Vyhláška o Portálu Národního úřadu pro kybernetickou a informační bezpečnost a požadavcích na některé úkony

§ 1

účinné od 1. 11. 2025Předmět úpravy

účinné od 1. 11. 2025Tato vyhláška stanoví

1. účinné od 1. 11. 2025a) formát a způsob ohlášení regulované služby podle § 6 odst. 1 zákona,
2. účinné od 1. 11. 2025b) obsahové náležitosti, formát a způsob hlášení kybernetického bezpečnostního incidentu, průběžné zprávy o podstatných změnách stavu zvládání kybernetického bezpečnostního incidentu, průběžné zprávy o aktuálním stavu zvládání kybernetického bezpečnostního incidentu a závěrečné zprávy o vyřešení kybernetického bezpečnostního incidentu,
3. účinné od 1. 11. 2025c) formát a způsob hlášení údajů osob poskytujících služby registrace doménových jmen podle § 34 odst. 1 zákona a
4. účinné od 1. 11. 2025d) technické a organizační podmínky používání Portálu Národního úřadu pro kybernetickou a informační bezpečnost (dále jen „Portál Úřadu“), obsahové náležitosti, formát, strukturu a způsob provedení úkonů podle § 45 odst. 2 zákona.

§ 2

účinné od 1. 11. 2025Portál Úřadu

účinné od 1. 11. 2025(1) Přístup do Portálu Úřadu se provádí prostřednictvím internetových stránek Úřadu po přihlášení pomocí přihlašovacích údajů.

účinné od 1. 11. 2025(2) Úřad v rámci Portálu Úřadu umožní provedení nebo podání

1. účinné od 1. 11. 2025a) ohlášení regulované služby podle § 6 odst. 1 zákona,
2. účinné od 1. 11. 2025b) ohlášení změny regulované služby podle § 9 odst. 1 a § 26 odst. 1 zákona,
3. účinné od 1. 11. 2025c) žádosti o zrušení registrace regulované služby podle § 10 odst. 2 zákona,
4. účinné od 1. 11. 2025d) hlášení údajů podle § 11 zákona,
5. účinné od 1. 11. 2025e) hlášení incidentů podle § 15 a 16 zákona,
6. účinné od 1. 11. 2025f) oznámení provedení reaktivního protiopatření podle § 23 odst. 6 zákona a
7. účinné od 1. 11. 2025g) hlášení informací o dodavatelích podle § 31 odst. 1 písm. c) zákona.

§ 3

účinné od 1. 11. 2025Druhy hlášených údajů

účinné od 1. 11. 2025(1) Druhy hlášených údajů se pro účely této vyhlášky rozumí registrační údaje, kontaktní údaje a doplňující údaje.

účinné od 1. 11. 2025(2) Registračními údaji se rozumí

1. účinné od 1. 11. 2025a) identifikační údaje poskytovatele regulované služby, kterými jsou jeho název, identifikační číslo osoby, bylo-li mu přiděleno, sídlo, případně adresa hlavní provozovny a dalších provozoven v jiných členských státech, a
2. účinné od 1. 11. 2025b) seznam poskytovaných regulovaných služeb a splněných podmínek významnosti poskytovatele podle vyhlášky upravující regulované služby.

účinné od 1. 11. 2025(3) Kontaktními údaji se rozumí

1. účinné od 1. 11. 2025a) identifikační údaje fyzické osoby, která je oprávněna jednat za poskytovatele regulované služby ve věcech upravených zákonem, a
2. účinné od 1. 11. 2025b) funkce nebo pracovní zařazení, telefonní číslo a adresa elektronické pošty fyzické osoby, která je oprávněna jednat za poskytovatele regulované služby ve věcech upravených zákonem.

účinné od 1. 11. 2025(4) Doplňujícími údaji se rozumí

1. účinné od 1. 11. 2025a) doménová jména a rozsahy IP adres, které jsou využívány k poskytování regulované služby,
2. účinné od 1. 11. 2025b) informace o geografickém rozšíření regulované služby a o jejím přeshraničním poskytování a
3. účinné od 1. 11. 2025c) informace o členství poskytovatele regulované služby v koncernu a o jeho účasti v komunitě pro sdílení informací v oblasti kybernetické bezpečnosti.

§ 4

účinné od 1. 11. 2025Hlášení kybernetického bezpečnostního incidentu

účinné od 1. 11. 2025(1) Hlášení kybernetického bezpečnostního incidentu poskytovatelem regulované služby obsahuje

1. účinné od 1. 11. 2025a) identifikační údaje poskytovatele regulované služby,
2. účinné od 1. 11. 2025b) doplňující údaje k zasaženým aktivům,
3. účinné od 1. 11. 2025c) informace o kybernetickém bezpečnostním incidentu, zejména datum a čas zjištění, stav řešení incidentu, pravděpodobnou příčinu incidentu, popis incidentu a indikátory kompromitace, jsou-li tyto informace dostupné,
4. účinné od 1. 11. 2025d) informace vymezující dopad incidentu, zejména funkční dopad, odhad rozsahu a počtu zasažených aktiv nebo osob, čas a zdroje potřebné k obnově poskytování zasažené služby, lokaci incidentu, citlivost zasažených dat a případný přeshraniční dopad incidentu, jsou-li tyto informace dostupné, a
5. účinné od 1. 11. 2025e) informace o reakci na kybernetický bezpečnostní incident, zejména o požadované podpoře ze strany Úřadu, přijatých a probíhajících opatřeních ke zmírnění následků a výčtu subjektů, které byly v souvislosti s incidentem informovány.

účinné od 1. 11. 2025(2) V rámci hlášení kybernetického bezpečnostního incidentu může poskytovatel regulované služby provést

1. účinné od 1. 11. 2025a) prvotní hlášení podle § 16 odst. 1 zákona,
2. účinné od 1. 11. 2025b) oznámení incidentu podle § 16 odst. 3 písm. a) zákona,
3. účinné od 1. 11. 2025c) podání průběžné zprávy o podstatných změnách stavu zvládání kybernetického bezpečnostního incidentu podle § 16 odst. 3 písm. b) zákona,
4. účinné od 1. 11. 2025d) podání závěrečné zprávy o vyřešení kybernetického bezpečnostního incidentu podle § 16 odst. 3 písm. c) zákona a
5. účinné od 1. 11. 2025e) podání průběžné zprávy o aktuálním stavu zvládání kybernetického bezpečnostního incidentu podle § 16 odst. 3 písm. c) zákona.

účinné od 1. 11. 2025(3) Průběžná zpráva o podstatných změnách stavu zvládání kybernetického bezpečnostního incidentu podle § 16 odst. 3 písm. b) zákona obsahuje informace o doposud učiněných krocích ke zvládání incidentu a informace o případných nových skutečnostech.

účinné od 1. 11. 2025(4) Závěrečná zpráva o vyřešení kybernetického bezpečnostního incidentu podle § 16 odst. 3 písm. c) zákona obsahuje aktualizované informace podle odstavce 1.

účinné od 1. 11. 2025(5) Průběžná zpráva o aktuálním stavu zvládání kybernetického bezpečnostního incidentu podle § 16 odst. 3 písm. c) zákona obsahuje informace o doposud učiněných krocích ke zvládání incidentu, informace o případných nových skutečnostech, plánované kroky k vyřešení incidentu a vysvětlení, z jakého důvodu doposud nedošlo k jeho vyřešení.

účinné od 1. 11. 2025(6) Hlásí-li poskytovatel regulované služby kybernetický bezpečnostní incident v souladu s § 16 odst. 4 zákona jinak než prostřednictvím Portálu Úřadu, uplatní se obsahové náležitosti podle odstavce 1 obdobně.

účinné od 1. 11. 2025(7) Hlásí-li kybernetický bezpečnostní incident prostřednictvím internetových stránek Úřadu dobrovolný ohlašovatel podle § 15 odst. 5 zákona, který není poskytovatel regulované služby, obsahuje hlášení

1. účinné od 1. 11. 2025a) identifikační a kontaktní údaje ohlašovatele nebo jiné kontaktní osoby,
2. účinné od 1. 11. 2025b) identifikaci a popis informačního systému nebo služby zasažené kybernetickým bezpečnostním incidentem,
3. účinné od 1. 11. 2025c) informace o kybernetickém bezpečnostním incidentu, zejména datum a čas zjištění, druh hrozby nebo základní příčinu, která incident spustila, odhad rozsahu zasažení systémů, odhad počtu zasažených uživatelů, podrobný popis incidentu a případný přeshraniční dopad incidentu, jsou-li tyto informace dostupné, a
4. účinné od 1. 11. 2025d) informace o reakci na kybernetický bezpečnostní incident, zejména stav zvládání incidentu a přijatá a probíhající opatření ke zmírnění následků.

§ 5

účinné od 1. 11. 2025Obsahové náležitosti některých úkonů

účinné od 1. 11. 2025(1) Ohlášení regulované služby podle § 6 zákona nebo pro ohlášení změny regulované služby podle § 9 a 26 zákona obsahuje registrační údaje, případně jejich změnu.

účinné od 1. 11. 2025(2) Žádost o zrušení registrace regulované služby podle § 10 odst. 2 zákona obsahuje

1. účinné od 1. 11. 2025a) registrační údaje regulované služby, o jejíž výmaz je žádáno, a
2. účinné od 1. 11. 2025b) odůvodnění žádosti o výmaz.

účinné od 1. 11. 2025(3) Hlášení údajů podle § 11 zákona obsahuje

1. účinné od 1. 11. 2025a) identifikační údaje poskytovatele regulované služby,
2. účinné od 1. 11. 2025b) kontaktní údaje a
3. účinné od 1. 11. 2025c) doplňující údaje.

účinné od 1. 11. 2025(4) Oznámení provedení reaktivního protiopatření podle § 23 odst. 6 zákona obsahuje

1. účinné od 1. 11. 2025a) identifikační údaje poskytovatele regulované služby,
2. účinné od 1. 11. 2025b) doplňující údaje relevantní s ohledem na obsah reaktivního protiopatření,
3. účinné od 1. 11. 2025c) identifikace reaktivního protiopatření a
4. účinné od 1. 11. 2025d) informaci o provedení reaktivního protiopatření a jeho výsledku.

účinné od 1. 11. 2025(5) Hlášení informací o dodavatelích podle § 31 odst. 1 písm. c) zákona obsahuje

1. účinné od 1. 11. 2025a) identifikační údaje poskytovatele regulované služby,
2. účinné od 1. 11. 2025b) identifikační údaje dodavatele bezpečnostně významné dodávky,
3. účinné od 1. 11. 2025c) identifikaci bezpečnostně významné dodávky,
4. účinné od 1. 11. 2025d) identifikaci kritické části stanoveného rozsahu, do níž směřuje bezpečnostně významná dodávka,
5. účinné od 1. 11. 2025e) identifikaci regulované služby, k níž se váže bezpečnostně významná dodávka, a
6. účinné od 1. 11. 2025f) informaci o vztahu poskytovatele regulované služby s dodavatelem.

§ 6

účinné od 1. 11. 2025Hlášení údajů osob poskytujících služby registrace doménových jmen

účinné od 1. 11. 2025Údaje podle § 34 zákona se hlásí prostřednictvím formuláře uveřejněného na internetových stránkách Úřadu.

§ 7

účinné od 1. 11. 2025Účinnost