Vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností

§ 17

účinné od 1. 11. 2025Fyzická bezpečnost

účinné od 1. 11. 2025Povinná osoba v rámci fyzické bezpečnosti

1. účinné od 1. 11. 2025a) předchází poškození, odcizení, zneužití aktiv, neoprávněným zásahům do nich a narušení bezpečnosti poskytování regulované služby,
2. účinné od 1. 11. 2025b) stanoví fyzický bezpečnostní perimetr ohraničující oblast, ve které jsou uchovávány nebo zpracovávány informace a data, nebo ve které jsou umístěna technická aktiva regulované služby,
3. účinné od 1. 11. 2025c) rozdělí fyzické bezpečnostní perimetry stanovené podle písmene b) s ohledem na hodnocení umístěných technických aktiv do jednotlivých úrovní fyzické ochrany a tyto stanovené fyzické bezpečnostní perimetry a jejich úrovně fyzické ochrany dokumentuje a
4. účinné od 1. 11. 2025d) přijme u každého fyzického bezpečnostního perimetru s ohledem na jeho úroveň fyzické ochrany stanovenou podle písmene c) relevantní bezpečnostní opatření fyzické ochrany
   1. účinné od 1. 11. 20251. k zamezení neoprávněnému vstupu,
   2. účinné od 1. 11. 20252. k zamezení poškození, odcizení, zneužití aktiv, neoprávněným zásahům do nich a narušení bezpečnosti poskytování regulované služby,
   3. účinné od 1. 11. 20253. k zajištění fyzické ochrany budov a jiných ohraničených prostor,
   4. účinné od 1. 11. 20254. pro zajištění detekce narušení fyzického bezpečnostního perimetru a
   5. účinné od 1. 11. 20255. k evidenci vstupů a přístupů do fyzického bezpečnostního perimetru.

§ 18

účinné od 1. 11. 2025Bezpečnost komunikačních sítí

účinné od 1. 11. 2025Povinná osoba pro ochranu bezpečnosti komunikační sítě, a to včetně jejího síťového perimetru

1. účinné od 1. 11. 2025a) zajistí a dokumentuje segmentaci komunikační sítě, včetně oddělení provozního, zálohovacího, vývojového, testovacího, administrátorského a jiného specifického prostředí,
2. účinné od 1. 11. 2025b) zajistí řízení komunikace v rámci komunikační sítě,
3. účinné od 1. 11. 2025c) zajistí řízení vzdáleného přístupu ke komunikační síti,
4. účinné od 1. 11. 2025d) zajistí řízení vzdálené správy technických aktiv,
5. účinné od 1. 11. 2025e) povoluje v souladu s písmeny b) až d) pouze takovou komunikaci, která je nezbytná pro řádné zajištění regulované služby,
6. účinné od 1. 11. 2025f) zajistí v souladu s písmeny c) a d) časové omezení komunikace a opětovné ověření identity administrátorů a uživatelů po stanovené době,
7. účinné od 1. 11. 2025g) zajistí pomocí aktuálně odolných kryptografických algoritmů upravených v § 25 a síťových protokolů důvěrnost a integritu při přenosu informací a dat,
8. účinné od 1. 11. 2025h) využívá nástroj, který zajistí ochranu integrity komunikační sítě, a
9. účinné od 1. 11. 2025i) dokumentuje topologii komunikační sítě a infrastruktury.

§ 19

účinné od 1. 11. 2025Správa a ověřování identit

účinné od 1. 11. 2025(1) Povinná osoba používá nástroj pro správu a ověření identity administrátorů, uživatelů a technických aktiv, který zajišťuje

1. účinné od 1. 11. 2025a) ověření identity před zahájením jejich aktivit,
2. účinné od 1. 11. 2025b) řízení počtu možných neúspěšných pokusů o přihlášení,
3. účinné od 1. 11. 2025c) odolnost uložených a přenášených autentizačních údajů vůči hrozbám a zranitelnostem, které by mohly narušit jejich důvěrnost nebo integritu,
4. účinné od 1. 11. 2025d) opětovné ověření identity po stanovené době nečinnosti,
5. účinné od 1. 11. 2025e) dodržení důvěrnosti při vytváření výchozích autentizačních údajů a při obnově přístupu a
6. účinné od 1. 11. 2025f) centralizovanou správu identit s ohledem na vazby mezi aktivy.

účinné od 1. 11. 2025(2) Povinná osoba při ověření identity administrátorů, uživatelů a technických aktiv

1. účinné od 1. 11. 2025a) využívá autentizační mechanismus, který je založen na vícefaktorové autentizaci s alespoň dvěma různými typy faktorů, nebo využívá autentizační mechanismus, který je založen na aktuálně odolné kontinuální autentizaci založené na modelu nulové důvěry, a
2. účinné od 1. 11. 2025b) do doby splnění požadavků podle písmene a) využívá autentizaci pomocí kryptografických klíčů nebo certifikátů.

účinné od 1. 11. 2025(3) Povinná osoba do doby splnění požadavků podle odstavce 2 písm. a) vede evidenci technických aktiv, účtů a autentizačních mechanismů, které tyto požadavky nesplňují, a to včetně odůvodnění.

účinné od 1. 11. 2025(4) Povinná osoba do doby splnění požadavku podle odstavce 2 využívá nástroj založený na autentizaci pomocí identifikátoru účtu a hesla, kdy tento nástroj musí vynucovat pravidlo

1. účinné od 1. 11. 2025a) délky hesla alespoň
   1. účinné od 1. 11. 20251. 12 znaků pro účty uživatelů,
   2. účinné od 1. 11. 20252. 17 znaků pro účty administrátorů,
   3. účinné od 1. 11. 20253. 22 znaků pro účty technických aktiv,

1. účinné od 1. 11. 2025b) umožňující zadat heslo o délce alespoň 64 znaků,
2. účinné od 1. 11. 2025c) neomezující použití malých a velkých písmen, číslic a speciálních znaků,
3. účinné od 1. 11. 2025d) umožňující uživatelům a administrátorům změnu hesla, přičemž období mezi dvěma změnami hesla nesmí být kratší než 30 minut,
4. účinné od 1. 11. 2025e) povinné změny hesla v intervalu alespoň jednou za 18 měsíců a
5. účinné od 1. 11. 2025f) neumožňující uživatelům a administrátorům
   1. účinné od 1. 11. 20251. zvolit si jednoduchá a často používaná hesla,
   2. účinné od 1. 11. 20252. tvořit hesla na základě mnohonásobně opakujících se znaků, přihlašovacího jména, adresy elektronické pošty, názvu systému nebo obdobným způsobem a
   3. účinné od 1. 11. 20253. opětovné použití dříve používaných hesel s pamětí alespoň 12 předchozích hesel.

účinné od 1. 11. 2025(5) Povinná osoba v souladu s odstavcem 4 zajistí

1. účinné od 1. 11. 2025a) bezodkladné vynucení změny výchozího hesla uživatelů a administrátorů po prvním přihlášení,
2. účinné od 1. 11. 2025b) bezodkladné vynucení změny výchozího hesla technického aktiva,
3. účinné od 1. 11. 2025c) vytváření hesla účtu technického aktiva složeného z náhodného řetězce malých a velkých písmen, číslic a speciálních znaků,
4. účinné od 1. 11. 2025d) bezodkladné vynucení změny přístupového hesla v případě důvodného podezření na narušení jeho důvěrnosti,
5. účinné od 1. 11. 2025e) vytvoření náhodného výchozího hesla nebo identifikátoru sloužícího k vytvoření nebo k obnovení přístupu a zajistí jeho důvěrnost a
6. účinné od 1. 11. 2025f) bezodkladné zneplatnění hesla nebo identifikátoru sloužícího k vytvoření nebo k obnovení přístupu po jeho prvním použití nebo uplynutí nejvýše 24 hodin od jeho vytvoření.

účinné od 1. 11. 2025(6) Povinná osoba u administrátorského účtu zejména určeného pro případ obnovy po kybernetickém bezpečnostním incidentu musí zajistit

1. účinné od 1. 11. 2025a) bezodkladnou změnu výchozího hesla,
2. účinné od 1. 11. 2025b) vytvoření hesla náhodným řetězcem složeným z malých a velkých písmen, číslic a speciálních znaků,
3. účinné od 1. 11. 2025c) délku hesla složeného alespoň z 22 znaků,
4. účinné od 1. 11. 2025d) bezpečné uložení hesla,
5. účinné od 1. 11. 2025e) omezení manipulace s účtem a jeho heslem, kdy s tímto účtem a jeho heslem mohou manipulovat pouze pověřené osoby, a to v nezbytně nutných případech,
6. účinné od 1. 11. 2025f) změnu hesla po jeho použití, při jakékoli změně pověřených osob, v případě důvodného podezření na jeho kompromitaci nebo v intervalu alespoň jednou za 18 měsíců a
7. účinné od 1. 11. 2025g) evidování manipulace a pokusy o manipulaci s tímto účtem a jeho heslem.

§ 20

účinné od 1. 11. 2025Řízení přístupových práv a oprávnění

účinné od 1. 11. 2025Povinná osoba pro řízení přístupových práv a oprávnění využívá nástroj,

1. účinné od 1. 11. 2025a) který je centralizovaný s ohledem na vazby mezi aktivy,
2. účinné od 1. 11. 2025b) kterým řídí práva pro přístup k jednotlivým aktivům a
3. účinné od 1. 11. 2025c) kterým řídí oprávnění pro čtení a zápis informací a dat a změnu oprávnění.

§ 21

účinné od 1. 11. 2025Detekce kybernetických bezpečnostních událostí

účinné od 1. 11. 2025(1) Povinná osoba používá nástroj pro detekci kybernetických bezpečnostních událostí, který zajišťuje

1. účinné od 1. 11. 2025a) ověření a kontrolu přenášených dat v rámci komunikační sítě a mezi komunikačními sítěmi,
2. účinné od 1. 11. 2025b) ověření a kontrolu přenášených dat na síťovém perimetru komunikační sítě a
3. účinné od 1. 11. 2025c) aktivní blokování nežádoucí komunikace v rámci komunikační sítě.

účinné od 1. 11. 2025(2) Povinná osoba používá s ohledem na vazby mezi aktivy pro detekci kybernetických bezpečnostních událostí centrálně spravovaný nástroj, který u jednotlivých relevantních technických aktiv zajišťuje

1. účinné od 1. 11. 2025a) nepřetržitou a automatickou ochranu před škodlivým kódem,
2. účinné od 1. 11. 2025b) řízení a sledování používání vyměnitelných zařízení a datových nosičů,
3. účinné od 1. 11. 2025c) řízení automatického spouštění obsahu, zejména u vyměnitelných zařízení a datových nosičů,
4. účinné od 1. 11. 2025d) řízení oprávnění ke spouštění kódu,
5. účinné od 1. 11. 2025e) řízení a sledování komunikace aplikací, jejich služeb a procesů,
6. účinné od 1. 11. 2025f) detekci kybernetických bezpečnostních událostí technických aktiv a
7. účinné od 1. 11. 2025g) detekci kybernetických bezpečnostních událostí na základě chování technických aktiv, administrátorů a uživatelů.

účinné od 1. 11. 2025(3) Povinná osoba provádí pravidelnou a bezodkladnou aktualizaci nástroje používaného podle odstavců 1 a 2, a to včetně jeho nastavení a detekčních pravidel.

§ 22

účinné od 1. 11. 2025Zaznamenávání událostí

účinné od 1. 11. 2025(1) Povinná osoba na základě hodnocení aktiv a svých bezpečnostních potřeb

1. účinné od 1. 11. 2025a) určí technická aktiva, u kterých je zaznamenávání bezpečnostních a relevantních provozních událostí prováděno, a
2. účinné od 1. 11. 2025b) aktualizuje rozsah technických aktiv podle odstavce 1 písm. a) v pravidelných intervalech a při významných změnách.

účinné od 1. 11. 2025(2) Povinná osoba zaznamenává bezpečnostní a relevantní provozní události

1. účinné od 1. 11. 2025a) detekované podle § 21,
2. účinné od 1. 11. 2025b) v rámci komunikační sítě,
3. účinné od 1. 11. 2025c) na síťovém perimetru a
4. účinné od 1. 11. 2025d) technických aktiv určených podle odstavce 1 písm. a).

účinné od 1. 11. 2025(3) Povinná osoba v rámci zaznamenávání událostí podle odstavce 2 zaznamenává

1. účinné od 1. 11. 2025a) přihlašování a odhlašování ke všem účtům, a to včetně neúspěšných pokusů,
2. účinné od 1. 11. 2025b) provedení a neúspěšné pokusy o provedení privilegované činnosti,
3. účinné od 1. 11. 2025c) manipulace a neúspěšné pokusy o manipulaci s účty, oprávněními a právy,
4. účinné od 1. 11. 2025d) neprovedení činností v důsledku nedostatku přístupových práv nebo oprávnění,
5. účinné od 1. 11. 2025e) zahájení a ukončení činností technických aktiv,
6. účinné od 1. 11. 2025f) kritická a chybová hlášení technických aktiv,
7. účinné od 1. 11. 2025g) přístupy a neúspěšné pokusy o přístupy k záznamům událostí,
8. účinné od 1. 11. 2025h) manipulace a neúspěšné pokusy o manipulaci se záznamy událostí,
9. účinné od 1. 11. 2025i) změny a neúspěšné pokusy o změny nastavení nástrojů pro zaznamenávání událostí a
10. účinné od 1. 11. 2025j) další činnosti uživatelů, které mohou mít vliv na bezpečnost regulované služby.

účinné od 1. 11. 2025(4) Povinná osoba v rámci zaznamenávání událostí podle odstavce 2 zaznamenává následující informace o události:

1. účinné od 1. 11. 2025a) datum a čas včetně specifikace časového pásma,
2. účinné od 1. 11. 2025b) typ činnosti,
3. účinné od 1. 11. 2025c) jednoznačnou identifikaci technického aktiva, které činnost zaznamenalo, a to i v případě, kdy v komunikační síti dochází ke změně této síťové identifikace,
4. účinné od 1. 11. 2025d) jednoznačnou identifikaci účtu, pod kterým byla činnost provedena, a to i v případě, kdy v komunikační síti dochází ke změně této síťové identifikace,
5. účinné od 1. 11. 2025e) jednoznačnou identifikaci zařízení původce, a to i v případě, kdy v komunikační síti dochází ke změně této síťové identifikace, a
6. účinné od 1. 11. 2025f) úspěšnost nebo neúspěšnost činnosti.

účinné od 1. 11. 2025(5) Povinná osoba dále s ohledem na události zaznamenané podle odstavce 2

1. účinné od 1. 11. 2025a) zajistí důvěrnost a integritu získaných informací, včetně ochrany před neoprávněným čtením a jakoukoliv změnou,
2. účinné od 1. 11. 2025b) používá s ohledem na vazby mezi aktivy centralizovaný nástroj pro sběr a uchovávání záznamů těchto událostí a
3. účinné od 1. 11. 2025c) uchovává záznamy těchto událostí alespoň po dobu 18 měsíců.

účinné od 1. 11. 2025(6) Povinná osoba zajišťuje nepřetržitou synchronizaci jednotného času technických aktiv.

§ 23

účinné od 1. 11. 2025Vyhodnocování kybernetických bezpečnostních událostí

účinné od 1. 11. 2025(1) Povinná osoba používá nástroj pro nepřetržité vyhodnocování kybernetických bezpečnostních událostí detekovaných podle § 21, který zajišťuje

1. účinné od 1. 11. 2025a) sběr, vyhledávání a seskupování souvisejících záznamů za účelem detekce kybernetických bezpečnostních událostí,
2. účinné od 1. 11. 2025b) nepřetržité poskytování informací o detekovaných kybernetických bezpečnostních událostech, včasné varování vybraných bezpečnostních rolí a dalších relevantních osob a
3. účinné od 1. 11. 2025c) vyhodnocování kybernetických bezpečnostních událostí s cílem identifikace kybernetických bezpečnostních incidentů.

účinné od 1. 11. 2025(2) Povinná osoba při používání nástroje pro nepřetržité vyhodnocování kybernetických bezpečnostních událostí v souladu s odstavcem 1 zajistí

1. účinné od 1. 11. 2025a) omezení případů nesprávného nebo nežádoucího vyhodnocování kybernetických bezpečnostních událostí,
2. účinné od 1. 11. 2025b) pravidelnou aktualizaci nastavení nástroje včetně jeho pravidel pro detekci a vyhodnocování kybernetických bezpečnostních událostí a
3. účinné od 1. 11. 2025c) pravidelnou aktualizaci pravidel pro nepřetržité poskytování informací o detekovaných kybernetických bezpečnostních událostech včetně včasného varování vybraných bezpečnostních rolí a dalších relevantních osob.

účinné od 1. 11. 2025(3) Povinná osoba zajistí využívání informací získaných nástrojem pro vyhodnocení kybernetických bezpečnostních událostí pro optimální nastavení systému řízení bezpečnosti informací regulované služby.

§ 24

účinné od 1. 11. 2025Aplikační bezpečnost

účinné od 1. 11. 2025(1) Povinná osoba pro zajištění bezpečnosti regulované služby užívá technická aktiva, která jsou jejich výrobcem, dodavatelem nebo jinou osobou podporována a zajistí aplikování schválených bezpečnostních aktualizací vydaných pro tato aktiva.

účinné od 1. 11. 2025(2) Povinná osoba do doby plnění podle odstavce 1 zavede bezpečnostní opatření, která zaručí obdobnou nebo vyšší úroveň bezpečnosti těchto technických aktiv, a eviduje technická aktiva,

1. účinné od 1. 11. 2025a) která již nejsou výrobcem, dodavatelem nebo jinou osobou podporována a
2. účinné od 1. 11. 2025b) na která není možné aplikovat poslední schválenou bezpečnostní aktualizaci.

účinné od 1. 11. 2025(3) Povinná osoba v rámci aplikační bezpečnosti zajistí trvalou ochranu aplikací, informací, transakcí a přenášených identifikátorů relací před

1. účinné od 1. 11. 2025a) neoprávněnou činností a
2. účinné od 1. 11. 2025b) popřením provedených činností.

účinné od 1. 11. 2025(4) Povinná osoba v rámci skenování zranitelností technických aktiv

1. účinné od 1. 11. 2025a) provádí pravidelné skenování zranitelností technických aktiv regulované služby
   1. účinné od 1. 11. 20251. z vnitřní a vnější komunikační sítě a
   2. účinné od 1. 11. 20252. alespoň jednou ročně.

1. účinné od 1. 11. 2025b) zohlední výsledky skenování zranitelností technických aktiv v rámci řízení rizik podle § 8 a zavádí bezpečnostní opatření na základě zjištěných výsledků.

účinné od 1. 11. 2025(5) Povinná osoba v rámci penetračního testování

1. účinné od 1. 11. 2025a) provádí penetrační testování technických aktiv s ohledem na hodnocení těchto aktiv a hodnocení rizik
   1. účinné od 1. 11. 20251. z vnitřní a vnější komunikační sítě,
   2. účinné od 1. 11. 20252. před jejich uvedením do provozu a
   3. účinné od 1. 11. 20253. v souvislosti s významnou změnou podle § 11 odst. 3,

1. účinné od 1. 11. 2025b) zohlední výsledky penetračního testování při řízení rizik podle § 8 a zavádí bezpečnostní opatření na základě zjištěných výsledků,
2. účinné od 1. 11. 2025c) provádí v souladu s odstavcem 5 písm. a) bodem 1 pravidelně penetrační testování, a to alespoň jednou za 2 roky,
3. účinné od 1. 11. 2025d) v odůvodněných případech, pokud nemůže provést penetrační testování v rozsahu nebo intervalu stanoveném v odstavci 5 písm. c), může rozdělit toto penetrační testování do systematických celků. V takovém případě je nutno provést penetrační testování v rozsahu stanoveném v odstavci 5 písm. a) nejpozději do 5 let,
4. účinné od 1. 11. 2025e) u penetračních testů v souladu s odstavcem 5 písm. a) eviduje termín provedení a konkrétní fyzické osoby provádějící toto penetrační testování.

účinné od 1. 11. 2025(6) Povinná osoba provede opětovné otestování nálezu zjištěného na základě provedeného skenování zranitelností nebo penetračního testování za účelem ověření funkčnosti zavedených bezpečnostních opatření.

§ 25

účinné od 1. 11. 2025Kryptografické algoritmy

účinné od 1. 11. 2025(1) Povinná osoba při zajištění bezpečnosti technických aktiv a jejich komunikace

1. účinné od 1. 11. 2025a) používá pouze aktuálně odolné kryptografické algoritmy,
2. účinné od 1. 11. 2025b) prosazuje bezpečné nakládání s kryptografickými algoritmy a
3. účinné od 1. 11. 2025c) zohledňuje doporučení a metodiky v oblasti kryptografických algoritmů vydané Národním úřadem pro kybernetickou a informační bezpečnost.

účinné od 1. 11. 2025(2) Povinná osoba zajišťuje bezpečnou

1. účinné od 1. 11. 2025a) hlasovou, audiovizuální a textovou komunikaci, a to včetně e-mailové komunikace, a
2. účinné od 1. 11. 2025b) nouzovou komunikaci v rámci organizace.

účinné od 1. 11. 2025(3) Povinná osoba v případě využívání kryptografických klíčů a certifikátů pro ochranu technických aktiv a komunikační sítě používá

1. účinné od 1. 11. 2025a) pouze aktuálně odolné kryptografické klíče a certifikáty a
2. účinné od 1. 11. 2025b) nástroj pro správu kryptografických klíčů a certifikátů, který
   1. účinné od 1. 11. 20251. zajistí generování, distribuci, ukládání, změny, omezení platnosti, zneplatnění certifikátů a řádnou likvidaci kryptografických klíčů,
   2. účinné od 1. 11. 20252. umožní kontrolu a audit a
   3. účinné od 1. 11. 20253. zajistí důvěrnost a integritu kryptografických klíčů.

§ 26

účinné od 1. 11. 2025Zajišťování dostupnosti regulované služby

účinné od 1. 11. 2025(1) Povinná osoba zavede bezpečnostní opatření pro zajišťování dostupnosti regulované služby, kterými zajistí

1. účinné od 1. 11. 2025a) dostupnost regulované služby podle cílů stanovených podle § 15,
2. účinné od 1. 11. 2025b) odolnost regulované služby vůči hrozbám a zranitelnostem, které by mohly snížit její dostupnost a
3. účinné od 1. 11. 2025c) redundanci aktiv nezbytných pro zajišťování dostupnosti regulované služby.

účinné od 1. 11. 2025(2) Povinná osoba pro zajišťování dostupnosti regulované služby v souladu s odstavcem 1 vytváří pravidelné zálohy konfigurací a nastavení technických aktiv, informací a dat nezbytných zejména pro účely obnovy regulované služby v případě kybernetického bezpečnostního incidentu.

účinné od 1. 11. 2025(3) Povinná osoba u záloh vytvářených podle odstavce 2 zajistí

1. účinné od 1. 11. 2025a) pravidelné testování jejich integrity, dostupnosti a obnovitelnosti,
2. účinné od 1. 11. 2025b) dokumentování výsledků testů provedených podle odstavce 3 písm. a),
3. účinné od 1. 11. 2025c) ochranu ukládaných záloh a dat v nich obsažených před narušením jejich integrity a důvěrnosti, a to alespoň šifrováním těchto záloh v souladu s § 25, a
4. účinné od 1. 11. 2025d) ochranu ukládaných záloh a dat v nich obsažených před narušením jejich dostupnosti.

účinné od 1. 11. 2025(4) Povinná osoba pro zajišťování dostupnosti regulované služby zajistí bezpečnou správu konfigurací a nastavení technických aktiv s ohledem na hodnocení těchto aktiv a hodnocení rizik.

účinné od 1. 11. 2025(5) Povinná osoba za účelem omezení šíření kybernetického bezpečnostního incidentu a snížení jeho dopadu odděluje zálohovací prostředí od jiných prostředí podle § 18 písm. a).

§ 27

účinné od 1. 11. 2025Zabezpečení průmyslových, řídicích a obdobných specifických technických aktiv

účinné od 1. 11. 2025Povinná osoba včetně požadavků uvedených v § 3 až 26 pro zajištění kybernetické bezpečnosti průmyslových, řídicích a obdobných specifických technických aktiv dále využívá nástroje a zavádí bezpečnostní opatření, která zajistí

1. účinné od 1. 11. 2025a) omezení fyzického přístupu k průmyslovým, řídicím a obdobným specifickým technickým aktivům,
2. účinné od 1. 11. 2025b) omezení oprávnění k přístupu k průmyslovým, řídicím a obdobným specifickým technickým aktivům,
3. účinné od 1. 11. 2025c) segmentaci a oddělení komunikačních sítí průmyslových, řídicích a obdobných specifických technických aktiv od jiných prostředí a segmentaci a oddělení těchto komunikačních sítí podle § 18,
4. účinné od 1. 11. 2025d) omezení vzdálených přístupů a vzdálené správy průmyslových, řídicích a obdobných specifických technických aktiv, včetně omezení komunikace mimo komunikační síť povinné osoby,
5. účinné od 1. 11. 2025e) ochranu jednotlivých průmyslových, řídicích a obdobných specifických technických aktiv před využitím známých zranitelností a hrozeb a
6. účinné od 1. 11. 2025f) dostupnost a obnovu průmyslových, řídicích a obdobných specifických technických aktiv pro zajištění dostupnosti regulované služby.