zákon o kritické infrastruktuře

§ 20

(1) Portál kritické infrastruktury je součástí informačního systému krizového řízení podle krizového zákona a slouží k plnění povinností poskytovatelů základní služby a subjektů kritické infrastruktury a vedení nezbytných informací, dat, údajů a evidencí podle tohoto zákona.

(2) Pro účely tohoto zákona se pro získávání informací z agendových informačních systémů použije § 25 odst. 3 až 9 krizového zákona obdobně.

(3) Informace obsažené v portálu kritické infrastruktury užívají ministerstva, jiné ústřední správní úřady nebo Česká národní banka v rozsahu nezbytném pro výkon jejich působnosti podle tohoto zákona.

(4) Informace obsažené v portálu kritické infrastruktury dále užívají

1. a) zpravodajské služby České republiky za účelem výkonu jejich působnosti podle jiných právních předpisů⁶),
2. b) Ministerstvo průmyslu a obchodu za účelem výkonu jeho působnosti podle zákona upravujícího oblast prověřování zahraničních investic a
3. c) hejtman kraje a krajský úřad v rozsahu nezbytném pro výkon jejich působnosti podle krizového zákona.

(5) Nelze-li využít portál kritické infrastruktury, předávají se informace za účelem plnění povinností podle tohoto zákona prostřednictvím datové schránky, pokud tento zákon nestanoví jinak.

(6) Pokud nelze využít náhradní způsob podle odstavce 5, předávají se informace prostřednictvím poskytovatele poštovních služeb.

(7) Správce portálu kritické infrastruktury zabezpečí informace před neoprávněným přístupem, změnou, zničením nebo ztrátou anebo odcizením, zneužitím nebo jiným neoprávněným zpracováním.

(8) Vložení informací, dat, údajů nebo evidencí podle § 5 písm. d), § 7, 9, 12, 13, § 14 odst. 1 písm. a) až c), h), j), l) a q), § 18 a 21 do portálu kritické infrastruktury je vždy považováno za splnění informační nebo ohlašovací povinnosti podle tohoto zákona.

(9) Formu a způsob zpracování informací, dat, údajů a evidencí vkládaných do portálu kritické infrastruktury a technické a organizační podmínky používání portálu kritické infrastruktury stanoví prováděcí právní předpis.

§ 21

Cvičení

(1) Zajištění odolnosti subjektu kritické infrastruktury se ověřuje cvičením.

(2) Subjekt kritické infrastruktury provádí vlastní cvičení nebo cvičení podle plánu cvičení, bylo-li mu ohlášeno alespoň 3 měsíce před jeho konáním.

(3) Plán cvičení zpracovává ministerstvo, jiný ústřední správní úřad nebo Ministerstvo vnitra na kalendářní rok. Subjekt kritické infrastruktury může být do tohoto plánu cvičení zařazen nejvýše jednou za 3 roky.

(4) Subjekt kritické infrastruktury předává ministerstvu nebo jinému ústřednímu správnímu úřadu a Ministerstvu vnitra informace o vlastním cvičení. Informace o cvičeních podle plánu cvičení předává ten, kdo subjekt kritické infrastruktury do plánu cvičení zařadil, Ministerstvu vnitra. Informace o cvičeních jsou předávány prostřednictvím portálu kritické infrastruktury nejméně v rozsahu

1. a) termín a místo cvičení,
2. b) námět cvičení,
3. c) zjištěné zásadní poznatky ze cvičení.

§ 22

Kontrola

(1) Ministerstvo nebo jiný ústřední správní úřad vykonává v rámci své působnosti kontrolu v oblasti kritické infrastruktury. Při výkonu kontroly ministerstvo nebo jiný ústřední správní úřad zjišťuje, jak subjekty kritické infrastruktury plní povinnosti stanovené tímto zákonem a právními předpisy vydanými k jeho provedení, a ukládá opatření k nápravě.

(2) Ministerstvo nebo jiný ústřední správní úřad informuje bez zbytečného odkladu Ministerstvo vnitra a Národní úřad pro kybernetickou a informační bezpečnost o kontrole subjektu kritické infrastruktury prostřednictvím portálu kritické infrastruktury.

(3) Ministerstvo vnitra může na základě informace podle odstavce 2 požádat Národní úřad pro kybernetickou a informační bezpečnost o vykonání kontroly subjektu kritické infrastruktury v oblasti kybernetické bezpečnosti podle zákona o kybernetické bezpečnosti. Národní úřad pro kybernetickou a informační bezpečnost může požadavek na vykonání kontroly podle věty první odmítnout, byla-li by s ohledem na jeho kapacity zjevně nepřiměřená.

(4) Ministerstvo nebo jiný ústřední správní úřad vykonává v rámci své působnosti kontrolu u subjektu evropské kritické infrastruktury za účelem ověření přijetí opatření uvedených ve zprávě z poradní mise provedené Evropskou komisí u tohoto subjektu evropské kritické infrastruktury.

§ 23

Nápravná opatření

(1) Zjistí-li ministerstvo nebo jiný ústřední správní úřad při kontrole nedostatky, může uložit subjektu kritické infrastruktury, aby je ve stanovené lhůtě odstranil, popřípadě určit jakým způsobem. Ministerstvo nebo jiný ústřední správní úřad spolu s nápravným opatřením uloží povinnost oznámit provedení nápravného opatření a jeho výsledek ve stanovené lhůtě. Tyto skutečnosti uvede do protokolu o kontrole.

(2) V případě důvodné pochybnosti o plnění nápravných opatření na základě provedené kontroly podle § 22 nebo o zajišťování odolnosti subjektu kritické infrastruktury může ministerstvo nebo jiný ústřední správní úřad požádat Ministerstvo vnitra o provedení kontroly subjektu kritické infrastruktury.

(3) Kontrola podle odstavce 2 je kontrolou vykonanou Ministerstvem vnitra v součinnosti s ministerstvem nebo jiným ústředním správním úřadem. Při výkonu kontroly Ministerstvo vnitra zjišťuje, jak subjekty kritické infrastruktury plní povinnosti stanovené tímto zákonem a nápravná opatření uložená podle odstavce 1, a ukládá opatření k nápravě obdobně podle odstavce 1.

§ 24

Přestupky

(1) Fyzická osoba se dopustí přestupku tím, že úmyslně použije portál kritické infrastruktury k jinému účelu než k plnění povinností stanovených tímto zákonem.

(2) Poskytovatel základní služby se dopustí přestupku tím, že v rozporu s § 9 odst. 1 neposkytne informaci nezbytnou k rozhodnutí o jeho zařazení na seznam subjektů kritické infrastruktury.

(3) Subjekt kritické infrastruktury se dopustí přestupku tím, že v rozporu s

1. a) § 12 odst. 1 nesplní povinnost informovat o změně v poskytování základní služby, o nově poskytované základní službě nebo o ukončení poskytování základní služby,
2. b) § 14 odst. 1 písm. a) nesplní povinnost informovat o poskytované základní službě, kritické infrastruktuře na území České republiky nebo jiného členského státu Evropské unie, kritických pracovnících a kritických dodavatelích,
3. c) § 14 odst. 1 písm. b) nesplní povinnost informovat, ve kterých členských státech Evropské unie poskytuje základní službu,
4. d) § 14 odst. 1 písm. d) nebo f) nezpracuje nebo neaktualizuje posouzení rizik subjektu kritické infrastruktury nebo plán odolnosti,
5. e) § 14 odst. 1 písm. e) neposkytne podklady pro zpracování posouzení rizik České republiky,
6. f) § 14 odst. 1 písm. g) nebo h) neurčí manažera kritické infrastruktury nebo neoznámí jeho určení,
7. g) § 14 odst. 1 písm. j) nesdělí údaje o kritickém dodavateli,
8. h) § 14 odst. 1 písm. k) nepřijme opatření k zajištění odolnosti,
9. i) § 14 odst. 1 písm. l) nenahlásí incident,
10. j) § 14 odst. 1 písm. o) nevyužívá portál kritické infrastruktury,
11. k) § 14 odst. 1 písm. p) neumožní provedení kontroly,
12. l) § 14 odst. 4 písm. a) neposkytne posouzení rizik nebo seznam opatření k zajišťování své odolnosti,
13. m) § 14 odst. 4 písm. b) nebo c) neumožní provedení poradní mise, nepřijme nápravné opatření ke zjištěným nedostatkům nebo doporučením, nebo neinformuje o jeho přijetí,
14. n) § 16 odst. 2 umožní výkon funkce manažera kritické infrastruktury osobě, která nesplňuje podmínky pro výkon této funkce,
15. o) § 23 odst. 1 nebo 3 nepřijme nápravné opatření, nebo
16. p) § 23 odst. 1 nebo 3 neoznámí provedení nápravného opatření nebo jeho výsledek ve stanovené lhůtě.

(4) Za přestupek lze uložit pokutu do

1. a) 50 000 Kč, jde-li o přestupek podle odstavce 1,
2. b) 3 000 000 Kč, jde-li o přestupek podle odstavce 3 písm. f), j) nebo p),
3. c) 10 000 000 Kč nebo do výše 0,1 % čistého ročního obratu dosaženého právnickou osobou za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší, jde-li o přestupek podle odstavce 3 písm. g),
4. d) 15 000 000 Kč nebo do výše 0,2 % čistého ročního obratu dosaženého právnickou osobou za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší, jde-li o přestupek podle odstavce 3 písm. d), e), i), l) nebo m), nebo
5. e) 25 000 000 Kč nebo do výše 0,3 % čistého ročního obratu dosaženého právnickou osobou za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší, jde-li o přestupek podle odstavce 2 nebo odstavce 3 písm. a) až c), h), k), n) nebo o).

(5) Je-li přestupek podle odstavce 1 spáchán opakovaně po nabytí právní moci rozhodnutí o přestupku, uloží se pokuta do 100 000 Kč. Přestupek je spáchán opakovaně, jestliže od nabytí právní moci rozhodnutí o stejném přestupku, z něhož byl obviněný uznán vinným, do jeho spáchání neuplynulo 6 měsíců.

(6) Je-li přestupek podle odstavce 3 písm. f), j) nebo p) spáchán opakovaně po nabytí právní moci rozhodnutí o přestupku, uloží se pokuta do 6 000 000 Kč nebo do výše 0,25 % čistého ročního obratu dosaženého právnickou osobou za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší. Přestupek je spáchán opakovaně, jestliže ode dne nabytí právní moci rozhodnutí o stejném přestupku, z něhož byl obviněný uznán vinným, do jeho spáchání neuplynulo 12 měsíců.

(7) Je-li přestupek podle odstavce 3 písm. g) spáchán opakovaně po nabytí právní moci rozhodnutí o přestupku, uloží se pokuta do 20 000 000 Kč nebo do výše 0,5 % čistého ročního obratu dosaženého právnickou osobou za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší. Přestupek je spáchán opakovaně, jestliže ode dne nabytí právní moci rozhodnutí o stejném přestupku, z něhož byl obviněný uznán vinným, do jeho spáchání neuplynulo 24 měsíců.

(8) Je-li přestupek podle odstavce 3 písm. d), e), i), l) nebo m) spáchán opakovaně po nabytí právní moci rozhodnutí o přestupku, uloží se pokuta do 30 000 000 Kč nebo do výše 1 % čistého ročního obratu dosaženého právnickou osobou za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší. Přestupek je spáchán opakovaně, jestliže ode dne nabytí právní moci rozhodnutí o stejném přestupku, z něhož byl obviněný uznán vinným, do jeho spáchání neuplynulo 24 měsíců.

(9) Je-li přestupek podle odstavce 2 nebo odstavce 3 písm. a) až c), h), k), n) nebo o) spáchán opakovaně po nabytí právní moci rozhodnutí o přestupku, uloží se pokuta do 50 000 000 Kč nebo do výše 1,5 % čistého ročního obratu dosaženého právnickou osobou za bezprostředně předcházející účetní období, podle toho, která z daných částek je vyšší. Přestupek je spáchán opakovaně, jestliže od nabytí právní moci rozhodnutí o stejném přestupku, z něhož byl obviněný uznán vinným, do jeho spáchání neuplynulo 24 měsíců.

§ 25

Společná ustanovení k přestupkům

(1) K řízení o přestupku je příslušné ministerstvo, jiný ústřední správní úřad nebo Česká národní banka, do jejichž působnosti patří základní služba, v souvislosti s kterou byla porušena povinnost stanovená tímto zákonem.

(2) Ministerstvo vnitra je dále příslušné k projednání přestupku podle

1. a) § 24 odst. 3 písm. b), d) až f) a j), porušil-li povinnost subjekt kritické infrastruktury, který má zapsanou základní službu ve více odvětvích nebo pododvětvích patřících do působnosti více ministerstev nebo jiných ústředních správních úřadů,
2. b) § 24 odst. 1 a § 24 odst. 3 písm. c), i), l) až m).

(3) K řízení o přestupku podle § 24 odst. 3 písm. k), o) a p) je příslušný správní orgán, který prováděl kontrolu nebo uložil nápravné opatření.

(4) Pravomocné rozhodnutí o přestupku podle tohoto zákona se zapisuje do evidence přestupků vedené Ministerstvem spravedlnosti.

§ 26

Režim rovnocennosti

(1) Splňuje-li jiná dokumentace, kterou subjekt kritické infrastruktury zpracoval, náležitosti posouzení rizik subjektu kritické infrastruktury nebo plánu odolnosti, považuje se povinnost subjektu kritické infrastruktury zpracovat posouzení rizik subjektu kritické infrastruktury nebo plán odolnosti podle tohoto zákona za splněnou.

(2) Přijme-li subjekt kritické infrastruktury opatření, které svou povahou odpovídá opatření k zajištění odolnosti subjektu kritické infrastruktury, považuje se toto opatření za opatření pro zajištění odolnosti subjektu kritické infrastruktury podle § 15.

§ 27

Vztah k odvětvovým předpisům Evropské unie

(1) Pokud přímo použitelný předpis Evropské unie nebo jiný právní předpis, který zapracovává příslušný předpis Evropské unie, stanoví subjektům kritické infrastruktury povinnosti v oblasti zajišťování odolnosti subjektů kritické infrastruktury a tyto povinnosti mají alespoň srovnatelný účinek jako povinnosti, které jsou subjektům kritické infrastruktury stanoveny podle tohoto zákona, ustanovení tohoto zákona upravující povinnosti zavést a provádět opatření k posilování odolnosti a hlásit incidenty se vůči těmto osobám neuplatní.

(2) Za ustanovení se srovnatelným účinkem jako povinnosti obsažené v tomto zákoně se považují taková ustanovení přímo použitelného předpisu Evropské unie nebo jiného právního předpisu, který zapracovává příslušný předpis Evropské unie, která

1. a) ve vztahu k povinnosti zavést a provádět opatření k posilování odolnosti odpovídají alespoň požadavkům stanoveným v § 15, nebo
2. b) ve vztahu k povinnosti hlásit incidenty odpovídají alespoň požadavkům stanoveným v § 18 a 19.

(3) Za ustanovení se srovnatelným účinkem jako povinnosti obsažené v tomto zákoně se dále považují taková ustanovení přímo použitelného předpisu Evropské unie, o nichž to přímo použitelný předpis Evropské unie stanoví.