Zákon o ochraně utajovaných informací a o bezpečnostní způsobilosti

§ 46

účinné od 1. 1. 2006Společná ustanovení

účinné od 1. 1. 2006(1) Certifikace je postup, jímž Úřad

1. účinné od 1. 1. 2006a) ověřuje způsobilost technického prostředku k ochraně utajovaných informací,
2. účinné od 1. 1. 2006b) ověřuje způsobilost informačního systému k nakládání s utajovanými informacemi,
3. účinné od 1. 1. 2006c) ověřuje způsobilost kryptografického prostředku k ochraně utajovaných informací,
4. účinné od 1. 1. 2006d) ověřuje způsobilost kryptografického pracoviště pro vykonávání činností podle § 37 odst. 6, nebo
5. účinné od 1. 1. 2006e) ověřuje způsobilost stínicí komory k ochraně utajovaných informací.

účinné od 1. 1. 2006(2) Zjistí-li Úřad způsobilost podle odstavce 1, certifikát technického prostředku, certifikát informačního systému, certifikát kryptografického prostředku, certifikát kryptografického pracoviště nebo certifikát stínicí komory vydá.

účinné od 1. 1. 2006(3) Certifikáty podle odstavce 2 jsou veřejnými listinami.

účinné od 1. 1. 2006(4) Certifikát technického prostředku obsahuje

1. účinné od 1. 1. 2006a) evidenční číslo certifikátu,
2. účinné od 1. 1. 2006b) název a typové označení technického prostředku,
3. účinné od 1. 1. 2006c) identifikaci výrobce technického prostředku obchodní firmou (dále jen „firma“) nebo názvem, identifikačním číslem a sídlem, jde-li o právnickou osobu, nebo jménem, příjmením, rodným číslem a místem trvalého pobytu, jde-li o osobu fyzickou,
4. účinné od 1. 1. 2006d) identifikaci držitele certifikátu technického prostředku podle písmene c),
5. účinné od 1. 1. 2006e) hodnocení technického prostředku,
6. účinné od 1. 1. 2006f) datum vydání a dobu platnosti certifikátu a
7. účinné od 1. 1. 2006g) otisk úředního razítka a podpis oprávněného zástupce Úřadu nebo v případě vydání tohoto certifikátu v elektronické podobě elektronický podpis oprávněného zástupce Úřadu podle zvláštního právního předpisu²²).

účinné od 1. 1. 2006(5) Certifikát informačního systému, certifikát kryptografického prostředku, certifikát kryptografického pracoviště a certifikát stínicí komory obsahuje

1. účinné od 1. 1. 2006a) evidenční číslo certifikátu,
2. účinné od 1. 1. 2006b) identifikaci držitele certifikátu podle odstavce 4 písm. c),
3. účinné od 1. 1. 2006c) datum vydání a dobu platnosti certifikátu a
4. účinné od 1. 1. 2006d) otisk úředního razítka Úřadu a podpis oprávněného zástupce Úřadu nebo v případě vydání těchto certifikátů v elektronické podobě elektronický podpis oprávněného zástupce Úřadu podle zvláštního právního předpisu²²).

účinné od 1. 1. 2006(6) Certifikát informačního systému vedle náležitostí podle odstavce 5 obsahuje stupeň utajení utajovaných informací, pro který byla způsobilost informačního systému ověřena.

účinné od 1. 1. 2006(7) Certifikát kryptografického prostředku vedle náležitostí podle odstavce 5 obsahuje

1. účinné od 1. 1. 2006a) identifikaci kryptografického prostředku,
2. účinné od 1. 1. 2006b) identifikaci výrobce kryptografického prostředku podle odstavce 4 písm. c) a
3. účinné od 1. 1. 2006c) stupeň utajení utajovaných informací, pro který byla způsobilost kryptografického prostředku schválena.

účinné od 1. 1. 2006(8) Certifikát kryptografického pracoviště vedle náležitostí podle odstavce 5 obsahuje

1. účinné od 1. 1. 2006a) identifikaci a specifikaci umístění kryptografického pracoviště a
2. účinné od 1. 1. 2006b) rozsah způsobilosti kryptografického pracoviště.

účinné od 1. 1. 2006(9) Certifikát stínicí komory vedle náležitostí podle odstavce 5 obsahuje

1. účinné od 1. 1. 2006a) identifikaci stínicí komory, pro kterou je vydáván,
2. účinné od 1. 1. 2006b) identifikaci výrobce stínicí komory podle odstavce 4 písm. c) a
3. účinné od 1. 1. 2006c) stupeň utajení utajovaných informací, pro který byla způsobilost stínicí komory schválena.

účinné od 1. 1. 2006(10) Není-li Úřadem zjištěna způsobilost podle odstavce 1, rozhodne o nevydání certifikátu. Proti rozhodnutí o nevydání certifikátu podle odstavce 1 písm. b) a c) není odvolání přípustné.

účinné od 1. 1. 2006(11) Úřad rozhoduje o zániku platnosti certifikátu v případech uvedených v § 47 odst. 4 písm. b), § 48 odst. 4 písm. d), § 49 odst. 5 písm. b), § 50 odst. 4 písm. d) a § 51 odst. 4 písm. d). Odvolání podané proti rozhodnutí Úřadu o zániku platnosti certifikátu nemá odkladný účinek. Proti rozhodnutí Úřadu o zániku platnosti certifikátu informačního systému a certifikátu kryptografického prostředku není odvolání přípustné.

účinné od 1. 1. 2006(12) Jestliže platnost certifikátu zanikla podle § 47 odst. 4 písm. b), § 48 odst. 4 písm. b) a d), § 49 odst. 5 písm. b), § 50 odst. 4 písm. b) a d) nebo § 51 odst. 4 písm. b) a d), je držitel certifikátu povinen do 5 dnů ode dne doručení oznámení Úřadu odevzdat certifikát Úřadu.

účinné od 1. 1. 2006(13) Přílohou certifikátu informačního systému, kryptografického prostředku, kryptografického pracoviště nebo stínicí komory je certifikační zpráva, která obsahuje zásady a podmínky jejich provozování. V příloze certifikátu technického prostředku mohou být stanoveny podmínky jeho používání.

účinné od 1. 1. 2006(14) Úřad ověřuje způsobilost technického prostředku podle odstavce 1 písm. a) na základě posudku vlastností technického prostředku (dále jen „posudek“).

účinné od 1. 1. 2006(15) K vydávání posudku podle odstavce 14 a k provádění dílčích úloh při ověřování způsobilosti podle odstavce 1 písm. b) až e) může Úřad uzavřít s orgánem státu nebo podnikatelem smlouvu podle § 52 o zajištění těchto činností; to neplatí, jde-li o ověřování způsobilosti informačního systému, kryptografického prostředku nebo pracoviště anebo stínicí komory, které mají být provozovány zpravodajskými službami.

účinné od 1. 1. 2006(16) Seznam orgánů státu a podnikatelů, s nimiž Úřad uzavřel smlouvu podle § 52, zveřejňuje Úřad ve Věstníku Úřadu.

účinné od 1. 1. 2006(17) K provádění dílčích úloh při ověřování způsobilosti podle odstavce 1 písm. b) až e), které z důvodu utajení nelze provést Úřadem, jde-li o informační systém, kryptografický prostředek, kryptografické pracoviště nebo stínicí komoru, které mají být provozovány zpravodajskými službami, jsou oprávněny tyto zpravodajské služby. V těchto případech zpravodajské služby předají Úřadu protokoly o provedení dílčích úloh, včetně jejich výsledků.

účinné od 1. 1. 2006(18) Při provádění dílčích úloh podle odstavce 17 jsou zpravodajské služby povinny dodržovat ustanovení tohoto zákona, prováděcích právních předpisů a bezpečnostních standardů Úřadu.

účinné od 1. 1. 2006(19) Účastníkem řízení o certifikaci nebo o zrušení platnosti certifikátu je žadatel podle § 47 odst. 1, § 48 odst. 1, § 49 odst. 1, § 50 odst. 1 a § 51 odst. 1.

§ 47

účinné od 1. 1. 2006Žádost o certifikaci technického prostředku a platnost certifikátu technického prostředku

účinné od 1. 1. 2006(1) O certifikaci technického prostředku písemně žádá u Úřadu výrobce, dovozce, distributor nebo uživatel technického prostředku. K žádosti se přiloží posudek podle § 46 odst. 14 a dokumentace nezbytná pro provedení certifikace technického prostředku.

účinné od 1. 1. 2006(2) Dobu platnosti certifikátu technického prostředku stanoví Úřad nejdéle na dobu 5 let.

účinné od 1. 1. 2006(3) Seznam certifikovaných technických prostředků, kromě technických prostředků certifikovaných na žádost uživatele technického prostředku, je zveřejňován ve Věstníku Úřadu.

účinné od 1. 1. 2006(4) Platnost certifikátu technického prostředku zaniká

1. účinné od 1. 1. 2006a) uplynutím doby jeho platnosti, nebo
2. účinné od 1. 1. 2006b) rozhodnutím Úřadu o zániku platnosti certifikátu v případě, že vyráběný technický prostředek nesplňuje požadavky tohoto zákona a prováděcích právních předpisů nebo není ve shodě s posuzovaným technickým prostředkem.

účinné od 1. 1. 2006(5) Zanikla-li platnost certifikátu technického prostředku podle odstavce 4, Úřad tento technický prostředek vyřadí ze seznamu zveřejňovaného podle odstavce 3.

účinné od 1. 1. 2006(6) Technický prostředek používaný k ochraně utajovaných informací lze nadále používat i po uplynutí doby platnosti jeho certifikátu.

účinné od 1. 1. 2006(7) Úřad může při certifikaci technického prostředku přihlédnout k certifikátu nebo obdobnému dokumentu technického prostředku vydanému oprávněným pracovištěm cizí moci.

§ 48

účinné od 1. 1. 2006Žádost o certifikaci informačního systému a platnost certifikátu informačního systému

účinné od 1. 1. 2006(1) O certifikaci informačního systému písemně žádá u Úřadu orgán státu nebo podnikatel, který bude informační systém provozovat.

účinné od 1. 1. 2006(2) Ten, kdo o certifikaci informačního systému podle odstavce 1 požádal, předkládá v průběhu certifikace na žádost Úřadu dokumentaci nezbytnou pro provedení certifikace.

účinné od 1. 1. 2006(3) Dobu platnosti certifikátu informačního systému stanoví Úřad. Platnost certifikátu informačního systému je pro stupeň utajení

1. účinné od 1. 1. 2006a) Přísně tajné a Tajné nejdéle 2 roky,
2. účinné od 1. 1. 2006b) Důvěrné nejdéle 3 roky a
3. účinné od 1. 1. 2006c) Vyhrazené nejdéle 5 let.

účinné od 1. 1. 2006(4) Platnost certifikátu informačního systému zaniká

1. účinné od 1. 1. 2006a) uplynutím doby jeho platnosti,
2. účinné od 1. 1. 2006b) zánikem platnosti osvědčení podnikatele,
3. účinné od 1. 1. 2006c) zrušením orgánu státu, nebo
4. účinné od 1. 1. 2006d) rozhodnutím Úřadu o zániku platnosti certifikátu, přestal-li být informační systém způsobilý k nakládání s utajovanými informacemi.

účinné od 1. 1. 2006(5) Má-li být informační systém používán i bezprostředně po uplynutí doby platnosti jeho certifikátu, je žadatel podle odstavce 1 povinen požádat Úřad o certifikaci informačního systému. Opakovaná žádost musí být Úřadu doručena nejméně 6 měsíců před uplynutím doby platnosti původního certifikátu informačního systému.

účinné od 1. 1. 2006(6) Úřad je povinen rozhodnout o certifikaci informačního systému do 1 roku od zahájení řízení o certifikaci, ve zvlášť složitých případech do 2 let; nelze-li vzhledem k povaze věci rozhodnout v této lhůtě, může ji přiměřeně prodloužit ředitel Úřadu, nejvýše však o 6 měsíců.

§ 49

účinné od 1. 1. 2006Žádost o certifikaci kryptografického prostředku a platnost certifikátu kryptografického prostředku

účinné od 1. 1. 2006(1) O certifikaci kryptografického prostředku písemně žádá u Úřadu výrobce, dovozce, distributor nebo uživatel kryptografického prostředku. Žádá-li o certifikaci kryptografického prostředku podnikatel, musí být držitelem platného osvědčení podnikatele pro přístup k utajované informaci podle § 20 odst. 1 písm. a).

účinné od 1. 1. 2006(2) Úřad žádost podle odstavce 1 rozhodnutím odmítne, není-li v souladu se záměry České republiky v oblasti zajišťování ochrany utajovaných informací kryptografickou ochranou. Proti rozhodnutí podle věty první není odvolání přípustné a nelze jej ani přezkoumat soudem.

účinné od 1. 1. 2006(3) Ten, kdo o certifikaci kryptografického prostředku podle odstavce 1 požádal, předkládá v průběhu certifikace na žádost Úřadu kryptografický prostředek v potřebném počtu a dokumentaci nezbytnou pro provedení certifikace.

účinné od 1. 1. 2006(4) Dobu platnosti certifikátu kryptografického prostředku stanoví Úřad na dobu nejdéle 5 let.

účinné od 1. 1. 2006(5) Platnost certifikátu kryptografického prostředku zaniká

1. účinné od 1. 1. 2006a) uplynutím doby jeho platnosti, nebo
2. účinné od 1. 1. 2006b) rozhodnutím Úřadu o zániku platnosti certifikátu, přestal-li být kryptografický prostředek způsobilý k ochraně utajovaných informací.

účinné od 1. 1. 2006(6) Má-li být kryptografický prostředek používán i bezprostředně po uplynutí doby platnosti jeho certifikátu, je žadatel podle odstavce 1 povinen požádat Úřad o certifikaci kryptografického prostředku. Opakovaná žádost musí být Úřadu doručena nejméně 6 měsíců před uplynutím doby platnosti původního certifikátu kryptografického prostředku.

účinné od 1. 1. 2006(7) Úřad může při certifikaci kryptografického prostředku přihlédnout k certifikátu nebo obdobnému dokumentu kryptografického prostředku vydanému oprávněným pracovištěm cizí moci.

účinné od 1. 1. 2006(8) Řízení o certifikaci kryptografického prostředku lze též přerušit současně s odesláním žádosti adresované zahraničnímu subjektu o informaci nezbytnou pro spolehlivé zjištění stavu věci.

účinné od 1. 1. 2006(9) Pro lhůty pro vydání rozhodnutí platí § 48 odst. 6.

§ 50

účinné od 1. 1. 2006Žádost o certifikaci kryptografického pracoviště a platnost certifikátu kryptografického pracoviště

účinné od 1. 1. 2006(1) O certifikaci kryptografického pracoviště písemně žádá u Úřadu orgán státu nebo podnikatel, u kterého má být kryptografické pracoviště provozováno. Žádá-li o certifikaci kryptografického pracoviště podnikatel, musí být držitelem platného osvědčení podnikatele.

účinné od 1. 1. 2006(2) Ten, kdo o certifikaci kryptografického pracoviště podle odstavce 1 požádal, předkládá v průběhu certifikace na žádost Úřadu dokumentaci nezbytnou pro provedení certifikace.

účinné od 1. 1. 2006(3) Dobu platnosti certifikátu kryptografického pracoviště stanoví Úřad na dobu nejdéle 3 let.

účinné od 1. 1. 2006(4) Platnost certifikátu kryptografického pracoviště zaniká

1. účinné od 1. 1. 2006a) uplynutím doby jeho platnosti,
2. účinné od 1. 1. 2006b) zánikem platnosti osvědčení podnikatele,
3. účinné od 1. 1. 2006c) zrušením orgánu státu, nebo
4. účinné od 1. 1. 2006d) rozhodnutím Úřadu o zániku platnosti certifikátu, přestalo-li být kryptografické pracoviště způsobilé pro vykonávání určených činností.

účinné od 1. 1. 2006(5) Má-li být kryptografické pracoviště využíváno i bezprostředně po uplynutí doby platnosti jeho certifikátu, je žadatel podle odstavce 1 povinen požádat Úřad o certifikaci kryptografického pracoviště. Opakovaná žádost musí být Úřadu doručena nejméně 6 měsíců před uplynutím doby platnosti původního certifikátu kryptografického pracoviště.

účinné od 1. 1. 2006(6) Úřad je povinen rozhodnout o certifikaci kryptografického pracoviště do 6 měsíců od zahájení řízení o certifikaci, ve zvlášť složitých případech do 1 roku; nelze-li vzhledem k povaze věci rozhodnout v této lhůtě, může ji přiměřeně prodloužit ředitel Úřadu, nejvýše však o 3 měsíce.

§ 51

účinné od 1. 1. 2006Žádost o certifikaci stínicí komory a platnost certifikátu stínicí komory

účinné od 1. 1. 2006(1) O certifikaci stínicí komory písemně žádá u Úřadu orgán státu nebo podnikatel, u kterého je stínicí komora používána.

účinné od 1. 1. 2006(2) Ten, kdo o certifikaci stínicí komory podle odstavce 1 požádal, předkládá v průběhu certifikace na žádost Úřadu dokumentaci nezbytnou pro provedení certifikace.

účinné od 1. 1. 2006(3) Dobu platnosti certifikátu stínicí komory stanoví Úřad na dobu nejdéle 5 let.

účinné od 1. 1. 2006(4) Platnost certifikátu stínicí komory zaniká

1. účinné od 1. 1. 2006a) uplynutím doby jeho platnosti,
2. účinné od 1. 1. 2006b) zánikem platnosti osvědčení podnikatele,
3. účinné od 1. 1. 2006c) zrušením orgánu státu, nebo
4. účinné od 1. 1. 2006d) rozhodnutím Úřadu o zániku platnosti certifikátu, přestala-li být stínicí komora způsobilá k ochraně utajovaných informací.

účinné od 1. 1. 2006(5) Má-li být stínicí komora používána i bezprostředně po uplynutí doby platnosti jejího certifikátu, je žadatel podle odstavce 1 povinen požádat Úřad o certifikaci stínicí komory. Opakovaná žádost musí být Úřadu doručena nejméně 12 měsíců před uplynutím doby platnosti původního certifikátu stínicí komory.

účinné od 1. 1. 2006(6) Pro lhůty pro vydání rozhodnutí platí § 50 odst. 6.

§ 52

účinné od 1. 1. 2006Smlouva o zajištění činnosti

účinné od 1. 1. 2006(1) Smlouva o zajištění činnosti (dále jen „smlouva“) uvedená v § 39 odst. 7, § 45 odst. 6 a § 46 odst. 15 se uzavírá na dobu určitou nebo neurčitou. Smlouva musí mít písemnou formu. Projev vůle účastníků smlouvy musí být na téže listině.

účinné od 1. 1. 2006(2) Smlouvu lze uzavřít s orgánem státu nebo podnikatelem na základě jejich písemné žádosti, a to pouze tehdy, budou-li činnosti, jež jsou předmětem smlouvy,

1. účinné od 1. 1. 2006a) prováděny odborně způsobilými zaměstnanci státu nebo podnikatele,
2. účinné od 1. 1. 2006b) zajištěny u orgánu státu nebo podnikatele organizačně, technicky a materiálně.

účinné od 1. 1. 2006(3) Smlouvu s podnikatelem lze dále uzavřít pouze tehdy, je-li

1. účinné od 1. 1. 2006a) jeho sídlo nebo místo podnikání na území České republiky,
2. účinné od 1. 1. 2006b) držitelem platného osvědčení podnikatele příslušného stupně utajení; tato podmínka neplatí, má-li být uzavřena smlouva k vydávání posudku uvedená v § 46 odst. 15.

účinné od 1. 1. 2006(4) Smlouva musí obsahovat

1. účinné od 1. 1. 2006a) označení účastníků smlouvy,
2. účinné od 1. 1. 2006b) vymezení předmětu smlouvy a jeho rozsahu,
3. účinné od 1. 1. 2006c) práva a povinnosti účastníků smlouvy,
4. účinné od 1. 1. 2006d) způsob kontroly prováděné Úřadem podle odstavce 6,
5. účinné od 1. 1. 2006e) způsob a podmínky odstoupení účastníků od smlouvy,
6. účinné od 1. 1. 2006f) souhlas se zveřejněním technického prostředku ve Věstníku Úřadu, jde-li o smlouvu k vydávání posudku uvedenou v § 46 odst. 15.

účinné od 1. 1. 2006(5) V podmínkách podle odstavce 4 písm. e) musí být též stanoveno, že Úřad odstoupí od smlouvy v případě, že druhý účastník smlouvy poruší povinnost stanovenou tímto zákonem, prováděcími právními předpisy nebo uzavřenou smlouvou.

účinné od 1. 1. 2006(6) Úřad kontroluje, zda druhý účastník smlouvy dodržuje ustanovení tohoto zákona, prováděcích právních předpisů a uzavřené smlouvy.

účinné od 1. 1. 2006(7) Změnit obsah smlouvy lze pouze písemnou dohodou účastníků smlouvy.

účinné od 1. 1. 2006(8) Smlouvu lze vypovědět pouze písemnou formou.

účinné od 1. 1. 2006(9) Nestanoví-li tento zákon jinak, použijí se v ostatním přiměřeně ustanovení obchodního zákoníku.

§ 53

účinné od 1. 1. 2006Zmocňovací ustanovení

účinné od 1. 1. 2006Prováděcí právní předpis stanoví

1. účinné od 1. 1. 2006a) náležitosti žádosti o certifikaci technického prostředku, certifikaci informačního systému, certifikaci kryptografického prostředku, certifikaci kryptografického pracoviště a certifikaci stínicí komory,
2. účinné od 1. 1. 2006b) náležitosti opakované žádosti o certifikaci informačního systému, certifikaci kryptografického prostředku, certifikaci kryptografického pracoviště a certifikaci stínicí komory,
3. účinné od 1. 1. 2006c) dokumentaci nezbytnou k provedení certifikace technického prostředku, certifikace informačního systému, certifikace kryptografického prostředku, certifikace kryptografického pracoviště a certifikace stínicí komory,
4. účinné od 1. 1. 2006d) vzory certifikátu technického prostředku, certifikátu informačního systému, certifikátu kryptografického prostředku, certifikátu kryptografického pracoviště a certifikátu stínicí komory,
5. účinné od 1. 1. 2006e) pravidla pro stanovení doby platnosti certifikátu technického prostředku,
6. účinné od 1. 1. 2006f) pravidla a způsob používání technického prostředku po uplynutí doby platnosti jeho certifikátu,
7. účinné od 1. 1. 2006g) způsob a podmínky provádění certifikace informačního systému, certifikace kryptografického prostředku, certifikace kryptografického pracoviště a certifikace stínicí komory a jejich opakování,
8. účinné od 1. 1. 2006h) obsah certifikační zprávy podle § 46 odst. 13,
9. účinné od 1. 1. 2006i) náležitosti žádosti o ověření způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím elektromagnetickým vyzařováním a způsob hodnocení jejich způsobilosti a
10. účinné od 1. 1. 2006j) náležitosti žádosti orgánu státu nebo podnikatele o uzavření smlouvy podle § 52.