technická vyhláška o účetních záznamech

Příloha č. 1

účinné od 1. 1. 2010Formát elektronicky předávaných údajů

účinné od 1. 1. 2010Obecné zásady struktury a formát předávaných údajů

účinné od 1. 1. 2010Soubory účetních záznamů předávaných mezi vybranou účetní jednotkou a centrálním systémem účetních informací státu obsahují záhlaví souboru, která obsahuje základní identifikační údaje o souboru jako takovém, o vybrané účetní jednotce, a další nezbytně nutné identifikační údaje. Soubory dále obsahují vlastní obsah souboru, který se skládá z jednotlivých předávaných informací mezi vybranou účetní jednotkou a centrálním systémem účetních informací státu. Soubory jsou zakončeny zápatím, které stanoví jednoznačnou identifikaci celistvosti přenášeného účetního záznamu a další informace nutné pro zabezpečení souboru. Soubory jsou ve tvaru přenosových vět ve formátu XML. Soubor vždy musí být zakončen tak, aby .XML soubor na konci (jako poslední dva znaky) obsahoval CR LF, tj. 0x0D a 0x0A. Soubory XML musí být v kódování dle UTF-8.

účinné od 1. 1. 2010Základními částmi přenosové věty jsou:

1. účinné od 1. 1. 2010a) záhlaví, které stanoví nejméně nezaměnitelnou identifikaci účetního záznamu a další identifikační údaje o obsahu účetního záznamu a účetní jednotce, která jej vytvořila,
2. účinné od 1. 1. 2010b) obsah, který obsahuje zejména přenášenou informaci (záznam) a má různou strukturu podle typu souboru; v části obsah je vždy obsažen alespoň jeden záznam a
3. účinné od 1. 1. 2010c) zápatí, které stanoví nejméně nezaměnitelnou identifikaci pro zajištění celistvosti přenášeného účetního záznamu, pravidla pro část obsahující kontrolní a bezpečnostní údaje.

účinné od 1. 1. 2010Účetní záznamy předávané mezi vybranou účetní jednotkou a centrálním systémem účetních informací státu se navrhují tak, aby odpovídaly pravidlům pro standardizované datové prvky podle vyhlášky č. 469/2006 Sb., o informačním systému o datových prvcích.

Příloha č. 2

účinné od 1. 1. 2010Formáty účetních záznamů v technické formě a výstupní formáty snímacího zařízení pro převod účetních záznamů z listinné formy do technické formy

1. účinné od 1. 1. 20101. Formáty účetních záznamů v technické formě:
   1. účinné od 1. 1. 2010a. PDF (Portable Document Format) verze 1.3 a vyšší nebo PDF/A (Portable Dokument Format/Archive)
   2. účinné od 1. 1. 2010b. Tagged Image File Format (TIFF, revize 6 - nekomprimovaný)
   3. účinné od 1. 1. 2010c. XML

1. účinné od 1. 1. 20102. Parametry snímacího zařízení pro převod účetních záznamů z listinné formy do technické formy:
   1. účinné od 1. 1. 2010a. rozlišení snímání nejméně 300 x 300 dpi
   2. účinné od 1. 1. 2010b. barevná hloubka nejméně 24 bitů nebo 256 stupňů šedi, jde-li výlučně o černobílé převádění
   3. účinné od 1. 1. 2010c. velikost formátu snímací plochy nejméně A4

Příloha č. 3

účinné od 1. 1. 2010Termíny pro předávání konsolidačních účetních záznamů

Příloha č. 4

účinné od 1. 1. 2010Termíny pro předávání jiných účetních záznamů

Příloha č. 5

účinné od 1. 1. 2010Termíny pro předávání operativních účetních záznamů

Příloha č. 6

účinné od 1. 1. 2010Požadavky na proces zašifrování a dešifrování

1. účinné od 1. 1. 20101. Postup při zašifrování datových souborů za použití symetrického šifrovacího klíče

   účinné od 1. 1. 2010Všechny .XML soubory obsahující účetní záznamy zodpovědná osoba před předáním do centrálního systému účetních informací státu zašifruje.

   účinné od 1. 1. 2010Při zašifrování se postupuje následovně:

   1. účinné od 1. 1. 2010a) do každého jednotlivého .XML souboru je vložen (přidán na začátek) první řádek, který je tvořen ”náhodným řetězcem 1” s délkou 16 znaků,
   2. účinné od 1. 1. 2010b) na konec .XML datového souboru modifikovaného dle předchozího bodu, je vložen poslední řádek, který je tvořen ”náhodným řetězcem 2” s takovou délkou, aby celková délka zašifrovaného .XML souboru byla rovná násobku 16 byte.
   3. účinné od 1. 1. 2010c) datový .XML soubor se následně zašifruje algoritmem AES s délkou klíče 256 bitů, a to pomocí symetrického šifrovacího AES klíče dle § 17 odst. 2 písm. b) vyhlášky, mód (režim) šifrování Cipher Block Chaining (CBC), přičemž inicializačním vektorem je posloupnost 16-ti binárních číslic s hodnotou 0,
   4. účinné od 1. 1. 2010d) po zašifrování se datový .XML soubor převede do kódování Base64, změní se přípona na XM6 a v tomto tvaru je soubor připraven k odeslání do centrálního systému účetních informací státu.
2. účinné od 1. 1. 2010Poznámka: Detailní popis metody šifrování CBC je uveden na http://csrc.nist.gov/publications/nistpubs/800-38a/sp800-38a.pdf.

1. účinné od 1. 1. 20102. Postup při dešifrování datových souborů za použití symetrického šifrovacího klíče

   účinné od 1. 1. 2010Při dešifrování datových souborů za použití symetrického šifrovacího klíče .XML se soubory předané vybrané účetní jednotce z centrálního systému účetních informací státu po uskutečnění přenosu dešifrují.

   účinné od 1. 1. 2010Při dešifrování se postupuje následovně:

   1. účinné od 1. 1. 2010a) datový soubor s příponou .XM6 soubor se převede z kódování Base64, do binárního kódu,
   2. účinné od 1. 1. 2010b) převedený datový soubor se následně dešifruje algoritmem AES s délkou klíče 256 bitů, a to pomocí symetrického šifrovacího AES klíče podle § 17 odst. 2 písm. b) vyhlášky, mód (režim) šifrování Cipher Block Chaining (CBC), přičemž inicializačním vektorem je posloupnost 16-ti binárních číslic s hodnotou 0,
   3. účinné od 1. 1. 2010c) změní se přípona dešifrovaného souboru na .XML
   4. účinné od 1. 1. 2010d) ze souboru se odstraní (vymaže) první a poslední řádek – odstraní se náhodné řetězce 1 a 2.
2. účinné od 1. 1. 2010Poznámka: Detailní popis metody dešifrování CBC je uveden na http://csrc.nist.gov/publications/nistpubs/800-38a/sp800-38a.pdf.

Příloha č. 7

účinné od 1. 1. 2010Způsob tvorby osobních přístupových kódů a jejich předávání zodpovědným osobám a náhradním zodpovědným osobám

1. účinné od 1. 1. 20101. Statutární zástupce účetní jednotky nebo osoba jím určená zašle správci CSÚIS informace požadované po vybrané účetní jednotce stanovené v příloze číslo 14 prostřednictvím formuláře uveřejněného správcem CSÚIS.
2. účinné od 1. 1. 20102. Správce CSÚIS vygeneruje zajišťovací a identifikační soubory podle přílohy číslo 12 zodpovědným, případně náhradním zodpovědným osobám. Správce CSÚIS zašle prostřednictvím datových schránek zprávu účetní jednotce, v případě, že účetní jednotka nemá zřízenu datovou schránku, tak jiným způsobem. Zpráva obsahuje přístupové kódy (přihlašovací jméno a heslo) s omezenou časovou platností.
3. účinné od 1. 1. 20103. Účetní jednotka se pomocí těchto údajů přihlásí k CSÚIS a stáhne zajišťovací a identifikační soubory.
4. účinné od 1. 1. 20104. Účetní jednotka potvrdí převzetí pomocí formuláře dle přílohy 10 – Vzor formuláře o potvrzení o přijetí zajišťovacích a identifikačních souborů a prostřednictvím datových schránek nebo jiným způsobem popsaným v technickém manuálu odešle vyplněný formulář správci CSÚIS.
5. účinné od 1. 1. 20105. Správce CSÚIS zašle každé zodpovědné osobě, případně náhradní zodpovědné osobě, dané účetní jednotky, od které obdržel potvrzení dle přílohy číslo 10 listovní zásilku v chráněné obálce, která obsahuje formulář s vyplněnými údaji dle přílohy číslo 11.
6. účinné od 1. 1. 20106. Zodpovědná osoba, případně náhradní zodpovědná osoba „odemkne“ předepsaným způsobem pomocí zaslaných „odemykacích hesel“ šifrovací klíče+logovací jména a hesla a prostřednictvím svého programového vybavení vygeneruje jejich kontrolní součty (před i po „odemčení“). Kontrolní součty při odemčení klíčů zodpovědná osoba, případně náhradní odpovědná osoba předá účetní jednotce, která zašle příslušný formulář správci CSÚIS prostřednictvím datové schránky nebo jiným způsobem popsaným v technickém manuálu.
7. účinné od 1. 1. 20107. Správce CSÚIS aktivuje přístupy zodpovědné osobě dané účetní jednotky, která zaslala potvrzení dle předchozího bodu se správnými kontrolními součty a zašle prostřednictvím datových schránek nebo jiným způsobem popsaným v technickém manuálu účetní jednotce oznámení o aktivaci přístupu pro zodpovědnou osobu, případně náhradní zodpovědnou osobu.
8. účinné od 1. 1. 20108. Obdobným způsobem se postupuje i při žádosti účetní jednotky o změnu v zodpovědné či náhradní zodpovědné osobě.

Příloha č. 8

účinné od 1. 1. 2010Požadavky na vstupní osobní hesla

Příloha č. 9

účinné od 1. 1. 2010Požadavky na stupeň a metodu šifrování

Příloha č. 10

účinné od 1. 1. 2010

Příloha č. 11

účinné od 1. 1. 2010

Příloha č. 12

účinné od 1. 1. 2010Postup při generování osobních přístupových kódů

1. účinné od 1. 1. 20101) Vymezení pojmů
   1. účinné od 1. 1. 2010a) binární číslicí se dále rozumí jeden osmibitový byte, tj. celé číslo v rozsahu intervalu <0-255> dekadicky,
   2. účinné od 1. 1. 2010b) řetězcem znaků se dále rozumí posloupnost binárních číslic v intervalu <32-127> dekadicky, které reprezentují znaky v kódování ASCII (dále jen ”znaky”). Posloupnost je zakončena znaky [CR] [LF] dle tabulky ASCII, tj. hodnotami 13 dekadicky a 10 dekadicky (dále jen ”ukončení řetězce”),
   3. účinné od 1. 1. 2010c) „náhodný řetězec“ se dále rozumí řetězec znaků, kde jednotlivé znaky jsou vytvořeny náhodně pomocí generátoru pseuodonáhodných čísel. Metoda generování náhodných čísel je popsána v http://csrc.nist.gov/, sekce ”Random number generation”,
   4. účinné od 1. 1. 2010d) délkou řetězce znaků se rozumí celkový počet znaků, ze kterých je řetězec znaků složen, přičemž ukončení řetězce není do údaje délka započítáno.

1. účinné od 1. 1. 20102) Zodpovědná osoba pomocí přístupového dekódovacího kódu podle § 17 odst. 2 písm. a) dekóduje níže popsaným postupem osobní přístupové kódy podle § 17 odst. 2 písm. b) až d).
2. účinné od 1. 1. 20103) Přístupový dekódovací kód podle § 17 odst. 2 písm. a) je přímo dešifrovacím klíčem algoritmu AES s délkou šifry 256 bitů, mód (režim) šifrování Electronic Codebook (ECB), přičemž znaky reprezentují dešifrovací klíč vyjádřený v hexadecimálním tvaru. Dešifrovací klíč se aplikuje na všechny zajišťovací a identifikační soubory zaslané na datovém médiu, které jsou uloženy v zašifrovaném tvaru.

   účinné od 1. 1. 2010Detailní popis metody šifrování ECB je uveden na

   účinné od 1. 1. 2010http://csrc.nist.gov/publications/nistpubs/800-38a/sp800-38a.pdf.

1. účinné od 1. 1. 20104) Pomocí zaslaného přístupového dekódovacího kódu podle § 17 odst. 2 písm. a) se dešifrují následující datové soubory:

   účinné od 1. 1. 2010Název souboru: AESKEY_C.TXT

   účinné od 1. 1. 2010Název souboru: LOGIN_C.TXT

   účinné od 1. 1. 2010Název souboru: PASSWD_C.TXT

1. účinné od 1. 1. 20105) Detailní struktura a metoda dešifrování výše uvedených souborů:

   účinné od 1. 1. 2010Soubor: AESKEY_C.TXT

   účinné od 1. 1. 2010Obsahem souboru je jeden znakový řetězec v kódování Base64, který není zakončen žádným dalším znakem.

   účinné od 1. 1. 2010Postup při dekódování souboru:

   1. účinné od 1. 1. 2010a) obsah souboru se převede z kódování Base64 do binárního tvaru. Výsledkem převodu je posloupnost 32 binárních číslic (tj. celková délka datového bloku po převodu činí 256 bitů),
   2. účinné od 1. 1. 2010b) na výše uvedenou posloupnost 32 binárních číslic se aplikuje dešifrovací algoritmus AES dle bodu 3), přičemž jako dešifrovací 256 bitový klíč se použije přístupový dekódovací kód podle § 17 odst. 2 písm. a),
   3. účinné od 1. 1. 2010c) výsledkem výpočtu dle předcházejícího bodu je posloupnost 32 8 bitových číslic, která je přímo 256 bitovým šifrovacím a dešifrovacím klíčem algoritmu AES dle § 17 odst. 2 písm. b).

   účinné od 1. 1. 2010Soubor: LOGIN_C.TXT

   1. účinné od 1. 1. 2010a) obsah souboru se převede z kódování Base64 do binárního tvaru. Výsledkem převodu je posloupnost 16-ti binárních číslic (tj. celková délka datového bloku po převodu činí 128 bitů),
   2. účinné od 1. 1. 2010b) na výše uvedenou posloupnost 16-ti binárních číslic se aplikuje dešifrovací algoritmus AES dle bodu 3), přičemž jako dešifrovací 256 bitový klíč se použije přístupový dekódovací kód podle § 17 odst. 2 písm. a),
   3. účinné od 1. 1. 2010c) výsledkem výpočtu dle předcházejícího bodu je řetězec znaků, který vybraná účetní jednotka použije jako přihlašovací jméno pro přihlášení ke komunikačnímu serveru centrálního systému účetních informací státu. Znaky následující za ukončením řetězce se ignorují.

   účinné od 1. 1. 2010Soubor: PASSWD_C.TXT

   1. účinné od 1. 1. 2010a) obsah souboru se převede z kódování Base64 do binárního tvaru. Výsledkem převodu je posloupnost 16-ti binárních číslic (tj. celková délka datového bloku po převodu činí 128 bitů),
   2. účinné od 1. 1. 2010b) na výše uvedenou posloupnost 16-ti binárních číslic se aplikuje dešifrovací algoritmus AES dle bodu 3), přičemž jako dešifrovací 256 bitový klíč se použije přístupový dekódovací kód podle § 17 odst. 2 písm. a),
   3. účinné od 1. 1. 2010c) výsledkem výpočtu dle předcházejícího bodu je řetězec znaků, který vybraná účetní jednotka použije jako přihlašovací jméno pro přihlášení ke komunikačnímu serveru centrálního systému účetních informací státu. Znaky následující za ukončením řetězce se ignorují.

Příloha č. 13

účinné od 1. 1. 2010Postup při vytvoření potvrzovacího kontrolního součtu

účinné od 1. 1. 2010Po ukončení procesu dešifrování souborů dle této tabulky se sestaví zpráva složená ze souborů UJEID.TXT, DATNAR.TXT, JMEZO.TXT, PRIZO.TXT, zaslaných podle § 19 odst. 1, ke kterým se připojí osobní přístupové kódy podle § 17 odst. 2 písm. b) až d) v otevřeném tvaru (ve výše uvedeném pořadí souborů a kódů), obsah souborů i osobních přístupových kódů se interpretuje jako binární číslice, obsah zprávy se doplní znaky 0x00 na celistvý násobek 512 bitů a ze zprávy se vypočte pomocí algoritmu SHA256 kontrolní hash (kontrolní kód).

účinné od 1. 1. 2010Kontrolní kód se převede do hexadecimálního tvaru (tj. do tvaru řetězce s celkovou délkou 64 hexadecimálních znaků), který zodpovědná osoba zašle centrálnímu systému účetních informací státu s použitím vzoru formuláře dle přílohy 10) (kontrolní kód se uvede v řádce „doplňující údaje“).

Příloha č. 14

účinné od 1. 1. 2010