Zákon, kterým se mění některé zákony v souvislosti s přijetím zákona o kybernetické bezpečnosti

Čl. III

účinné od 1. 11. 2025Zákon č. 365/2000 Sb., o informačních systémech veřejné správy a o změně některých dalších zákonů, ve znění zákona č. 517/2002 Sb., zákona č. 413/2005 Sb., zákona č. 444/2005 Sb., zákona č. 70/2006 Sb., zákona č. 81/2006 Sb., zákona č. 110/2007 Sb., zákona č. 269/2007 Sb., zákona č. 130/2008 Sb., zákona č. 190/2009 Sb., zákona č. 223/2009 Sb., zákona č. 227/2009 Sb., zákona č. 281/2009 Sb., zákona č. 263/2011 Sb., zákona č. 18/2012 Sb., zákona č. 167/2012 Sb., zákona č. 64/2014 Sb., zákona č. 298/2016 Sb., zákona č. 301/2016 Sb., zákona č. 368/2016 Sb., zákona č. 104/2017 Sb., zákona č. 183/2017 Sb., zákona č. 195/2017 Sb., zákona č. 205/2017 Sb., zákona č. 251/2017 Sb., zákona č. 99/2019 Sb., zákona č. 12/2020 Sb., zákona č. 261/2021 Sb., zákona č. 471/2022 Sb. a zákona č. 1/2024 Sb., se mění takto:

1. účinné od 1. 11. 20251. V § 2 odst. 2 písmeno a) zní:
   účinné od 1. 11. 2025

   1. účinné od 1. 11. 2025„a) bezpečnostní úrovní bezpečnostní úroveň informačního systému veřejné správy vyjadřující možné dopady kybernetického bezpečnostního incidentu na informační systém veřejné správy, k zajištění jehož provozu má být využíván cloud computing,“.

1. účinné od 1. 11. 20252. V § 2 se na konci odstavce 2 tečka nahrazuje čárkou a doplňuje se písmeno g), které zní:
   účinné od 1. 11. 2025

   1. účinné od 1. 11. 2025„g) bezpečnostními pravidly pravidla pro orgány veřejné správy využívající služby poskytovatelů cloud computingu stanovující minimální požadavky pro využívání služby cloud computingu orgánem veřejné správy s cílem zajistit bezpečnost informací.“.

1. účinné od 1. 11. 20253. V § 4 odst. 2 se na konci textu písmene a) doplňují slova „ , s výjimkou povinností stanovených v § 6n písm. b) až f) a § 6l odst. 3“.
2. účinné od 1. 11. 20254. V § 5a odst. 2 se věta poslední nahrazuje větou „Strukturu a náležitosti informační koncepce orgánu veřejné správy, jakož i postupy orgánů veřejné správy při jejím vytváření, vydávání a při vyhodnocování jejího dodržování, požadavky na řízení informačních systémů veřejné správy, včetně dekomponování informačních systémů veřejné správy, technické požadavky na informační systémy veřejné správy a pravidla pro strukturování dat v informačních systémech veřejné správy stanoví prováděcí právní předpis.“.
3. účinné od 1. 11. 20255. § 5b zní:
   účinné od 1. 11. 2025

   㤠5b

   Odkazúčinné od 1. 11. 2025

   účinné od 1. 11. 2025Správci informačních systémů veřejné správy, kteří nejsou poskytovateli regulované služby podle zákona o kybernetické bezpečnosti, jsou povinni na jimi spravované informační systémy veřejné správy zavádět bezpečnostní opatření pro poskytovatele regulované služby v režimu nižších povinností podle § 8, 13 a 14 zákona o kybernetické bezpečnosti, a to přiměřeně s ohledem na možné dopady narušení důvěrnosti, integrity a dostupnosti konkrétního informačního systému veřejné správy na činnost jeho správce a jeho schopnost poskytovat své služby občanům, a dále vhodnost a proveditelnost těchto opatření.“.

1. účinné od 1. 11. 20256. V § 6i odst. 2 písm. e) se za text „§ 6n“ vkládá text „písm. a)“.
2. účinné od 1. 11. 20257. V § 6i odstavec 3 zní:
   účinné od 1. 11. 2025

   účinné od 1. 11. 2025„(3) Národní úřad pro kybernetickou a informační bezpečnost

   1. účinné od 1. 11. 2025a) kontroluje, zda cloud computing poskytovaný orgánům veřejné správy splňuje požadavky podle § 6n písm. b) až f),
   2. účinné od 1. 11. 2025b) kontroluje zařazení informačního systému veřejné správy do bezpečnostní úrovně podle § 6l odst. 3,
   3. účinné od 1. 11. 2025c) kontroluje zajištění dodržování bezpečnostních pravidel orgánem veřejné správy při využívání služby cloud computingu podle § 6l odst. 3.“.

1. účinné od 1. 11. 20258. V § 6l se na konci odstavce 3 doplňují věty „Orgán veřejné správy je povinen před uzavřením smlouvy s poskytovatelem cloud computingu zařadit informační systém veřejné správy nebo jeho část, k zajištění jehož provozu má být cloud computing využíván, do bezpečnostní úrovně s ohledem na povahu dotčeného informačního systému veřejné správy podle prováděcího právního předpisu. Orgán veřejné správy je dále povinen zajišťovat, že budou po celou dobu využívání služeb cloud computingu dodržována bezpečnostní pravidla.“.
2. účinné od 1. 11. 20259. V § 6n písm. c) se slova „postupovat podle bezpečnostních pravidel pro orgány veřejné moci využívající služby cloud computingu podle právního předpisu upravujícího kybernetickou bezpečnost“ nahrazují slovy „zajistit dodržování bezpečnostních pravidel stanovených prováděcím právním předpisem“.
3. účinné od 1. 11. 202510. V § 6q odst. 5 písm. c), § 6t odst. 6 písm. b) a d) až g) a § 6t odst. 7 písm. c) a e) až h) se slova „upravujícím kybernetickou bezpečnost“ nahrazují slovy „vydaným podle § 12 odst. 2“.
4. účinné od 1. 11. 202511. Na konci nadpisu § 7 se doplňují slova „a orgánů veřejné správy“.
5. účinné od 1. 11. 202512. V § 7 se za odstavec 3 vkládají nové odstavce 4 a 5, které znějí:
   účinné od 1. 11. 2025

   účinné od 1. 11. 2025„(4) Poskytovatel cloud computingu se dopustí přestupku tím, že poskytuje orgánu veřejné správy nebo poskytovateli státního cloud computingu cloud computing, který nesplňuje požadavky na cloud computing využívaný orgánem veřejné správy podle § 6n.

   účinné od 1. 11. 2025(5) Orgán veřejné správy se dopustí přestupku tím, že

   1. účinné od 1. 11. 2025a) využívá cloud computing v rozporu s § 6l odst. 1,
   2. účinné od 1. 11. 2025b) nesplní ve stanovené lhůtě povinnost ukončit využívání cloud computingu podle § 6l odst. 2,
   3. účinné od 1. 11. 2025c) nesplní povinnost zařadit informační systém nebo jeho část do bezpečnostní úrovně podle § 6l odst. 3, nebo
   4. účinné od 1. 11. 2025d) nezajišťuje dodržování bezpečnostních pravidel podle § 6l odst. 3.“.

   účinné od 1. 11. 2025Dosavadní odstavec 4 se označuje jako odstavec 6.

1. účinné od 1. 11. 202513. V § 7 odst. 6 se vkládá nové písmeno a), které zní:
   účinné od 1. 11. 2025

   1. účinné od 1. 11. 2025„a) 10 000 000 Kč, jde-li o přestupek podle odstavce 4 nebo 5,“.

   účinné od 1. 11. 2025Dosavadní písmena a) až c) se označují jako písmena b) až d).

1. účinné od 1. 11. 202514. V § 9e odst. 3 se slova „správci a provozovateli významného informačního systému“ zrušují.
2. účinné od 1. 11. 202515. V § 12 odst. 1 písm. b) se slova „bezpečnostních úrovní a“ zrušují.
3. účinné od 1. 11. 202516. V § 12 se na konci odstavce 2 tečka nahrazuje čárkou a doplňují se písmena g) a h), která znějí:
   účinné od 1. 11. 2025

   1. účinné od 1. 11. 2025„g) bezpečnostní úrovně informačních systémů veřejné správy,
   2. účinné od 1. 11. 2025h) obsah a rozsah bezpečnostních pravidel pro orgány veřejné správy využívající služeb cloud computingu podle § 6l odst. 3.“.

Čl. IV

účinné od 1. 11. 2025Zákon č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích), ve znění zákona č. 290/2005 Sb., zákona č. 361/2005 Sb., zákona č. 186/2006 Sb., zákona č. 235/2006 Sb., zákona č. 310/2006 Sb., zákona č. 110/2007 Sb., zákona č. 261/2007 Sb., zákona č. 304/2007 Sb., zákona č. 124/2008 Sb., zákona č. 177/2008 Sb., zákona č. 189/2008 Sb., zákona č. 247/2008 Sb., zákona č. 384/2008 Sb., zákona č. 227/2009 Sb., zákona č. 281/2009 Sb., zákona č. 153/2010 Sb., nálezu Ústavního soudu, vyhlášeného pod č. 94/2011 Sb., zákona č. 137/2011 Sb., zákona č. 341/2011 Sb., zákona č. 375/2011 Sb., zákona č. 420/2011 Sb., zákona č. 457/2011 Sb., zákona č. 468/2011 Sb., zákona č. 18/2012 Sb., zákona č. 19/2012 Sb., zákona č. 142/2012 Sb., zákona č. 167/2012 Sb., zákona č. 273/2012 Sb., zákona č. 214/2013 Sb., zákona č. 303/2013 Sb., zákona č. 181/2014 Sb., zákona č. 234/2014 Sb., zákona č. 250/2014 Sb., zákona č. 258/2014 Sb., zákona č. 318/2015 Sb., zákona č. 378/2015 Sb., zákona č. 222/2016 Sb., zákona č. 298/2016 Sb., zákona č. 183/2017 Sb., zákona č. 194/2017 Sb., zákona č. 225/2017 Sb., zákona č. 252/2017 Sb., zákona č. 287/2018 Sb., zákona č. 277/2019 Sb., zákona č. 311/2019 Sb., zákona č. 403/2020 Sb., zákona č. 150/2021 Sb., zákona č. 261/2021 Sb., zákona č. 270/2021 Sb., zákona č. 284/2021 Sb., zákona č. 374/2021 Sb., zákona č. 152/2023 Sb., zákona č. 202/2023 Sb., zákona č. 349/2023 Sb., zákona č. 265/2024 Sb. a zákona č. 23/2025 Sb., se mění takto:

1. účinné od 1. 11. 20251. V § 6 se doplňuje odstavec 6, který zní:
   účinné od 1. 11. 2025

   účinné od 1. 11. 2025„(6) Úřad rozhodne na základě žádosti o změně nebo zrušení regulačního opatření uloženého rozhodnutím vydaným na základě tohoto zákona v případě, že plnění podmínek nebo povinností stanovených v takovém rozhodnutí znemožňuje zcela nebo zčásti plnit povinnosti uvedené v protiopatření nebo opatření obecné povahy vydávaných podle zákona o kybernetické bezpečnosti.“.

1. účinné od 1. 11. 20252. V § 22a odst. 3 se slova „odstavce 5“ nahrazují slovy „odstavce 6“.
2. účinné od 1. 11. 20253. V § 22a se za odstavec 4 vkládá nový odstavec 5, který zní:
   účinné od 1. 11. 2025

   účinné od 1. 11. 2025„(5) Předseda Rady může rozhodnout po konzultaci podle § 130 o změně přídělu rádiových kmitočtů, jestliže je to nezbytné pro plnění protiopatření nebo plnění účelu opatření obecné povahy vydaného podle zákona o kybernetické bezpečnosti. Postup podle § 6 odst. 6 tím není dotčen.“.

   účinné od 1. 11. 2025Dosavadní odstavec 5 se označuje jako odstavec 6.

1. účinné od 1. 11. 20254. V § 98 se doplňuje odstavec 9, který zní:
   účinné od 1. 11. 2025

   účinné od 1. 11. 2025„(9) Povinnosti stanovené nebo uložené na základě odstavců 1, 3, 4 a 6 až 8 se neuplatní v případě podnikatele zajišťujícího veřejnou komunikační síť nebo poskytujícího veřejně dostupnou službu elektronických komunikací, pokud má narušení bezpečnosti a integrity těchto sítí a služeb původ v kybernetickém prostoru, a to v rozsahu, ve kterém se na něj vztahují obdobné informační povinnosti podle zákona o kybernetické bezpečnosti.“.

Čl. V

účinné od 1. 11. 2025Zákon č. 69/2006 Sb., o provádění mezinárodních sankcí, ve znění zákona č. 227/2009 Sb., zákona č. 281/2009 Sb., zákona č. 139/2011 Sb., zákona č. 167/2012 Sb., zákona č. 399/2012 Sb., zákona č. 377/2015 Sb., zákona č. 298/2016 Sb., zákona č. 368/2016 Sb., zákona č. 183/2017 Sb., zákona č. 261/2021 Sb., zákona č. 240/2022 Sb. a zákona č. 280/2024 Sb., se mění takto:

1. účinné od 1. 11. 20251. V § 16 odst. 4 se na konci písmene m) slovo „nebo“ nahrazuje čárkou.
2. účinné od 1. 11. 20252. V § 16 se na konci odstavce 4 tečka nahrazuje slovem „ , nebo“ a doplňuje se písmeno o), které zní:
   účinné od 1. 11. 2025

   1. účinné od 1. 11. 2025„o) Národnímu úřadu pro kybernetickou a informační bezpečnost při prověřování rizik spojených s dodavatelem podle zákona o kybernetické bezpečnosti.“.

1. účinné od 1. 11. 20253. V § 16 se doplňuje odstavec 7, který zní:
   účinné od 1. 11. 2025

   účinné od 1. 11. 2025„(7) Výjimky uvedené v odstavci 4 písm. b) až o) se uplatní jen v nezbytně nutném rozsahu podle účelu poskytované informace. Nelze je uplatnit, pokud by poskytnutí informací mohlo zmařit nebo ohrozit šetření podle tohoto zákona nebo probíhající trestní řízení, nebo jestliže by poskytnutí informací bylo zjevně nepřiměřené oprávněným zájmům osoby, jíž se informace týká, nebo účelu, pro který byla žádost podána.“.