vyhláška o kybernetické bezpečnosti

§ 28

účinné od 1. 1. 2015Bezpečnostní dokumentace

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona vede a aktualizuje bezpečnostní dokumentaci, která obsahuje

1. účinné od 1. 1. 2015a) bezpečnostní politiku podle § 5 odst. 1,
2. účinné od 1. 1. 2015b) zprávy z auditu kybernetické bezpečnosti podle § 3 odst. 1 písm. f),
3. účinné od 1. 1. 2015c) zprávy z přezkoumání systému řízení bezpečnosti informací podle § 3 odst. 1 písm. g),
4. účinné od 1. 1. 2015d) metodiku pro identifikaci a hodnocení aktiv a pro identifikaci a hodnocení rizik,
5. účinné od 1. 1. 2015e) zprávu o hodnocení aktiv a rizik,
6. účinné od 1. 1. 2015f) prohlášení o aplikovatelnosti,
7. účinné od 1. 1. 2015g) plán zvládání rizik,
8. účinné od 1. 1. 2015h) plán rozvoje bezpečnostního povědomí podle § 9 odst. 1 písm. a),
9. účinné od 1. 1. 2015i) zvládání kybernetických bezpečnostních incidentů podle § 13 písm. e),
10. účinné od 1. 1. 2015j) strategii řízení kontinuity činností podle § 14 odst. 1 písm. c) a
11. účinné od 1. 1. 2015k) přehled právních předpisů, vnitřních předpisů a jiných předpisů a smluvních závazků podle § 15 odst. 1 písm. a).

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. e) zákona vede a aktualizuje bezpečnostní dokumentaci, která obsahuje

1. účinné od 1. 1. 2015a) bezpečnostní politiku podle § 5 odst. 2,
2. účinné od 1. 1. 2015b) metodiku pro identifikaci a hodnocení aktiv a pro identifikaci a hodnocení rizik podle § 4 odst. 2 písm. a),
3. účinné od 1. 1. 2015c) zprávu o hodnocení aktiv a rizik podle § 4 odst. 2 písm. b) a c),
4. účinné od 1. 1. 2015d) prohlášení o aplikovatelnosti podle § 4 odst. 2 písm. d),
5. účinné od 1. 1. 2015e) plán zvládání rizik podle § 4 odst. 2 písm. e),
6. účinné od 1. 1. 2015f) plán rozvoje bezpečnostního povědomí podle § 9 odst. 1 písm. a),
7. účinné od 1. 1. 2015g) zvládání kybernetických bezpečnostních incidentů podle § 13 písm. e),
8. účinné od 1. 1. 2015h) strategii řízení kontinuity činností podle § 14 odst. 1 písm. c) a
9. účinné od 1. 1. 2015i) přehled právních předpisů, vnitřních předpisů a jiných předpisů a smluvních závazků podle § 15 odst. 1 písm. a).

účinné od 1. 1. 2015(3) Orgán a osoba uvedená v § 3 písm. c) až e) zákona vede bezpečnostní dokumentaci tak, aby záznamy o provedených činnostech byly úplné, čitelné, snadno identifikovatelné a aby se daly snadno vyhledat. Opatření potřebná k identifikaci, uložení, ochraně, vyhledání, době platnosti a uspořádání záznamů o provedených činnostech dokumentuje.

účinné od 1. 1. 2015(4) Doporučená struktura bezpečnostní dokumentace je stanovena v příloze č. 4 k této vyhlášce.

§ 29

účinné od 1. 1. 2015Prokázání certifikace

účinné od 1. 1. 2015Orgán a osoba uvedená v § 3 písm. c) až e) zákona, jejíž informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury nebo významný informační systém je zcela zahrnut do rozsahu systému řízení bezpečnosti informací, který byl certifikován podle příslušné technické normy¹) akreditovaným certifikačním orgánem, a která vede dokumenty obsahující

1. účinné od 1. 1. 2015a) popis rozsahu systému řízení bezpečnosti informací,
2. účinné od 1. 1. 2015b) prohlášení politiky a cílů systému řízení bezpečnosti informací,
3. účinné od 1. 1. 2015c) popis použité metody hodnocení rizik a zprávu o hodnocení rizik,
4. účinné od 1. 1. 2015d) prohlášení o aplikovatelnosti,
5. účinné od 1. 1. 2015e) certifikát systému řízení bezpečnosti informací splňující požadavky příslušné technické normy zabývající se bezpečností informací¹),
6. účinné od 1. 1. 2015f) záznam o přezkoumání systému řízení bezpečnosti informací včetně souvisejících vstupů a výstupů přezkoumání a
7. účinné od 1. 1. 2015g) zprávu z auditů provedených certifikačním orgánem včetně příslušných záznamů o nápravě zjištěných neshod s příslušnou normou,

účinné od 1. 1. 2015splňuje požadavky na zavedení bezpečnostních opatření podle zákona a této vyhlášky.