odstavec 5, který zní:

   „(5) Úřadu jsou poskytovány pro výkon působnosti podle tohoto zákona ze základního registru právnických osob, podnikajících fyzických osob a orgánů veřejné moci údaje, kterými jsou

   1. a) obchodní firma nebo název právnické osoby nebo jméno, popřípadě jména, a příjmení podnikající fyzické osoby,
   2. b) datum vzniku nebo datum zápisu do evidence podle zvláštních právních předpisů,
   3. c) datum zániku nebo datum výmazu z evidence podle zvláštních právních předpisů,
   4. d) právní forma,
   5. e) záznam o zřízení datové schránky a identifikátor datové schránky, je-li tato datová schránka zpřístupněna,
   6. f) statutární orgán vyjádřený referenční vazbou na registr obyvatel anebo na registr osob nebo údajem o jménu, popřípadě jménech, příjmení a bydlišti u zahraniční fyzické osoby,
   7. g) právní stav,
   8. h) adresa sídla právnické osoby nebo adresa místa podnikání fyzické osoby ve formě referenční vazby (kódu adresního místa) na referenční údaj o adrese v registru územní identifikace.“.

   Dosavadní odstavce 5 a 6 se označují jako odstavce 6 a 7.

1. 32. V § 138a odst. 6 se slova „odstavců 2 až 4“ nahrazují slovy „odstavců 2 až 5“.
2. 33. V § 138a se doplňuje odstavec 8, který zní:

   „(8) Národnímu úřadu pro kybernetickou a informační bezpečnost jsou poskytovány pro výkon jeho působnosti podle tohoto zákona údaje podle odstavce 1, odstavce 2 písm. a), c), d), f), m) a n), odstavce 3 písm. a), b), e) až g), j), k) a r) až t), odstavce 4 písm. a), b), d) a e) a odstavce 5.“.

1. 34. Za § 138a se vkládá nový § 138b, který včetně nadpisu zní:

   㤠138b

   Odkaz 㤠138b

   Spolupráce Úřadu a Národního úřadu pro kybernetickou a informační bezpečnost

   Národní úřad pro kybernetickou a informační bezpečnost předá bez zbytečného odkladu Úřadu oznámení, které obdržel podle § 34 odst. 5, § 43 odst. 2 nebo § 69 odst. 1 písm. f) a h).“.

1. 35. Nadpis části šesté zní:

   „KONTROLA“.

1. 36. V § 143 odstavec 1 zní:

   „(1) Úřad v oblasti ochrany utajovaných informací a bezpečnostní způsobilosti kontroluje, jak orgány státu, právnické osoby, podnikající fyzické osoby a fyzické osoby (dále jen „kontrolované osoby“) dodržují právní předpisy v této oblasti.“.

1. 37. V § 143 odst. 2 až 4 se slova „státního dozoru“ nahrazují slovem „kontroly“.
2. 38. V § 143 odst. 5 se slova „Státnímu dozoru“ nahrazují slovem „Kontrole“.
3. 39. V § 143 se doplňuje odstavec 6, který zní:

   „(6) V případě kontroly, která zasahuje do oblasti působnosti ochrany utajovaných informací, jejíž státní správu podle tohoto zákona vykonává Národní úřad pro kybernetickou a informační bezpečnost, bude ke kontrole přizván jeho zástupce.“.

1. 40. V § 145 odst. 5 se na konci písmene e) čárka nahrazuje tečkou a písmeno f) se zrušuje.
2. 41. V § 146 odst. 1 se slova „nebo v rámci správního řízení o vydání opatření podle zákona o kybernetické bezpečnosti“ zrušují.
3. 42. V § 146 odst. 2 se slova „nebo podle zákona o kybernetické bezpečnosti“ zrušují.
4. 43. V § 153 odst. 1 se na konci písmene dd) slovo „nebo“ zrušuje.
5. 44. V § 153 odst. 1 se na konci písmene ee) tečka nahrazuje slovem „, nebo“ a doplňuje se písmeno ff), které zní:
   1. „ff) nevede některou z evidencí stanovených v § 69 odst. 1 písm. t).“.

1. 45. V § 153 odst. 2 písm. b) se slova „n) nebo o)“ nahrazují slovy „n), o) nebo ff)“.
2. 46. Na konci textu § 156 se doplňují slova „, s výjimkou přestupků podle § 148 odst. 1 písm. f) až h) a j), § 149 odst. 1 písm. g) až k), § 153 odst. 1 písm. b), s) až z) a ff) a § 154 odst. 1 písm. e), které projednává a za něž pokuty vybírá Národní úřad pro kybernetickou a informační bezpečnost“.
3. 47. § 158 včetně nadpisu zní:

   㤠158

   Odkaz 㤠158

   Zmocňovací ustanovení

   Úřad vydá vyhlášku k provedení § 7 odst. 3, § 9 odst. 8, § 15a odst. 7, § 23 odst. 2, § 33, § 53 písm. a) a f), § 64, § 75a odst. 4, § 79 odst. 8, § 85 odst. 5 a § 135. Národní úřad pro kybernetickou a informační bezpečnost vydá vyhlášku k provedení § 34 odst. 6, § 35 odst. 6, § 36 odst. 4, § 44 a § 53 písm. b) až f).“.

Čl. XV

Přechodná ustanovení

Čl. XVI