Vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností

§ 1

účinné od 1. 11. 2025Předmět úpravy

účinné od 1. 11. 2025Tato vyhláška zapracovává příslušný předpis Evropské unie¹) a pro poskytovatele regulované služby v režimu nižších povinností (dále jen „povinná osoba“) upravuje

1. účinné od 1. 11. 2025a) obsah, způsob zavádění a provádění bezpečnostních opatření a
2. účinné od 1. 11. 2025b) stanovení významnosti dopadu kybernetického bezpečnostního incidentu.

§ 2

účinné od 1. 11. 2025Vymezení pojmů

účinné od 1. 11. 2025Pro účely této vyhlášky se rozumí

1. účinné od 1. 11. 2025a) uživatelem fyzická nebo právnická osoba anebo orgán veřejné moci, který využívá aktiva,
2. účinné od 1. 11. 2025b) privilegovaným uživatelem uživatel nebo jiná osoba, jejíž činnost na technickém aktivu může mít významný dopad na bezpečnost regulované služby,
3. účinné od 1. 11. 2025c) administrátorem privilegovaný uživatel nebo osoba zajišťující správu, provoz, užívání, údržbu a bezpečnost technického aktiva,
4. účinné od 1. 11. 2025d) bezpečnostní politikou soubor zásad a pravidel, která určují způsob zajištění ochrany aktiv.

§ 3

účinné od 1. 11. 2025Systém zajišťování minimální kybernetické bezpečnosti

účinné od 1. 11. 2025(1) Povinná osoba při zajišťování kybernetické bezpečnosti

1. účinné od 1. 11. 2025a) zavede a provádí bezpečnostní opatření, která jsou přiměřená bezpečnostním potřebám, a
2. účinné od 1. 11. 2025b) zavede a provádí alespoň bezpečnostní opatření podle odstavců 2 až 6, § 4 až 6 a § 10.

účinné od 1. 11. 2025(2) Povinná osoba

1. účinné od 1. 11. 2025a) stanoví přehled bezpečnostních opatření podle přílohy č. 1 k této vyhlášce, který obsahuje přehled všech bezpečnostních opatření, která
   1. účinné od 1. 11. 20251. byla povinnou osobou zavedena, včetně popisu jejich zavedení,
   2. účinné od 1. 11. 20252. budou povinnou osobou zavedena, včetně termínů pro jejich zavedení, priority jejich zavedení a určení osoby odpovědné za jejich zavedení, a
   3. účinné od 1. 11. 20253. nebyla zavedena, včetně odůvodnění jejich nezavedení,

1. účinné od 1. 11. 2025b) provede a dokumentuje alespoň jednou ročně aktualizaci přehledu bezpečnostních opatření, včetně vyhodnocení účinnosti zavedených bezpečnostních opatření,
2. účinné od 1. 11. 2025c) uchovává jednotlivé přehledy bezpečnostních opatření a jejich aktualizace alespoň po dobu 4 let.

účinné od 1. 11. 2025(3) Povinná osoba v rámci řízení bezpečnostní politiky a bezpečnostní dokumentace

1. účinné od 1. 11. 2025a) stanoví bezpečnostní politiku a bezpečnostní dokumentaci k bezpečnostním opatřením požadovaným touto vyhláškou,
2. účinné od 1. 11. 2025b) pravidelně přezkoumává a aktualizuje pravidla a postupy stanovené v bezpečnostní politice a bezpečnostní dokumentaci a
3. účinné od 1. 11. 2025c) vynucuje dodržování pravidel a postupů stanovených v bezpečnostní politice a bezpečnostní dokumentaci.

účinné od 1. 11. 2025(4) Povinná osoba v rámci řízení aktiv stanoví pravidla pro používání a manipulaci technických aktiv.

účinné od 1. 11. 2025(5) Povinná osoba při uzavírání smlouvy s dodavatelem do stanoveného rozsahu podle § 12 zákona zohlední hrozby a zranitelnosti spojené s tímto dodavatelem, celkovou kvalitu produktů a postupů v oblasti kybernetické bezpečnosti tohoto dodavatele, včetně postupů bezpečného vývoje a na základě toho zajistí, aby smlouvy s tímto dodavatelem obsahovaly relevantní požadavky na smluvní ujednaní uvedené v příloze č. 2 k této vyhlášce.

účinné od 1. 11. 2025(6) Povinná osoba v souvislosti s plánovanou akvizicí, vývojem a údržbou technických aktiv stanoví bezpečnostní požadavky v oblasti kybernetické bezpečnosti a vymáhá jejich dodržování, přičemž vychází z požadavků na bezpečnostní opatření podle této vyhlášky.

§ 4

účinné od 1. 11. 2025Požadavky na vrcholné vedení

účinné od 1. 11. 2025Statutární orgán povinné osoby nebo jiná osoba anebo skupina osob v obdobném řídícím postavení povinné osoby (dále jen „vrcholné vedení“) s ohledem na zajišťování minimální kybernetické bezpečnosti

1. účinné od 1. 11. 2025a) určí osobu pověřenou kybernetickou bezpečností, které svěří pravomoci potřebné k řízení a rozvoji kybernetické bezpečnosti, dohledu nad stavem kybernetické bezpečnosti a komunikaci s vrcholným vedením, přičemž pro výkon této činnosti
   1. účinné od 1. 11. 20251. absolvuje bez zbytečného odkladu odborné školení podle § 5 odst. 2 písm. d), nebo
   2. účinné od 1. 11. 20252. prokáže odbornou znalost v kybernetické bezpečnosti,

1. účinné od 1. 11. 2025b) absolvuje prokazatelně školení podle § 5 odst. 2 písm. a),
2. účinné od 1. 11. 2025c) zajistí dostupnost zdrojů potřebných pro zajišťování kybernetické bezpečnosti v souladu s přehledem bezpečnostních opatření,
3. účinné od 1. 11. 2025d) se prokazatelně seznamuje se stavem plnění bezpečnostních opatření uvedeným v přehledu bezpečnostních opatření podle § 3 odst. 2 písm. a),
4. účinné od 1. 11. 2025e) prosazuje neustálé zlepšování zajišťování kybernetické bezpečnosti a za tímto účelem podporuje osobu pověřenou kybernetickou bezpečností a jiné relevantní osoby a
5. účinné od 1. 11. 2025f) stanoví prioritu obnovy primárních aktiv.

§ 5

účinné od 1. 11. 2025Bezpečnost lidských zdrojů

účinné od 1. 11. 2025(1) Povinná osoba v rámci bezpečnosti lidských zdrojů

1. účinné od 1. 11. 2025a) stanoví politiku bezpečného chování uživatelů, v jejímž rámci zohledňuje relevantní témata uvedená v příloze č. 3 k této vyhlášce,
2. účinné od 1. 11. 2025b) stanoví pravidla rozvoje bezpečnostního povědomí vrcholného vedení, uživatelů, administrátorů a osoby pověřené kybernetickou bezpečností, včetně pravidel pro tvorbu hesel,
3. účinné od 1. 11. 2025c) zajistí kontrolu dodržování bezpečnostní politiky ze strany uživatelů, administrátorů a osoby pověřené kybernetickou bezpečností a
4. účinné od 1. 11. 2025d) stanoví pravidla a postupy pro řešení případů porušení bezpečnostní politiky.

účinné od 1. 11. 2025(2) Povinná osoba v souladu s pravidly rozvoje bezpečnostního povědomí zajistí

1. účinné od 1. 11. 2025a) poučení vrcholného vedení o jeho povinnostech a o bezpečnostní politice, zejména v oblasti zajišťování kybernetické bezpečnosti, formou vstupních a pravidelných školení,
2. účinné od 1. 11. 2025b) vstupní školení v oblasti kybernetické bezpečnosti,
3. účinné od 1. 11. 2025c) pravidelná školení v oblasti kybernetické bezpečnosti a
4. účinné od 1. 11. 2025d) potřebná odborná teoretická i praktická školení administrátorů a osoby pověřené kybernetickou bezpečností v souladu s jejich pracovní náplní.

účinné od 1. 11. 2025(3) Povinná osoba vede přehledy o provedených školeních a seznamy školených osob podle odstavce 2.

§ 6

účinné od 1. 11. 2025Řízení kontinuity činností

účinné od 1. 11. 2025Povinná osoba v rámci řízení kontinuity činností

1. účinné od 1. 11. 2025a) stanoví prioritu technických aktiv, pořadí a postupy jejich obnovy a zohlední přitom stanovenou prioritu relevantního primárního aktiva podle § 4 písm. f),
2. účinné od 1. 11. 2025b) stanoví povinnosti a odpovědnost konkrétních osob za jednotlivé činnosti pro zajištění kontinuity činností a k obnově podle písmene a) a
3. účinné od 1. 11. 2025c) vytváří pravidelné zálohy informací, dat, konfigurací a nastavení technických aktiv nezbytných zejména pro účely obnovy regulované služby pro případ kybernetického bezpečnostního incidentu.

§ 7

účinné od 1. 11. 2025Řízení přístupu

účinné od 1. 11. 2025(1) Povinná osoba řídí přístup k aktivům a v rámci něj

1. účinné od 1. 11. 2025a) přidělí každému uživateli a administrátorovi přistupujícímu k aktivům přístupová práva a oprávnění na úroveň nezbytně nutnou k výkonu jejich práce a jedinečný identifikátor daného typu účtu, přičemž od sebe odděluje uživatelské a administrátorské účty jedné osoby,
2. účinné od 1. 11. 2025b) řídí identifikátory, přístupová práva a oprávnění účtů technických aktiv,
3. účinné od 1. 11. 2025c) zavádí bezpečnostní opatření potřebná pro bezpečné používání mobilních zařízení a jiných obdobných technických aktiv, popřípadě i bezpečnostní opatření spojená s využitím technických aktiv, která povinná osoba nemá ve své správě,
4. účinné od 1. 11. 2025d) provádí pravidelné přezkoumání nastavení veškerých přístupových práv a oprávnění,
5. účinné od 1. 11. 2025e) zajistí bezodkladné odebrání nebo změnu přístupových práv a oprávnění při změně pozice nebo zařazení uživatelů nebo administrátorů a
6. účinné od 1. 11. 2025f) zajistí deaktivaci účtu a bezodkladné odebrání nebo změnu přístupových práv a oprávnění při ukončení nebo změně smluvního vztahu, na jehož základě došlo ke zřízení přístupu k aktivům.

účinné od 1. 11. 2025(2) Povinná osoba v rámci zajištění fyzické bezpečnosti zamezí neoprávněnému přístupu ke svým aktivům a předchází poškození, odcizení, zneužití aktiv, neoprávněným zásahům do nich a narušení bezpečnosti poskytování regulované služby.

§ 8

účinné od 1. 11. 2025Řízení identit a jejich oprávnění

účinné od 1. 11. 2025(1) Povinná osoba pro řízení identit, přístupových práv a oprávnění používá nástroj, který zajišťuje

1. účinné od 1. 11. 2025a) řízení počtu možných neúspěšných pokusů o přihlášení,
2. účinné od 1. 11. 2025b) opětovné ověření identity po stanovené době nečinnosti,
3. účinné od 1. 11. 2025c) odolnost uložených a přenášených autentizačních údajů a
4. účinné od 1. 11. 2025d) řízení přístupových práv, oprávnění pro čtení a zápis informací a dat a změnu oprávnění.

účinné od 1. 11. 2025(2) Povinná osoba pro ověření identity administrátorů, uživatelů a technických aktiv využívá autentizační mechanismus, který je založený na vícefaktorové autentizaci s alespoň dvěma různými typy faktorů, nebo využívá autentizační mechanismus, který je založen na aktuálně odolné kontinuální autentizaci založené na modelu nulové důvěry.

účinné od 1. 11. 2025(3) Povinná osoba do doby využívání autentizačního mechanismu podle odstavce 2 využívá autentizaci pomocí kryptografických klíčů nebo certifikátů.

účinné od 1. 11. 2025(4) Povinná osoba do doby využívání autentizačního mechanismu podle odstavce 3 využívá nástroj založený na autentizaci pomocí identifikátoru účtu a hesla, kdy tento nástroj musí vynucovat pravidla

1. účinné od 1. 11. 2025a) délky hesla alespoň
   1. účinné od 1. 11. 20251. 12 znaků pro účty uživatelů,
   2. účinné od 1. 11. 20252. 17 znaků pro účty administrátorů,
   3. účinné od 1. 11. 20253. 22 znaků pro účty technických aktiv,

1. účinné od 1. 11. 2025b) bezodkladné změny výchozího hesla pro ověření identity technických aktiv, přičemž nové heslo musí být vytvořeno náhodným řetězcem složeným z malých a velkých písmen, číslic a speciálních znaků,
2. účinné od 1. 11. 2025c) neomezující použití malých a velkých písmen, číslic a speciálních znaků,
3. účinné od 1. 11. 2025d) povinné změny hesla v intervalu alespoň jednou za 18 měsíců a
4. účinné od 1. 11. 2025e) neumožňující uživatelům a administrátorům
   1. účinné od 1. 11. 20251. zvolit si jednoduchá a často používaná hesla,
   2. účinné od 1. 11. 20252. tvořit hesla na základě mnohonásobně opakujících se znaků, přihlašovacích jmen, adres elektronické pošty, názvů systémů nebo obdobným způsobem a
   3. účinné od 1. 11. 20253. opětovného použití dříve používaných hesel s pamětí alespoň 12 předchozích hesel.

účinné od 1. 11. 2025(5) Povinná osoba při řízení identit dále zajistí

1. účinné od 1. 11. 2025a) důvěrnost při vytváření výchozích autentizačních údajů a při obnově přístupu,
2. účinné od 1. 11. 2025b) změnu výchozího hesla nebo hesla sloužícího k obnově přístupu po jeho prvním použití,
3. účinné od 1. 11. 2025c) zneplatnění hesla nebo identifikátoru sloužícího k obnově přístupu nejpozději do 24 hodin od jeho vytvoření,
4. účinné od 1. 11. 2025d) bezodkladnou změnu přístupového hesla v případě důvodného podezření na jeho kompromitaci a
5. účinné od 1. 11. 2025e) zabezpečení administrátorských účtů technických aktiv zejména určených pro případ obnovy po kybernetickém bezpečnostním incidentu a využívá tyto účty pouze v nezbytně nutných případech.

§ 9

účinné od 1. 11. 2025Detekce a zaznamenávání kybernetických bezpečnostních událostí

účinné od 1. 11. 2025(1) Povinná osoba při detekci kybernetických bezpečnostních událostí zajistí

1. účinné od 1. 11. 2025a) ověření a kontrolu přenášených dat na perimetru komunikační sítě, včetně blokování nežádoucí komunikace,
2. účinné od 1. 11. 2025b) použití nástroje pro nepřetržitou a automatickou ochranu před škodlivým kódem na technických aktivech, zejména na
   1. účinné od 1. 11. 20251. serverech a
   2. účinné od 1. 11. 20252. koncových stanicích,

1. účinné od 1. 11. 2025c) řízení automatického spouštění obsahu, zejména u vyměnitelných zařízení a datových nosičů,
2. účinné od 1. 11. 2025d) nepřetržité poskytování informací o relevantních detekovaných kybernetických bezpečnostních událostech a včasné varování relevantních osob a
3. účinné od 1. 11. 2025e) pravidelnou a bezodkladnou aktualizaci nástrojů pro nepřetržitou a automatickou ochranu před škodlivým kódem a dalších detekčních nástrojů a jejich pravidel.

účinné od 1. 11. 2025(2) Povinná osoba za účelem detekce kybernetických bezpečnostních událostí zaznamenává

1. účinné od 1. 11. 2025a) bezpečnostní a relevantní provozní události detekované podle odstavce 1 a bezpečnostní a relevantní provozní události technických aktiv na základě svých bezpečnostních potřeb a
2. účinné od 1. 11. 2025b) u událostí podle písmene a) následující informace o události:
   1. účinné od 1. 11. 20251. datum a čas, včetně specifikace časového pásma,
   2. účinné od 1. 11. 20252. typ činnosti,
   3. účinné od 1. 11. 20253. jednoznačnou identifikaci technického aktiva a identifikaci účtu původce a
   4. účinné od 1. 11. 20254. úspěšnost nebo neúspěšnost činnosti.

účinné od 1. 11. 2025(3) Povinná osoba uchovává záznamy bezpečnostních a relevantních provozních událostí po dobu, kterou si stanoví na základě svých bezpečnostních potřeb.

§ 10

účinné od 1. 11. 2025Řešení kybernetických bezpečnostních incidentů

účinné od 1. 11. 2025Povinná osoba při řešení kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů

1. účinné od 1. 11. 2025a) zajistí, že uživatelé, administrátoři, osoby pověřené kybernetickou bezpečností a další zaměstnanci budou oznamovat neobvyklé chování technických aktiv a podezření na jakékoliv zranitelnosti,
2. účinné od 1. 11. 2025b) vytvoří metodiku pro posuzování kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů, včetně posuzování významnosti dopadu kybernetického bezpečnostního incidentu v souladu s § 14,
3. účinné od 1. 11. 2025c) zajistí detekci kybernetických bezpečnostních událostí,
4. účinné od 1. 11. 2025d) zajistí posuzování kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů v souladu s metodikou podle písmene b),
5. účinné od 1. 11. 2025e) zajistí hlášení kybernetického bezpečnostního incidentu s významným dopadem podle § 15 zákona,
6. účinné od 1. 11. 2025f) zajistí vytvoření závěrečné zprávy o vyřešení kybernetického bezpečnostního incidentu s významným dopadem podle § 16 zákona.

§ 11

účinné od 1. 11. 2025Bezpečnost komunikačních sítí

účinné od 1. 11. 2025Povinná osoba pro ochranu bezpečnosti komunikační sítě, a to zejména jejího síťového perimetru,

1. účinné od 1. 11. 2025a) zajistí segmentaci komunikační sítě, včetně oddělení provozního a zálohovacího prostředí,
2. účinné od 1. 11. 2025b) omezí odchozí a příchozí komunikaci na perimetru komunikační sítě na dobu nezbytně nutnou pro řádné zajištění poskytování regulované služby,
3. účinné od 1. 11. 2025c) užívá aktuálně odolné a bezpečné komunikační protokoly,
4. účinné od 1. 11. 2025d) v případě užití vzdáleného připojení do interní komunikační sítě nebo vzdálené správy technických aktiv regulované služby
   1. účinné od 1. 11. 20251. omezí tato připojení na nezbytně nutná,
   2. účinné od 1. 11. 20252. zavede bezpečnostní opatření, která zajistí důvěrnost a integritu těchto vzdálených připojení a vzdálené správy, a
   3. účinné od 1. 11. 20253. má přehled o uživatelích a administrátorech, kteří tato vzdálená připojení nebo vzdálenou správu užívají.

§ 12

účinné od 1. 11. 2025Aplikační bezpečnost

účinné od 1. 11. 2025Povinná osoba při zajišťování aplikační bezpečnosti regulované služby

1. účinné od 1. 11. 2025a) zajistí bezodkladné aplikování schválených bezpečnostních aktualizací vydaných pro technická aktiva,
2. účinné od 1. 11. 2025b) u technických aktiv, která již nejsou výrobcem, dodavatelem nebo jinou osobou podporována
   1. účinné od 1. 11. 20251. vede jejich evidenci,
   2. účinné od 1. 11. 20252. zavede bezpečnostní opatření, která zaručí obdobnou nebo vyšší úroveň bezpečnosti, a
   3. účinné od 1. 11. 20253. omezí jejich komunikaci v komunikační síti na nezbytně nutnou,

1. účinné od 1. 11. 2025c) provádí pravidelné skenování zranitelností relevantních technických aktiv a aplikuje přiměřená bezpečnostní opatření na základě zjištěných výsledků.

§ 13

účinné od 1. 11. 2025Kryptografické algoritmy

účinné od 1. 11. 2025(1) Povinná osoba při zajištění bezpečnosti technických aktiv a jejich komunikace

1. účinné od 1. 11. 2025a) používá aktuálně odolné kryptografické algoritmy,
2. účinné od 1. 11. 2025b) prosazuje bezpečné nakládání s kryptografickými algoritmy a
3. účinné od 1. 11. 2025c) zohledňuje doporučení a metodiky v oblasti kryptografických algoritmů vydané Národním úřadem pro kybernetickou a informační bezpečnost.

účinné od 1. 11. 2025(2) Povinná osoba zajišťuje bezpečnou

1. účinné od 1. 11. 2025a) hlasovou, audiovizuální a textovou komunikaci, a to včetně e-mailové komunikace, a
2. účinné od 1. 11. 2025b) nouzovou komunikaci v rámci organizace.

§ 14

účinné od 1. 11. 2025(1) Povinná osoba pro potřeby vyhodnocení významnosti dopadu kybernetického bezpečnostního incidentu na poskytování regulované služby stanoví

1. účinné od 1. 11. 2025a) únosnou míru újmy způsobené kybernetickým bezpečnostním incidentem, v jehož důsledku ještě není ohrožen život nebo zdraví osob nebo schopnost povinné osoby dostát svým závazkům,
2. účinné od 1. 11. 2025b) oblasti pro posouzení významnosti dopadu kybernetických bezpečnostních incidentů zohledňující zejména
   1. účinné od 1. 11. 20251. provozní dopad kybernetického bezpečnostního incidentu na povinnou osobu a její schopnost poskytovat regulovanou službu,
   2. účinné od 1. 11. 20252. množství uživatelů regulované služby a jiných orgánů a osob zasažených kybernetickým bezpečnostním incidentem,
   3. účinné od 1. 11. 20253. časové, lidské a technické zdroje, které jsou potřebné k obnově poskytování zasažené regulované služby,
   4. účinné od 1. 11. 20254. typ a umístění aktiv dotčených kybernetickým bezpečnostním incidentem,
   5. účinné od 1. 11. 20255. citlivost informací a dat zasažených kybernetickým bezpečnostním incidentem a újmu, jakou může narušení bezpečnosti těchto informací a dat způsobit povinné osobě nebo jinému orgánu nebo osobě, a
   6. účinné od 1. 11. 20256. přímou příčinu kybernetického bezpečnostního incidentu, je-li povinné osobě známo, zda se jedná o lidskou chybu, technickou závadu nebo úmyslné jednání.

účinné od 1. 11. 2025(2) Dopad kybernetického bezpečnostního incidentu na poskytování regulované služby je považován za významný, pokud

1. účinné od 1. 11. 2025a) přesáhne povinnou osobou stanovenou únosnou míru újmy způsobenou kybernetickým bezpečnostním incidentem podle odstavce 1 písm. a) a současně
2. účinné od 1. 11. 2025b) je oblast pro posouzení významnosti dopadu podle odstavce 1 písm. b) posouzena jako významná.

§ 15

účinné od 1. 11. 2025Účinnost