Zákon o ochraně utajovaných informací a o bezpečnostní způsobilosti

§ 24

(1) Pro zabezpečení ochrany utajovaných informací v rámci fyzické bezpečnosti se určují objekty, zabezpečené oblasti a jednací oblasti.

(2) Objektem je budova nebo jiný ohraničený prostor, ve kterém se zpravidla nachází zabezpečená oblast nebo jednací oblast.

(3) Zabezpečenou oblastí je ohraničený prostor v objektu.

(4) Jednací oblastí je ohraničený prostor v objektu. Utajovanou informaci stupně utajení Přísně tajné nebo Tajné lze pravidelně projednávat pouze v jednací oblasti.

(5) Utajovaná informace se zpracovává

1. a) v zabezpečené oblasti příslušné kategorie nebo vyšší,
2. b) v objektu příslušné kategorie nebo vyšší, pokud je zajištěno, že k utajované informaci nemá přístup neoprávněná osoba,
3. c) v odůvodněných případech s písemným souhlasem odpovědné osoby nebo bezpečnostního ředitele v objektu jiné kategorie, než je stupeň utajení zpracovávané utajované informace, pokud je zajištěno, že k utajované informaci nemá přístup neoprávněná osoba, nebo
4. d) v odůvodněných případech s písemným souhlasem odpovědné osoby nebo bezpečnostního ředitele mimo objekt, pokud je zajištěno, že k utajované informaci nemá přístup neoprávněná osoba.

(6) Utajovaná informace se ukládá v zabezpečené oblasti příslušné kategorie nebo vyšší a v ní popřípadě v trezoru, uzamykatelné skříni nebo jiné schránce za podmínek stanovených prováděcím právním předpisem.

§ 25

(1) Zabezpečené oblasti se podle nejvyššího stupně utajení utajované informace, která se v nich ukládá, a objekty se podle nejvyššího stupně utajení utajované informace, která se v nich zpracovává, zařazují do kategorií

1. a) Přísně tajné,
2. b) Tajné,
3. c) Důvěrné, nebo
4. d) Vyhrazené.

(2) Zabezpečené oblasti se podle možnosti přístupu k utajované informaci zařazují do tříd

1. a) třída I, kdy vstupem do této oblasti dochází k seznámení s utajovanou informací,
2. b) třída II, kdy vstupem do této oblasti nedochází k seznámení s utajovanou informací.

(3) Vstup do zabezpečené oblasti a výstup z ní musí být kontrolovány opatřeními podle § 27. Neoprávněná osoba může vstoupit pouze do zabezpečené oblasti třídy II, a to s osobou, která má do této oblasti vstup povolen.

(4) V odůvodněných případech s písemným souhlasem odpovědné osoby nebo jí pověřené osoby lze na dobu nezbytně nutnou změnit třídu I na třídu II, pokud je zajištěno, že k utajované informaci nemá přístup neoprávněná osoba.

§ 26

Projednávání utajovaných informací

(1) Odpovědná osoba je povinna zajistit, aby v jednací oblasti podle § 24 odst. 4 nedocházelo k ohrožení nebo úniku projednávaných utajovaných informací.

(2) Ke splnění povinnosti podle odstavce 1 je odpovědná osoba povinna požádat Úřad o provedení kontroly, zda v jednací oblasti nedochází k nedovolenému použití technických prostředků určených k získávání informací; o provedení této kontroly může odpovědná osoba požádat rovněž u zabezpečené oblasti kategorie Tajné nebo Přísně tajné. Tuto kontrolu Úřad zajistí v součinnosti se zpravodajskými službami a Policií České republiky (dále jen „policie“). Pro své potřeby si zpravodajské služby a policie kontrolu provádějí samy.

(3) Vstup do jednací oblasti a výstup z ní musí být kontrolován opatřeními podle § 27. Neoprávněná osoba může vstoupit do jednací oblasti pouze s osobou, která má do této oblasti vstup povolen.

§ 27

Opatřeními fyzické bezpečnosti jsou

1. a) ostraha,
2. b) režimová opatření,
3. c) technické prostředky.

§ 28

(1) Ostraha se nepřetržitě zajišťuje u objektu, ve kterém se nachází zabezpečená oblast kategorie

1. a) Přísně tajné, nejméně 2 osobami u objektu,
2. b) Tajné, nejméně 1 osobou u objektu a 1 další osobou, které poplachové hlášení technických prostředků umožní rychlý zásah, je-li provádění ochrany utajovaných informací narušeno,
3. c) Důvěrné, nejméně 1 osobou, které poplachové hlášení technických prostředků umožní rychlý zásah, je-li provádění ochrany utajovaných informací narušeno.

(2) U objektu, ve kterém se nachází zabezpečená oblast nejvýše kategorie Vyhrazené, a u objektu bez zabezpečené oblasti nebo jednací oblasti, se ostraha zajišťuje v rozsahu stanoveném odpovědnou osobou.

(3) U objektu, ve kterém se nachází jednací oblast, v níž se pravidelně projednávají utajované informace stupně utajení Přísně tajné, se ostraha zajišťuje nejméně 2 osobami u objektu; u objektu, ve kterém se nachází jednací oblast, v níž se pravidelně projednávají utajované informace stupně utajení Tajné, nejméně 1 osobou u objektu a 1 další osobou, které poplachové hlášení technických prostředků umožní rychlý zásah, je-li provádění ochrany utajovaných informací narušeno.

(4) Ostraha se zabezpečuje zaměstnanci orgánu státu, právnické osoby nebo podnikající fyzické osoby, o jejichž objekt jde, příslušníky ozbrojených sil nebo ozbrojených bezpečnostních sborů nebo příslušníky ozbrojených sil cizí moci anebo zaměstnanci bezpečnostní ochranné služby.

§ 29

Režimová opatření stanoví oprávnění osob a dopravních prostředků pro vstup a vjezd do objektu, oprávnění osob pro vstup do zabezpečené oblasti a jednací oblasti a způsob kontroly těchto oprávnění a dále způsob manipulace s klíči a identifikačními prostředky, které se používají pro systémy zabezpečení vstupů podle § 30 odst. 1 písm. b), a způsob manipulace s technickými prostředky a jejich používání. Režimová opatření stanoví též oprávnění při výstupu osob a výjezdu dopravních prostředků z objektu a pro jejich kontrolu, podmínky a způsob kontroly pohybu osob v objektu, zabezpečené oblasti a jednací oblasti a způsob kontroly a vynášení utajovaných informací z objektu, zabezpečené oblasti a jednací oblasti.

§ 30

(1) Technickými prostředky jsou zejména

1. a) mechanické zábranné prostředky,
2. b) elektrická zámková zařízení a systémy pro kontrolu vstupů,
3. c) zařízení elektrické zabezpečovací signalizace,
4. d) speciální televizní systémy,
5. e) tísňové systémy,
6. f) zařízení elektrické požární signalizace,
7. g) zařízení sloužící k vyhledávání nebezpečných látek nebo předmětů,
8. h) zařízení fyzického ničení nosičů informací,
9. i) zařízení proti pasivnímu a aktivnímu odposlechu utajované informace.

(2) Bodové ohodnocení (§ 31 odst. 1) se přiřazuje certifikovaným technickým prostředkům [§ 46 odst. 1 písm. a)] a odpovědnou osobou nebo jí pověřenou osobou schváleným necertifikovaným technickým prostředkům.

(3) Technické prostředky uvedené v odstavci 1 lze v případě účasti České republiky v mezinárodním ozbrojeném konfliktu, mezinárodní záchranné nebo humanitární akci, v dalších zahraničních misích, v případě vyhlášení válečného stavu, v případě stavu nebezpečí, nouzového stavu nebo stavu ohrožení státu²⁰), v případě zpravodajských operací zpravodajských služeb a při činnostech ozbrojených sil České republiky v rámci vojenského cvičení a praktického vojenského výcviku s vojenskou technikou a vojenskou výzbrojí mimo místa stálé dislokace vojenského útvaru nahradit zvýšenou ostrahou, než jaká je uvedena v § 28, prováděnou příslušníky ozbrojených sil nebo ozbrojených bezpečnostních sborů na základě zvláštních právních předpisů²¹) anebo příslušníky ozbrojených sil cizí moci.

§ 31

(1) Míra zabezpečení jednací oblasti a zabezpečené oblasti opatřeními fyzické bezpečnosti se určuje pomocí bodových hodnot těchto opatření v závislosti na vyhodnocení rizik; bodové hodnoty a nejnižší míra zabezpečení jsou stanoveny prováděcím právním předpisem.

(2) Opatření fyzické bezpečnosti nebo kombinace více těchto opatření musí odpovídat alespoň nejnižší míře zabezpečení jednací oblasti nebo zabezpečené oblasti a stanoví se v závislosti na vyhodnocení rizik a na stupni utajení utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, nebo na kategorii zabezpečené oblasti.

(3) Opatření podle odstavce 2 a opatření fyzické bezpečnosti objektu bez zabezpečené oblasti nebo jednací oblasti schvaluje a stanoví odpovědná osoba nebo jí pověřená osoba v projektu fyzické bezpečnosti.

(4) Hodnocení rizik musí být prováděno průběžně a v případě potřeby musí být míra opatření fyzické bezpečnosti upravena.

(5) Orgán státu, právnická osoba a podnikající fyzická osoba jsou povinni zajistit a pravidelně ověřovat, zda použitá opatření fyzické bezpečnosti odpovídají projektu fyzické bezpečnosti a právním předpisům v oblasti ochrany utajovaných informací.

§ 32

Projekt fyzické bezpečnosti

(1) Projekt fyzické bezpečnosti v případech, kdy se v objektu nacházejí zabezpečené oblasti kategorie Přísně tajné, Tajné nebo Důvěrné, obsahuje

1. a) určení objektu a zabezpečených oblastí, včetně jejich hranic a určení kategorií a tříd zabezpečených oblastí,
2. b) vyhodnocení rizik,
3. c) způsob použití opatření fyzické bezpečnosti,
4. d) provozní řád objektu a
5. e) plán zabezpečení objektu a zabezpečených oblastí v krizových situacích.

(2) Projekt fyzické bezpečnosti v případech, kdy se v objektu nachází zabezpečená oblast pouze kategorie Vyhrazené, obsahuje

1. a) určení objektu a zabezpečených oblastí, včetně jejich hranic a určení kategorií a tříd zabezpečených oblastí a
2. b) způsob použití opatření fyzické bezpečnosti.

(3) Projekt fyzické bezpečnosti v případech, kdy se v objektu nachází jednací oblast, obsahuje

1. a) určení objektu a jednací oblasti, včetně jejich hranic,
2. b) vyhodnocení rizik,
3. c) způsob použití opatření fyzické bezpečnosti,
4. d) provozní řád objektu a
5. e) plán zabezpečení objektu a jednací oblasti v krizových situacích.

(4) Projekt fyzické bezpečnosti objektu kategorie Přísně tajné, Tajné a Důvěrné bez zabezpečené oblasti nebo jednací oblasti obsahuje

1. a) určení objektu včetně jeho hranic,
2. b) způsob použití opatření fyzické bezpečnosti,
3. c) provozní řád objektu a
4. d) plán zabezpečení objektu v krizových situacích.

(5) Projekt fyzické bezpečnosti objektu kategorie Vyhrazené bez zabezpečené oblasti obsahuje určení objektu včetně jeho hranic.

(6) Na projekt fyzické bezpečnosti se v případech podle § 30 odst. 3 použijí ustanovení odstavců 1 až 5 přiměřeně; rozsah projektu schvaluje a stanoví odpovědná osoba nebo jí pověřená osoba.

(7) Projekt fyzické bezpečnosti se ukládá u odpovědné osoby nebo bezpečnostního ředitele.

§ 33

Zmocňovací ustanovení

Prováděcí právní předpis stanoví

1. a) způsob ukládání utajovaných informací v závislosti na stupni jejich utajení (§ 24 odst. 6),
2. b) organizační požadavky na provádění ostrahy (§ 28) a zabezpečení jednací oblasti nebo zabezpečené oblasti touto ostrahou, včetně určení kategorie osob uvedených v § 28 odst. 4, a to v závislosti na stupni utajení utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, na kategorii objektu, nebo na kategorii zabezpečené oblasti,
3. c) podrobnosti režimových opatření (§ 29),
4. d) požadavky na technické prostředky, uvedené v § 30 odst. 1, a zabezpečení objektů, jednací oblasti nebo zabezpečené oblasti těmito prostředky, v závislosti na stupni utajení utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, nebo na kategorii zabezpečené oblasti, anebo na kategorii objektu,
5. e) bodové ohodnocení jednotlivých opatření fyzické bezpečnosti a bodovou hodnotu nejnižší míry zabezpečení jednací oblasti nebo zabezpečené oblasti, včetně základní metody hodnocení rizik (§ 31 odst. 1 a 2),
6. f) četnost a způsob zápisu o ověřování, zda použitá opatření fyzické bezpečnosti odpovídají projektu fyzické bezpečnosti a právním předpisům v oblasti ochrany utajovaných informací, v závislosti na stupni utajení utajovaných informací (§ 31 odst. 5),
7. g) obsah provozního řádu objektu a plánu zabezpečení objektů, zabezpečených oblastí a jednacích oblastí v krizových situacích [§ 32 odst. 1 písm. d) a e) a § 32 odst. 3 písm. d) a e)].

§ 33a

Státní správu v oblasti ochrany utajovaných informací podle této hlavy vykonává Národní úřad pro kybernetickou a informační bezpečnost, pokud tento zákon nestanoví jinak.

§ 34

Informační systém

(1) Informačním systémem nakládajícím s utajovanými informacemi se pro účely tohoto zákona rozumí jeden nebo více počítačů, jejich programové vybavení, k tomu patřící periferní zařízení, správa tohoto informačního systému a k tomuto systému se vztahující procesy nebo prostředky schopné provádět sběr, tvorbu, zpracování, ukládání, zobrazení nebo přenos utajovaných informací (dále jen „informační systém“).

(2) Informační systém musí být certifikován Národním úřadem pro kybernetickou a informační bezpečnost [§ 46 odst. 1 písm. b)] a písemně schválen do provozu odpovědnou osobou nebo jí pověřenou osobou.

(3) Informační systém podnikatele, který má přístup k utajovaným informacím stupně utajení Vyhrazené, může být schválen do provozu jen v době platnosti prohlášení podnikatele; zánikem platnosti prohlášení podnikatele zaniká též schválení informačního systému do provozu.

(4) Nakládat s utajovanou informací lze pouze v informačním systému splňujícím podmínky podle odstavce 2 nebo 3.

(5) Schválení informačního systému do provozu podle odstavce 2 musí odpovědná osoba nebo jí pověřená osoba písemně oznámit Národnímu úřadu pro kybernetickou a informační bezpečnost do 30 dnů od tohoto schválení.

(6) Prováděcí právní předpis stanoví

1. a) požadavky na informační systém a podmínky jeho bezpečného provozování v závislosti na stupni utajení utajovaných informací, s nimiž nakládá, a na bezpečnostním provozním módu a
2. b) obsah bezpečnostní dokumentace informačního systému.

§ 35

Komunikační systém

(1) Komunikačním systémem nakládajícím s utajovanými informacemi (dále jen „komunikační systém“) se pro účely tohoto zákona rozumí systém zajišťující přenos těchto informací mezi koncovými uživateli a zahrnující koncové komunikační zařízení, přenosové prostředí, kryptografické prostředky, obsluhu a provozní podmínky a postupy.

(2) Komunikační systém nelze provozovat bez projektu bezpečnosti komunikačního systému schváleného Národním úřadem pro kybernetickou a informační bezpečnost. O schválení projektu bezpečnosti komunikačního systému písemně žádá u Národního úřadu pro kybernetickou a informační bezpečnost orgán státu, právnická osoba nebo podnikající fyzická osoba, která jej bude provozovat.

(3) Nakládat s utajovanou informací lze pouze v komunikačním systému splňujícím podmínky podle odstavce 2.

(4) Komunikační systém musí být písemně schválen do provozu odpovědnou osobou nebo jí pověřenou osobou.

(5) Komunikační systém podnikatele, který má přístup k utajovaným informacím stupně utajení Vyhrazené, může být schválen do provozu jen v době platnosti prohlášení podnikatele; zánikem platnosti prohlášení podnikatele zaniká též schválení komunikačního systému do provozu.

(6) Prováděcí právní předpis stanoví

1. a) obsah žádosti o schválení projektu bezpečnosti komunikačního systému a
2. b) náležitosti projektu bezpečnosti komunikačního systému a způsob a podmínky jeho schvalování.

§ 35a

Manipulace s taktickou informací

(1) Taktickou informací se pro účely tohoto zákona rozumí utajovaná informace s krátkou dobou trvání důvodu utajení. Taktická informace se zpracovává v informačním nebo komunikačním systému a při přenosu se chrání kryptografickou ochranou.

(2) Ochrana taktické informace do stupně utajení Tajné může být zabezpečena též souborem opatření stanovených na základě vyhodnocení rizik. Podmínky odlišné manipulace s taktickou informací upravuje bezpečnostní standard.

§ 36

(1) Při zpracování utajované informace v elektronické podobě v zařízení, které není součástí informačního nebo komunikačního systému, zejména v psacím stroji s pamětí a v zařízení umožňujícím kopírování, záznam nebo zobrazení utajované informace anebo její převod do jiného datového formátu, musí být zajištěna ochrana této utajované informace.

(2) Orgán státu, právnická osoba a podnikající fyzická osoba jsou povinni pro jimi provozované zařízení uvedené v odstavci 1 vydat bezpečnostní provozní směrnici; pouze v souladu s ní lze zpracovávat utajovanou informaci.

(3) V bezpečnostní provozní směrnici podle odstavce 2 se uvedou pro zařízení podle odstavce 1

1. a) způsob jeho bezpečného provozování,
2. b) provozní směrnice pro jeho uživatele.

(4) Podmínky bezpečného provozování zařízení uvedeného v odstavci 1 v závislosti na stupni utajení v něm zpracovávaných utajovaných informací stanoví prováděcí právní předpis.

§ 36a

Státní správu v oblasti ochrany utajovaných informací podle této hlavy vykonává Národní úřad pro kybernetickou a informační bezpečnost, pokud tento zákon nestanoví jinak.

§ 37

(1) Kryptografickým materiálem je kryptografický prostředek, materiál k zajištění jeho funkce nebo kryptografický dokument.

(2) Kryptografické prostředky používané pro kryptografickou ochranu utajovaných informací musí být certifikovány Národním úřadem pro kybernetickou a informační bezpečnost [§ 46 odst. 1 písm. c)].

(3) Kryptografickým pracovištěm je pracoviště určené k výrobě nebo testování materiálu k zajištění funkce kryptografického prostředku, ukládání kryptografického materiálu nebo k distribuci a evidenci kryptografického materiálu nebo k výrobě a testování kryptografických prostředků. Kryptografické pracoviště musí splňovat bezpečnostní standardy a musí být do provozu schváleno odpovědnou osobou nebo bezpečnostním ředitelem.

(4) Kryptografické pracoviště určené k výrobě nebo testování materiálu k zajištění funkce kryptografického prostředku nebo které je centrálním distribučním a evidenčním místem kryptografického materiálu orgánu státu, právnické osoby nebo podnikající fyzické osoby, musí být před schválením do provozu odpovědnou osobou nebo bezpečnostním ředitelem certifikováno Národním úřadem pro kybernetickou a informační bezpečnost [§ 46 odst. 1 písm. d)].

(5) Orgán státu, právnická osoba a podnikající fyzická osoba, které vykonávají kryptografickou ochranu, musí vést evidence kryptografického materiálu, pracovníků kryptografické ochrany, provozní obsluhy kryptografických prostředků a kurýrů kryptografického materiálu.

§ 37a

Kontrolovaná kryptografická položka

(1) Kontrolovanou kryptografickou položkou se rozumí neutajované zařízení nebo jeho součást, zařazené do seznamu podle odstavce 3, sloužící k ochraně informací při jejich zpracování nebo přenosu a využívající kryptografických metod.

(2) Kontrolovanou kryptografickou položku lze použít pouze v souladu s bezpečnostním standardem.

(3) Zařízení uvedené v odstavci 1 nebo jeho součást na základě písemné žádosti jeho výrobce, dovozce, distributora nebo uživatele Národní úřad pro kybernetickou a informační bezpečnost schválí a zařadí do jím vedeného seznamu kontrolovaných kryptografických položek v případě, že je to v souladu se záměry České republiky v oblasti zajišťování ochrany utajovaných informací.

§ 38

Výkon kryptografické ochrany

(1) Výkonem kryptografické ochrany se rozumí

1. a) její bezpečnostní správa,
2. b) speciální obsluha kryptografického prostředku, nebo
3. c) výroba nebo servis kryptografického prostředku nebo materiálu k zajištění jeho funkce.

(2) Výkon kryptografické ochrany provádí pracovník kryptografické ochrany, který je

1. a) k výkonu kryptografické ochrany pověřen odpovědnou osobou nebo jí pověřenou osobou,
2. b) držitelem platného osvědčení fyzické osoby a
3. c) držitelem osvědčení o zvláštní odborné způsobilosti pracovníka kryptografické ochrany (dále jen „osvědčení o zvláštní odborné způsobilosti“).

§ 39

Zvláštní odborná způsobilost pracovníka kryptografické ochrany a zkouška zvláštní odborné způsobilosti

(1) Zvláštní odborná způsobilost pracovníka kryptografické ochrany (dále jen „zvláštní odborná způsobilost“) zahrnuje znalost předpisů z oblasti kryptografické ochrany utajovaných informací, schopnost jejich aplikace a další schopnosti podle § 38 odst. 1. Tyto znalosti a schopnosti ověřuje Národní úřad pro kybernetickou a informační bezpečnost zkouškou zvláštní odborné způsobilosti (dále jen „odborná zkouška“). Odborná zkouška probíhá před zkušební komisí; to není podmínkou pro její část prováděnou podle odstavce 3 písm. b). Členy zkušební komise jmenuje odpovědná osoba nebo jí pověřená osoba Národního úřadu pro kybernetickou a informační bezpečnost nebo orgánu státu podle odstavce 3 písm. a). Tomu, kdo složil odbornou zkoušku, vydá Národní úřad pro kybernetickou a informační bezpečnost nebo orgán státu podle odstavce 3 písm. a) osvědčení o zvláštní odborné způsobilosti a vede o tom evidenci. Osvědčení o zvláštní odborné způsobilosti se vydává nejdéle na 5 let.

(2) Přihlášku k odborné zkoušce podává písemně odpovědná osoba orgánu státu nebo podnikatele u Národního úřadu pro kybernetickou a informační bezpečnost nebo u jím pověřeného orgánu státu. Odborná zkouška se musí konat do 6 měsíců od podání přihlášky. Národní úřad pro kybernetickou a informační bezpečnost nebo jím pověřený orgán státu písemně oznámí tomu, kdo o odbornou zkoušku požádal, termín a místo konání odborné zkoušky; oznámení musí být odesláno nejpozději 20 dnů přede dnem konání odborné zkoušky. Ten, kdo při odborné zkoušce nevyhověl, ji může vykonat opakovaně. Opakovaná zkouška může být vykonána nejdříve po uplynutí 5 pracovních dnů ode dne neúspěšně vykonané zkoušky.

(3) Národní úřad pro kybernetickou a informační bezpečnost může uzavřít s orgánem státu smlouvu o zajištění činnosti podle § 52, jejímž předmětem je provedení

1. a) odborné zkoušky a vydání osvědčení o zvláštní odborné způsobilosti, nebo
2. b) části odborné zkoušky, týkající se § 38 odst. 1 písm. b) nebo c) a příslušné návaznosti na § 38 odst. 1 písm. a).

Smlouvu podle písmene b) může Národní úřad pro kybernetickou a informační bezpečnost uzavřít též s podnikatelem.

§ 40

Provozní obsluha kryptografického prostředku

(1) Provozní obsluhou kryptografického prostředku se rozumí výkon uživatelských funkcí kryptografického prostředku.

(2) Osoba, která provádí provozní obsluhu kryptografického prostředku podle odstavce 1, musí

1. a) být k této obsluze pověřena odpovědnou osobou nebo jí pověřenou osobou,
2. b) splňovat podmínky přístupu k utajované informaci podle § 6 odst. 1 nebo § 11 odst. 1 a
3. c) být k této obsluze zaškolena.

§ 41

Manipulace s kryptografickým materiálem a kontrolovanou kryptografickou položkou

(1) Manipulací s kryptografickým materiálem se rozumí způsob přenášení, přepravy, zapůjčování, ukládání nebo jiného nakládání s ním, včetně jeho vyřazování.

(2) Kryptografický materiál lze evidovat a manipulovat s ním jen způsobem a prostředky, které zajistí ochranu kryptografického materiálu a splňují požadavky, které stanoví prováděcí právní předpis.

(3) Ochranu kryptografického prostředku a materiálu k zajištění jeho funkce do stupně utajení Důvěrné, bez nutnosti jejich ukládání, lze zajistit způsobem, při kterém je tento kryptografický prostředek a materiál trvale pod dohledem jejich oprávněného uživatele.

(4) Kontrolovanou kryptografickou položku lze evidovat, provozovat, ukládat, přepravovat, vyvážet, kontrolovat a distribuovat způsobem, který zajistí její ochranu a splní požadavky bezpečnostního standardu.

§ 42

Přeprava kryptografického materiálu a vývoz kryptografického prostředku

(1) Přepravu kryptografického materiálu provádí kurýr kryptografického materiálu. Kurýrem kryptografického materiálu je osoba, která

1. a) byla k přepravě pověřena odpovědnou osobou nebo jí pověřenou osobou,
2. b) je držitelem platného osvědčení fyzické osoby, nejméně pro stupeň utajení přepravovaného kryptografického materiálu,
3. c) byla k přepravě zaškolena.

(2) Z území České republiky lze vyvážet certifikovaný kryptografický prostředek [§ 46 odst. 1 písm. c)] pouze na základě povolení Národního úřadu pro kybernetickou a informační bezpečnost. Za vývoz se nepovažuje používání certifikovaného kryptografického prostředku mimo území České republiky orgánem státu.

(3) Povolení podle odstavce 2 lze udělit na základě písemné žádosti. Povolení se vydává na vývoz konkrétního kryptografického prostředku a obsahuje též účel vývozu. Národní úřad pro kybernetickou a informační bezpečnost povolení nevydá, jestliže by vývozem byla ohrožena utajovaná informace České republiky nebo utajovaná informace, k jejíž ochraně se Česká republika zavázala; tuto skutečnost písemně oznámí žadateli o povolení. Na udělení povolení není právní nárok.

(4) Národní úřad pro kybernetickou a informační bezpečnost vede evidenci povolení udělených podle odstavce 2.

§ 43

Kompromitace kryptografického materiálu

(1) Kompromitací kryptografického materiálu se rozumí nakládání s kryptografickým materiálem, které způsobilo nebo by mohlo způsobit porušení ochrany utajované informace.

(2) Kompromitaci kryptografického materiálu je orgán státu, právnická osoba nebo podnikající fyzická osoba povinna neprodleně oznámit Národnímu úřadu pro kybernetickou a informační bezpečnost.

§ 43a

(1) Distribuci a evidenci kryptografického materiálu České republiky, kryptografického materiálu Evropské unie a kryptografického materiálu distribuovaného na základě mezinárodní smlouvy, s výjimkou kryptografického materiálu pro vojenské účely, zajišťuje Národní úřad pro kybernetickou a informační bezpečnost. Distribuci a evidenci kryptografického materiálu Organizace Severoatlantické smlouvy a kryptografického materiálu pro vojenské účely zajišťuje Ministerstvo obrany.

(2) Podmínky evidence, manipulace a kontroly kryptografického materiálu v České republice, zahrnující zejména možnost zřízení účtů pro kryptografický materiál v orgánech státu nebo u podnikatele, vedení evidencí, kontrolní funkce, povinnosti držitelů kryptografického materiálu vůči Národnímu úřadu pro kybernetickou a informační bezpečnost nebo Ministerstvu obrany a zajištění kurýrní služby pro kryptografický materiál Evropské unie upraví bezpečnostní standard.

§ 44

Zmocňovací ustanovení

Prováděcí právní předpis stanoví

1. a) náležitosti přihlášky k odborné zkoušce,
2. b) organizaci, obsah a způsob provádění odborné zkoušky,
3. c) náležitosti osvědčení o zvláštní odborné způsobilosti,
4. d) minimální požadavky na zajištění bezpečnostní správy kryptografické ochrany,
5. e) podrobnosti zajišťování provozu kryptografického prostředku,
6. f) způsob zaškolování provozní obsluhy kryptografického prostředku a kurýra kryptografického materiálu a vzor potvrzení o zaškolení provozní obsluhy kryptografického prostředku a kurýra kryptografického materiálu,
7. g) podrobnosti způsobu vyznačování náležitostí na utajované informaci z oblasti kryptografické ochrany, zejména podle druhu kryptografického materiálu,
8. h) druhy a náležitosti administrativních pomůcek kryptografické ochrany a požadavky na vedení těchto pomůcek,
9. i) bližší požadavky na způsob a prostředky manipulace s kryptografickým materiálem,
10. j) obsah žádosti pro udělení povolení pro vývoz certifikovaného kryptografického prostředku z území České republiky a náležitosti povolení,
11. k) způsob vedení evidencí uvedených v § 37 odst. 5,
12. l) kategorie kryptografických pracovišť, typy činností na kryptografickém pracovišti a minimální požadavky na jejich zabezpečení,
13. m) podmínky ochrany kryptografického prostředku a materiálu k zajištění jeho funkce podle § 41 odst. 3.

§ 45

(1) Ochranou utajovaných informací stupně utajení Přísně tajné, Tajné nebo Důvěrné před jejich únikem kompromitujícím vyzařováním je zabezpečení elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu.

(2) Je-li ochrana utajované informace před únikem kompromitujícím vyzařováním zabezpečena stínicí komorou, musí být tato komora certifikována Národním úřadem pro kybernetickou a informační bezpečnost [§ 46 odst. 1 písm. e)].

(3) Ověřování způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím vyzařováním zajišťuje Národní úřad pro kybernetickou a informační bezpečnost při certifikaci informačního systému nebo kryptografického prostředku, při schvalování projektu bezpečnosti komunikačního systému nebo na základě odůvodněné písemné žádosti orgánu státu nebo podnikatele v souvislosti s ochranou utajovaných informací.

(4) K provádění měření možného úniku utajovaných informací podle odstavce 3 může Národní úřad pro kybernetickou a informační bezpečnost uzavřít s orgánem státu nebo podnikatelem smlouvu podle § 52 o zajištění této činnosti.

(5) K provádění měření zařízení, zabezpečené oblasti nebo objektu podle odstavce 3, které jsou provozovány nebo užívány zpravodajskými službami, jsou oprávněny zpravodajské služby. V těchto případech není vyžadováno uzavření smlouvy podle § 52. Pro potřeby certifikace informačního systému nebo kryptografického prostředku, nebo při schválení projektu bezpečnosti komunikačního systému předají zpravodajské služby Národnímu úřadu pro kybernetickou a informační bezpečnost zprávy o provedeném měření včetně jeho výsledku.

(6) Při provádění měření podle odstavce 5 jsou zpravodajské služby povinny dodržovat ustanovení tohoto zákona, prováděcích právních předpisů a bezpečnostních standardů Národního úřadu pro kybernetickou a informační bezpečnost.