Platné znění

vyhláška o kybernetické bezpečnosti

účinné od 1. 1. 2015
účinné od 1. 1. 2015Ředitel:
účinné od 1. 1. 2015Ing. Navrátil v. r.
účinné od 1. 1. 2015
účinné od 1. 1. 2015

Příloha č. 1

účinné od 1. 1. 2015 k vyhlášce č. 316/2014 Sb.

účinné od 1. 1. 2015Hodnocení a úrovně důležitosti aktiv

účinné od 1. 1. 2015Pro hodnocení důležitosti aktiv jsou použity stupnice o čtyřech úrovních. Orgán nebo osoba uvedená v § 3 písm. c) až e) zákona může používat odlišný počet úrovní pro hodnocení důležitosti aktiv, než jaký je uveden v této příloze, dodrží-li jednoznačné vazby mezi jí používaným způsobem hodnocení důležitosti aktiv a stupnicemi a úrovněmi pro hodnocení důležitosti aktiv, které jsou uvedeny v této příloze.

účinné od 1. 1. 2015V případě použití tří úrovní hodnocení důležitosti aktiv je přípustné sloučit buď úrovně nízká a střední, nebo úrovně vysoká a kritická.

účinné od 1. 1. 2015Stupnice pro hodnocení důvěrnosti

účinné od 1. 1. 2015
Příloha č. 1 Hodnocení a úrovně důležitosti aktiv Stupnice pro hodnocení důvěrnosti
ÚroveňPopisOchrana
NízkáAktiva jsou veřejně přístupná nebo byla určena ke zveřejnění (např. na základě zákona č. 106/1999 Sb. o svobodném přístupu k informacím, ve znění pozdějších předpisů). Narušení důvěrnosti aktiv neohrožuje oprávněné zájmy orgánu a osoby uvedené v § 3 písm. c) až e) zákona.Není vyžadována žádná ochrana.
StředníAktiva nejsou veřejně přístupná a tvoří know-how orgánu a osoby uvedené v § 3 písm. c) až e) zákona, ochrana aktiv není vyžadována žádným právním předpisem nebo smluvním ujednáním.Pro ochranu důvěrnosti jsou využívány prostředky pro řízení přístupu.
VysokáAktiva nejsou veřejně přístupná a jejich ochrana je vyžadována právními předpisy, jinými předpisy nebo smluvními ujednáními (např. obchodní tajemství podle zákona č. 89/2012 Sb., občanský zákoník, osobní údaje podle zákona č. 101/2000 Sb., o ochraně osobních údajů, ve znění pozdějších předpisů).Pro ochranu důvěrnosti jsou využívány prostředky, které zajistí řízení a zaznamenávání přístupu. Přenosy informací vnější komunikační sítí jsou chráněny pomocí kryptografických prostředků.
KritickáAktiva nejsou veřejně přístupná a vyžadují nadstandardní míru ochrany nad rámec předchozí kategorie (např. strategické obchodní tajemství, citlivé osobní údaje).Pro ochranu důvěrnosti je požadována evidence osob, které k aktivům přistoupily, a metody ochrany zabraňující zneužití aktiv ze strany administrátorů. Přenosy informací jsou chráněny pomocí kryptografických prostředků.

účinné od 1. 1. 2015Stupnice pro hodnocení integrity

účinné od 1. 1. 2015
Příloha č. 1 Hodnocení a úrovně důležitosti aktiv Stupnice pro hodnocení důvěrnosti Stupnice pro hodnocení integrity
ÚroveňPopisOchrana
NízkáAktivum nevyžaduje ochranu z hlediska integrity. Narušení integrity aktiva neohrožuje oprávněné zájmy orgánu a osoby uvedené v § 3 písm. c) až e) zákona.Není vyžadována žádná ochrana.
StředníAktivum může vyžadovat ochranu z hlediska integrity. Narušení integrity aktiva může vést k poškození oprávněných zájmů orgánu a osoby uvedené v § 3 písm. c) až e) zákona a může se projevit méně závažnými dopady na primární aktiva.Pro ochranu integrity jsou využívány standardní nástroje (např. omezení přístupových práv pro zápis).
VysokáAktivum vyžaduje ochranu z hlediska integrity. Narušení integrity aktiva vede k poškození oprávněných zájmů orgánu a osoby uvedené v § 3 písm. c) až e) zákona s podstatnými dopady na primární aktiva.Pro ochranu integrity jsou využívány speciální prostředky, které dovolují sledovat historii provedených změn a zaznamenat identitu osoby provádějící změnu. Ochrana integrity informací přenášených vnějšími komunikačními sítěmi je zajištěna pomocí kryptografických prostředků.
KritickáAktivum vyžaduje ochranu z hlediska integrity. Narušení integrity vede k velmi vážnému poškození oprávněných zájmů orgánu a osoby uvedené v § 3 písm. c) až e) zákona s přímými a velmi vážnými dopady na primární aktiva.Pro ochranu integrity jsou využívány speciální prostředky jednoznačné identifikace osoby provádějící změnu (např. pomocí technologie digitálního podpisu).

účinné od 1. 1. 2015Stupnice pro hodnocení dostupnosti

účinné od 1. 1. 2015
Příloha č. 1 Hodnocení a úrovně důležitosti aktiv Stupnice pro hodnocení důvěrnosti Stupnice pro hodnocení integrity Stupnice pro hodnocení dostupnosti
ÚroveňPopisOchrana
NízkáNarušení dostupnosti aktiva není důležité a v případě výpadku je běžně tolerováno delší časové období pro nápravu (cca do 1 týdne).Pro ochranu dostupnosti je postačující pravidelné zálohování.
StředníNarušení dostupnosti aktiva by nemělo překročit dobu pracovního dne, dlouhodobější výpadek vede k možnému ohrožení zájmů orgánu a osoby uvedené v § 3 písm. c) až e) zákona.Pro ochranu dostupnosti jsou využívány běžné metody zálohování a obnovy.
VysokáNarušení dostupnosti aktiva by nemělo překročit dobu několika hodin. Jakýkoli výpadek je nutné řešit neprodleně, protože vede k přímému ohrožení zájmů orgánu a osoby uvedené v § 3 písm. c) až e) zákona. Aktiva jsou považována jako velmi důležitá.Pro ochranu dostupnosti jsou využívány záložní systémy a obnova poskytování služeb může být podmíněna zásahy obsluhy nebo výměnou technických aktiv.
KritickáNarušení dostupnosti aktiva není přípustné a i krátkodobá nedostupnost (v řádu několika minut) vede k vážnému ohrožení zájmů orgánu a osoby uvedené v § 3 písm. c) až e) zákona. Aktiva jsou považována jako kritická.Pro ochranu dostupnosti jsou využívány záložní systémy a obnova poskytování služeb je krátkodobá a automatizovaná.
účinné od 1. 1. 2015

Příloha č. 2

účinné od 1. 1. 2015 k vyhlášce č. 316/2014 Sb.

účinné od 1. 1. 2015Hodnocení rizik

účinné od 1. 1. 2015Hodnocení rizik je vyjádřeno jako funkce, kterou ovlivňuje dopad, hrozba a zranitelnost.

účinné od 1. 1. 2015Pro hodnocení rizik lze použít zejména tuto funkci

účinné od 1. 1. 2015riziko = dopad x hrozba x zranitelnost.

účinné od 1. 1. 2015Jednoznačné určení funkce pro určení rizika je nezbytnou součástí metodiky pro identifikaci a hodnocení rizika.

účinné od 1. 1. 2015
Příloha č. 2 Hodnocení rizik
Stupnice pro hodnocení dopadů
ÚroveňPopis
NízkýDopad je v omezeném časovém období a malého rozsahu a nesmí být katastrofický.
Rozsah případných škod nepřesahuje
a) 10 zraněných osob s následnou hospitalizací po dobu delší než 24 hodin nebo
b) finanční nebo materiální ztráty do 5 000 000 Kč anebo
c) představuje dopad na veřejnost s rozsáhlým omezením nezbytných služeb nebo jiného závažného zásahu do každodenního života postihujícího nejvýše 250 osob.
StředníDopad je omezeného rozsahu a v omezeném časovém období. Rozsah případných škod se pohybuje v rozmezí
a) do 10 mrtvých nebo od 11 do 100 osob s následnou hospitalizací po dobu delší než 24 hodin nebo
b) finanční nebo materiální ztráty od 5 000 000 Kč do 50 000 000 Kč anebo
c) představuje dopad na veřejnost s rozsáhlým omezením nezbytných služeb nebo jiného závažného zásahu do každodenního života postihujícího od 251 do 2 500 osob.
VysokýDopad je omezeného rozsahu, ale trvalý nebo katastrofický. Rozsah případných škod se pohybuje v rozmezí
a) od 11 do 100 mrtvých nebo od 101 do 1 000 osob s následnou hospitalizací po dobu delší než 24 hodin nebo
b) finanční nebo materiální ztráty od 50 000 000 Kč do 500 000 000 Kč anebo
c) představuje dopad na veřejnost s rozsáhlým omezením nezbytných služeb nebo jiného závažného zásahu do každodenního života postihujícího od 2 501 do 25 000 osob.
KritickýDopad je plošný rozsahem, trvalý a katastrofický. Rozsah případných škod se pohybuje v rozmezí
a) 101 a více mrtvých a 1 001 a více osob s následnou hospitalizací po dobu delší než 24 hodin nebo
b) finanční nebo materiální ztráty převyšující 500 000 000 Kč anebo
c) představuje dopad na veřejnost s rozsáhlým omezením nezbytných služeb nebo jiného závažného zásahu do každodenního života postihujícího více než 25 000 osob.
účinné od 1. 1. 2015
Příloha č. 2 Hodnocení rizik
Stupnice pro hodnocení hrozeb
ÚroveňPopis
NízkáHrozba neexistuje nebo je málo pravděpodobná. Předpokládaná realizace hrozby není častější než jednou za 5 let.
StředníHrozba je málo pravděpodobná až pravděpodobná. Předpokládaná realizace hrozby je v rozpětí od 1 roku do 5 let.
VysokáHrozba je pravděpodobná až velmi pravděpodobná. Předpokládaná realizace hrozby je v rozpětí od 1 měsíce do 1 roku.
KritickáHrozba je velmi pravděpodobná až víceméně jistá. Předpokládaná realizace hrozby je častější než jednou za měsíc.
účinné od 1. 1. 2015
Příloha č. 2 Hodnocení rizik
Stupnice pro hodnocení zranitelností
ÚroveňPopis
NízkáZranitelnost neexistuje nebo je zneužití zranitelnosti málo pravděpodobné. Existují kvalitní bezpečnostní opatření, které jsou schopna včas detekovat možné slabiny nebo případné pokusy o překonání opatření.
StředníZranitelnost je málo pravděpodobná až pravděpodobná. Existují kvalitní bezpečnostní opatření, jejichž účinnost je pravidelně kontrolována. Schopnost bezpečnostních opatření včas detekovat možné slabiny nebo případné pokusy o překonání opatření je omezena. Nejsou známé žádné úspěšné pokusy o překonání bezpečnostních opatření.
VysokáZranitelnost je pravděpodobná až velmi pravděpodobná. Bezpečnostní opatření existují, ale jejich účinnost nepokrývá všechny potřebné aspekty a není pravidelně kontrolována. Jsou známé dílčí úspěšné pokusy o překonání bezpečnostních opatření.
KritickáZranitelnost je velmi pravděpodobná až po víceméně jisté zneužití. Bezpečnostní opatření nejsou realizována anebo je jejich účinnost značně omezena. Neprobíhá kontrola účinnosti bezpečnostních opatření. Jsou známé úspěšné pokusy překonání bezpečnostních opatření.
účinné od 1. 1. 2015
Příloha č. 2 Hodnocení rizik
Stupnice pro hodnocení rizik
ÚroveňPopis
NízkéRiziko je považováno za přijatelné.
StředníRiziko může být sníženo méně náročnými opatřeními nebo v případě vyšší náročnosti opatření je riziko přijatelné.
VysokéRiziko je dlouhodobě nepřípustné a musí být zahájeny systematické kroky k jeho odstranění.
KritickéRiziko je nepřípustné a musí být neprodleně zahájeny kroky k jeho odstranění.

účinné od 1. 1. 2015V případě, že orgán nebo osoba uvedená v § 3 písm. c) až e) zákona využívá metodu pro identifikaci a hodnocení rizik, která nerozlišuje hodnocení hrozby a zranitelnosti, je možné stupnice pro hodnocení hrozeb a zranitelností sloučit. Sloučení stupnic by nemělo vést ke ztrátě schopnosti rozlišení míry hrozby a zranitelnosti. Za tímto účelem lze použít například komentář, který zřetelně vyjádří jak úroveň hrozby, tak i úroveň zranitelnosti. Obdobně postupuje i orgán nebo osoba uvedená v § 3 písm. c) až e) zákona, které používá jiný počet úrovní pro hodnocení dopadů, hrozeb, zranitelností a rizik.

účinné od 1. 1. 2015

Příloha č. 3

účinné od 1. 1. 2015 k vyhlášce č. 316/2014 Sb.

účinné od 1. 1. 2015Minimální požadavky na kryptografické algoritmy

účinné od 1. 1. 2015(1) Symetrické algoritmy

  1. účinné od 1. 1. 2015a) Blokové a proudové šifry pro ochranu důvěrnosti a integrity
    1. účinné od 1. 1. 20151. Advanced Encryption Standard (AES) s využitím délky klíčů 128, 192 a 256 bitů Triple Data Encryption Standard (3DES) s využitím délky klíčů 168 bitů, omezené použití jen se zatížením klíče menším než 10 GB, postupně přecházet na AES.
    2. účinné od 1. 1. 20152. Triple Data Encryption Standard (3DES) s využitím délky klíčů 112 bitů, omezené použití jen se zatížením klíče menším než 10 MB, postupně přecházet na AES. Doporučeno použití jedinečného klíče pro každou zprávu.
    3. účinné od 1. 1. 20153. Blowfish s využitím minimální délky klíčů 128 bitů, omezené použití jen se zatížením klíče menším než 10 GB.
    4. účinné od 1. 1. 20154. Kasumi s využitím délky klíčů 128 bitů, omezené použití jen se zatížením klíče menším než 10 GB.
    5. účinné od 1. 1. 20155. Twofish s využitím délky klíčů 128 až 256 bitů.
    6. účinné od 1. 1. 20156. Serpent s využitím délky klíčů 128, 192, 256 bitů.
    7. účinné od 1. 1. 20157. Camellia s využitím délky klíčů 128, 192 a 256 bitů.
    8. účinné od 1. 1. 20158. SNOW 2.0, SNOW 3G s využitím délky klíčů 128, 256 bitů.
  1. účinné od 1. 1. 2015b) Módy šifrování s ochranou integrity
    1. účinné od 1. 1. 20151. CCM,
    2. účinné od 1. 1. 20152. EAX,
    3. účinné od 1. 1. 20153. OCB,
    4. účinné od 1. 1. 20154. Složená schémata typu „Encrypt-then-MAC“.
  2. účinné od 1. 1. 2015Poznámka:

    účinné od 1. 1. 2015Schémata typu „Encrypt-then-MAC“,musí používat k šifrování pouze uvedené šifrovací módy a k výpočtu MAC pouze uvedené módy pro ochranu integrity.

  1. účinné od 1. 1. 2015c) Módy šifrování
    1. účinné od 1. 1. 20151. CTR,
    2. účinné od 1. 1. 20152. OFB,
    3. účinné od 1. 1. 20153. CBC,
    4. účinné od 1. 1. 20154. CFB,
  2. účinné od 1. 1. 2015Poznámka:

    účinné od 1. 1. 2015Módy CBC a CFB musí být použity s náhodným, pro útočníka nepředpověditelným inicializačním vektorem, při použití módu OFB se pro daný klíč nesmí opakovat hodnota inicializačního vektoru, při použití módu CTR se pro daný klíč nesmí opakovat hodnota čítače, v případě použití CBC módu k šifrování bez ochrany integrity je třeba ověřit odolnost proti útoku na padding CBC módu.

  1. účinné od 1. 1. 2015d) Módy pro ochranu integrity
    1. účinné od 1. 1. 20151. HMAC,
    2. účinné od 1. 1. 20152. CBC-MAC-X9.19, omezené použití jen se zatížením menším než 109 MAC,
    3. účinné od 1. 1. 20153. CBC-MAC-EMAC,
    4. účinné od 1. 1. 20154. CMAC.

účinné od 1. 1. 2015(2) Asymetrické algoritmy

  1. účinné od 1. 1. 2015a) Pro technologii digitálního podpisu
    1. účinné od 1. 1. 20151. Digital Signature Algorithm (DSA) s využitím délky klíčů 2048 bitů a více, délky parametru cyklické podgrupy 224 bitů a více.
    2. účinné od 1. 1. 20152. Elliptic Curve Digital Signature Algorithm (EC-DSA) s využitím délky klíčů 224 bitů a více.
    3. účinné od 1. 1. 20153. Rivest-Shamir-Adleman Probablistic Signature Scheme (RSA-PSS) s využitím délky klíčů 2048 bitů a více.
  1. účinné od 1. 1. 2015b) Pro procesy dohod na klíči a šifrování klíčů
    1. účinné od 1. 1. 20151. Diffie-Hellman (DH) s využitím délky klíčů 2048 bitů a více, délky parametru cyklické podgrupy 224 bitů a více.
    2. účinné od 1. 1. 20152. Elliptic Curve Diffie-Hellman (ECDH) s využitím délky klíčů 224 bitů a více.
    3. účinné od 1. 1. 20153. Elliptic Curve Integrated Encryption System - Key Encapculation Mechanism (ECIES-KEM) s využitím délky klíčů 256 bitů a více.
    4. účinné od 1. 1. 20154. Provably Secure Elliptic Curve - Key Encapculation Mechanism (PSEC-KEM) s využitím délky klíčů 256 bitů více.
    5. účinné od 1. 1. 20155. Asymetric Ciphers and Key Encapculation Mechanism (ACE-KEM) s využitím délky klíčů 256 bitů a více.
    6. účinné od 1. 1. 20156. Rivest Shamir Adleman - Optimal Asymetric Encryption Pedding (RSA-OAEP) s využitím délky klíčů 2048 a více.
    7. účinné od 1. 1. 20157. Rivest Shamir Adleman - Key Encapculation Mechanism (RSA-KEM) s využitím délky klíčů 2048 a více.

účinné od 1. 1. 2015(3) Algoritmy hash funkcí

  1. účinné od 1. 1. 2015a) SHA-2
    1. účinné od 1. 1. 20151. SHA-224,
    2. účinné od 1. 1. 20152. SHA-256,
    3. účinné od 1. 1. 20153. SHA-384,
    4. účinné od 1. 1. 20154. SHA-512,
    5. účinné od 1. 1. 20155. SHA-512/224,
    6. účinné od 1. 1. 20156. SHA-512/256.
  1. účinné od 1. 1. 2015b) SHA-3
    1. účinné od 1. 1. 20151. SHA3-224,
    2. účinné od 1. 1. 20152. SHA3-256,
    3. účinné od 1. 1. 20153. SHA3-384,
    4. účinné od 1. 1. 20154. SHA3-512,
    5. účinné od 1. 1. 20155. SHAKE-128,
    6. účinné od 1. 1. 20156. SHAKE-256.
  1. účinné od 1. 1. 2015c) Ostatní hašovací funkce
    1. účinné od 1. 1. 20151. Whirpool,
    2. účinné od 1. 1. 20152. RIPEMD-160,
    3. účinné od 1. 1. 20153. SHA 1 s omezeným použitím.
    4. účinné od 1. 1. 2015Poznámka č. 1:

      účinné od 1. 1. 2015SHA-1 se nesmí používat pro generování nových digitálních podpisů, časových razítek, jakékoliv jiné aplikace vyžadující nekolizní SHA-1.

    5. účinné od 1. 1. 2015Poznámka č. 2:

      účinné od 1. 1. 2015SHA-1 lze používat pouze pro ověřování již existujících digitálních podpisů a časových razítek, generování a ověřování HMAC-SHA1,funkce pro odvozování klíčů a pseudonáhodné generátory.

účinné od 1. 1. 2015

Příloha č. 4

účinné od 1. 1. 2015 k vyhlášce č. 316/2014 Sb.

účinné od 1. 1. 2015Struktura bezpečnostní dokumentace

účinné od 1. 1. 2015Tato příloha obsahuje doporučený obsah bezpečnostní dokumentace. Navrhované struktury jednotlivých dokumentů zahrnují témata, která jednotlivé dokumenty podle této vyhlášky pokrývají, přičemž uvedené struktury dokumentů nejsou závazné a je na orgánu nebo osobě uvedené v § 3 písm. c) až e) zákona, jaký přístup k tvorbě bezpečnostní dokumentace použije. Přípustná je i změna názvů jednotlivých dokumentů nebo integrování více témat do jednoho dokumentu.

  1. účinné od 1. 1. 2015I. Struktura bezpečnostní politiky

    účinné od 1. 1. 2015(1) Politika systému řízení bezpečnosti informací*

    1. účinné od 1. 1. 2015a) Cíle, principy a potřeby řízení bezpečnosti informací.
    2. účinné od 1. 1. 2015b) Rozsah a hranice systému řízení bezpečnosti informací.
    3. účinné od 1. 1. 2015c) Pravidla a postupy pro řízení dokumentace.
    4. účinné od 1. 1. 2015d) Pravidla a postupy pro řízení zdrojů a provozu systému řízení bezpečnosti informací.
    5. účinné od 1. 1. 2015e) Pravidla a postupy pro provádění auditů kybernetické bezpečnosti.
    6. účinné od 1. 1. 2015f) Pravidla a postupy pro přezkoumání systému řízení bezpečnosti informací.
    7. účinné od 1. 1. 2015g) Pravidla a postupy pro nápravná opatření a zlepšování systému řízení bezpečnosti informací.

    účinné od 1. 1. 2015(2) Politika organizační bezpečnosti**

    1. účinné od 1. 1. 2015a) Určení bezpečnostních rolí a jejich práv a povinností,
      1. účinné od 1. 1. 20151. práva a povinnosti manažera kybernetické bezpečnosti,
      2. účinné od 1. 1. 20152. práva a povinnosti architekta kybernetické bezpečnosti,
      3. účinné od 1. 1. 20153. práva a povinnosti auditora kybernetické bezpečnosti,
      4. účinné od 1. 1. 20154. práva a povinnosti garanta aktiv,
      5. účinné od 1. 1. 20155. práva a povinnosti výboru pro řízení kybernetické bezpečnosti.
    1. účinné od 1. 1. 2015b) Požadavky na oddělení výkonu činností jednotlivých bezpečnostních rolí.

    účinné od 1. 1. 2015(3) Politika řízení dodavatelů**

    1. účinné od 1. 1. 2015a) Pravidla a principy pro výběr dodavatelů.
    2. účinné od 1. 1. 2015b) Pravidla pro hodnocení rizik dodavatelů.
    3. účinné od 1. 1. 2015c) Náležitosti smlouvy o úrovni služeb a způsobů a úrovní realizace bezpečnostních opatření a o určení vzájemné smluvní odpovědnosti.
    4. účinné od 1. 1. 2015d) Pravidla pro provádění kontroly zavedení bezpečnostních opatření.
    5. účinné od 1. 1. 2015e) Pravidla pro hodnocení dodavatelů.

    účinné od 1. 1. 2015(4) Politika klasifikace aktiv**

    1. účinné od 1. 1. 2015a) Identifikace, hodnocení a evidence primárních aktiv
      1. účinné od 1. 1. 20151. určení a evidence jednotlivých primárních aktiv včetně určení jejich garanta,
      2. účinné od 1. 1. 20152. hodnocení důležitosti primárních aktiv z hlediska důvěrnosti, integrity a dostupnosti.
    1. účinné od 1. 1. 2015b) Identifikace, hodnocení a evidence podpůrných aktiv
      1. účinné od 1. 1. 20151. určení a evidence jednotlivých podpůrných aktiv včetně určení jejich garanta,
      2. účinné od 1. 1. 20152. určení vazeb mezi primárními a podpůrnými aktivy.
    1. účinné od 1. 1. 2015c) Pravidla ochrany jednotlivých úrovní aktiv
      1. účinné od 1. 1. 20151. způsoby rozlišování jednotlivých úrovní aktiv,
      2. účinné od 1. 1. 20152. pravidla pro manipulaci a evidenci aktiv podle úrovní aktiv,
      3. účinné od 1. 1. 20153. přípustné způsoby používání aktiv.
    1. účinné od 1. 1. 2015d) Způsoby spolehlivého smazání nebo ničení technických nosičů dat.

    účinné od 1. 1. 2015(5) Politika bezpečnosti lidských zdrojů**

    1. účinné od 1. 1. 2015a) Pravidla rozvoje bezpečnostního povědomí a způsoby jeho hodnocení
      1. účinné od 1. 1. 20151. způsoby a formy poučení uživatelů,
      2. účinné od 1. 1. 20152. způsoby a formy poučení garantů aktiv,
      3. účinné od 1. 1. 20153. způsoby a formy poučení administrátorů,
      4. účinné od 1. 1. 20154. způsoby a formy poučení dalších osob zastávajících bezpečnostní role.
    1. účinné od 1. 1. 2015b) Bezpečnostní školení nových zaměstnanců.
    2. účinné od 1. 1. 2015c) Pravidla pro řešení případů porušení bezpečnostní politiky systému řízení bezpečnosti informací.
    3. účinné od 1. 1. 2015d) Pravidla pro ukončení pracovního vztahu nebo změnu pracovní pozice.
      1. účinné od 1. 1. 20151. vrácení svěřených aktiv a odebrání práv při ukončení pracovního vztahu,
      2. účinné od 1. 1. 20152. změna přístupových oprávnění při změně pracovní pozice.

    účinné od 1. 1. 2015(6) Politika řízení provozu a komunikací**

    1. účinné od 1. 1. 2015a) Pravomoci a odpovědnosti spojené s bezpečným provozem.
    2. účinné od 1. 1. 2015b) Postupy bezpečného provozu.
    3. účinné od 1. 1. 2015c) Požadavky a standardy bezpečného provozu.
    4. účinné od 1. 1. 2015d) Řízení technických zranitelností.
    5. účinné od 1. 1. 2015e) Pravidla a omezení pro provádění auditů kybernetické bezpečnosti a bezpečnostních testů.

    účinné od 1. 1. 2015(7) Politika řízení přístupu**

    1. účinné od 1. 1. 2015a) Princip minimálních oprávnění/potřeba znát (need to know).
    2. účinné od 1. 1. 2015b) Požadavky na řízení přístupu.
    3. účinné od 1. 1. 2015c) Životní cyklus řízení přístupu.
    4. účinné od 1. 1. 2015d) Řízení privilegovaných oprávnění.
    5. účinné od 1. 1. 2015e) Řízení přístupu pro mimořádné situace.
    6. účinné od 1. 1. 2015f) Pravidelné přezkoumání přístupových oprávnění včetně rozdělení jednotlivých uživatelů v přístupových skupinách.

    účinné od 1. 1. 2015(8) Politika bezpečného chování uživatelů*

    1. účinné od 1. 1. 2015a) Pravidla pro bezpečné nakládání s aktivy.
    2. účinné od 1. 1. 2015b) Bezpečné použití přístupového hesla.
    3. účinné od 1. 1. 2015c) Bezpečné použití elektronické pošty a přístupu na internet.
    4. účinné od 1. 1. 2015d) Bezpečný vzdálený přístup.
    5. účinné od 1. 1. 2015e) Bezpečné chování na sociálních sítích.
    6. účinné od 1. 1. 2015f) Bezpečnost ve vztahu k mobilním zařízením.

    účinné od 1. 1. 2015(9) Politika zálohování a obnovy**

    1. účinné od 1. 1. 2015a) Požadavky na zálohování a obnovu.
    2. účinné od 1. 1. 2015b) Pravidla a postupy zálohování.
    3. účinné od 1. 1. 2015c) Pravidla bezpečného uložení záloh.
    4. účinné od 1. 1. 2015d) Pravidla a postupy obnovy.
    5. účinné od 1. 1. 2015e) Pravidla a postupy testování zálohování a obnovy.

    účinné od 1. 1. 2015(10) Politika bezpečného předávání a výměny informací**

    účinné od 1. 1. 2015[§ 5 odst. 1 písm. j)]
    1. účinné od 1. 1. 2015a) Pravidla a postupy pro ochranu předávaných informací.
    2. účinné od 1. 1. 2015b) Způsoby ochrany elektronické výměny informací.
    3. účinné od 1. 1. 2015c) Pravidla pro využívání kryptografické ochrany.

    účinné od 1. 1. 2015(11) Politika řízení technických zranitelností**

    účinné od 1. 1. 2015[§ 5 odst. 1 písm. k)]
    1. účinné od 1. 1. 2015a) Pravidla pro omezení instalace programového vybavení,
    2. účinné od 1. 1. 2015b) Pravidla a postupy vyhledávání opravných programových balíčků,
    3. účinné od 1. 1. 2015c) Pravidla a postupy testování oprav programového vybavení,
    4. účinné od 1. 1. 2015d) Pravidla a postupy nasazení oprav programového vybavení.

    účinné od 1. 1. 2015(12) Politika bezpečného používání mobilních zařízení*

    účinné od 1. 1. 2015[§ 5 odst. 1 písm. l)]
    1. účinné od 1. 1. 2015a) Pravidla a postupy pro bezpečné používání mobilních zařízení.
    2. účinné od 1. 1. 2015b) Pravidla a postupy pro zajištění bezpečnosti zařízení, kterými orgán a osoba uvedená v § 3 písm. c) a d) zákona nedisponuje.

    účinné od 1. 1. 2015(13) Politika poskytování a nabývání licencí programového vybavení a informací*

    1. účinné od 1. 1. 2015a) Pravidla a postupy nasazení programového vybavení a jeho evidence.
    2. účinné od 1. 1. 2015b) Pravidla a postupy pro kontrolu dodržování licenčních podmínek.

    účinné od 1. 1. 2015(14) Politika dlouhodobého ukládání a archivace informací*

    účinné od 1. 1. 2015[§ 5 odst. 1 písm. n)]
    1. účinné od 1. 1. 2015a) Pravidla a postupy archivace dokumentů a záznamů.
    2. účinné od 1. 1. 2015b) Ochrana archivovaných dokumentů a záznamů.
    3. účinné od 1. 1. 2015c) Politika přístupu k archivovaným dokumentům a záznamům.

    účinné od 1. 1. 2015(15) Politika ochrany osobních údajů*

    1. účinné od 1. 1. 2015a) Charakteristika zpracovávaných osobních údajů.
    2. účinné od 1. 1. 2015b) Popis přijatých a provedených organizačních opatření pro ochranu osobních údajů.
    3. účinné od 1. 1. 2015c) Popis přijatých a provedených technických opatření pro ochranu osobních údajů.

    účinné od 1. 1. 2015(16) Politika fyzické bezpečnosti**

    účinné od 1. 1. 2015[§ 5 odst. 1 písm. p)]
    1. účinné od 1. 1. 2015a) Pravidla pro ochranu objektů.
    2. účinné od 1. 1. 2015b) Pravidla pro kontrolu vstupu osob.
    3. účinné od 1. 1. 2015c) Pravidla pro ochranu zařízení.
    4. účinné od 1. 1. 2015d) Detekce narušení fyzické bezpečnosti.

    účinné od 1. 1. 2015(17) Politika bezpečnosti komunikační sítě**

    účinné od 1. 1. 2015[§ 5 odst. 1 písm. q)]
    1. účinné od 1. 1. 2015a) Pravidla a postupy pro zajištění bezpečnosti sítě.
    2. účinné od 1. 1. 2015b) Určení práv a povinností za bezpečný provoz sítě.
    3. účinné od 1. 1. 2015c) Pravidla a postupy pro řízení přístupů v rámci sítě.
    4. účinné od 1. 1. 2015d) Pravidla a postupy pro ochranu vzdáleného přístupu k síti.
    5. účinné od 1. 1. 2015e) Pravidla a postupy pro monitorování sítě a vyhodnocování provozních záznamů.

    účinné od 1. 1. 2015(18) Politika ochrany před škodlivým kódem*

    1. účinné od 1. 1. 2015a) Pravidla a postupy pro ochranu komunikace mezi vnitřní a vnější sítí.
    2. účinné od 1. 1. 2015b) Pravidla a postupy pro ochranu serverů a sdílených datových uložišť.
    3. účinné od 1. 1. 2015c) Pravidla a postupy pro ochranu pracovních stanic.

    účinné od 1. 1. 2015(19) Politika nasazení a používání nástroje pro detekci kybernetických bezpečnostních událostí**

    1. účinné od 1. 1. 2015a) Pravidla a postupy nasazení nástroje pro detekci kybernetických bezpečnostních událostí.
    2. účinné od 1. 1. 2015b) Provozní postupy pro vyhodnocování a reagování na detekované kybernetické bezpečnostní události.
    3. účinné od 1. 1. 2015c) Pravidla a postupy pro optimalizaci nastavení nástroje pro detekci kybernetických bezpečnostních událostí.

    účinné od 1. 1. 2015(20) Politika využití a údržby nástroje pro sběr a vyhodnocení kybernetických bezpečnostních událostí**

    účinné od 1. 1. 2015[§ 5 odst. 1 písm. t)]
    1. účinné od 1. 1. 2015a) Pravidla a postupy pro evidenci a vyhodnocení kybernetických bezpečnostních událostí.
    2. účinné od 1. 1. 2015b) Pravidla a postupy pravidelné aktualizace pravidel pro vyhodnocení kybernetických bezpečnostních událostí.
    3. účinné od 1. 1. 2015c) Pravidla a postupy pro optimální nastavení bezpečnostních vlastností nástroje pro sběr a vyhodnocení kybernetických bezpečnostních událostí.

    účinné od 1. 1. 2015(21) Politika bezpečného používání kryptografické ochrany**

    1. účinné od 1. 1. 2015a) Úroveň ochrany s ohledem na typ a sílu kryptografického algoritmu.
    2. účinné od 1. 1. 2015b) Pravidla kryptografické ochrany informací
      1. účinné od 1. 1. 20151. při přenosu po komunikačních sítích,
      2. účinné od 1. 1. 20152. při uložení na mobilní zařízení nebo vyměnitelný technický nosič dat,
    1. účinné od 1. 1. 2015c) Systém správy klíčů.
  1. účinné od 1. 1. 2015II. Struktura další dokumentace

    účinné od 1. 1. 2015(1) Zpráva z auditu kybernetické bezpečnosti**

    účinné od 1. 1. 2015[§ 28 odst. 1 písm. b)]
    1. účinné od 1. 1. 2015a) Cíle auditu kybernetické bezpečnosti.
    2. účinné od 1. 1. 2015b) Předmět auditu kybernetické bezpečnosti.
    3. účinné od 1. 1. 2015c) Kritéria auditu kybernetické bezpečnosti.
    4. účinné od 1. 1. 2015d) Identifikování týmu auditorů a osob, které se auditu kybernetické bezpečnosti zúčastnily.
    5. účinné od 1. 1. 2015e) Datum a místo, kde byly prováděny činnosti při auditu kybernetické bezpečnosti.
    6. účinné od 1. 1. 2015f) Zjištění z auditu kybernetické bezpečnosti.
    7. účinné od 1. 1. 2015g) Závěry auditu kybernetické bezpečnosti.

    účinné od 1. 1. 2015(2) Zpráva z přezkoumání systému řízení bezpečnosti informací**

    účinné od 1. 1. 2015[§ 28 odst. 1 písm. c)]
    1. účinné od 1. 1. 2015a) Vyhodnocení opatření z předchozího přezkoumání systému řízení bezpečnosti informací,
    2. účinné od 1. 1. 2015b) Identifikace změn a okolností, které mohou mít vliv na systém řízení bezpečnosti informací.
    3. účinné od 1. 1. 2015c) Zpětná vazba o výkonnosti řízení bezpečnosti informací
      1. účinné od 1. 1. 20151. neshody a nápravná opatření,
      2. účinné od 1. 1. 20152. výsledky monitorování a měření,
      3. účinné od 1. 1. 20153. výsledky auditu,
      4. účinné od 1. 1. 20154. naplnění cílů bezpečnosti,
    1. účinné od 1. 1. 2015d) Výsledky hodnocení rizik a stav plánu zvládání rizik.
    2. účinné od 1. 1. 2015e) Identifikace možností pro neustálé zlepšování.
    3. účinné od 1. 1. 2015d) Doporučení potřebných rozhodnutí, stanovení opatření a osob zajišťujících výkon jednotlivých činností.

    účinné od 1. 1. 2015(3) Metodika pro identifikaci a hodnocení aktiv a pro identifikaci a hodnocení rizik*

    1. účinné od 1. 1. 2015a) Určení stupnice pro hodnocení primárních aktiv
      1. účinné od 1. 1. 20151. určení stupnice pro hodnocení úrovní důvěrnosti aktiv,
      2. účinné od 1. 1. 20152. určení stupnice pro hodnocení úrovní integrity aktiv,
      3. účinné od 1. 1. 20153. určení stupnice pro hodnocení úrovní dostupnosti aktiv.
    1. účinné od 1. 1. 2015b) Určení stupnice pro hodnocení rizik
      1. účinné od 1. 1. 20151. určení stupnice pro hodnocení úrovní dopadu,
      2. účinné od 1. 1. 20152. určení stupnice pro hodnocení úrovní hrozby,
      3. účinné od 1. 1. 20153. určení stupnice pro hodnocení úrovní zranitelnosti,
      4. účinné od 1. 1. 20154. určení stupnice pro hodnocení úrovní rizik,
        1. účinné od 1. 1. 2015a) Metody a přístupy pro zvládání rizik.
        2. účinné od 1. 1. 2015b) Způsoby schvalování přijatelných rizik.

    účinné od 1. 1. 2015(4) Zpráva o hodnocení aktiv a rizik**

    1. účinné od 1. 1. 2015a) Přehled primárních aktiv
      1. účinné od 1. 1. 20151. identifikace a popis primárních aktiv,
      2. účinné od 1. 1. 20152. určení garantů primárních aktiv,
      3. účinné od 1. 1. 20153. hodnocení primárních aktiv z hlediska důvěrnosti, integrity a dostupnosti.
    1. účinné od 1. 1. 2015b) Přehled podpůrných aktiv (neplatí pro orgány a osoby uvedené v § 3 písm. e) zákona)
      1. účinné od 1. 1. 20151. identifikace a popis podpůrných aktiv,
      2. účinné od 1. 1. 20152. určení garantů podpůrných aktiv,
      3. účinné od 1. 1. 20153. určení vazeb mezi primárními a podpůrnými aktivy,
    1. účinné od 1. 1. 2015c) Identifikování a hodnocení rizik
      1. účinné od 1. 1. 20151. posouzení možných dopadů na aktiva,
      2. účinné od 1. 1. 20152. hodnocení existujících hrozeb,
      3. účinné od 1. 1. 20153. hodnocení existujících zranitelností, hodnocení existujících opatření,
      4. účinné od 1. 1. 20154. stanovení úrovně rizika, porovnání této úrovně s kritérii pro přijatelnost rizik,
      5. účinné od 1. 1. 20155. určení a schválení přijatelných rizik.
    1. účinné od 1. 1. 2015d) Zvládání rizik
      1. účinné od 1. 1. 20151. návrh způsobu zvládání rizik,
      2. účinné od 1. 1. 20152. návrh opatření a jejich realizace.

    účinné od 1. 1. 2015(5) Prohlášení o aplikovatelnosti*