vyhláška o kybernetické bezpečnosti

§ 3

účinné od 1. 1. 2015Systém řízení bezpečnosti informací

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona v rámci systému řízení bezpečnosti informací

1. účinné od 1. 1. 2015a) stanoví s ohledem na aktiva a organizační bezpečnost rozsah a hranice systému řízení bezpečnosti informací, ve kterém určí, kterých organizačních částí a technických prvků se systém řízení bezpečnosti informací týká,
2. účinné od 1. 1. 2015b) řídí rizika podle § 4 odst. 1,
3. účinné od 1. 1. 2015c) vytvoří a schválí bezpečnostní politiku v oblasti systému řízení bezpečnosti informací, která obsahuje hlavní zásady, cíle, bezpečnostní potřeby, práva a povinnosti ve vztahu k řízení bezpečnosti informací a na základě bezpečnostních potřeb a výsledků hodnocení rizik stanoví bezpečnostní politiku v dalších oblastech podle § 5 a zavede příslušná bezpečnostní opatření,
4. účinné od 1. 1. 2015d) monitoruje účinnost bezpečnostních opatření,
5. účinné od 1. 1. 2015e) vyhodnocuje vhodnost a účinnost bezpečnostní politiky podle § 5,
6. účinné od 1. 1. 2015f) zajistí provedení auditu kybernetické bezpečnosti podle § 15, a to nejméně jednou ročně,
7. účinné od 1. 1. 2015g) zajistí vyhodnocení účinnosti systému řízení bezpečnosti informací, které obsahuje hodnocení stavu systému řízení bezpečnosti informací včetně revize hodnocení rizik, posouzení výsledků provedených kontrol a auditů kybernetické bezpečnosti a dopadů kybernetických bezpečnostních incidentů na systém řízení bezpečnosti informací, a to nejméně jednou ročně,
8. účinné od 1. 1. 2015h) aktualizuje systém řízení bezpečnosti informací a příslušnou dokumentaci na základě zjištění auditů kybernetické bezpečnosti, výsledků vyhodnocení účinnosti systému řízení bezpečnosti informací a v souvislosti s prováděnými nebo plánovanými změnami a
9. účinné od 1. 1. 2015i) řídí provoz a zdroje systému řízení bezpečnosti informací, zaznamenává činnosti spojené se systémem řízení bezpečnosti informací a řízením rizik.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. e) zákona v rámci systému řízení bezpečnosti informací

1. účinné od 1. 1. 2015a) řídí rizika podle § 4 odst. 2,
2. účinné od 1. 1. 2015b) vytvoří a schválí bezpečnostní politiku v oblasti systému řízení bezpečnosti informací, která obsahuje hlavní zásady, cíle, bezpečnostní potřeby, práva a povinnosti ve vztahu k řízení bezpečnosti informací a na základě bezpečnostních potřeb a výsledků hodnocení rizik stanoví bezpečnostní politiku v dalších oblastech podle § 5, a zavede příslušná bezpečnostní opatření a
3. účinné od 1. 1. 2015c) provádí aktualizaci zprávy o hodnocení aktiv a rizik, bezpečnostní politiky, plánu zvládání rizik a plánu rozvoje bezpečnostního povědomí, a to nejméně jednou za tři roky nebo v souvislosti s prováděnými nebo plánovanými změnami.

§ 4

účinné od 1. 1. 2015Řízení rizik

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona v rámci řízení rizik

1. účinné od 1. 1. 2015a) stanoví metodiku pro identifikaci a hodnocení aktiv a pro identifikaci a hodnocení rizik včetně stanovení kritérií pro přijatelnost rizik,
2. účinné od 1. 1. 2015b) identifikuje a hodnotí důležitost aktiv, která patří do rozsahu systému řízení bezpečnosti informací, podle § 8 v rozsahu přílohy č. 1 k této vyhlášce a výstupy zapracuje do zprávy o hodnocení aktiv a rizik,
3. účinné od 1. 1. 2015c) identifikuje rizika, při kterých zohlední hrozby a zranitelnosti, posoudí možné dopady na aktiva, hodnotí tato rizika minimálně v rozsahu podle přílohy č. 2 k této vyhlášce, určí a schválí přijatelná rizika a zpracuje zprávu o hodnocení aktiv a rizik,
4. účinné od 1. 1. 2015d) zpracuje na základě bezpečnostních potřeb a výsledků hodnocení rizik prohlášení o aplikovatelnosti, které obsahuje přehled vybraných a zavedených bezpečnostních opatření,
5. účinné od 1. 1. 2015e) zpracuje a zavede plán zvládání rizik, který obsahuje cíle a přínosy bezpečnostních opatření pro zvládání rizik, určení osoby zajišťující prosazování bezpečnostních opatření pro zvládání rizik, potřebné finanční, technické, lidské a informační zdroje, termín jejich zavedení a popis vazeb mezi riziky a příslušnými bezpečnostními opatřeními a
6. účinné od 1. 1. 2015f) zohlední bez zbytečného odkladu reaktivní a ochranná opatření vydaná Národním bezpečnostním úřadem (dále jen „Úřad“) v hodnocení rizik a v případě, že hodnocení rizik aktualizované o nové zranitelnosti spojené s realizací reaktivního nebo ochranného opatření překročí stanovená kritéria pro přijatelnost rizik, doplní plán zvládání rizik.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. e) zákona v rámci řízení rizik

1. účinné od 1. 1. 2015a) stanoví metodiku pro identifikaci a hodnocení aktiv a pro identifikaci a hodnocení rizik včetně stanovení kritérií pro přijatelnost rizik,
2. účinné od 1. 1. 2015b) identifikuje a hodnotí důležitost primárních aktiv, která patří do rozsahu systému řízení bezpečnosti informací, podle § 8 minimálně v rozsahu přílohy č. 1 k této vyhlášce a výstupy zapracuje do zprávy o hodnocení aktiv a rizik,
3. účinné od 1. 1. 2015c) identifikuje rizika, při kterých zohlední hrozby a zranitelnosti, posoudí možné dopady na primární aktiva, hodnotí tato rizika minimálně v rozsahu podle přílohy č. 2 k této vyhlášce a zpracuje zprávu o hodnocení aktiv a rizik,
4. účinné od 1. 1. 2015d) zpracuje na základě bezpečnostních potřeb a výsledků hodnocení rizik prohlášení o aplikovatelnosti, které obsahuje přehled vybraných a zavedených bezpečnostních opatření,
5. účinné od 1. 1. 2015e) zpracuje a zavede plán zvládání rizik, který obsahuje cíle a přínosy bezpečnostních opatření pro zvládání rizik, určení osoby zajišťující prosazování bezpečnostních opatření pro zvládání rizik, potřebné finanční, technické, lidské a informační zdroje, termíny jejich zavedení a popis vazeb mezi identifikovanými riziky a příslušnými bezpečnostními opatřeními a
6. účinné od 1. 1. 2015f) zohlední bez zbytečného odkladu reaktivní a ochranná opatření vydaná Úřadem v hodnocení rizik a v případě, že hodnocení rizik aktualizované o nové zranitelnosti spojené s realizací reaktivního nebo ochranného opatření překročí stanovená kritéria pro přijatelnost rizik, doplní plán zvládání rizik.

účinné od 1. 1. 2015(3) Řízení rizik může být zajištěno i jinými způsoby, než jak je stanoveno v odstavcích 1 a 2, pokud orgán a osoba uvedená v § 3 písm. c) až e) zákona zabezpečí, že používá opatření zajišťující stejnou nebo vyšší úroveň řízení rizik.

účinné od 1. 1. 2015(4) Orgán a osoba uvedená v § 3 písm. c) až e) zákona při hodnocení rizik zvažuje zejména tyto hrozby

1. účinné od 1. 1. 2015a) porušení bezpečnostní politiky, provedení neoprávněných činností, zneužití oprávnění ze strany uživatelů a administrátorů,
2. účinné od 1. 1. 2015b) poškození nebo selhání technického anebo programového vybavení,
3. účinné od 1. 1. 2015c) zneužití identity fyzické osoby,
4. účinné od 1. 1. 2015d) užívání programového vybavení v rozporu s licenčními podmínkami,
5. účinné od 1. 1. 2015e) kybernetický útok z komunikační sítě,
6. účinné od 1. 1. 2015f) škodlivý kód (například viry, spyware, trojské koně),
7. účinné od 1. 1. 2015g) nedostatky při poskytování služeb informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému,
8. účinné od 1. 1. 2015h) narušení fyzické bezpečnosti,
9. účinné od 1. 1. 2015i) přerušení poskytování služeb elektronických komunikací nebo dodávek elektrické energie,
10. účinné od 1. 1. 2015j) zneužití nebo neoprávněná modifikace údajů,
11. účinné od 1. 1. 2015k) trvale působící hrozby a
12. účinné od 1. 1. 2015l) odcizení nebo poškození aktiva.

účinné od 1. 1. 2015(5) Orgán a osoba uvedená v § 3 písm. c) až e) zákona při hodnocení rizik zvažuje zejména tyto zranitelnosti

1. účinné od 1. 1. 2015a) nedostatečná ochrana vnějšího perimetru,
2. účinné od 1. 1. 2015b) nedostatečné bezpečnostní povědomí uživatelů a administrátorů,
3. účinné od 1. 1. 2015c) nedostatečná údržba informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému,
4. účinné od 1. 1. 2015d) nevhodné nastavení přístupových oprávnění,
5. účinné od 1. 1. 2015e) nedostatečné postupy při identifikování a odhalení negativních bezpečnostních jevů, kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů,
6. účinné od 1. 1. 2015f) nedostatečné monitorování činnosti uživatelů a administrátorů a neschopnost odhalit jejich nevhodné nebo závadné způsoby chování a
7. účinné od 1. 1. 2015g) nedostatečné stanovení bezpečnostních pravidel, nepřesné nebo nejednoznačné vymezení práv a povinností uživatelů, administrátorů a bezpečnostních rolí.

účinné od 1. 1. 2015(6) Orgán a osoba uvedená v § 3 písm. c) a d) zákona při hodnocení rizik dále zvažuje tyto hrozby

1. účinné od 1. 1. 2015a) porušení bezpečnostní politiky, provedení neoprávněných činností, zneužití oprávnění ze strany administrátorů kritické informační infrastruktury,
2. účinné od 1. 1. 2015b) pochybení ze strany zaměstnanců,
3. účinné od 1. 1. 2015c) zneužití vnitřních prostředků, sabotáž,
4. účinné od 1. 1. 2015d) dlouhodobé přerušení poskytování služeb elektronických komunikací, dodávky elektrické energie nebo jiných důležitých služeb,
5. účinné od 1. 1. 2015e) nedostatek zaměstnanců s potřebnou odbornou úrovní,
6. účinné od 1. 1. 2015f) cílený kybernetický útok pomocí sociálního inženýrství, použití špionážních technik a
7. účinné od 1. 1. 2015g) zneužití vyměnitelných technických nosičů dat.

účinné od 1. 1. 2015(7) Orgán a osoba uvedená v § 3 písm. c) a d) zákona při hodnocení rizik dále zvažuje tyto zranitelnosti

1. účinné od 1. 1. 2015a) nedostatečná ochrana prostředků kritické informační infrastruktury,
2. účinné od 1. 1. 2015b) nevhodná bezpečnostní architektura,
3. účinné od 1. 1. 2015c) nedostatečná míra nezávislé kontroly a
4. účinné od 1. 1. 2015d) neschopnost včasného odhalení pochybení ze strany zaměstnanců.

§ 5

účinné od 1. 1. 2015Bezpečnostní politika

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona stanoví bezpečnostní politiku v oblastech

1. účinné od 1. 1. 2015a) systém řízení bezpečnosti informací,
2. účinné od 1. 1. 2015b) organizační bezpečnost,
3. účinné od 1. 1. 2015c) řízení vztahů s dodavateli,
4. účinné od 1. 1. 2015d) klasifikace aktiv,
5. účinné od 1. 1. 2015e) bezpečnost lidských zdrojů,
6. účinné od 1. 1. 2015f) řízení provozu a komunikací,
7. účinné od 1. 1. 2015g) řízení přístupu,
8. účinné od 1. 1. 2015h) bezpečné chování uživatelů,
9. účinné od 1. 1. 2015i) zálohování a obnova,
10. účinné od 1. 1. 2015j) bezpečné předávání a výměna informací,
11. účinné od 1. 1. 2015k) řízení technických zranitelností,
12. účinné od 1. 1. 2015l) bezpečné používání mobilních zařízení,
13. účinné od 1. 1. 2015m) poskytování a nabývání licencí programového vybavení a informací,
14. účinné od 1. 1. 2015n) dlouhodobé ukládání a archivace informací,
15. účinné od 1. 1. 2015o) ochrana osobních údajů,
16. účinné od 1. 1. 2015p) fyzická bezpečnost,
17. účinné od 1. 1. 2015q) bezpečnost komunikační sítě,
18. účinné od 1. 1. 2015r) ochrana před škodlivým kódem,
19. účinné od 1. 1. 2015s) nasazení a používání nástroje pro detekci kybernetických bezpečnostních událostí,
20. účinné od 1. 1. 2015t) využití a údržba nástroje pro sběr a vyhodnocení kybernetických bezpečnostních událostí a
21. účinné od 1. 1. 2015u) používání kryptografické ochrany.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. e) zákona stanoví bezpečnostní politiku v oblastech

1. účinné od 1. 1. 2015a) systém řízení bezpečnosti informací,
2. účinné od 1. 1. 2015b) organizační bezpečnost,
3. účinné od 1. 1. 2015c) řízení dodavatelů,
4. účinné od 1. 1. 2015d) klasifikace aktiv,
5. účinné od 1. 1. 2015e) bezpečnost lidských zdrojů,
6. účinné od 1. 1. 2015f) řízení provozu a komunikací,
7. účinné od 1. 1. 2015g) řízení přístupu,
8. účinné od 1. 1. 2015h) bezpečné chování uživatelů,
9. účinné od 1. 1. 2015i) zálohování a obnova,
10. účinné od 1. 1. 2015j) poskytování a nabývání licencí programového vybavení a informací,
11. účinné od 1. 1. 2015k) ochrana osobních údajů,
12. účinné od 1. 1. 2015l) používání kryptografické ochrany,
13. účinné od 1. 1. 2015m) ochrana před škodlivým kódem a
14. účinné od 1. 1. 2015n) nasazení a používání nástroje pro detekci kybernetických bezpečnostních událostí.

účinné od 1. 1. 2015(3) Orgán a osoba uvedená v § 3 písm. c) až e) zákona pravidelně hodnotí účinnost bezpečnostní politiky a aktualizuje ji.

§ 6

účinné od 1. 1. 2015Organizační bezpečnost

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona zavede organizaci řízení bezpečnosti informací, v rámci které určí výbor pro řízení kybernetické bezpečnosti a bezpečnostní role a jejich práva a povinnosti související s informačním systémem kritické informační infrastruktury, komunikačním systémem kritické informační infrastruktury nebo významným informačním systémem.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona určí bezpečnostní role

1. účinné od 1. 1. 2015a) manažer kybernetické bezpečnosti,
2. účinné od 1. 1. 2015b) architekt kybernetické bezpečnosti,
3. účinné od 1. 1. 2015c) auditor kybernetické bezpečnosti a
4. účinné od 1. 1. 2015d) garant aktiva podle § 2 písm. m).

účinné od 1. 1. 2015(3) Orgán a osoba uvedená v § 3 písm. e) určí bezpečnostní role přiměřeně podle odstavce 2.

účinné od 1. 1. 2015(4) Manažer kybernetické bezpečnosti je osoba, odpovědná za systém řízení bezpečnosti informací, která je pro tuto činnost vyškolena a prokáže odbornou způsobilost praxí s řízením bezpečnosti informací po dobu nejméně tří let.

účinné od 1. 1. 2015(5) Architekt kybernetické bezpečnosti je osoba zajišťující návrh a implementaci bezpečnostních opatření, která je pro tuto činnost vyškolena a prokáže odbornou způsobilost praxí s navrhováním bezpečnostní architektury po dobu nejméně tří let.

účinné od 1. 1. 2015(6) Auditor kybernetické bezpečnosti je osoba provádějící audit kybernetické bezpečnosti, která je pro tuto činnost vyškolena a prokáže odbornou způsobilost praxí s prováděním auditů kybernetické bezpečnosti po dobu nejméně tří let. Auditor kybernetické bezpečnosti vykonává svoji roli nestranně a výkon jeho role je oddělen od výkonu rolí uvedených v odstavci 2 písm. a), b) nebo d).

účinné od 1. 1. 2015(7) Výbor pro řízení kybernetické bezpečnosti je organizovaná skupina tvořená osobami, které jsou pověřeny celkovým řízením a rozvojem informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému, anebo se významně podílejí na řízení a koordinaci činností spojených s kybernetickou bezpečností těchto systémů.

účinné od 1. 1. 2015(8) Orgán a osoba uvedená v § 3 písm. c) až e) zákona zajistí odborné školení osob, které zastávají bezpečnostní role v souladu s plánem rozvoje bezpečnostního povědomí podle § 9 odst. 1 písm. b).

§ 7

účinné od 1. 1. 2015Stanovení bezpečnostních požadavků pro dodavatele

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona zavede pravidla pro dodavatele, která zohledňují potřeby řízení bezpečnosti informací, a zohlední je u dodavatelů nebo jiných osob, které se podílejí na rozvoji, provozu nebo zajištění bezpečnosti informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému. Rozsah zapojení dodavatelů na rozvoji, provozu nebo zajištění bezpečnosti informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému prokazatelně dokumentuje orgán a osoba uvedená v § 3 písm. c) až e) zákona smlouvou, jejíž součástí je ustanovení o bezpečnosti informací.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona u dodavatelů uvedených v odstavci 1 dále

1. účinné od 1. 1. 2015a) před uzavřením smlouvy provádí hodnocení rizik podle přílohy č. 2 k této vyhlášce, která jsou spojena s podstatnými dodávkami,
2. účinné od 1. 1. 2015b) uzavírá smlouvu o úrovni služeb, která stanoví způsoby a úrovně realizace bezpečnostních opatření a určí vztah vzájemné smluvní odpovědnosti za zavedení a kontrolu bezpečnostních opatření, a
3. účinné od 1. 1. 2015c) provádí pravidelné hodnocení rizik a pravidelnou kontrolu zavedených bezpečnostních opatření u poskytovaných služeb a zjištěné nedostatky odstraňuje nebo po dohodě s dodavatelem zajistí jejich odstranění.

§ 8

účinné od 1. 1. 2015Řízení aktiv

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v rámci řízení aktiv

1. účinné od 1. 1. 2015a) identifikuje a eviduje primární aktiva,
2. účinné od 1. 1. 2015b) určí garanty aktiv, kteří jsou odpovědní za primární aktiva, a
3. účinné od 1. 1. 2015c) hodnotí důležitost primárních aktiv z hlediska důvěrnosti, integrity a dostupnosti a zařadí je do jednotlivých úrovní minimálně v rozsahu podle přílohy č. 1 k této vyhlášce.

účinné od 1. 1. 2015(2) Při hodnocení důležitosti primárních aktiv je třeba především posoudit

1. účinné od 1. 1. 2015a) rozsah a důležitost osobních údajů nebo obchodního tajemství,
2. účinné od 1. 1. 2015b) rozsah dotčených právních povinností nebo jiných závazků,
3. účinné od 1. 1. 2015c) rozsah narušení vnitřních řídících a kontrolních činností,
4. účinné od 1. 1. 2015d) poškození veřejných, obchodních nebo ekonomických zájmů,
5. účinné od 1. 1. 2015e) možné finanční ztráty,
6. účinné od 1. 1. 2015f) rozsah narušení běžných činností orgánu a osoby uvedené v § 3 písm. c) až e) zákona,
7. účinné od 1. 1. 2015g) dopady spojené s narušením důvěrnosti, integrity a dostupnosti a
8. účinné od 1. 1. 2015h) dopady na zachování dobrého jména nebo ochranu dobré pověsti.

účinné od 1. 1. 2015(3) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále

1. účinné od 1. 1. 2015a) identifikuje a eviduje podpůrná aktiva,
2. účinné od 1. 1. 2015b) určí garanty aktiv, kteří jsou odpovědní za podpůrná aktiva, a
3. účinné od 1. 1. 2015c) určí vazby mezi primárními a podpůrnými aktivy a hodnotí důsledky závislostí mezi primárními a podpůrnými aktivy.

účinné od 1. 1. 2015(4) Orgán a osoba uvedená v § 3 písm. c) až e) zákona dále

1. účinné od 1. 1. 2015a) stanoví pravidla ochrany, nutná pro zabezpečení jednotlivých úrovní aktiv tím, že
   1. účinné od 1. 1. 20151. určí způsoby rozlišování jednotlivých úrovní aktiv,
   2. účinné od 1. 1. 20152. stanoví pravidla pro manipulaci a evidenci s aktivy podle úrovní aktiv, včetně pravidel pro bezpečné elektronické sdílení a fyzické přenášení aktiv a
   3. účinné od 1. 1. 20153. stanoví přípustné způsoby používání aktiv,

1. účinné od 1. 1. 2015b) zavede pravidla ochrany odpovídající úrovni aktiv a
2. účinné od 1. 1. 2015c) určí způsoby pro spolehlivé smazání nebo ničení technických nosičů dat s ohledem na úroveň aktiv.

§ 9

účinné od 1. 1. 2015Bezpečnost lidských zdrojů

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v rámci řízení bezpečnosti lidských zdrojů

1. účinné od 1. 1. 2015a) stanoví plán rozvoje bezpečnostního povědomí, který obsahuje formu, obsah a rozsah potřebných školení a určí osoby provádějící realizaci jednotlivých činností, které jsou v plánu uvedeny,
2. účinné od 1. 1. 2015b) v souladu s plánem rozvoje bezpečnostního povědomí zajistí poučení uživatelů, administrátorů a osob zastávajících bezpečnostní role o jejich povinnostech a o bezpečnostní politice formou vstupních a pravidelných školení,
3. účinné od 1. 1. 2015c) zajistí kontrolu dodržování bezpečnostní politiky ze strany uživatelů, administrátorů a osob zastávajících bezpečnostní role a
4. účinné od 1. 1. 2015d) zajistí vrácení svěřených aktiv a odebrání přístupových oprávnění při ukončení smluvního vztahu s uživateli, administrátory nebo osobami zastávajícími bezpečnostní role.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) až e) zákona vede o školení podle odstavce 1 přehledy, které obsahují předmět školení a seznam osob, které školení absolvovaly.

účinné od 1. 1. 2015(3) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále

1. účinné od 1. 1. 2015a) stanoví pravidla pro určení osob, které budou zastávat bezpečnostní role, role administrátorů nebo uživatelů,
2. účinné od 1. 1. 2015b) hodnotí účinnost plánu rozvoje bezpečnostního povědomí, provedených školení a dalších činností spojených s prohlubováním bezpečnostního povědomí,
3. účinné od 1. 1. 2015c) určí pravidla a postupy pro řešení případů porušení stanovených bezpečnostních pravidel ze strany uživatelů, administrátorů a osob zastávajících bezpečnostní role a
4. účinné od 1. 1. 2015d) zajistí změnu přístupových oprávnění při změně postavení uživatelů, administrátorů nebo osob zastávajících bezpečnostní role.