Vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností

§ 3

účinné od 1. 11. 2025Systém řízení bezpečnosti informací

účinné od 1. 11. 2025Povinná osoba v rámci systému řízení bezpečnosti informací

1. účinné od 1. 11. 2025a) stanoví cíle systému řízení bezpečnosti informací směřující k zajištění kybernetické bezpečnosti regulované služby,
2. účinné od 1. 11. 2025b) řídí rizika podle § 8,
3. účinné od 1. 11. 2025c) zavede a provádí přiměřená bezpečnostní opatření směřující k zajištění kybernetické bezpečnosti regulované služby na základě cílů systému řízení bezpečnosti informací, bezpečnostních potřeb a řízení rizik,
4. účinné od 1. 11. 2025d) stanoví bezpečnostní politiku a bezpečnostní dokumentaci ve vztahu k řízení kybernetické bezpečnosti, která obsahuje hlavní zásady, cíle systému řízení bezpečnosti informací, bezpečnostní potřeby, práva a povinnosti ve vztahu k řízení bezpečnosti informací, a na základě bezpečnostních potřeb a výsledků hodnocení rizik stanoví bezpečnostní politiku a bezpečnostní dokumentaci v dalších oblastech podle § 6,
5. účinné od 1. 11. 2025e) zajistí provedení auditu kybernetické bezpečnosti podle § 16,
6. účinné od 1. 11. 2025f) zajistí alespoň jednou ročně vyhodnocení účinnosti systému řízení bezpečnosti informací, které obsahuje
   1. účinné od 1. 11. 20251. vyhodnocení cílů systému řízení bezpečnosti informací směřujících k zajištění kybernetické bezpečnosti regulované služby,
   2. účinné od 1. 11. 20252. posouzení naplňování plánu zvládání rizik zpracovaného podle § 8 odst. 1 písm. g),
   3. účinné od 1. 11. 20253. hodnocení stavu systému řízení bezpečnosti informací včetně revize hodnocení rizik,
   4. účinné od 1. 11. 20254. posouzení výsledků provedených auditů kybernetické bezpečnosti a kontrol v oblasti kybernetické bezpečnosti,
   5. účinné od 1. 11. 20255. výsledky předchozího hodnocení účinnosti systému řízení bezpečnosti informací provedených podle tohoto písmene,
   6. účinné od 1. 11. 20256. posouzení dopadů kybernetických bezpečnostních incidentů na oblast kybernetické bezpečnosti a na poskytované služby podle § 15 a
   7. účinné od 1. 11. 20257. posouzení významných změn podle § 11,

1. účinné od 1. 11. 2025g) zpracuje zprávu o přezkoumání systému řízení bezpečnosti informací na základě vyhodnocení účinnosti systému řízení bezpečnosti informací podle písmene f),
2. účinné od 1. 11. 2025h) aktualizuje systém řízení bezpečnosti informací a relevantní dokumentaci na základě
   1. účinné od 1. 11. 20251. zjištění z auditů kybernetické bezpečnosti a kontrol v oblasti kybernetické bezpečnosti,
   2. účinné od 1. 11. 20252. výsledků vyhodnocení účinnosti systému řízení bezpečnosti informací,
   3. účinné od 1. 11. 20253. dopadů kybernetických bezpečnostních incidentů na poskytované služby a
   4. účinné od 1. 11. 20254. prováděných významných změn,

1. účinné od 1. 11. 2025i) řídí provoz a zdroje systému řízení bezpečnosti informací a zaznamenává činnosti spojené se systémem řízení bezpečnosti informací a řízením rizik a
2. účinné od 1. 11. 2025j) stanoví proces řízení výjimek z pravidel stanovených v bezpečnostní politice podle písmene d).

§ 4

účinné od 1. 11. 2025Požadavky na vrcholné vedení

účinné od 1. 11. 2025(1) Statutární orgán povinné osoby nebo jiná osoba anebo skupina osob v obdobném řídícím postavení u povinné osoby (dále jen „vrcholné vedení“) s ohledem na systém řízení bezpečnosti informací

1. účinné od 1. 11. 2025a) prokazatelně absolvuje školení podle § 10 odst. 3 písm. a),
2. účinné od 1. 11. 2025b) zajistí stanovení bezpečnostní politiky a cílů systému řízení bezpečnosti informací podle § 3, slučitelných se strategickým směřováním povinné osoby,
3. účinné od 1. 11. 2025c) zajistí integraci systému řízení bezpečnosti informací do procesů povinné osoby,
4. účinné od 1. 11. 2025d) zajistí dostupnost zdrojů potřebných pro systém řízení bezpečnosti informací,
5. účinné od 1. 11. 2025e) informuje zaměstnance a všechny dotčené osoby o významu systému řízení bezpečnosti informací a významu dosažení shody s jeho požadavky,
6. účinné od 1. 11. 2025f) zajistí podporu k dosažení cílů systému řízení bezpečnosti informací,
7. účinné od 1. 11. 2025g) vede a podporuje zaměstnance k rozvíjení efektivity systému řízení bezpečnosti informací,
8. účinné od 1. 11. 2025h) se podílí na vypracování analýzy dopadů podle § 15,
9. účinné od 1. 11. 2025i) zajistí testování plánů kontinuity činností, plánů obnovy a procesů spojených se zvládáním kybernetických bezpečnostních incidentů,
10. účinné od 1. 11. 2025j) prosazuje neustálé zlepšování systému řízení bezpečnosti informací,
11. účinné od 1. 11. 2025k) podporuje osoby zastávající bezpečnostní role při prosazování kybernetické bezpečnosti v oblastech jejich odpovědnosti,
12. účinné od 1. 11. 2025l) zajistí stanovení pravidel pro určení administrátorů a osob, které budou zastávat bezpečnostní role,
13. účinné od 1. 11. 2025m) zajistí, aby byla zachována mlčenlivost všech relevantních osob zejména administrátorů, osob zastávajících bezpečnostní role a dodavatelů, a
14. účinné od 1. 11. 2025n) zajistí pro osoby zastávající bezpečnostní role pravomoci potřebné pro naplňování jejich rolí a zdroje, včetně rozpočtových prostředků k naplňování jejich rolí a plnění souvisejících úkolů.

účinné od 1. 11. 2025(2) Vrcholné vedení se prokazatelně seznamuje

1. účinné od 1. 11. 2025a) se zprávou o přezkoumání systému řízení bezpečnosti informací,
2. účinné od 1. 11. 2025b) se zprávou o hodnocení rizik,
3. účinné od 1. 11. 2025c) s plánem zvládání rizik,
4. účinné od 1. 11. 2025d) s výsledky analýzy dopadů a
5. účinné od 1. 11. 2025e) s výsledky auditů kybernetické bezpečnosti a kontrol v oblasti kybernetické bezpečnosti.

účinné od 1. 11. 2025(3) Vrcholné vedení zřídí výbor pro řízení kybernetické bezpečnosti a určí jeho členy, přičemž

1. účinné od 1. 11. 2025a) zajistí, že členem výboru pro řízení kybernetické bezpečnosti bude alespoň 1 člen vrcholného vedení nebo jím pověřená osoba a manažer kybernetické bezpečnosti,
2. účinné od 1. 11. 2025b) určí práva a povinnosti výboru pro řízení kybernetické bezpečnosti a jeho členů, související se systémem řízení bezpečnosti informací,
3. účinné od 1. 11. 2025c) zajistí konání pravidelných jednání výboru pro řízení kybernetické bezpečnosti alespoň jednou ročně,
4. účinné od 1. 11. 2025d) zajistí vyhotovení záznamu o průběhu jednání výboru pro řízení kybernetické bezpečnosti a
5. účinné od 1. 11. 2025e) zajistí, že výbor pro řízení kybernetické bezpečnosti je složen z osob s pravomocemi a odbornou způsobilostí pro celkové řízení a rozvoj systému řízení bezpečnosti informací a osob významně se podílejících na řízení a koordinaci činností spojených s kybernetickou bezpečností.

účinné od 1. 11. 2025(4) Vrcholné vedení určí osoby, včetně vymezení jejich práv a povinností souvisejících se systémem řízení bezpečnosti informací, které budou zastávat bezpečnostní role

1. účinné od 1. 11. 2025a) manažera kybernetické bezpečnosti,
2. účinné od 1. 11. 2025b) architekta kybernetické bezpečnosti,
3. účinné od 1. 11. 2025c) garanta aktiva a
4. účinné od 1. 11. 2025d) auditora kybernetické bezpečnosti.

účinné od 1. 11. 2025(5) Vrcholné vedení zajistí zastupitelnost bezpečnostních rolí uvedených v odstavci 4 písm. a) a b).

§ 5

účinné od 1. 11. 2025Stanovení bezpečnostních rolí

účinné od 1. 11. 2025(1) Manažer kybernetické bezpečnosti

1. účinné od 1. 11. 2025a) je pověřen řízením systému řízení bezpečnosti informací, přičemž výkonem této role může být pověřena osoba, která je pro tuto činnost vyškolena a prokáže odbornou způsobilost praxí s řízením kybernetické bezpečnosti nebo s řízením bezpečnosti informací po dobu alespoň 3 let,
2. účinné od 1. 11. 2025b) odpovídá za pravidelné informování vrcholného vedení o
   1. účinné od 1. 11. 20251. činnostech vyplývajících z rozsahu jeho odpovědnosti a
   2. účinné od 1. 11. 20252. stavu systému řízení bezpečnosti informací,

1. účinné od 1. 11. 2025c) nesmí být pověřen výkonem rolí odpovědných za provoz technických aktiv regulované služby.

účinné od 1. 11. 2025(2) Architekt kybernetické bezpečnosti je pověřen k zajištění návrhu implementace bezpečnostních opatření tak, aby byla zajištěna bezpečná architektura regulované služby, přičemž výkonem této role může být pověřena osoba, která je pro tuto činnost vyškolena a prokáže odbornou způsobilost praxí s navrhováním implementace bezpečnostních opatření a zajišťováním bezpečné architektury v délce alespoň 3 let.

účinné od 1. 11. 2025(3) Garant aktiva je pověřen k zajištění rozvoje, použití a bezpečnost aktiva.

účinné od 1. 11. 2025(4) Auditor kybernetické bezpečnosti

1. účinné od 1. 11. 2025a) je pověřen prováděním auditu kybernetické bezpečnosti, přičemž výkonem této role může být pověřena osoba, která je pro tuto činnost vyškolena a prokáže odbornou způsobilost praxí s prováděním auditů kybernetické bezpečnosti nebo auditů systému řízení bezpečnosti informací v délce alespoň 3 let,
2. účinné od 1. 11. 2025b) zaručuje, že provedení auditu kybernetické bezpečnosti je nestranné, a
3. účinné od 1. 11. 2025c) nesmí být pověřen výkonem jiných bezpečnostních rolí.

§ 6

účinné od 1. 11. 2025Řízení bezpečnostní politiky a bezpečnostní dokumentace

účinné od 1. 11. 2025(1) Povinná osoba stanoví bezpečnostní politiku ve vztahu k řízení kybernetické bezpečnosti a vede bezpečnostní politiku a bezpečnostní dokumentaci k relevantním bezpečnostním opatřením uvedeným v § 3 až 27.

účinné od 1. 11. 2025(2) Povinná osoba dodržuje pravidla a postupy stanovené v bezpečnostní politice a bezpečnostní dokumentaci podle odstavce 1.

účinné od 1. 11. 2025(3) Povinná osoba pravidelně přezkoumává bezpečnostní politiku a bezpečnostní dokumentaci, zajišťuje jejich aktuálnost a jejich relevantní oblasti zahrnuje do provozní dokumentace, pravidel a postupů.

účinné od 1. 11. 2025(4) Povinná osoba určí osobu odpovědnou za pravidelný přezkum a aktualizaci bezpečnostní politiky a bezpečnostní dokumentace podle odstavce 3.

účinné od 1. 11. 2025(5) Bezpečnostní politika a bezpečnostní dokumentace musí být řízeny tak, aby byly

1. účinné od 1. 11. 2025a) dostupné v elektronické nebo listinné podobě,
2. účinné od 1. 11. 2025b) dotčené osoby v rámci povinné osoby informovány o právech, povinnostech a postupech v nich obsažených,
3. účinné od 1. 11. 2025c) přiměřeně dostupné dotčeným osobám,
4. účinné od 1. 11. 2025d) chráněny z pohledu důvěrnosti, integrity a dostupnosti a
5. účinné od 1. 11. 2025e) informace v nich obsažené úplné, čitelné, snadno identifikovatelné a vyhledatelné.

§ 7

účinné od 1. 11. 2025Řízení aktiv

účinné od 1. 11. 2025Povinná osoba v návaznosti na stanovení rozsahu řízení kybernetické bezpečnosti podle § 12 zákona

1. účinné od 1. 11. 2025a) stanoví metodiku pro určování aktiv,
2. účinné od 1. 11. 2025b) stanoví metodiku pro hodnocení aktiv včetně stanovení úrovní aktiv, alespoň v rozsahu uvedeném v příloze č. 1 k této vyhlášce,
3. účinné od 1. 11. 2025c) eviduje garanty aktiv podle § 4 odst. 4 písm. c),
4. účinné od 1. 11. 2025d) hodnotí primární aktiva z hlediska důvěrnosti, integrity a dostupnosti a zařadí je do jednotlivých úrovní podle písmene b),
5. účinné od 1. 11. 2025e) posuzuje při hodnocení primárních aktiv alespoň oblasti uvedené v příloze č. 1 k této vyhlášce,
6. účinné od 1. 11. 2025f) určuje a eviduje vazby mezi aktivy, která mají vliv na bezpečnost regulované služby,
7. účinné od 1. 11. 2025g) hodnotí podpůrná aktiva a vychází přitom zejména z určených vazeb na primární aktiva a
8. účinné od 1. 11. 2025h) pro jednotlivé úrovně aktiv podle písmene b) stanovuje a zavádí pravidla ochrany nutná pro zabezpečení jejich důvěrnosti, integrity a dostupnosti, která obsahují alespoň
   1. účinné od 1. 11. 20251. přípustné způsoby používání aktiv,
   2. účinné od 1. 11. 20252. pravidla pro manipulaci s aktivy, včetně pravidel pro bezpečné elektronické sdílení a fyzické přenášení aktiv,
   3. účinné od 1. 11. 20253. pravidla pro klasifikaci informací,
   4. účinné od 1. 11. 20254. pravidla pro označování aktiv,
   5. účinné od 1. 11. 20255. pravidla správy výměnných médií a
   6. účinné od 1. 11. 20256. pravidla pro určení způsobu likvidace informací a dat a jejich kopií a likvidace technických aktiv, která jsou nosiči informací a dat s ohledem na úroveň aktiv v souladu s přílohou č. 2 k této vyhlášce.

§ 8

účinné od 1. 11. 2025Řízení rizik

účinné od 1. 11. 2025(1) Povinná osoba při řízení rizik v návaznosti na § 7

1. účinné od 1. 11. 2025a) stanoví metodiku pro určování a hodnocení rizik, včetně stanovení kritérií pro akceptovatelnost rizik,
2. účinné od 1. 11. 2025b) při určování rizik s ohledem na aktiva určuje relevantní hrozby a zranitelnosti; přitom zvažuje alespoň kategorie hrozeb a zranitelností uvedených v příloze č. 3 k této vyhlášce,
3. účinné od 1. 11. 2025c) provádí hodnocení rizik v pravidelných intervalech alespoň jednou ročně a při významných změnách určených podle § 11 odst. 1 písm. c), při kterém zohlední
   1. účinné od 1. 11. 20251. relevantní hrozby a zranitelnosti podle písmene b) a posoudí možné dopady na aktiva, přičemž vychází z hodnocení aktiv podle § 7,
   2. účinné od 1. 11. 20252. významné změny,
   3. účinné od 1. 11. 20253. změny stanoveného rozsahu podle § 12 zákona,
   4. účinné od 1. 11. 20254. protiopatření podle § 20 zákona,
   5. účinné od 1. 11. 20255. kybernetické bezpečnostní incidenty, včetně dříve řešených,
   6. účinné od 1. 11. 20256. výsledky auditů kybernetické bezpečnosti a kontrol v oblasti kybernetické bezpečnosti,
   7. účinné od 1. 11. 20257. výsledky penetračního testování a skenování zranitelností a
   8. účinné od 1. 11. 20258. výsledky vyhodnocení účinnosti systému řízení bezpečnosti informací,

1. účinné od 1. 11. 2025d) při hodnocení rizik postupuje alespoň v rozsahu přílohy č. 4 k této vyhlášce,
2. účinné od 1. 11. 2025e) na základě provedeného hodnocení rizik podle písmene c) zpracuje zprávu o hodnocení rizik,
3. účinné od 1. 11. 2025f) zpracuje na základě bezpečnostních potřeb a výsledků hodnocení rizik prohlášení o aplikovatelnosti, které obsahuje přehled všech bezpečnostních opatření požadovaných touto vyhláškou, která
   1. účinné od 1. 11. 20251. nebyla aplikována, včetně odůvodnění a uvedení případných přijatých náhradních bezpečnostních opatření, a
   2. účinné od 1. 11. 20252. byla aplikována, včetně způsobu plnění,

1. účinné od 1. 11. 2025g) na základě provedeného hodnocení rizik podle písmene c) a v souladu se stanovenými kritérii pro akceptovatelnost rizik zpracuje plán zvládání rizik, který obsahuje
   1. účinné od 1. 11. 20251. popis bezpečnostních opatření pro zvládání rizik,
   2. účinné od 1. 11. 20252. cíle a přínosy bezpečnostních opatření pro zvládání rizik,
   3. účinné od 1. 11. 20253. určení osoby zajišťující zavedení bezpečnostních opatření pro zvládání rizik,
   4. účinné od 1. 11. 20254. předpokládané lidské, finanční a technické zdroje pro zavedení bezpečnostních opatření,
   5. účinné od 1. 11. 20255. požadovaný termín zavedení bezpečnostních opatření,
   6. účinné od 1. 11. 20256. popis vazeb mezi riziky a příslušnými bezpečnostními opatřeními a
   7. účinné od 1. 11. 20257. konkrétní způsob realizace bezpečnostních opatření.

účinné od 1. 11. 2025(2) Povinná osoba v souladu s plánem zvládání rizik zavádí bezpečnostní opatření.

účinné od 1. 11. 2025(3) Hodnocení rizik může být zajištěno i jinými způsoby, než jak je stanoveno v odstavci 1 písm. c), pokud povinná osoba zajistí stejnou nebo vyšší úroveň procesu hodnocení rizik a postupuje v souladu s odstavcem 5 přílohy č. 4 k této vyhlášce.

účinné od 1. 11. 2025(4) Povinná osoba nemusí uplatňovat některá bezpečnostní opatření stanovená touto vyhláškou pouze na základě provedeného řízení rizik.

§ 9

účinné od 1. 11. 2025Řízení dodavatelů

účinné od 1. 11. 2025(1) Povinná osoba při řízení dodavatelů

1. účinné od 1. 11. 2025a) stanoví pravidla pro dodavatele, která zohledňují požadavky systému řízení bezpečnosti informací,
2. účinné od 1. 11. 2025b) prokazatelně seznamuje své dodavatele s pravidly podle písmene a) a vyžaduje plnění těchto pravidel,
3. účinné od 1. 11. 2025c) řídí rizika spojená s dodavateli,
4. účinné od 1. 11. 2025d) identifikuje a eviduje své významné dodavatele ve smyslu § 2 písm. h),
5. účinné od 1. 11. 2025e) prokazatelně písemně informuje své významné dodavatele o jejich evidenci podle písmene d),
6. účinné od 1. 11. 2025f) zajistí v souvislosti s řízením rizik spojených s významnými dodavateli, aby smlouvy uzavírané s významnými dodavateli obsahovaly relevantní ustanovení uvedená v příloze č. 5 k této vyhlášce, a
7. účinné od 1. 11. 2025g) pravidelně přezkoumává plnění smluv s významnými dodavateli z hlediska systému řízení bezpečnosti informací.

účinné od 1. 11. 2025(2) Povinná osoba u významných dodavatelů dále

1. účinné od 1. 11. 2025a) provádí v rámci výběrového řízení podle zákona o zadávání veřejných zakázek²) nebo před uzavřením smlouvy hodnocení rizik souvisejících s plněním podle přílohy č. 4 k této vyhlášce,
2. účinné od 1. 11. 2025b) stanoví v rámci uzavíraných smluvních vztahů způsoby a úrovně realizace bezpečnostních opatření a smluvně určí obsah vzájemné odpovědnosti za zavedení a kontrolu bezpečnostních opatření,
3. účinné od 1. 11. 2025c) provádí pravidelné hodnocení rizik a pravidelnou kontrolu zavedených bezpečnostních opatření u poskytovaných plnění pomocí vlastních zdrojů nebo pomocí třetí strany a
4. účinné od 1. 11. 2025d) zajistí v reakci na rizika a zjištěné nedostatky jejich řešení, která budou přijata bez zbytečného odkladu.

účinné od 1. 11. 2025(3) Náležitosti prokazatelného informování podle odstavce 1 písm. e) jsou

1. účinné od 1. 11. 2025a) identifikační údaje povinné osoby, včetně uvedení, že povinná osoba je poskytovatelem regulované služby v režimu vyšších povinností,
2. účinné od 1. 11. 2025b) název regulované služby povinné osoby,
3. účinné od 1. 11. 2025c) identifikační údaje významného dodavatele a
4. účinné od 1. 11. 2025d) prohlášení, že dodavatel je pro povinnou osobu významným dodavatelem.

§ 10

účinné od 1. 11. 2025Bezpečnost lidských zdrojů

účinné od 1. 11. 2025(1) Povinná osoba v rámci bezpečnosti lidských zdrojů s ohledem na stav a potřeby systému řízení bezpečnosti informací stanoví plán rozvoje bezpečnostního povědomí, jehož cílem je zajistit odpovídající vzdělávání a zlepšování bezpečnostního povědomí včetně formy, obsahu a rozsahu poučení a školení podle odstavce 2.

účinné od 1. 11. 2025(2) Povinná osoba zahrne do plánu rozvoje bezpečnostního povědomí

1. účinné od 1. 11. 2025a) poučení vrcholného vedení o jeho povinnostech a bezpečnostní politice, zejména v oblastech systému řízení bezpečnosti informací a řízení rizik,
2. účinné od 1. 11. 2025b) poučení uživatelů, administrátorů a osob zastávajících bezpečnostní role o jejich povinnostech a o bezpečnostní politice,
3. účinné od 1. 11. 2025c) potřebná teoretická i praktická školení uživatelů, administrátorů a osob zastávajících bezpečnostní role,
4. účinné od 1. 11. 2025d) pravidla tvorby bezpečných hesel v souladu s § 19 a
5. účinné od 1. 11. 2025e) relevantní témata uvedená v příloze č. 6 k této vyhlášce.

účinné od 1. 11. 2025(3) Povinná osoba v rámci bezpečnostního povědomí zajistí

1. účinné od 1. 11. 2025a) poučení vrcholného vedení o jeho povinnostech, o bezpečnostní politice zejména v oblasti systému řízení bezpečnosti informací, řízení rizik a řízení kontinuity činností formou vstupních a pravidelných školení k získání znalostí a dovedností vedoucích k určování rizik a posouzení vhodnosti zvolených postupů při řízení rizik a jejich dopadů na regulovanou službu,
2. účinné od 1. 11. 2025b) poučení uživatelů, administrátorů a osob zastávajících bezpečnostní role o jejich povinnostech a o bezpečnostní politice formou vstupních a pravidelných školení,
3. účinné od 1. 11. 2025c) pravidelná odborná školení osobám zastávajícím bezpečnostní role, přičemž vychází z aktuálních potřeb povinné osoby v oblasti kybernetické bezpečnosti, a
4. účinné od 1. 11. 2025d) pravidelná školení a ověřování bezpečnostního povědomí zaměstnanců v souladu s jejich pracovní náplní nebo služebním zařazením.

účinné od 1. 11. 2025(4) Povinná osoba v rámci bezpečnosti lidských zdrojů

1. účinné od 1. 11. 2025a) určí osoby odpovědné za realizaci jednotlivých činností, které jsou v plánu rozvoje bezpečnostního povědomí uvedeny,
2. účinné od 1. 11. 2025b) zajistí v souladu s plánem rozvoje bezpečnostního povědomí provedení poučení a školení podle odstavce 3,
3. účinné od 1. 11. 2025c) pravidelně hodnotí účinnost plánu rozvoje bezpečnostního povědomí, provedených poučení, školení a dalších činností spojených se zlepšováním bezpečnostního povědomí,
4. účinné od 1. 11. 2025d) zajistí kontrolu dodržování bezpečnostní politiky ze strany uživatelů, administrátorů a osob zastávajících bezpečnostní role,
5. účinné od 1. 11. 2025e) určí pravidla a postupy pro řešení případů porušení stanovených bezpečnostních pravidel ze strany uživatelů, administrátorů a osob zastávajících bezpečnostní role a
6. účinné od 1. 11. 2025f) zajistí plynulost výkonu činností v případě ukončení nebo změny smluvního vztahu s administrátory a osobami zastávajícími bezpečnostní role.

účinné od 1. 11. 2025(5) Povinná osoba vede o poučení a školení podle odstavce 3 přehledy, které obsahují předmět poučení a školení včetně seznamu osob, které poučení a školení absolvovaly.

§ 11

účinné od 1. 11. 2025Řízení změn

účinné od 1. 11. 2025(1) Povinná osoba při řízení změn u aktiv

1. účinné od 1. 11. 2025a) stanoví pravidla, postupy a kritéria pro určení významných změn,
2. účinné od 1. 11. 2025b) určí změny, které mají nebo mohou mít vliv na kybernetickou bezpečnost,
3. účinné od 1. 11. 2025c) určuje u změn určených podle písmene b) významné změny v souladu se stanovenými pravidly, postupy a kritérii pro určení významných změn podle písmene a).

účinné od 1. 11. 2025(2) Povinná osoba u významných změn

1. účinné od 1. 11. 2025a) dokumentuje jejich řízení,
2. účinné od 1. 11. 2025b) řídí rizika spojená s významnými změnami,
3. účinné od 1. 11. 2025c) přijímá bezpečnostní opatření za účelem snížení všech nepříznivých dopadů spojených s významnými změnami,
4. účinné od 1. 11. 2025d) aktualizuje bezpečnostní a provozní dokumentaci,
5. účinné od 1. 11. 2025e) zajistí jejich testování před uvedením do provozu a
6. účinné od 1. 11. 2025f) zajistí možnost navrácení do původního stavu.

účinné od 1. 11. 2025(3) Povinná osoba na základě výsledků řízení rizik podle odstavce 2 písm. b) rozhoduje o provedení penetračního testování; pokud rozhodne o provedení penetračního testování, postupuje podle § 24 odst. 5.

§ 12

účinné od 1. 11. 2025Akvizice, vývoj a údržba

účinné od 1. 11. 2025(1) Povinná osoba v souvislosti s plánovanou akvizicí, vývojem a údržbou aktiv

1. účinné od 1. 11. 2025a) řídí rizika,
2. účinné od 1. 11. 2025b) řídí významné změny podle § 11,
3. účinné od 1. 11. 2025c) stanoví bezpečnostní požadavky, které zohlední i relevantní bezpečnostní opatření stanovená touto vyhláškou,
4. účinné od 1. 11. 2025d) zahrne bezpečnostní požadavky stanovené podle písmene c) do plánované akvizice, vývoje a údržby a
5. účinné od 1. 11. 2025e) zajistí oddělení provozního, zálohovacího, vývojového, testovacího, administrátorského a jiného specifického prostředí, a zajistí ochranu informací a dat, které se v něm vyskytují.

účinné od 1. 11. 2025(2) Povinná osoba zajistí při provedení akvizice nebo vývoje technického aktiva

1. účinné od 1. 11. 2025a) využívajícího autentizační mechanismus, zejména za účelem ověření identity uživatelů nebo administrátorů, plnění požadavků podle § 19 odst. 2,
2. účinné od 1. 11. 2025b) využívajícího kryptografické algoritmy, plnění požadavku podle § 25 odst. 1 písm. a) a § 25 odst. 3 písm. a) a
3. účinné od 1. 11. 2025c) dostupnost bezpečnostních aktualizací po dobu jeho životního cyklu.

§ 13

účinné od 1. 11. 2025Řízení přístupu

účinné od 1. 11. 2025(1) Povinná osoba na základě bezpečnostních a provozních potřeb řídí přístup k aktivům a přijímá bezpečnostní opatření, která slouží k zajištění ochrany přístupových a autentizačních údajů, které jsou používány pro ověření identity podle § 19 a 20.

účinné od 1. 11. 2025(2) Povinná osoba dále při řízení přístupu k aktivům

1. účinné od 1. 11. 2025a) řídí přístup na základě skupin nebo rolí,
2. účinné od 1. 11. 2025b) přidělí každému uživateli a administrátorovi přistupujícímu k aktivům přístupová práva a oprávnění na úroveň nezbytně nutnou k výkonu práce a jedinečný identifikátor daného typu účtu, přičemž odděluje uživatelské a administrátorské účty jedné osoby,
3. účinné od 1. 11. 2025c) řídí identifikátory, přístupová práva a oprávnění účtů technických aktiv,
4. účinné od 1. 11. 2025d) zavádí v souladu s písmenem c) bezpečnostní opatření pro řízení přístupu technických aktiv,
5. účinné od 1. 11. 2025e) zavádí bezpečnostní opatření potřebná pro bezpečné používání mobilních zařízení a jiných obdobných technických aktiv, popřípadě i bezpečnostní opatření spojená s využitím technických aktiv, která povinná osoba nemá ve své správě,
6. účinné od 1. 11. 2025f) omezí a kontroluje používání programových prostředků a vybavení, které mohou být schopné překonat systémové nebo aplikační kontroly,
7. účinné od 1. 11. 2025g) přiděluje a odebírá přístupová práva a oprávnění v souladu s politikou řízení přístupu,
8. účinné od 1. 11. 2025h) provádí pravidelné přezkoumání veškerých přístupových práv a oprávnění včetně rozdělení do skupin a rolí,
9. účinné od 1. 11. 2025i) zajistí bezodkladné odebrání nebo změnu přístupových práv a oprávnění při změně pozice nebo zařazení na základě skupin a rolí,
10. účinné od 1. 11. 2025j) zajistí deaktivaci účtů a bezodkladné odebrání nebo změnu přístupových práv a oprávnění při ukončení nebo změně smluvního vztahu, na základě kterého došlo ke zřízení přístupu k aktivům,
11. účinné od 1. 11. 2025k) dokumentuje přidělování a odebírání přístupových práv a oprávnění a
12. účinné od 1. 11. 2025l) využívá nástroj pro správu a ověřování identity podle § 19 a nástroj pro řízení přístupových práv a oprávnění podle § 20.

§ 14

účinné od 1. 11. 2025Zvládání kybernetických bezpečnostních událostí a incidentů

účinné od 1. 11. 2025(1) Povinná osoba při zvládání kybernetických bezpečnostních událostí a incidentů

1. účinné od 1. 11. 2025a) zavede procesy, pravidla a postupy pro detekci, zaznamenávání a vyhodnocování kybernetických bezpečnostních událostí v souladu s § 21 až 23,
2. účinné od 1. 11. 2025b) zavede procesy, pravidla a postupy pro koordinaci a zvládání kybernetických bezpečnostních incidentů,
3. účinné od 1. 11. 2025c) přidělí odpovědnosti pro
   1. účinné od 1. 11. 20251. detekci, zaznamenávání a vyhodnocování kybernetických bezpečnostních událostí a
   2. účinné od 1. 11. 20252. koordinaci a zvládání kybernetických bezpečnostních incidentů,

1. účinné od 1. 11. 2025d) definuje a dodržuje pravidla a postupy pro identifikaci, sběr, získání a uchování věrohodných podkladů potřebných pro analýzu kybernetického bezpečnostního incidentu,
2. účinné od 1. 11. 2025e) zajistí detekci kybernetických bezpečnostních událostí podle § 21,
3. účinné od 1. 11. 2025f) zajistí, že uživatelé, administrátoři, osoby zastávající bezpečnostní role, další zaměstnanci a dodavatelé budou oznamovat neobvyklé chování technických aktiv a podezření na zranitelnosti,
4. účinné od 1. 11. 2025g) zajistí posuzování kybernetických bezpečnostních událostí, při kterých musí být rozhodnuto, zda mají být klasifikovány jako kybernetické bezpečnostní incidenty,
5. účinné od 1. 11. 2025h) zajistí zvládání kybernetických bezpečnostních incidentů podle stanovených postupů,
6. účinné od 1. 11. 2025i) přijímá bezpečnostní opatření pro odvrácení a zmírnění dopadu kybernetického bezpečnostního incidentu,
7. účinné od 1. 11. 2025j) zajistí hlášení kybernetických bezpečnostních incidentů podle § 15 zákona,
8. účinné od 1. 11. 2025k) prošetří a určí příčiny kybernetického bezpečnostního incidentu,
9. účinné od 1. 11. 2025l) vede záznamy o kybernetických bezpečnostních incidentech a o jejich zvládání,
10. účinné od 1. 11. 2025m) zajistí vytvoření závěrečné zprávy o vyřešení kybernetického bezpečnostního incidentu s významným dopadem podle § 16 zákona, včetně popisu příčiny vzniku kybernetického bezpečnostního incidentu s významným dopadem, pokud je známa, a
11. účinné od 1. 11. 2025n) vyhodnotí účinnost řešení kybernetického bezpečnostního incidentu a na základě vyhodnocení stanoví nutná bezpečnostní opatření k zamezení opakování řešeného kybernetického bezpečnostního incidentu, popřípadě aktualizuje stávající bezpečnostní opatření.

účinné od 1. 11. 2025(2) Povinná osoba dále při detekci a vyhodnocování kybernetických bezpečnostních událostí používá nástroje podle § 21 a 23.

§ 15

účinné od 1. 11. 2025Řízení kontinuity činností

účinné od 1. 11. 2025Povinná osoba při řízení kontinuity činností

1. účinné od 1. 11. 2025a) stanoví metodiku pro provedení analýzy dopadů,
2. účinné od 1. 11. 2025b) provádí analýzu dopadů, vyhodnocuje a dokumentuje možné dopady kybernetických bezpečnostních incidentů a zohlední hodnocení rizik podle § 8,
3. účinné od 1. 11. 2025c) na základě výstupů analýzy dopadů a hodnocení rizik podle písmene b) stanoví cíle řízení kontinuity činností formou určení
   1. účinné od 1. 11. 20251. minimální úrovně poskytovaných služeb, která je přijatelná pro užívání, provoz a správu regulované služby,
   2. účinné od 1. 11. 20252. doby obnovení chodu, během které bude po kybernetickém bezpečnostním incidentu obnovena minimální úroveň poskytovaných služeb regulované služby, a
   3. účinné od 1. 11. 20253. bodu obnovení dat jako časové období, za které musí být zpětně obnovena data po kybernetickém bezpečnostním incidentu nebo po selhání technického aktiva,

1. účinné od 1. 11. 2025d) stanoví politiku řízení kontinuity činností, která obsahuje naplnění cílů podle písmene c), a stanoví práva a povinnosti administrátorů a osob zastávajících bezpečnostní role,
2. účinné od 1. 11. 2025e) vypracuje, aktualizuje a pravidelně testuje plány kontinuity činností a plány obnovy související s poskytováním regulované služby a
3. účinné od 1. 11. 2025f) realizuje bezpečnostní opatření pro zvýšení odolnosti podle § 26.