Zákon o ochraně utajovaných informací a o bezpečnostní způsobilosti

§ 24

(1) Pro zabezpečení ochrany utajovaných informací v rámci fyzické bezpečnosti se určují objekty, zabezpečené oblasti a jednací oblasti.

(2) Objektem je budova nebo jiný ohraničený prostor, ve kterém se zpravidla nachází zabezpečená oblast nebo jednací oblast.

(3) Zabezpečenou oblastí je ohraničený prostor v objektu.

(4) Jednací oblastí je ohraničený prostor v objektu. Utajovanou informaci stupně utajení Přísně tajné nebo Tajné lze pravidelně projednávat pouze v jednací oblasti.

(5) Utajovaná informace se zpracovává

1. a) v zabezpečené oblasti příslušné kategorie nebo vyšší,
2. b) v objektu příslušné kategorie nebo vyšší, pokud je zajištěno, že k utajované informaci nemá přístup neoprávněná osoba,
3. c) v odůvodněných případech s písemným souhlasem odpovědné osoby nebo bezpečnostního ředitele v objektu nižší kategorie, než je stupeň utajení zpracovávané utajované informace, pokud je zajištěno, že k utajované informaci nemá přístup neoprávněná osoba, nebo
4. d) v odůvodněných případech s písemným souhlasem odpovědné osoby nebo bezpečnostního ředitele mimo objekt, pokud je zajištěno, že k utajované informaci nemá přístup neoprávněná osoba.

(6) Utajovaná informace se ukládá v zabezpečené oblasti příslušné kategorie nebo vyšší a v ní popřípadě v trezoru, uzamykatelné skříni nebo jiné schránce za podmínek stanovených prováděcím právním předpisem.

§ 25

(1) Zabezpečené oblasti se podle nejvyššího stupně utajení utajované informace, která se v nich ukládá, a objekty se podle nejvyššího stupně utajení utajované informace, která se v nich zpracovává, zařazují do kategorií

1. a) Přísně tajné,
2. b) Tajné,
3. c) Důvěrné, nebo
4. d) Vyhrazené.

(2) Zabezpečené oblasti se podle možnosti přístupu k utajované informaci zařazují do tříd

1. a) třída I, kdy vstupem do této oblasti dochází k seznámení s utajovanou informací,
2. b) třída II, kdy vstupem do této oblasti nedochází k seznámení s utajovanou informací.

(3) Vstup do zabezpečené oblasti a výstup z ní musí být kontrolovány opatřeními podle § 27. Neoprávněná osoba může vstoupit pouze do zabezpečené oblasti třídy II, a to s osobou, která má do této oblasti vstup povolen.

(4) V odůvodněných případech s písemným souhlasem odpovědné osoby nebo jí pověřené osoby lze na dobu nezbytně nutnou změnit třídu I na třídu II, pokud je zajištěno, že k utajované informaci nemá přístup neoprávněná osoba.

§ 26

Projednávání utajovaných informací

(1) Odpovědná osoba je povinna zajistit, aby v jednací oblasti podle § 24 odst. 4 nedocházelo k ohrožení nebo úniku projednávaných utajovaných informací.

(2) Ke splnění povinnosti podle odstavce 1 je odpovědná osoba povinna požádat Národní úřad pro kybernetickou a informační bezpečnost o prověření, zda v jednací oblasti nedochází k nedovolenému použití technických prostředků určených k získávání informací; o prověření může odpovědná osoba požádat rovněž u zabezpečené oblasti kategorie Tajné nebo Přísně tajné. O této žádosti Národní úřad pro kybernetickou a informační bezpečnost informuje Úřad. Prověření Národní úřad pro kybernetickou a informační bezpečnost zajistí v součinnosti se zpravodajskými službami a Policií České republiky (dále jen „policie“) a o provedeném prověření informuje Úřad. Pro své potřeby si zpravodajské služby a policie prověření provádějí samy.

(3) Vstup do jednací oblasti a výstup z ní musí být kontrolován opatřeními podle § 27. Neoprávněná osoba může vstoupit do jednací oblasti pouze s osobou, která má do této oblasti vstup povolen.

§ 27

Opatřeními fyzické bezpečnosti jsou

1. a) ostraha,
2. b) režimová opatření,
3. c) technické prostředky.

§ 28

(1) Ostraha se nepřetržitě zajišťuje u objektu, ve kterém se nachází zabezpečená oblast kategorie

1. a) Přísně tajné, nejméně 2 osobami u objektu,
2. b) Tajné, nejméně 1 osobou u objektu a 1 další osobou, které poplachové hlášení technických prostředků umožní rychlý zásah, je-li provádění ochrany utajovaných informací narušeno,
3. c) Důvěrné, nejméně 1 osobou, které poplachové hlášení technických prostředků umožní rychlý zásah, je-li provádění ochrany utajovaných informací narušeno.

(2) U objektu, ve kterém se nachází zabezpečená oblast nejvýše kategorie Vyhrazené, a u objektu bez zabezpečené oblasti nebo jednací oblasti, se ostraha zajišťuje v rozsahu stanoveném odpovědnou osobou.

(3) U objektu, ve kterém se nachází jednací oblast, v níž se pravidelně projednávají utajované informace stupně utajení Přísně tajné, se ostraha zajišťuje nejméně 2 osobami u objektu; u objektu, ve kterém se nachází jednací oblast, v níž se pravidelně projednávají utajované informace stupně utajení Tajné, nejméně 1 osobou u objektu a 1 další osobou, které poplachové hlášení technických prostředků umožní rychlý zásah, je-li provádění ochrany utajovaných informací narušeno.

(4) Ostraha se zabezpečuje zaměstnanci orgánu státu, právnické osoby podle § 60b nebo podnikatele, o jejichž objekt jde, příslušníky ozbrojených sil nebo ozbrojených bezpečnostních sborů nebo příslušníky ozbrojených sil cizí moci anebo zaměstnanci bezpečnostní ochranné služby.

§ 29

Režimová opatření stanoví oprávnění osob a dopravních prostředků pro vstup a vjezd do objektu, oprávnění osob pro vstup do zabezpečené oblasti a jednací oblasti a způsob kontroly těchto oprávnění a dále způsob manipulace s klíči a identifikačními prostředky, které se používají pro systémy zabezpečení vstupů podle § 30 odst. 1 písm. b), a způsob manipulace s technickými prostředky a jejich používání. Režimová opatření stanoví též oprávnění při výstupu osob a výjezdu dopravních prostředků z objektu a pro jejich kontrolu, podmínky a způsob kontroly pohybu osob v objektu, zabezpečené oblasti a jednací oblasti a způsob kontroly a vynášení utajovaných informací z objektu, zabezpečené oblasti a jednací oblasti.

§ 30

(1) Technickými prostředky jsou zejména

1. a) mechanické zábranné prostředky,
2. b) elektrická zámková zařízení a systémy pro kontrolu vstupů,
3. c) poplachové zabezpečovací a tísňové systémy,
4. d) dohledové videosystémy,
5. e) zařízení elektrické požární signalizace,
6. f) zařízení sloužící k vyhledávání nebezpečných látek nebo předmětů,
7. g) zařízení fyzického ničení nosičů informací,
8. h) zařízení proti pasivnímu a aktivnímu odposlechu utajované informace.

(2) Bodové ohodnocení (§ 31 odst. 1) se přiřazuje certifikovaným technickým prostředkům [§ 46 odst. 1 písm. a)] a odpovědnou osobou nebo jí pověřenou osobou schváleným necertifikovaným technickým prostředkům.

(3) Technické prostředky uvedené v odstavci 1 lze v případě účasti České republiky v mezinárodním ozbrojeném konfliktu, mezinárodní záchranné nebo humanitární akci, v dalších zahraničních misích, v případě vyhlášení válečného stavu, v případě stavu nebezpečí, nouzového stavu nebo stavu ohrožení státu²⁰), v případě zpravodajských operací zpravodajských služeb a při činnostech ozbrojených sil České republiky v rámci vojenského cvičení a praktického vojenského výcviku s vojenskou technikou a vojenskou výzbrojí mimo místa stálé dislokace vojenského útvaru nahradit zvýšenou ostrahou, než jaká je uvedena v § 28, prováděnou příslušníky ozbrojených sil nebo ozbrojených bezpečnostních sborů na základě zvláštních právních předpisů²¹), příslušníky ozbrojených sil cizí moci nebo zaměstnanci bezpečnostní ochranné služby cizí moci.

§ 31

(1) Míra zabezpečení jednací oblasti a zabezpečené oblasti opatřeními fyzické bezpečnosti se určuje pomocí bodových hodnot těchto opatření v závislosti na vyhodnocení rizik; bodové hodnoty a nejnižší míra zabezpečení jsou stanoveny prováděcím právním předpisem.

(2) Opatření fyzické bezpečnosti nebo kombinace více těchto opatření musí odpovídat alespoň nejnižší míře zabezpečení jednací oblasti nebo zabezpečené oblasti a stanoví se v závislosti na vyhodnocení rizik a na stupni utajení utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, nebo na kategorii zabezpečené oblasti.

(3) Opatření podle odstavce 2 a opatření fyzické bezpečnosti objektu bez zabezpečené oblasti nebo jednací oblasti schvaluje a stanoví odpovědná osoba nebo jí pověřená osoba v projektu fyzické bezpečnosti.

(4) Hodnocení rizik musí být prováděno průběžně a v případě potřeby musí být míra opatření fyzické bezpečnosti upravena.

(5) Orgán státu, právnická osoba podle § 60b a podnikatel jsou povinni zajistit a pravidelně ověřovat, zda použitá opatření fyzické bezpečnosti odpovídají projektu fyzické bezpečnosti a právním předpisům v oblasti ochrany utajovaných informací.

§ 32

Projekt fyzické bezpečnosti

(1) Projekt fyzické bezpečnosti v případech, kdy se v objektu nacházejí zabezpečené oblasti kategorie Přísně tajné, Tajné nebo Důvěrné, obsahuje

1. a) určení objektu a zabezpečených oblastí, včetně jejich hranic a určení kategorií a tříd zabezpečených oblastí,
2. b) vyhodnocení rizik,
3. c) způsob použití opatření fyzické bezpečnosti,
4. d) provozní řád objektu a
5. e) plán zabezpečení objektu a zabezpečených oblastí v krizových situacích.

(2) Projekt fyzické bezpečnosti v případech, kdy se v objektu nachází zabezpečená oblast pouze kategorie Vyhrazené, obsahuje

1. a) určení objektu a zabezpečených oblastí, včetně jejich hranic a určení kategorií a tříd zabezpečených oblastí a
2. b) způsob použití opatření fyzické bezpečnosti.

(3) Projekt fyzické bezpečnosti v případech, kdy se v objektu nachází jednací oblast, obsahuje

1. a) určení objektu a jednací oblasti, včetně jejich hranic,
2. b) vyhodnocení rizik,
3. c) způsob použití opatření fyzické bezpečnosti,
4. d) provozní řád objektu a
5. e) plán zabezpečení objektu a jednací oblasti v krizových situacích.

(4) Projekt fyzické bezpečnosti objektu kategorie Přísně tajné, Tajné a Důvěrné bez zabezpečené oblasti nebo jednací oblasti obsahuje

1. a) určení objektu včetně jeho hranic,
2. b) způsob použití opatření fyzické bezpečnosti,
3. c) provozní řád objektu a
4. d) plán zabezpečení objektu v krizových situacích.

(5) Projekt fyzické bezpečnosti objektu kategorie Vyhrazené bez zabezpečené oblasti obsahuje určení objektu včetně jeho hranic.

(6) Na projekt fyzické bezpečnosti se v případech podle § 30 odst. 3 použijí ustanovení odstavců 1 až 5 přiměřeně; rozsah projektu schvaluje a stanoví odpovědná osoba nebo jí pověřená osoba.

(7) Projekt fyzické bezpečnosti se ukládá u odpovědné osoby nebo bezpečnostního ředitele.

§ 33

Zmocňovací ustanovení

Prováděcí právní předpis stanoví

1. a) požadavky na jednací oblasti z hlediska fyzické bezpečnosti a rizika úniku utajovaných informací formou kompromitujícího vyzařování,
2. b) způsob ukládání utajovaných informací v závislosti na stupni jejich utajení (§ 24 odst. 6),
3. c) organizační požadavky na provádění ostrahy (§ 28) a zabezpečení jednací oblasti nebo zabezpečené oblasti touto ostrahou, včetně určení kategorie osob uvedených v § 28 odst. 4, a to v závislosti na stupni utajení utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, na kategorii objektu, nebo na kategorii zabezpečené oblasti,
4. d) podrobnosti režimových opatření (§ 29),
5. e) požadavky na technické prostředky, uvedené v § 30 odst. 1, a zabezpečení objektů, jednací oblasti nebo zabezpečené oblasti těmito prostředky, v závislosti na stupni utajení utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, nebo na kategorii zabezpečené oblasti, anebo na kategorii objektu,
6. f) bodové ohodnocení jednotlivých opatření fyzické bezpečnosti a bodovou hodnotu nejnižší míry zabezpečení jednací oblasti nebo zabezpečené oblasti, včetně základní metody hodnocení rizik (§ 31 odst. 1 a 2),
7. g) četnost a způsob zápisu o ověřování, zda použitá opatření fyzické bezpečnosti odpovídají projektu fyzické bezpečnosti a právním předpisům v oblasti ochrany utajovaných informací, v závislosti na stupni utajení utajovaných informací (§ 31 odst. 5),
8. h) obsah provozního řádu objektu a plánu zabezpečení objektů, zabezpečených oblastí a jednacích oblastí v krizových situacích [§ 32 odst. 1 písm. d) a e) a § 32 odst. 3 písm. d) a e)].

§ 33a

Státní správu v oblasti ochrany utajovaných informací podle této hlavy vykonává Národní úřad pro kybernetickou a informační bezpečnost, pokud tento zákon nestanoví jinak.

§ 34

Informační systém

(1) Informačním systémem nakládajícím s utajovanými informacemi se pro účely tohoto zákona rozumí jeden nebo více počítačů, jejich programové vybavení, k tomu patřící periferní zařízení, správa tohoto informačního systému a k tomuto systému se vztahující procesy nebo prostředky schopné provádět sběr, tvorbu, zpracování, ukládání, zobrazení nebo přenos utajovaných informací (dále jen „informační systém“).

(2) Informační systém musí být certifikován Národním úřadem pro kybernetickou a informační bezpečnost [§ 46 odst. 1 písm. b)] a písemně schválen do provozu odpovědnou osobou nebo jí pověřenou osobou. Způsobilost informačního systému cizí moci k nakládání s utajovanými informacemi ověřuje formou akreditace Národní úřad pro kybernetickou a informační bezpečnost.

(3) Informační systém podnikatele, který má přístup k utajovaným informacím stupně utajení Vyhrazené, může být schválen do provozu jen v době platnosti prohlášení podnikatele; zánikem platnosti prohlášení podnikatele zaniká též schválení informačního systému do provozu.

(4) Národní úřad pro kybernetickou a informační bezpečnost může z důvodu identifikovaných hrozeb nebo rizik stanovit provozovateli certifikovaného informačního systému zavedení dalších nutných bezpečnostních funkcí nebo opatření. Zavedení dalších nutných bezpečnostních funkcí nebo opatření oznámí provozovatel Národnímu úřadu pro kybernetickou a informační bezpečnost.

(5) Nakládat s utajovanou informací lze pouze v informačním systému splňujícím podmínky podle odstavce 2 až 4.

(6) Schválení informačního systému do provozu podle odstavce 2 musí odpovědná osoba nebo jí pověřená osoba písemně oznámit Národnímu úřadu pro kybernetickou a informační bezpečnost do 30 dnů od tohoto schválení.

(7) Prováděcí právní předpis stanoví

1. a) požadavky na informační systém a podmínky jeho bezpečného provozování v závislosti na stupni utajení utajovaných informací, s nimiž nakládá, a na bezpečnostním provozním módu,
2. b) obsah bezpečnostní dokumentace informačního systému a
3. c) náležitosti oznámení provozovatele certifikovaného informačního systému o zavedení dalších nutných bezpečnostních funkcí nebo opatření Národnímu úřadu pro kybernetickou a informační bezpečnost.

§ 35

Komunikační systém

(1) Komunikačním systémem nakládajícím s utajovanými informacemi (dále jen „komunikační systém“) se pro účely tohoto zákona rozumí systém zajišťující přenos těchto informací mezi koncovými uživateli a zahrnující koncové komunikační zařízení, periferní zařízení, přenosové prostředí, kryptografické prostředky, obsluhu a provozní podmínky a postupy.

(2) Komunikační systém nelze provozovat bez projektu bezpečnosti komunikačního systému schváleného Národním úřadem pro kybernetickou a informační bezpečnost. O schválení projektu bezpečnosti komunikačního systému písemně žádá u Národního úřadu pro kybernetickou a informační bezpečnost orgán státu, právnická osoba podle § 60b nebo podnikatel, který jej bude provozovat.

(3) Nakládat s utajovanou informací lze pouze v komunikačním systému splňujícím podmínky podle odstavce 2.

(4) Komunikační systém musí být písemně schválen do provozu odpovědnou osobou nebo jí pověřenou osobou.

(5) Komunikační systém podnikatele, který má přístup k utajovaným informacím stupně utajení Vyhrazené, může být schválen do provozu jen v době platnosti prohlášení podnikatele; zánikem platnosti prohlášení podnikatele zaniká též schválení komunikačního systému do provozu.

(6) Prováděcí právní předpis stanoví

1. a) obsah žádosti o schválení projektu bezpečnosti komunikačního systému a
2. b) náležitosti projektu bezpečnosti komunikačního systému a způsob a podmínky jeho schvalování.

§ 35a

Manipulace s taktickou informací

(1) Taktickou informací se pro účely tohoto zákona rozumí utajovaná informace s krátkou dobou trvání důvodu utajení. Taktická informace se zpracovává v informačním nebo komunikačním systému a při přenosu se chrání kryptografickou ochranou.

(2) Ochrana taktické informace do stupně utajení Tajné může být zabezpečena též souborem opatření stanovených na základě vyhodnocení rizik. Podmínky odlišné manipulace s taktickou informací upravuje bezpečnostní standard.

§ 35b

Státní správu v oblasti ochrany utajovaných informací podle této hlavy vykonává Národní úřad pro kybernetickou a informační bezpečnost, pokud tento zákon nestanoví jinak.

§ 36

(1) Při zpracování utajované informace v elektronické podobě v zařízení, které není součástí informačního nebo komunikačního systému, zejména v psacím stroji s pamětí a v zařízení umožňujícím kopírování, záznam nebo zobrazení utajované informace anebo její převod do jiného datového formátu, musí být zajištěna ochrana této utajované informace.

(2) Orgán státu, právnická osoba podle § 60b a podnikatel jsou povinni

1. a) pro jimi provozované zařízení uvedené v odstavci 1 vydat bezpečnostní provozní směrnici; pouze v souladu s ní lze zpracovávat utajovanou informaci a
2. b) zaslat o provozovaném zařízení uvedeném v odstavci 1 Národnímu úřadu pro kybernetickou a informační bezpečnost informace platné k 31. prosinci kalendářního roku nejpozději do 1. února následujícího kalendářního roku.

(3) V bezpečnostní provozní směrnici podle odstavce 2 písm. a) se uvedou pro zařízení podle odstavce 1

1. a) způsob jeho bezpečného provozování,
2. b) provozní směrnice pro jeho uživatele.

(4) Podmínky bezpečného provozování zařízení uvedeného v odstavci 1 v závislosti na stupni utajení v něm zpracovávaných utajovaných informací a rozsah požadovaných informací podle odstavce 2 písm. b) stanoví prováděcí právní předpis.