vyhláška o kybernetické bezpečnosti

§ 28

Bezpečnostní dokumentace

(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona vede a aktualizuje bezpečnostní dokumentaci, která obsahuje

1. a) bezpečnostní politiku podle § 5 odst. 1,
2. b) zprávy z auditu kybernetické bezpečnosti podle § 3 odst. 1 písm. f),
3. c) zprávy z přezkoumání systému řízení bezpečnosti informací podle § 3 odst. 1 písm. g),
4. d) metodiku pro identifikaci a hodnocení aktiv a pro identifikaci a hodnocení rizik,
5. e) zprávu o hodnocení aktiv a rizik,
6. f) prohlášení o aplikovatelnosti,
7. g) plán zvládání rizik,
8. h) plán rozvoje bezpečnostního povědomí podle § 9 odst. 1 písm. a),
9. i) zvládání kybernetických bezpečnostních incidentů podle § 13 písm. e),
10. j) strategii řízení kontinuity činností podle § 14 odst. 1 písm. c) a
11. k) přehled právních předpisů, vnitřních předpisů a jiných předpisů a smluvních závazků podle § 15 odst. 1 písm. a).

(2) Orgán a osoba uvedená v § 3 písm. e) zákona vede a aktualizuje bezpečnostní dokumentaci, která obsahuje

1. a) bezpečnostní politiku podle § 5 odst. 2,
2. b) metodiku pro identifikaci a hodnocení aktiv a pro identifikaci a hodnocení rizik podle § 4 odst. 2 písm. a),
3. c) zprávu o hodnocení aktiv a rizik podle § 4 odst. 2 písm. b) a c),
4. d) prohlášení o aplikovatelnosti podle § 4 odst. 2 písm. d),
5. e) plán zvládání rizik podle § 4 odst. 2 písm. e),
6. f) plán rozvoje bezpečnostního povědomí podle § 9 odst. 1 písm. a),
7. g) zvládání kybernetických bezpečnostních incidentů podle § 13 písm. e),
8. h) strategii řízení kontinuity činností podle § 14 odst. 1 písm. c) a
9. i) přehled právních předpisů, vnitřních předpisů a jiných předpisů a smluvních závazků podle § 15 odst. 1 písm. a).

(3) Orgán a osoba uvedená v § 3 písm. c) až e) zákona vede bezpečnostní dokumentaci tak, aby záznamy o provedených činnostech byly úplné, čitelné, snadno identifikovatelné a aby se daly snadno vyhledat. Opatření potřebná k identifikaci, uložení, ochraně, vyhledání, době platnosti a uspořádání záznamů o provedených činnostech dokumentuje.

(4) Doporučená struktura bezpečnostní dokumentace je stanovena v příloze č. 4 k této vyhlášce.

§ 29

Prokázání certifikace

Orgán a osoba uvedená v § 3 písm. c) až e) zákona, jejíž informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury nebo významný informační systém je zcela zahrnut do rozsahu systému řízení bezpečnosti informací, který byl certifikován podle příslušné technické normy¹) akreditovaným certifikačním orgánem, a která vede dokumenty obsahující

1. a) popis rozsahu systému řízení bezpečnosti informací,
2. b) prohlášení politiky a cílů systému řízení bezpečnosti informací,
3. c) popis použité metody hodnocení rizik a zprávu o hodnocení rizik,
4. d) prohlášení o aplikovatelnosti,
5. e) certifikát systému řízení bezpečnosti informací splňující požadavky příslušné technické normy zabývající se bezpečností informací¹),
6. f) záznam o přezkoumání systému řízení bezpečnosti informací včetně souvisejících vstupů a výstupů přezkoumání a
7. g) zprávu z auditů provedených certifikačním orgánem včetně příslušných záznamů o nápravě zjištěných neshod s příslušnou normou,

splňuje požadavky na zavedení bezpečnostních opatření podle zákona a této vyhlášky.