Zákon o ochraně utajovaných informací a o bezpečnostní způsobilosti

§ 21

(1) Na informaci, která naplňuje znaky § 4 a je uvedena v seznamu utajovaných informací, je původce povinen vyznačit svůj název, stupeň jejího utajení, její evidenční označení a datum jejího vzniku, není-li dále stanoveno jinak.

(2) Na utajované informaci poskytnuté České republice cizí mocí vyznačí orgán státu, právnická osoba nebo podnikající fyzická osoba, pokud tuto utajovanou informaci evidují jako první (§ 77 až 79), stupeň utajení, který je uveden v § 4, a to v souladu s mezinárodní smlouvou, kterou je Česká republika vázána a na jejímž základě je utajovaná informace poskytována, včetně případné zkratky podle této smlouvy (například zkratka „EU“, „EURA“ nebo „NATO“), nebo v souladu s požadavkem cizí moci nebo se stupněm utajení cizí mocí na poskytnuté utajované informaci vyznačeným; název původce a datum vzniku utajované informace se nevyznačuje.

(3) Na utajované informaci, která vyžaduje zpřísněné podmínky při zajišťování jednotlivých druhů ochrany utajovaných informací (dále jen „zvláštní režim nakládání“) v oblastech stanovených zejména mezinárodní smlouvou, kterou je Česká republika vázána, nebo předpisy mezinárodní organizace, jíž je Česká republika členem, se vyznačí též příslušné doplňující označení (například označení „KRYPTO“, jde-li o utajovanou informaci z oblasti kryptografické ochrany, a označení „ATOMAL“, jde-li o utajovanou informaci z oblasti zbraní hromadného ničení).

(4) Nelze-li na informaci údaje podle odstavců 1 až 3 vyznačit, uvedou se tak, aby je bylo možné kdykoliv zjistit.

(5) Utajovaná informace se eviduje v administrativních pomůckách určených prováděcím právním předpisem; to neplatí, pokud u podkladových materiálů stupně utajení Vyhrazené k utajované informaci stupně utajení Vyhrazené odpovědná osoba stanoví, že se neevidují. V administrativních pomůckách se zaznamenává též předávání, přebírání nebo jiný pohyb utajované informace.

(6) Opis, kopie nebo překlad utajované informace stupně utajení Přísně tajné nebo výpis z ní mohou být vyhotoveny pouze na základě písemného souhlasu původce; jde-li o utajovanou informaci stupně utajení Tajné nebo Důvěrné, mohou být vyhotoveny pouze s písemným souhlasem přímo nadřízené osoby.

(7) Utajovanou informaci lze přepravovat nebo přenášet pouze v přenosných schránkách nebo v uzavřeném obalu v závislosti na jejím stupni utajení a na jejím nosiči; přepravovat ji lze pouze prostřednictvím kurýrní služby nebo držitele poštovní licence¹⁷).

(8) Převzetí utajované informace příjemce potvrdí, nestanoví-li tento zákon jinak (§ 23 odst. 1).

(9) Utajovanou informaci lze v průběhu její skartační lhůty, stanovené podle zvláštního právního předpisu¹⁸), zapůjčit pouze fyzickým osobám, které jsou k orgánu státu, právnické osobě nebo podnikající fyzické osobě ve služebním poměru nebo v pracovněprávním, členském či obdobném vztahu.

(10) Při vyřazování utajované informace ve skartačním řízení se postupuje podle zvláštního právního předpisu¹⁸).

§ 22

(1) Stupeň utajení se na utajované informaci vyznačí při jejím vzniku, nestanoví-li tento zákon jinak (§ 70).

(2) Vyznačení stupně utajení na utajované informaci musí být zachováno po celou dobu trvání důvodů utajení. Bez souhlasu původce nebo poskytující cizí moci nesmí být stupeň utajení změněn nebo zrušen.

(3) Vyžaduje-li to charakter utajované informace, musí původce vyznačit na utajované informaci dobu, po kterou bude informace utajována; stupeň utajení zaniká uplynutím vyznačené doby.

(4) Stupeň utajení původce neprodleně zruší nebo změní po zjištění, že pominul důvod pro utajení informace, důvody pro utajení neodpovídají stanovenému stupni utajení nebo byl-li stupeň utajení stanoven neoprávněně, a na utajované informaci toto zrušení nebo změnu jejího stupně utajení vyznačí.

(5) Původce je povinen prověřit, zda důvod pro utajení informace trvá, a to nejméně jednou za pět let ode dne jejího vzniku.

(6) Provedl-li původce zrušení nebo změnu stupně utajení podle odstavce 4, oznámí tuto skutečnost neprodleně písemně adresátům utajované informace. Adresáti utajované informace oznámí neprodleně písemně tuto skutečnost všem dalším adresátům, kterým utajovanou informaci zpřístupnili.

(7) Adresát po obdržení oznámení podle odstavce 6 na utajované informaci zrušení nebo změnu stupně utajení vyznačí.

(8) Zanikl-li původce, provede zrušení nebo změnu stupně utajení podle odstavce 4 a oznámení podle odstavce 6 jeho právní nástupce, a není-li jej, nebo nesplňuje-li právní nástupce podmínky přístupu k utajované informaci, Úřad.

§ 23

(1) Nejde-li o utajovanou informaci vyžadující zvláštní režim nakládání, nevztahuje se povinnost stanovená v § 21 odst. 8 na předávání utajované informace

1. a) do stupně utajení Tajné mezi zpravodajskými službami a obdobnými službami cizí moci, uskutečňované v rámci spolupráce podle zvláštního právního předpisu¹⁹) v případech, kdy postup podle § 21 odst. 8 nelze dodržet,
2. b) stupně utajení Vyhrazené, stanoví-li tak odpovědná osoba a nepožaduje-li výslovně cizí moc nebo původce utajované informace potvrzení jejího převzetí.

(2) Prováděcí právní předpis stanoví

1. a) způsob vyznačování náležitostí na utajované informaci podle § 21 odst. 1 až 4 a § 22 odst. 1, 3, 4 a 7, zejména ve vazbě na stupeň utajení utajované informace a nosič utajované informace,
2. b) druhy administrativních pomůcek uvedených v § 21 odst. 5, a to v podobě knih, sešitů nebo listů, jejich náležitosti a organizační a technické požadavky na jejich vedení, a rozsah podkladových materiálů stupně utajení Vyhrazené k utajované informaci stupně utajení Vyhrazené,
3. c) náležitosti souhlasu k pořizování opisu, kopie, výpisu a překladu utajované informace (§ 21 odst. 6), způsob vyznačování náležitostí na nich a způsob pořizování výpisu,
4. d) podrobnosti k přepravě, přenášení, převzetí a zapůjčování utajované informace podle § 21 odst. 7 až 9 a k další s tím související manipulaci s ní, včetně organizačního zajištění těchto činností, požadavků na přenosné schránky a obaly a vyznačování příslušných náležitostí na nich, a to zejména ve vazbě na stupeň utajení utajované informace a nosič utajované informace.

(3) Ustanovení této hlavy se nevztahují na zpracování a přenos utajovaných informací v informačních systémech a kryptografických prostředcích.

(4) Úřad vyhlašuje sdělením ve Sbírce zákonů převodní tabulky stupňů utajení podle mezinárodních smluv, kterými je Česká republika vázána.

§ 24

(1) Pro zabezpečení ochrany utajovaných informací v rámci fyzické bezpečnosti se určují objekty, zabezpečené oblasti a jednací oblasti.

(2) Objektem je budova nebo jiný ohraničený prostor, ve kterém se nachází zabezpečená oblast nebo jednací oblast.

(3) Zabezpečenou oblastí je ohraničený prostor v objektu.

(4) Jednací oblastí je ohraničený prostor v objektu. Utajovanou informaci stupně utajení Přísně tajné nebo Tajné lze pravidelně projednávat pouze v jednací oblasti.

(5) Utajovaná informace se zpracovává

1. a) v zabezpečených oblastech,
2. b) v objektu mimo zabezpečenou oblast, pokud je zajištěno, že k utajované informaci nemá přístup neoprávněná osoba, nebo
3. c) v odůvodněných případech s písemným souhlasem odpovědné osoby nebo bezpečnostního ředitele mimo objekt, pokud je zajištěno, že k utajované informaci nemá přístup neoprávněná osoba.

(6) Utajovaná informace se ukládá v zabezpečené oblasti a v ní popřípadě v trezoru, uzamykatelné skříni nebo jiné schránce za podmínek stanovených prováděcím právním předpisem.

§ 25

(1) Zabezpečené oblasti se podle nejvyššího stupně utajení utajované informace, která se v nich ukládá, zařazují do kategorií

1. a) Přísně tajné,
2. b) Tajné,
3. c) Důvěrné, nebo
4. d) Vyhrazené.

(2) Zabezpečené oblasti se podle možnosti přístupu k utajované informaci zařazují do tříd

1. a) třída I, kdy vstupem do této oblasti dochází k seznámení s utajovanou informací,
2. b) třída II, kdy vstupem do této oblasti nedochází k seznámení s utajovanou informací.

(3) Vstup do zabezpečené oblasti a výstup z ní musí být kontrolovány opatřeními podle § 27. Neoprávněná osoba může vstoupit pouze do zabezpečené oblasti třídy II, a to s osobou, která má do této oblasti vstup povolen.

§ 26

Projednávání utajovaných informací

(1) Odpovědná osoba je povinna zajistit, aby v jednací oblasti podle § 24 odst. 4 nedocházelo k ohrožení nebo úniku projednávaných utajovaných informací.

(2) Ke splnění povinnosti podle odstavce 1 je odpovědná osoba povinna požádat Úřad o provedení kontroly, zda v jednací oblasti nedochází k nedovolenému použití technických prostředků určených k získávání informací. Tuto kontrolu Úřad zajistí v součinnosti se zpravodajskými službami a Policií České republiky (dále jen „policie“). Pro své potřeby si zpravodajské služby a policie kontrolu provádějí samy.

(3) Vstup do jednací oblasti a výstup z ní musí být kontrolován opatřeními podle § 27. Neoprávněná osoba může vstoupit do jednací oblasti pouze s osobou, která má do této oblasti vstup povolen.

§ 27

Opatřeními fyzické bezpečnosti jsou

1. a) ostraha,
2. b) režimová opatření,
3. c) technické prostředky.

§ 28

(1) Ostraha se nepřetržitě zajišťuje u objektu, ve kterém se nachází zabezpečená oblast kategorie

1. a) Přísně tajné, nejméně 2 osobami u objektu,
2. b) Tajné, nejméně 1 osobou u objektu a 1 další osobou, které kombinace opatření podle § 30 odst. 1 písm. b), c) a f) umožní rychlý zásah, je-li provádění ochrany utajovaných informací narušeno,
3. c) Důvěrné, nejméně 1 osobou, které kombinace opatření podle § 30 odst. 1 písm. b) a c) umožní rychlý zásah, je-li provádění ochrany utajovaných informací narušeno.

(2) U objektu, ve kterém se nachází zabezpečená oblast nejvýše kategorie Vyhrazené, se ostraha zajišťuje v rozsahu stanoveném odpovědnou osobou.

(3) U objektu, ve kterém se nachází jednací oblast, v níž se pravidelně projednávají utajované informace stupně utajení Přísně tajné, se ostraha zajišťuje nejméně 2 osobami u objektu; u objektu, ve kterém se nachází jednací oblast, v níž se pravidelně projednávají utajované informace stupně utajení Tajné, nejméně 1 osobou u objektu a 1 další osobou, které kombinace opatření podle § 30 odst. 1 písm. b), c), d) a f) umožní rychlý zásah, je-li provádění ochrany utajovaných informací narušeno.

(4) Ostraha se zabezpečuje zaměstnanci orgánu státu, právnické osoby nebo podnikající fyzické osoby, o jejichž objekt jde, příslušníky ozbrojených sil nebo ozbrojených sborů nebo příslušníky ozbrojených sil cizí moci anebo zaměstnanci bezpečnostní ochranné služby.

§ 29

Režimová opatření stanoví oprávnění osob a dopravních prostředků pro vstup a vjezd do objektu, oprávnění osob pro vstup do zabezpečené oblasti a jednací oblasti a způsob kontroly těchto oprávnění a dále způsob manipulace s klíči a identifikačními prostředky, které se používají pro systémy zabezpečení vstupů podle § 30 odst. 1 písm. b), a způsob manipulace s technickými prostředky a jejich používání. Režimová opatření stanoví též oprávnění při výstupu osob a výjezdu dopravních prostředků z objektu a pro jejich kontrolu, podmínky a způsob kontroly pohybu osob v objektu, zabezpečené oblasti a jednací oblasti a způsob kontroly a vynášení utajovaných informací z objektu, zabezpečené oblasti a jednací oblasti.

§ 30

(1) Technickými prostředky jsou zejména

1. a) mechanické zábranné prostředky,
2. b) elektrická zámková zařízení a systémy pro kontrolu vstupů,
3. c) zařízení elektrické zabezpečovací signalizace,
4. d) speciální televizní systémy,
5. e) tísňové systémy,
6. f) zařízení elektrické požární signalizace,
7. g) zařízení sloužící k vyhledávání nebezpečných látek nebo předmětů,
8. h) zařízení fyzického ničení nosičů informací,
9. i) zařízení proti pasivnímu a aktivnímu odposlechu utajované informace.

(2) Bodové ohodnocení (§ 31 odst. 1) se přiřazuje certifikovaným technickým prostředkům [§ 46 odst. 1 písm. a)] a odpovědnou osobou schváleným necertifikovaným technickým prostředkům.

(3) Technické prostředky uvedené v odstavci 1 lze v případě účasti České republiky v mezinárodním ozbrojeném konfliktu, mezinárodní záchranné nebo humanitární akci, v dalších zahraničních misích, v případě vyhlášení válečného stavu, v případě stavu nebezpečí, nouzového stavu nebo stavu ohrožení státu²⁰) a při činnostech ozbrojených sil České republiky v rámci vojenského cvičení a praktického vojenského výcviku s vojenskou technikou a vojenskou výzbrojí mimo místa stálé dislokace vojenského útvaru nahradit zvýšenou ostrahou, než jaká je uvedena v § 28, prováděnou příslušníky ozbrojených sil nebo ozbrojených sborů na základě zvláštních právních předpisů²¹) anebo příslušníky ozbrojených sil cizí moci.

§ 31

(1) Míra zabezpečení jednací oblasti a zabezpečené oblasti opatřeními fyzické bezpečnosti se určuje pomocí bodových hodnot těchto opatření v závislosti na vyhodnocení rizik; bodové hodnoty a nejnižší míra zabezpečení jsou stanoveny prováděcím právním předpisem.

(2) Opatření fyzické bezpečnosti nebo kombinace více těchto opatření musí odpovídat alespoň nejnižší míře zabezpečení jednací oblasti nebo zabezpečené oblasti a stanoví se v závislosti na vyhodnocení rizik a na stupni utajení utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, nebo na kategorii zabezpečené oblasti.

(3) Opatření podle odstavce 2 stanoví odpovědná osoba v projektu fyzické bezpečnosti.

(4) Hodnocení rizik musí být prováděno průběžně a v případě potřeby musí být míra opatření fyzické bezpečnosti upravena.

(5) Orgán státu, právnická osoba a podnikající fyzická osoba jsou povinni zajistit a pravidelně ověřovat, zda použitá opatření fyzické bezpečnosti odpovídají projektu fyzické bezpečnosti a právním předpisům v oblasti ochrany utajovaných informací.

§ 32

Projekt fyzické bezpečnosti

(1) Projekt fyzické bezpečnosti v případech, kdy se v objektu nacházejí zabezpečené oblasti kategorie Přísně tajné, Tajné nebo Důvěrné, obsahuje

1. a) určení objektu a zabezpečených oblastí, včetně jejich hranic a určení kategorií a tříd zabezpečených oblastí,
2. b) vyhodnocení rizik,
3. c) způsob použití opatření fyzické bezpečnosti,
4. d) provozní řád objektu a
5. e) plán zabezpečení objektu a zabezpečených oblastí v krizových situacích.

(2) Projekt fyzické bezpečnosti v případech, kdy se v objektu nachází zabezpečená oblast pouze kategorie Vyhrazené, obsahuje

1. a) určení objektu a zabezpečených oblastí, včetně jejich hranic a určení kategorií a tříd zabezpečených oblastí a
2. b) způsob použití opatření fyzické bezpečnosti.

(3) Projekt fyzické bezpečnosti v případech, kdy se v objektu nachází jednací oblast, obsahuje

1. a) určení objektu a jednací oblasti, včetně jejich hranic,
2. b) vyhodnocení rizik,
3. c) způsob použití opatření fyzické bezpečnosti,
4. d) provozní řád objektu a
5. e) plán zabezpečení objektu a jednací oblasti v krizových situacích.

(4) Projekt fyzické bezpečnosti se ukládá u odpovědné osoby nebo bezpečnostního ředitele.

§ 33

Zmocňovací ustanovení

Prováděcí právní předpis stanoví

1. a) způsob ukládání utajovaných informací v závislosti na stupni jejich utajení (§ 24 odst. 6),
2. b) organizační požadavky na provádění ostrahy (§ 28) a zabezpečení jednací oblasti nebo zabezpečené oblasti touto ostrahou, včetně určení kategorie osob uvedených v § 28 odst. 4, a to v závislosti na stupni utajení utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, nebo na kategorii zabezpečené oblasti,
3. c) podrobnosti režimových opatření (§ 29),
4. d) požadavky na technické prostředky, uvedené v § 30 odst. 1, a zabezpečení jednací oblasti nebo zabezpečené oblasti těmito prostředky, v závislosti na stupni utajení utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, nebo na kategorii zabezpečené oblasti,
5. e) bodové ohodnocení jednotlivých opatření fyzické bezpečnosti a bodovou hodnotu nejnižší míry zabezpečení jednací oblasti nebo zabezpečené oblasti, včetně základní metody hodnocení rizik (§ 31 odst. 1 a 2),
6. f) četnost a způsob zápisu o ověřování, zda použitá opatření fyzické bezpečnosti odpovídají projektu fyzické bezpečnosti a právním předpisům v oblasti ochrany utajovaných informací, v závislosti na stupni utajení utajovaných informací (§ 31 odst. 5),
7. g) obsah provozního řádu objektu a plánu zabezpečení objektů, zabezpečených oblastí a jednacích oblastí v krizových situacích [§ 32 odst. 1 písm. d) a e) a § 32 odst. 3 písm. d) a e)].

§ 34

Informační systém

(1) Informačním systémem nakládajícím s utajovanými informacemi se pro účely tohoto zákona rozumí jeden nebo více počítačů, jejich programové vybavení, k tomu patřící periferní zařízení, správa tohoto informačního systému a k tomuto systému se vztahující procesy nebo prostředky schopné provádět sběr, tvorbu, zpracování, ukládání, zobrazení nebo přenos utajovaných informací (dále jen „informační systém“).

(2) Informační systém musí být certifikován Úřadem [§ 46 odst. 1 písm. b)] a písemně schválen do provozu odpovědnou osobou.

(3) Nakládat s utajovanou informací lze pouze v informačním systému splňujícím podmínky podle odstavce 2.

(4) Schválení informačního systému do provozu podle odstavce 2 musí odpovědná osoba písemně oznámit Úřadu do 30 dnů od tohoto schválení.

(5) Prováděcí právní předpis stanoví

1. a) požadavky na informační systém a podmínky jeho bezpečného provozování v závislosti na stupni utajení utajovaných informací, s nimiž nakládá, a na bezpečnostním provozním módu a
2. b) obsah bezpečnostní dokumentace informačního systému.

§ 35

Komunikační systém

(1) Komunikačním systémem nakládajícím s utajovanými informacemi (dále jen „komunikační systém“) se pro účely tohoto zákona rozumí systém zajišťující přenos těchto informací mezi koncovými uživateli a zahrnující koncové komunikační zařízení, přenosové prostředí, kryptografické prostředky, obsluhu a provozní podmínky a postupy.

(2) Komunikační systém nelze provozovat bez projektu bezpečnosti komunikačního systému schváleného Úřadem. O schválení projektu bezpečnosti komunikačního systému písemně žádá u Úřadu orgán státu, právnická osoba nebo podnikající fyzická osoba, která jej bude provozovat.

(3) Nakládat s utajovanou informací lze pouze v komunikačním systému splňujícím podmínky podle odstavce 2.

(4) Projekt bezpečnosti komunikačního systému obsahuje

1. a) bezpečnostní politiku komunikačního systému,
2. b) organizační a provozní postupy provozování komunikačního systému,
3. c) provozní směrnice pro bezpečnostní správu komunikačního systému a
4. d) provozní směrnice uživatele komunikačního systému.

(5) Prováděcí právní předpis stanoví

1. a) obsah žádosti o schválení projektu bezpečnosti komunikačního systému a
2. b) náležitosti projektu bezpečnosti komunikačního systému a způsob a podmínky jeho schvalování.

§ 36

(1) Při zpracování utajované informace v elektronické podobě v kopírovacím zařízení, zobrazovacím zařízení nebo psacím stroji s pamětí, které nejsou součástí informačního nebo komunikačního systému, musí být zajištěna ochrana této utajované informace.

(2) Orgán státu, právnická osoba a podnikající fyzická osoba jsou povinni v případech podle odstavce 1 zpracovat bezpečnostní provozní směrnici kopírovacího zařízení, zobrazovacího zařízení nebo psacího stroje s pamětí.

(3) Zpracovávat utajovanou informaci v zařízeních podle odstavce 1 lze pouze v souladu s jejich bezpečnostní provozní směrnicí.

(4) V bezpečnostní provozní směrnici podle odstavce 2 jsou uvedeny

1. a) způsob provozování kopírovacího zařízení, zobrazovacího zařízení nebo psacího stroje s pamětí a
2. b) provozní směrnice uživatele kopírovacího zařízení, zobrazovacího zařízení nebo psacího stroje s pamětí.

(5) Prováděcí právní předpis stanoví podmínky bezpečného provozování kopírovacího zařízení, zobrazovacího zařízení nebo psacího stroje s pamětí v závislosti na stupni utajení utajovaných informací.