vyhláška o postupech kvalifikovaných poskytovatelů certifikačních služeb

§ 3

účinné od 17. 8. 2006Požadavky na bezpečné systémy

účinné od 17. 8. 2006Systémy podle § 6 odst. 1 písm. c) a d) zákona (dále jen „důvěryhodné systémy“) jsou bezpečné a bezpečnost postupů, které tyto systémy podporují, je dostačující, pokud kvalifikovaný poskytovatel certifikačních služeb (dále jen „poskytovatel“)

1. účinné od 17. 8. 2006a) používá důvěryhodné systémy a postupy, které splňují požadavky standardu pro tyto systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky, a požadavky českých technických norem uvedených v bodech 2 a 3 přílohy č. 1 této vyhlášky; požadavky těchto standardů a českých technických norem stanovené pro důvěryhodné systémy používané pro vydávání a správu kvalifikovaných certifikátů se použijí obdobně pro důvěryhodné systémy používané pro vydávání a správu kvalifikovaných systémových certifikátů,
2. účinné od 17. 8. 2006b) při řízení bezpečnosti důvěryhodných systémů postupuje podle české technické normy uvedené v bodu 4 přílohy č. 1 této vyhlášky a má zaveden a uplatňuje systém řízení bezpečnosti informací podle české technické normy uvedené v bodu 5 přílohy č. 1 této vyhlášky,
3. účinné od 17. 8. 2006c) užívá prostory, ve kterých je zajišťováno vytváření kvalifikovaných certifikátů nebo kvalifikovaných systémových certifikátů, kvalifikovaných časových razítek, prostředků pro vytváření elektronických podpisů, zneplatňování kvalifikovaných certifikátů nebo kvalifikovaných systémových certifikátů, vytváření seznamů zneplatněných certifikátů, veškeré nakládání s daty pro vytváření elektronických značek a jim odpovídajícími daty pro ověřování elektronických značek poskytovatele, nakládání s kvalifikovaným systémovým certifikátem poskytovatele a vytváření záznamů o událostech s těmito činnostmi spojených, zabezpečené obdobně jako zabezpečené oblasti kategorie „Důvěrné“ podle zvláštního právního předpisu¹) a je zpracována dokumentace stanovená tímto právním předpisem,
4. účinné od 17. 8. 2006d) má zpracovánu a průběžně aktualizuje bezpečnostní dokumentaci,
5. účinné od 17. 8. 2006e) postupuje v souladu se zásadami a postupy uvedenými v bezpečnostní dokumentaci,
6. účinné od 17. 8. 2006f) provádí kontrolu bezpečnostní shody podle této vyhlášky,
7. účinné od 17. 8. 2006g) provádí audit systému řízení bezpečnosti informací podle této vyhlášky.

§ 4

účinné od 17. 8. 2006Bezpečnostní dokumentace

účinné od 17. 8. 2006(1) Není-li uvedeno jinak, splnění povinností stanovených zákonem a požadavků stanovených touto vyhláškou dokládá poskytovatel prostřednictvím bezpečnostní dokumentace.

účinné od 17. 8. 2006(2) Bezpečnostní dokumentaci tvoří tyto dokumenty:

1. účinné od 17. 8. 2006a) certifikační politika pro vydávání kvalifikovaných certifikátů, pokud poskytovatel tuto službu zajišťuje,
2. účinné od 17. 8. 2006b) certifikační politika pro vydávání kvalifikovaných systémových certifikátů, pokud poskytovatel tuto službu zajišťuje,
3. účinné od 17. 8. 2006c) politika pro vydávání kvalifikovaných časových razítek, pokud poskytovatel tuto službu zajišťuje,
4. účinné od 17. 8. 2006d) politika pro vydávání prostředků pro bezpečné vytváření elektronických podpisů, pokud poskytovatel tuto službu zajišťuje,
5. účinné od 17. 8. 2006e) certifikační politiky pro vydávání nadřízených kvalifikovaných systémových certifikátů,
6. účinné od 17. 8. 2006f) zprávy pro uživatele služeb uvedených v písmenech a) až d), pokud tyto služby poskytovatel poskytuje,
7. účinné od 17. 8. 2006g) certifikační prováděcí směrnice nebo jiné prováděcí směrnice ke službám podle písmen a) až e),
8. účinné od 17. 8. 2006h) celková bezpečnostní politika,
9. účinné od 17. 8. 2006i) systémová bezpečnostní politika,
10. účinné od 17. 8. 2006j) plán pro zvládání krizových situací a plán obnovy,
11. účinné od 17. 8. 2006k) další dokumenty poskytovatele, na které je v dokumentech podle písmen a) až j) odkazováno nebo které obsahují podrobná pravidla a podrobné postupy, kterými poskytovatel zajišťuje bezpečnost poskytovaných kvalifikovaných certifikačních služeb; z bezpečnostní dokumentace musí být zřejmé, jaké postupy poskytovatel uplatňuje při zajištění bezpečnosti systémů podle § 6 odst. 1 písm. c) a d) zákona.

§ 5

účinné od 17. 8. 2006Obsah bezpečnostní dokumentace

účinné od 17. 8. 2006(1) Obsahem politik podle § 4 odst. 2 písm. a) až d) je vždy

1. účinné od 17. 8. 2006a) stanovení zásad, které poskytovatel uplatňuje při zajišťování kvalifikované certifikační služby,
2. účinné od 17. 8. 2006b) v případě vydávání kvalifikovaných certifikátů nebo kvalifikovaných systémových certifikátů popis vlastností dat pro vytváření elektronických podpisů nebo dat pro vytváření elektronických značek a jim odpovídajících dat pro ověřování elektronických podpisů nebo dat pro ověřování elektronických značek, která vytváří osoba žádající o vydání certifikátu nebo která vytváří poskytovatel a k nimž má být příslušný certifikát vydán; kryptografické algoritmy a jejich parametry, které mohou být pro tato data použity, zveřejňuje ministerstvo na své úřední desce,
3. účinné od 17. 8. 2006c) v případě vydávání kvalifikovaných časových razítek
   1. účinné od 17. 8. 20061. kryptografické algoritmy, které mohou být použity při vytváření otisku dat, která mají být označena kvalifikovaným časovým razítkem a parametry těchto algoritmů,
   2. účinné od 17. 8. 20062. přesnost času v časovém razítku ve vztahu ke světovému koordinovanému času.

účinné od 17. 8. 2006(2) Obsahem zprávy pro uživatele podle § 4 odst. 2 písm. f) jsou informace o identifikačních údajích poskytovatele a základní přehled o dané kvalifikované certifikační službě a jejím využívání.

účinné od 17. 8. 2006(3) Obsahem prováděcí směrnice podle § 4 odst. 2 písm. g) je vždy stanovení postupů, které poskytovatel uplatňuje při zajišťování jednotlivých kvalifikovaných certifikačních služeb.

účinné od 17. 8. 2006(4) Obsahem celkové bezpečnostní politiky podle § 4 odst. 2 písm. h) je vždy stanovení cílů a popis způsobu zabezpečení důvěryhodných systémů poskytovatele a specifikace zásad a předpisů vztahujících se k řešení bezpečnosti v důvěryhodných systémech a určení pravomocí a odpovědností za řešení bezpečnosti.

účinné od 17. 8. 2006(5) Systémová bezpečnostní politika podle § 4 odst. 2 písm. i) je zpracovávána na základě provedené analýzy rizik spjatých s provozováním důvěryhodných systémů. V analýze rizik poskytovatel definuje aktiva těchto systémů, hrozby, které na ně působí, zranitelná místa systémů, pravděpodobnost výskytu hrozeb, odhad jejich následků a určuje odpovídající bezpečnostní opatření.

účinné od 17. 8. 2006(6) Obsahem systémové bezpečnostní politiky je vždy

1. účinné od 17. 8. 2006a) stanovení cílů při ochraně informací,
2. účinné od 17. 8. 2006b) stanovení způsobu zajištění bezpečnosti,
3. účinné od 17. 8. 2006c) určení pravomocí a odpovědností při provozování důvěryhodných systémů,
4. účinné od 17. 8. 2006d) pravidla a postupy konkrétně definující způsob správy a ochrany informačních technologií, aktiv informačních systémů a způsob distribuce informací v rámci důvěryhodných systémů a jiných systémů, které mají s důvěryhodnými systémy vazby,
5. účinné od 17. 8. 2006e) způsoby uplatnění celkové bezpečnostní politiky ve vztahu k provozování důvěryhodných systémů,
6. účinné od 17. 8. 2006f) popis důvěryhodných systémů, jejich vnitřních, vnějších a vzájemných vazeb,
7. účinné od 17. 8. 2006g) vyhodnocení analýzy rizik a popis bezpečnostních opatření podle odstavce 5,
8. účinné od 17. 8. 2006h) způsob šíření časového údaje v rámci důvěryhodných systémů, pokud poskytovatel poskytuje službu vydávání kvalifikovaných časových razítek.

účinné od 17. 8. 2006(7) Plán pro zvládání krizových situací podle § 4 odst. 2 písm. j) obsahuje vždy stanovení postupů, které jsou uplatněny v případě výskytu mimořádné události.

účinné od 17. 8. 2006(8) Plán obnovy podle § 4 odst. 2 písm. j) obsahuje strategie obnovy důvěryhodných systémů, které je nutno realizovat pro

1. účinné od 17. 8. 2006a) zachování kritických činností poskytovatele v nejkratším možném čase,
2. účinné od 17. 8. 2006b) obnovu řádné funkce důvěryhodných systémů.

§ 6

účinné od 17. 8. 2006Požadavky na zpracování bezpečnostní dokumentace

účinné od 17. 8. 2006(1) Struktura certifikační politiky podle § 4 odst. 2 písm. a), b) a e) a certifikační prováděcí směrnice podle § 4 odst. 2 písm. g) je uvedena v příloze č. 2 této vyhlášky.

účinné od 17. 8. 2006(2) U položek struktury uvedené v příloze č. 2 této vyhlášky, které se při zpracování bezpečnostní dokumentace nepoužijí, protože poskytovatel předmětnou činnost nevykonává, bude tato skutečnost uvedena.

účinné od 17. 8. 2006(3) Při zpracování dokumentů celková bezpečnostní politika podle § 4 odst. 2 písm. h) a systémová bezpečnostní politika podle § 4 odst. 2 písm. i) se postupuje dle požadavků českých technických norem uvedených v bodech 4 a 6 přílohy č. 1 této vyhlášky.

§ 7

účinné od 17. 8. 2006Zveřejňování dokumentů

účinné od 17. 8. 2006(1) Poskytovatel zveřejňuje dokumenty uvedené v § 4 odst. 2 písm. a) až d) a f) v plném rozsahu.

účinné od 17. 8. 2006(2) Poskytovatel může zveřejnit certifikační prováděcí směrnici nebo jiné prováděcí směrnice podle § 4 odst. 2 písm. g) v rozsahu, který neohrozí bezpečnost zajišťovaných služeb.

účinné od 17. 8. 2006(3) Zveřejněním podle odstavců 1 a 2 se rozumí zveřejnění způsobem umožňujícím dálkový přístup a v prostorách, kde dochází ke kontaktu s uživateli.

§ 8

účinné od 17. 8. 2006Kontrola bezpečnostní shody

účinné od 17. 8. 2006(1) Cílem kontroly bezpečnostní shody podle § 3 písm. f) je ověření, že

1. účinné od 17. 8. 2006a) poskytovatel provozuje důvěryhodné systémy v souladu se zákonem a s touto vyhláškou,
2. účinné od 17. 8. 2006b) poskytovatel provádí změny v důvěryhodných systémech v souladu s bezpečnostní dokumentací poskytovatele, a to s jejími částmi upravujícími řízení změn.

účinné od 17. 8. 2006(2) Předmětem kontroly bezpečnostní shody jsou

1. účinné od 17. 8. 2006a) všechny důvěryhodné systémy poskytovatele (celková kontrola bezpečnostní shody), nebo
2. účinné od 17. 8. 2006b) všechny změny podle odstavce 1 písm. b), které poskytovatel provedl od provedení předchozí kontroly bezpečnostní shody, a jejich vliv na důvěryhodné systémy poskytovatele nebo ověření skutečnosti, že takové změny nenastaly (částečná kontrola bezpečnostní shody).

účinné od 17. 8. 2006(3) Celková kontrola bezpečnostní shody je prováděna nejpozději do 1 roku od zahájení poskytování kvalifikovaných certifikačních služeb a následně vždy nejméně po 4 letech od předchozí celkové kontroly bezpečnostní shody, a to za předpokladu, že během těchto 4 let byly provedeny částečné kontroly bezpečnostní shody, mezi nimiž uplynul nejvíce 1 rok a první proběhla do 1 roku po celkové kontrole bezpečnostní shody.

účinné od 17. 8. 2006(4) Pokud nejsou prováděny částečné kontroly bezpečnostní shody podle odstavce 2 písm. b), provádí se celkové kontroly bezpečnostní shody v intervalu nejdéle 1 roku.

účinné od 17. 8. 2006(5) Kontrola bezpečnostní shody je prováděna podle požadavků české technické normy uvedené v bodu 6 přílohy č. 1 této vyhlášky.

účinné od 17. 8. 2006(6) Poskytovatel zajišťuje zpracování zprávy o kontrole bezpečnostní shody, jejímž obsahem je

1. účinné od 17. 8. 2006a) vymezení předmětu kontroly bezpečnostní shody; v případě celkové kontroly bezpečnostní shody vymezení všech důvěryhodných systémů podle odstavce 2 písm. a) s uvedením kvalifikovaných certifikačních služeb, které jsou prostřednictvím těchto systémů zajišťovány, nebo v případě částečné kontroly bezpečnostní shody vymezení změn podle odstavce 2 písm. b), které poskytovatel provedl od provedení předchozí kontroly bezpečnostní shody, a vymezení kvalifikovaných certifikačních služeb, které jsou zajišťovány prostřednictvím důvěryhodných systémů, těmito změnami ovlivněných,
2. účinné od 17. 8. 2006b) jednoznačné určení dokumentace, která byla předmětem kontroly bezpečnostní shody,
3. účinné od 17. 8. 2006c) popis průběhu kontroly bezpečnostní shody,
4. účinné od 17. 8. 2006d) jméno, popřípadě jména a příjmení osoby, která provádí kontrolu bezpečnostní shody; tato osoba může být s poskytovatelem v pracovněprávním vztahu,
5. účinné od 17. 8. 2006e) prohlášení o výsledku kontroly bezpečnostní shody, jehož součástí je prohlášení o tom, že poskytovatel provozuje důvěryhodné systémy v souladu s odstavcem 1.

účinné od 17. 8. 2006(7) Pokud je v průběhu kontroly bezpečnostní shody zjištěno, že poskytovatel neprovozuje důvěryhodné systémy v souladu s odstavcem 1 písm. a) nebo neprovádí změny v důvěryhodných systémech v souladu s odstavcem 1 písm. b), musí být dosaženo nápravy, jejíž provedení je dokumentováno a v průběhu téže kontroly bezpečnostní shody ověřeno.

účinné od 17. 8. 2006(8) Zprávu o kontrole bezpečnostní shody předává poskytovatel do 30 dnů od ukončení kontroly ministerstvu.

§ 9

účinné od 17. 8. 2006Audit systému řízení bezpečnosti informací

účinné od 17. 8. 2006(1) Cílem auditu systému řízení bezpečnosti informací podle § 3 písm. g) je objektivní a na poskytovateli nezávislé ověření, že je v důvěryhodných systémech poskytovatele zaveden a uplatňován systém řízení bezpečnosti informací podle české technické normy uvedené v bodu 5 přílohy č. 1 této vyhlášky.

účinné od 17. 8. 2006(2) Pokud je zavedení systému řízení bezpečnosti informací v důvěryhodných systémech poskytovatele certifikováno na shodu s českou technickou normou uvedenou v bodu 5 přílohy č. 1 této vyhlášky, je provedení auditu systému řízení bezpečnosti informací považováno za splněné.

účinné od 17. 8. 2006(3) Při provádění auditu systému řízení bezpečnosti informací se postupuje podle požadavků normy uvedené v bodu 7 přílohy č. 1 této vyhlášky; subjekt, který audit systému řízení bezpečnosti informací provádí, je ve vztahu k poskytovateli externí, nezávislou auditující organizací podle požadavků normy uvedené v bodu 7 přílohy č. 1 této vyhlášky.

účinné od 17. 8. 2006(4) Poskytovatel poskytne subjektu, který audit systému řízení bezpečnosti informací provádí, vždy zprávu o kontrole bezpečnostní shody podle § 8 odst. 6, pokud již byla provedena, a bezpečnostní dokumentaci.

účinné od 17. 8. 2006(5) Součástí zprávy o auditu systému řízení bezpečnosti informací je

1. účinné od 17. 8. 2006a) vymezení předmětu auditu systému řízení bezpečnosti informací, přičemž vymezením předmětu auditu se rozumí vymezení kvalifikovaných certifikačních služeb, které jsou zajišťovány prostřednictvím důvěryhodných systémů,
2. účinné od 17. 8. 2006b) jednoznačné určení dokumentace, která byla předmětem auditu systému řízení bezpečnosti informací a kterou poskytovatel poskytl subjektu, který audit systému řízení bezpečnosti informací provádí,
3. účinné od 17. 8. 2006c) prohlášení subjektu, který audit systému řízení bezpečnosti informací provedl, o výsledku auditu systému řízení bezpečnosti informací, jehož součástí je prohlášení o splnění požadavků uvedených v odstavci 1.

účinné od 17. 8. 2006(6) Pokud je v průběhu auditu systému řízení bezpečnosti informací zjištěno, že poskytovatel nezavedl a neuplatňuje v důvěryhodných systémech systém řízení bezpečnosti informací v souladu s požadavky uvedenými v odstavci 1, musí být dosaženo nápravy. Provedení nápravy musí být dokumentováno a ověřeno auditem.

účinné od 17. 8. 2006(7) Poskytovatel zajistí, aby prohlášení o výsledku auditu systému řízení bezpečnosti informací bylo zveřejněno ve zprávě pro uživatele.

účinné od 17. 8. 2006(8) Poskytovatel zajistí, aby audit systému řízení bezpečnosti informací byl proveden před zahájením poskytování první kvalifikované certifikační služby a následně nejméně každé 2 roky.

§ 10

účinné od 17. 8. 2006Způsob splnění informační povinnosti

účinné od 17. 8. 2006(1) Poskytovatel splní informační povinnost tím, že v dokumentech podle § 4 odst. 2 písm. a ) až d) a f) zveřejní

1. účinné od 17. 8. 2006a) je-li právnickou osobou, firmu nebo název, právní formu a sídlo, je-li fyzickou osobou, jméno, popřípadě jména, příjmení, místo podnikání a identifikační číslo, pokud bylo přiděleno,
2. účinné od 17. 8. 2006b) údaj o tom, zda je akreditován ministerstvem,
3. účinné od 17. 8. 2006c) přesné podmínky pro využívání kvalifikovaných certifikačních služeb, včetně případných omezení pro jejich použití stanovených poskytovatelem, podmínky reklamací a řešení vzniklých sporů,
4. účinné od 17. 8. 2006d) údaj o tom, kde a jakým způsobem jsou dostupné jeho nadřízené kvalifikované systémové certifikáty,
5. účinné od 17. 8. 2006e) jakým způsobem zajišťuje poskytování informací třetím osobám podle § 6a odst. 1 písm. i) zákona, pokud předmětnou kvalifikovanou certifikační službu poskytuje, včetně kontaktních údajů, které mohou třetí osoby použít, pokud žádají o tyto informace, a maximální dobu, která může uplynout mezi uplatněním požadavku a poskytnutím informace,
6. účinné od 17. 8. 2006f) jakým způsobem zajišťuje poskytování informací třetím osobám podle § 6b odst. 1 písm. e) zákona, pokud předmětnou kvalifikovanou certifikační službu poskytuje, včetně kontaktních údajů, které mohou třetí osoby použít, pokud žádají o tyto informace, a maximální dobu, která může uplynout mezi uplatněním požadavku a poskytnutím této informace.

účinné od 17. 8. 2006(2) Nadřízené kvalifikované systémové certifikáty podle odstavce 1 písm. d) musí být zveřejněny nejméně dvěma na sobě nezávislými způsoby, přičemž alespoň jedním z těchto způsobů je zveřejnění způsobem umožňujícím dálkový přístup.

účinné od 17. 8. 2006(3) Pokud byla akreditovanému poskytovateli akreditace odňata, poskytovatel neprodleně tuto informaci

1. účinné od 17. 8. 2006a) uvede v dokumentech podle § 4 odst. 2 písm. a) až d) a f) a zveřejní způsobem umožňujícím dálkový přístup,
2. účinné od 17. 8. 2006b) zveřejní nejméně v jednom celostátně distribuovaném deníku stanoveném v dokumentech podle § 4 odst. 2 písm. a) až d) a f),
3. účinné od 17. 8. 2006c) sdělí podepisujícím nebo označujícím osobám, které mají platné kvalifikované certifikáty nebo kvalifikované systémové certifikáty vydané tímto poskytovatelem, a to zasláním zprávy elektronickou poštou na elektronickou adresu, pokud ji tyto osoby uvedly v žádosti o vydání certifikátu.

účinné od 17. 8. 2006(4) Součástí informace podle odstavce 3 písm. b) a c) je sdělení, že kvalifikované certifikáty vydané tímto poskytovatelem nelze nadále používat podle § 11 odst. 1 zákona a vydané kvalifikované systémové certifikáty nelze nadále používat podle § 11 odst. 2 zákona.

§ 11

účinné od 17. 8. 2006Kvalifikační požadavky

účinné od 17. 8. 2006Činnosti odpovídající rolím podle bezpečnostních požadavků standardu pro důvěryhodné systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky, mohou vykonávat osoby, které

1. účinné od 17. 8. 2006a) získaly vysokoškolské vzdělání v rámci akreditovaného bakalářského nebo magisterského studijního programu a mají nejméně 3 roky praxe v oblasti informačních technologií nebo středoškolské vzdělání a nejméně 5 let praxe v oblasti informačních technologií, přičemž z toho nejméně 1 rok v oblasti poskytování certifikačních služeb,
2. účinné od 17. 8. 2006b) mají znalosti v oblasti infrastruktury veřejných klíčů a informační bezpečnosti.

§ 12

účinné od 17. 8. 2006Způsob uchovávání informací a dokumentace a náležitosti dokumentů a záznamů

účinné od 17. 8. 2006(1) Informace a dokumentace podle § 6 odst. 5 a 6 zákona musí být pořizovány, uchovávány a zpracovávány se zachováním prokazatelnosti jejich původu, dostupnosti, integrity, časové autentičnosti a důvěrnosti.

účinné od 17. 8. 2006(2) Poskytovatel prostřednictvím bezpečnostní dokumentace dokládá, že

1. účinné od 17. 8. 2006a) má identifikovány všechny typy informací a dokumentace podle § 6 odst. 5 a 6 zákona, které uchovává, a formu, ve které jsou uchovávány,
2. účinné od 17. 8. 2006b) má identifikováno místo uložení informací a dokumentace,
3. účinné od 17. 8. 2006c) stanovil postupy pro uchovávání informací a dokumentace a pro manipulaci s uloženými informacemi a dokumentací tak, aby byla zajištěna prokazatelnost jejich původu, dostupnost, integrita, časová autentičnost a důvěrnost v souladu s požadavky zákona a této vyhlášky,
4. účinné od 17. 8. 2006d) stanovil postupy pro uchovávání informací a dokumentace tak, aby uložené informace a dokumentaci byl schopen doložit v zákonné lhůtě po ukončení platnosti certifikátu, ke kterému se informace a dokumentace vztahují,
5. účinné od 17. 8. 2006e) stanovil odpovědnosti zaměstnanců, případně jiných fyzických osob, které zajišťují uchovávání informací a dokumentace, za dodržování postupů podle písmene c),
6. účinné od 17. 8. 2006f) stanovil, jakým způsobem bude naloženo s informacemi a dokumentací po uplynutí 10 let.

účinné od 17. 8. 2006(3) Pokud poskytovatel uchovává informace a dokumentaci podle § 6 odst. 5 a 6 zákona po uplynutí 10 let, prostřednictvím bezpečnostní dokumentace dokládá, že

1. účinné od 17. 8. 2006a) má stanovenu dobu, po kterou budou informace a dokumentace uchovávány,
2. účinné od 17. 8. 2006b) má stanoveny náležitosti uchovávání a manipulace s informacemi a dokumentací obdobně podle odstavce 2.