vyhláška o kybernetické bezpečnosti

§ 10

účinné od 1. 1. 2015Řízení provozu a komunikací

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v rámci řízení provozu a komunikací pomocí technických nástrojů uvedených v § 21 až 23 detekuje kybernetické bezpečnostní události, pravidelně vyhodnocuje získané informace a na zjištěné nedostatky reaguje v souladu s § 13.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v rámci řízení provozu a komunikací dále zajišťuje bezpečný provoz informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému. Za tímto účelem stanoví provozní pravidla a postupy.

účinné od 1. 1. 2015(3) Provozní pravidla a postupy orgánu a osoby uvedené v § 3 písm. c) a d) zákona obsahují

1. účinné od 1. 1. 2015a) práva a povinnosti osob zastávajících bezpečnostní role, administrátorů a uživatelů,
2. účinné od 1. 1. 2015b) postupy pro spuštění a ukončení chodu systému, pro restart nebo obnovení chodu systému po selhání a pro ošetření chybových stavů nebo mimořádných jevů,
3. účinné od 1. 1. 2015c) postupy pro sledování kybernetických bezpečnostních událostí a pro ochranu přístupu k záznamům o těchto činnostech,
4. účinné od 1. 1. 2015d) spojení na kontaktní osoby, které jsou určeny jako podpora při řešení neočekávaných systémových nebo technických potíží,
5. účinné od 1. 1. 2015e) postupy řízení a schvalování provozních změn a
6. účinné od 1. 1. 2015f) postupy pro sledování, plánování a řízení kapacity lidských a technických zdrojů.

účinné od 1. 1. 2015(4) Řízení provozu orgánu a osoby uvedené v § 3 písm. c) až e) zákona spočívá v provádění pravidelného zálohování a prověřování použitelnosti provedených záloh.

účinné od 1. 1. 2015(5) Řízení provozu orgánu a osoby uvedené v § 3 písm. c) a d) zákona spočívá v

1. účinné od 1. 1. 2015a) zajištění oddělení vývojového, testovacího a produkčního prostředí,
2. účinné od 1. 1. 2015b) řešení reaktivních opatření vydaných Úřadem tím, že orgán a osoba uvedená v § 3 písm. c) a d) zákona
   1. účinné od 1. 1. 20151. posoudí očekávané dopady reaktivního opatření na informační systém kritické informační infrastruktury nebo komunikační systém kritické informační infrastruktury a na zavedená bezpečnostní opatření, vyhodnotí možné negativní účinky a bez zbytečného odkladu je oznámí Úřadu a
   2. účinné od 1. 1. 20152. stanoví způsob rychlého provedení reaktivního opatření, který minimalizuje možné negativní účinky, a určí časový plán jeho provedení.

účinné od 1. 1. 2015(6) Orgán a osoba uvedená v § 3 písm. c) a d) zákona v rámci řízení komunikací

1. účinné od 1. 1. 2015a) zajišťuje bezpečnost a integritu komunikačních sítí a bezpečnost komunikačních služeb podle § 17,
2. účinné od 1. 1. 2015b) určí pravidla a postupy pro ochranu informací, které jsou přenášeny komunikačními sítěmi,
3. účinné od 1. 1. 2015c) provádí výměnu a předávání informací na základě pravidel stanovených právními předpisy za současného zajištění bezpečnosti informací a tato pravidla dokumentuje a
4. účinné od 1. 1. 2015d) s ohledem na klasifikaci aktiv provádí výměnu a předávání informací na základě písemných smluv, jejíchž součástí je ustanovení o bezpečnosti informací.

§ 11

účinné od 1. 1. 2015Řízení přístupu a bezpečné chování uživatelů

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona na základě provozních a bezpečnostních potřeb řídí přístup k informačnímu systému kritické informační infrastruktury, komunikačnímu systému kritické informační infrastruktury a významnému informačnímu systému a přidělí každému uživateli jednoznačný identifikátor.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) až e) zákona přijme opatření, která slouží k zajištění ochrany údajů, které jsou používány pro přihlášení uživatelů a administrátorů informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému podle § 18 a 19, a která brání ve zneužití těchto údajů neoprávněnou osobou.

účinné od 1. 1. 2015(3) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále v rámci řízení přístupu

1. účinné od 1. 1. 2015a) přidělí přistupujícím aplikacím samostatný identifikátor,
2. účinné od 1. 1. 2015b) omezí přidělování administrátorských oprávnění,
3. účinné od 1. 1. 2015c) přiděluje a odebírá přístupová oprávnění v souladu s politikou řízení přístupu,
4. účinné od 1. 1. 2015d) provádí pravidelné přezkoumání nastavení přístupových oprávnění včetně rozdělení jednotlivých uživatelů v přístupových skupinách nebo rolích,
5. účinné od 1. 1. 2015e) využívá nástroj pro ověřování identity uživatelů podle § 18 a nástroj pro řízení přístupových oprávnění podle § 19 a
6. účinné od 1. 1. 2015f) zavede bezpečnostní opatření potřebná pro bezpečné používání mobilních zařízení, případně i bezpečnostní opatření spojená s využitím technických zařízení, kterými orgán a osoba uvedená v § 3 písm. c) a d) zákona nedisponuje.

§ 12

účinné od 1. 1. 2015Akvizice, vývoj a údržba

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona stanoví bezpečnostní požadavky na změny informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému spojené s jejich akvizicí, vývojem a údržbou a zahrne je do projektu akvizice, vývoje a údržby systému.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále

1. účinné od 1. 1. 2015a) identifikuje, hodnotí a řídí rizika související s akvizicí, vývojem a údržbou informačního systému kritické informační infrastruktury nebo komunikačního systému kritické informační infrastruktury; pro postupy hodnocení a řízení rizik se metodiky podle § 4 odst. 1 písm. a) použijí obdobně,
2. účinné od 1. 1. 2015b) zajistí bezpečnost vývojového prostředí a zajistí ochranu používaných testovacích dat a
3. účinné od 1. 1. 2015c) provádí bezpečnostní testování změn informačního systému kritické informační infrastruktury nebo komunikačního systému kritické informační infrastruktury před jejich zavedením do provozu.

§ 13

účinné od 1. 1. 2015Zvládání kybernetických bezpečnostních událostí a incidentů

účinné od 1. 1. 2015Orgán a osoba uvedená v § 3 písm. c) až e) zákona při zvládání kybernetických událostí a incidentů

1. účinné od 1. 1. 2015a) přijme nezbytná opatření, která zajistí oznamování kybernetických bezpečnostních událostí u informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury a významného informačního systému ze strany uživatelů, administrátorů a osob zastávajících bezpečnostní role a o oznámeních vede záznamy,
2. účinné od 1. 1. 2015b) připraví prostředí pro vyhodnocení oznámených kybernetických bezpečnostních událostí a kybernetických bezpečnostních událostí detekovaných technickými nástroji podle § 21 až 23, provádí jejich vyhodnocení a identifikuje kybernetické bezpečnostní incidenty,
3. účinné od 1. 1. 2015c) provádí klasifikaci kybernetických bezpečnostních incidentů, přijímá opatření pro odvrácení a zmírnění dopadu kybernetického bezpečnostního incidentu, provádí hlášení kybernetického bezpečnostního incidentu podle § 32 a zajistí sběr věrohodných podkladů potřebných pro analýzu kybernetického bezpečnostního incidentu,
4. účinné od 1. 1. 2015d) prošetří a určí příčiny kybernetického bezpečnostního incidentu, vyhodnotí účinnost řešení kybernetického bezpečnostního incidentu a na základě vyhodnocení stanoví nutná bezpečnostní opatření k zamezení opakování řešeného kybernetického bezpečnostního incidentu a
5. účinné od 1. 1. 2015e) dokumentuje zvládání kybernetických bezpečnostních incidentů.

§ 14

účinné od 1. 1. 2015Řízení kontinuity činností

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v rámci řízení kontinuity činností stanoví

1. účinné od 1. 1. 2015a) práva a povinnosti garantů aktiv, administrátorů a osob zastávajících bezpečnostní role,
2. účinné od 1. 1. 2015b) cíle řízení kontinuity činností formou určení
   1. účinné od 1. 1. 20151. minimální úrovně poskytovaných služeb, která je přijatelná pro užívání, provoz a správu informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému,
   2. účinné od 1. 1. 20152. doby obnovení chodu, během které bude po kybernetickém bezpečnostním incidentu obnovena minimální úroveň poskytovaných služeb informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému, a
   3. účinné od 1. 1. 20153. dobu obnovení dat jako termínu, ke kterému budou obnovena data po kybernetickém bezpečnostním incidentu, a

1. účinné od 1. 1. 2015c) strategii řízení kontinuity činností, která obsahuje naplnění cílů podle písmene b).

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále

1. účinné od 1. 1. 2015a) vyhodnotí a dokumentuje možné dopady kybernetických bezpečnostních incidentů a posoudí možná rizika související s ohrožením kontinuity činností,
2. účinné od 1. 1. 2015b) stanoví, aktualizuje a pravidelně testuje plány kontinuity činností informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury,
3. účinné od 1. 1. 2015c) realizuje opatření pro zvýšení odolnosti informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury vůči kybernetickému bezpečnostnímu incidentu a využívá nástroj pro zajišťování úrovně dostupnosti podle § 26 a
4. účinné od 1. 1. 2015d) stanoví a aktualizuje postupy pro provedení opatření vydaných Úřadem podle § 13 a 14 zákona, ve kterých zohlední
   1. účinné od 1. 1. 20151. výsledky hodnocení rizik provedení opatření,
   2. účinné od 1. 1. 20152. stav dotčených bezpečnostních opatření a
   3. účinné od 1. 1. 20153. vyhodnocení případných negativních dopadů na provoz a bezpečnost informačního systému kritické informační infrastruktury nebo komunikačního systému kritické informační infrastruktury.

§ 15

účinné od 1. 1. 2015Kontrola a audit kritické informační infrastruktury a významných informačních systémů

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v rámci kontroly a auditu kritické informační infrastruktury a významných informačních systémů (dále jen „audit kybernetické bezpečnosti“)

1. účinné od 1. 1. 2015a) posuzuje soulad bezpečnostních opatření s právními předpisy, vnitřními předpisy, jinými předpisy a smluvními závazky vztahujícími se k informačnímu systému kritické informační infrastruktury, komunikačnímu systému kritické informační infrastruktury a významnému informačnímu systému a určí opatření pro jeho prosazování a
2. účinné od 1. 1. 2015b) provádí a dokumentuje pravidelné kontroly dodržování bezpečnostní politiky a výsledky těchto kontrol zohlední v plánu rozvoje bezpečnostního povědomí a plánu zvládání rizik.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona zajišťuje provedení auditu kybernetické bezpečnosti osobou s odbornou kvalifikací podle § 6 odst. 6, která hodnotí správnost a účinnost zavedených bezpečnostních opatření.

účinné od 1. 1. 2015(3) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále pro informační systém kritické informační infrastruktury a komunikační systém kritické informační infrastruktury provádí kontrolu zranitelnosti technických prostředků pomocí automatizovaných nástrojů a jejich odborné vyhodnocení a reaguje na zjištěné zranitelnosti.