vyhláška o kompromitujícím vyzařování

§ 1

účinné od 1. 1. 2025Předmět úpravy

účinné od 1. 1. 2025(1) Tato vyhláška upravuje v návaznosti na předpis Evropské unie¹)

1. účinné od 1. 1. 2025a) některé požadavky na informační systém spočívající v zabezpečení komponent informačního systému před únikem utajovaných informací stupně utajení Důvěrné nebo vyššího elektromagnetickým, akustickým nebo jiným fyzikálním vyzařováním, jehož nežádoucím zachycením a následným zpracováním je možné utajované informace získat (dále jen „kompromitující vyzařování“), a
2. účinné od 1. 1. 2025b) některé náležitosti projektu bezpečnosti komunikačního systému spočívající v naplnění bezpečnostních požadavků na zabezpečení komponent komunikačních systémů před únikem utajovaných informací kompromitujícím vyzařováním.

účinné od 1. 1. 2025(2) Tato vyhláška dále stanoví

1. účinné od 1. 1. 2025a) podmínky bezpečného provozování elektrických nebo elektronických zařízení, která nejsou součástí informačního nebo komunikačního systému, zpracovávajících utajované informace stupně utajení Důvěrné nebo vyššího (dále jen „samostatné elektronické zařízení“) z hlediska zabezpečení před únikem utajovaných informací kompromitujícím vyzařováním,
2. účinné od 1. 1. 2025b) náležitosti žádosti a opakované žádosti o certifikaci stínicí komory a dokumentaci nezbytnou k provedení certifikace stínicí komory,
3. účinné od 1. 1. 2025c) způsob a podmínky provádění certifikace stínicí komory a jejich opakování a obsah certifikační zprávy podle § 46 odst. 13 zákona,
4. účinné od 1. 1. 2025d) vzor certifikátu stínicí komory,
5. účinné od 1. 1. 2025e) náležitosti žádosti o ověření způsobilosti elektrických nebo elektronických zařízení, které jsou součástí informačního nebo komunikačního systému zpracovávajícího utajované informace stupně utajení Důvěrné nebo vyšší (dále jen „komponenta informačního nebo komunikačního systému“), samostatného elektronického zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem utajovaných informací kompromitujícím vyzařováním (dále jen „způsobilost“) a způsob hodnocení jejich způsobilosti a
6. účinné od 1. 1. 2025f) náležitosti žádosti o uzavření smlouvy o zajištění činnosti podle § 52 zákona, jejímž předmětem je provádění měření možného úniku utajovaných informací podle § 45 odst. 4 zákona a provádění dílčích úloh při ověřování způsobilosti stínicí komory podle § 46 odst. 15 zákona.

§ 2

účinné od 1. 1. 2025Vymezení pojmů

účinné od 1. 1. 2025Pro účely této vyhlášky se rozumí

1. účinné od 1. 1. 2025a) zónovým měřením zjišťování útlumu kompromitujícího vyzařování v prostředí mezi umístěním komponent informačního nebo komunikačního systému nebo samostatným elektronickým zařízením a hranicí kontrolovaného prostoru a následným vyhodnocením a
2. účinné od 1. 1. 2025b) technickou kontrolou ověření způsobilosti zabezpečených oblastí a objektů za účelem zjištění nedovoleného použití technických prostředků určených k získávání informací.

§ 3

účinné od 1. 1. 2025Bezpečnostní požadavky na ochranu před kompromitujícím vyzařováním

účinné od 1. 1. 2025(1) Komponenty informačního nebo komunikačního systému musí být způsobilé k ochraně před kompromitujícím vyzařováním a musí být umístěny tak, aby bylo zamezeno nepovolané osobě odezírat, odposlouchávat nebo jinak získávat utajované informace.

účinné od 1. 1. 2025(2) Komponenty informačního nebo komunikačního systému nesmí obsahovat funkční bezdrátové technologie, není-li v rámci ověřování způsobilosti stanoveno jinak.

§ 4

účinné od 1. 1. 2025Žádost o ověření způsobilosti komponent informačního nebo komunikačního systému

účinné od 1. 1. 2025(1) Žádost o ověření způsobilosti komponent informačního nebo komunikačního systému obsahuje

1. účinné od 1. 1. 2025a) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení, kterým se rozumí alespoň její telefonní číslo a adresa elektronické pošty,
2. účinné od 1. 1. 2025b) identifikaci komponent informačního nebo komunikačního systému, jejichž způsobilost má být ověřena,
3. účinné od 1. 1. 2025c) údaj o stupni utajení utajovaných informací, které budou prostřednictvím komponent informačního nebo komunikačního systému zpracovávány, a
4. účinné od 1. 1. 2025d) odůvodnění žádosti, které obsahuje účel využití komponent.

účinné od 1. 1. 2025(2) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen b) až d) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

§ 5

účinné od 1. 1. 2025Způsob hodnocení způsobilosti komponent informačního nebo komunikačního systému

účinné od 1. 1. 2025(1) Hodnocení způsobilosti komponent informačního nebo komunikačního systému provádí Národní úřad pro kybernetickou a informační bezpečnost zpravidla měřením úrovní jejich kompromitujícího vyzařování a porovnáním naměřených hodnot s nejvýše přípustnými hodnotami.

účinné od 1. 1. 2025(2) V rámci hodnocení způsobilosti posuzuje Národní úřad pro kybernetickou a informační bezpečnost zprávu o výsledku měření úrovní kompromitujícího vyzařování komponent informačního nebo komunikačního systému provedeného orgánem státu, právnickou osobou podle § 60b zákona nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Národním úřadem pro kybernetickou a informační bezpečnost podle § 16, bylo-li měření provedeno.

účinné od 1. 1. 2025(3) Jsou-li v průběhu hodnocení způsobilosti komponent informačního nebo komunikačního systému zjištěny nedostatky v ochraně utajovaných informací před únikem kompromitujícím vyzařováním podle odstavce 1, vyzve Národní úřad pro kybernetickou a informační bezpečnost žadatele k jejich odstranění.

účinné od 1. 1. 2025(4) Výsledek hodnocení způsobilosti je uveden v rozhodnutí o ověření způsobilosti komponent informačního nebo komunikačního systému.

§ 6

účinné od 1. 1. 2025(1) Podmínkou provozování samostatného elektronického zařízení je jeho způsobilost.

účinné od 1. 1. 2025(2) Samostatné elektronické zařízení nesmí obsahovat funkční bezdrátové technologie, není-li v rámci ověřování způsobilosti stanoveno jinak.

účinné od 1. 1. 2025(3) Samostatné elektronické zařízení musí být umístěno tak, aby bylo zamezeno nepovolané osobě odezírat, odposlouchávat nebo jinak získávat utajované informace.

účinné od 1. 1. 2025(4) Při podání žádosti o ověření způsobilosti, při hodnocení způsobilosti a měření úrovní kompromitujícího vyzařování samostatného elektronického zařízení se použijí § 4 a 5 obdobně.

§ 7

účinné od 1. 1. 2025Žádost o ověření způsobilosti zabezpečené oblasti nebo objektu

účinné od 1. 1. 2025(1) Žádost o ověření způsobilosti zabezpečené oblasti nebo objektu obsahuje

1. účinné od 1. 1. 2025a) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni,
2. účinné od 1. 1. 2025b) číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li žadatelem podnikatel,
3. účinné od 1. 1. 2025c) identifikaci zabezpečené oblasti nebo objektu, jejichž způsobilost má být ověřena,
4. účinné od 1. 1. 2025d) údaj o stupni utajení utajovaných informací, které budou zpracovávány v zabezpečené oblasti nebo objektu, a
5. účinné od 1. 1. 2025e) odůvodnění žádosti, které obsahuje účel využití zabezpečené oblasti nebo objektu.

účinné od 1. 1. 2025(2) K žádosti žadatel přiloží zprávu o výsledku zónového měření zabezpečené oblasti nebo objektu provedeného orgánem státu, právnickou osobou podle § 60b zákona nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Národním úřadem pro kybernetickou a informační bezpečnost podle § 16, bylo-li měření provedeno.

účinné od 1. 1. 2025(3) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen c) až e) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu. Zpravodajská služba předkládá podklady podle odstavce 2 pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

§ 8

účinné od 1. 1. 2025Hodnocení způsobilosti zabezpečené oblasti nebo objektu

účinné od 1. 1. 2025(1) Hodnocení způsobilosti zabezpečené oblasti nebo objektu provádí Národní úřad pro kybernetickou a informační bezpečnost zónovým měřením. V zabezpečené oblasti nebo objektu, kde jsou instalovány komponenty informačního nebo komunikačního systému nebo samostatné elektronické zařízení, které zpracovávají utajované informace stupně utajení Tajné nebo Přísně tajné, nebo v případě potřeby, se v rámci zónového měření provádí technická kontrola podle § 9.

účinné od 1. 1. 2025(2) Jsou-li v průběhu hodnocení způsobilosti zabezpečené oblasti nebo objektu zjištěny nedostatky, vyzve Národní úřad pro kybernetickou a informační bezpečnost žadatele k jejich odstranění a stanoví k tomu přiměřenou lhůtu.

účinné od 1. 1. 2025(3) Výsledek hodnocení způsobilosti je uveden v rozhodnutí o ověření způsobilosti zabezpečené oblasti nebo objektu.

účinné od 1. 1. 2025(4) V případě, že zónové měření provádí orgán státu, právnická osoba podle § 60b zákona nebo podnikatel na základě smlouvy o zajištění činnosti podle § 52 zákona, vypracuje o zónovém měření zprávu a oznámí výsledek na vyžádání Národnímu úřadu pro kybernetickou a informační bezpečnost a žadateli.

§ 9

účinné od 1. 1. 2025Technická kontrola

účinné od 1. 1. 2025(1) Technickou kontrolu provádí Národní úřad pro kybernetickou a informační bezpečnost po dokončení instalace komponent informačního nebo komunikačního systému nebo samostatného elektronického zařízení.

účinné od 1. 1. 2025(2) Opakovaná technická kontrola se provádí

1. účinné od 1. 1. 2025a) při podezření na kompromitaci prostorů, kde již byla provedena technická kontrola, nebo
2. účinné od 1. 1. 2025b) při změně, která by mohla mít vliv na ochranu utajovaných informací, zejména v důsledku stavebních úprav zabezpečené oblasti nebo objektu.

§ 10

účinné od 1. 1. 2025Bezpečnostní požadavky na instalaci

účinné od 1. 1. 2025(1) Komponenty informačního nebo komunikačního systému nebo samostatné elektronické zařízení musí být provozovatelem informačního nebo komunikačního systému instalovány tak, aby nedocházelo k úniku utajovaných informací kompromitujícím vyzařováním, a o této instalaci musí být Národním úřadem pro kybernetickou a informační bezpečnost vypracován instalační záznam.

účinné od 1. 1. 2025(2) Správnost instalace komponent informačního nebo komunikačního systému je ověřována v rámci certifikace informačního systému nebo schvalování projektu bezpečnosti komunikačního systému. Správná instalace a instalační záznam jsou podmínkou bezpečného provozování samostatného elektronického zařízení.

účinné od 1. 1. 2025(3) Jakákoliv změna v instalaci vyžaduje změnu instalačního záznamu.

účinné od 1. 1. 2025(4) V případě informačního nebo komunikačního systému nebo samostatného elektronického zařízení provozovaného zpravodajskou službou vypracuje instalační záznam zpravodajská služba.

§ 11

účinné od 1. 1. 2025Stínicí komora

účinné od 1. 1. 2025K ochraně utajovaných informací stupně utajení Důvěrné nebo vyššího před jejich únikem kompromitujícím elektromagnetickým vyzařováním lze použít stínicí komoru, která je uzavřeným elektromagneticky stíněným prostorem zabraňujícím šíření elektromagnetického vyzařování mimo tento prostor, certifikovanou Národním úřadem pro kybernetickou a informační bezpečnost.

§ 12

účinné od 1. 1. 2025Žádost o certifikaci stínicí komory

účinné od 1. 1. 2025(1) Žádost o certifikaci stínicí komory obsahuje

1. účinné od 1. 1. 2025a) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni,
2. účinné od 1. 1. 2025b) číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li žadatelem podnikatel,
3. účinné od 1. 1. 2025c) označení a údaje o umístění stínicí komory a
4. účinné od 1. 1. 2025d) identifikační údaje výrobce stínicí komory.

účinné od 1. 1. 2025(2) K žádosti žadatel přiloží zprávu o výsledku provedení dílčích úloh v rámci hodnocení způsobilosti stínicí komory provedených orgánem státu, právnickou osobou podle § 60b zákona nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Národním úřadem pro kybernetickou a informační bezpečnost podle § 16, byly-li tyto dílčí úlohy provedeny.

účinné od 1. 1. 2025(3) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen c) a d) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu. Zpravodajská služba předkládá podklady podle odstavce 2 pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

§ 13

účinné od 1. 1. 2025Způsob a podmínky provádění certifikace stínicí komory

účinné od 1. 1. 2025(1) Certifikaci stínicí komory provádí Národní úřad pro kybernetickou a informační bezpečnost měřením útlumových vlastností stínicí komory a jejich porovnáním s nejvýše přípustnými hodnotami.

účinné od 1. 1. 2025(2) Měření útlumových vlastností stínicí komory lze provádět za spoluúčasti žadatele a v případě potřeby i dodavatele stínicí komory.

účinné od 1. 1. 2025(3) O průběhu a dílčích výsledcích certifikace stínicí komory vypracuje Národní úřad pro kybernetickou a informační bezpečnost zprávu, která je podkladem pro vydání certifikátu.

účinné od 1. 1. 2025(4) Provádí-li dílčí úlohy v rámci hodnocení způsobilosti stínicí komory orgán státu, právnická osoba podle § 60b zákona nebo podnikatel, vypracuje o jejich výsledcích zprávu, která je součástí zprávy podle odstavce 3.

účinné od 1. 1. 2025(5) Je-li postupem podle odstavce 1 ověřeno, že stínicí komora má způsobilost, Národní úřad pro kybernetickou a informační bezpečnost vydá certifikát.

účinné od 1. 1. 2025(6) Vzor certifikátu stínicí komory je uveden v příloze k této vyhlášce.

§ 14

účinné od 1. 1. 2025Certifikační zpráva stínicí komory

účinné od 1. 1. 2025Certifikační zpráva stínicí komory obsahuje

1. účinné od 1. 1. 2025a) orientační popis stínicí komory, jejího umístění a účel jejího používání,
2. účinné od 1. 1. 2025b) údaj o stupni utajení zpracovávaných utajovaných informací a
3. účinné od 1. 1. 2025c) zásady a podmínky používání stínicí komory.

§ 15

účinné od 1. 1. 2025Opakovaná žádost o certifikaci stínicí komory a způsob jejího provedení

účinné od 1. 1. 2025(1) Opakovaná žádost o certifikaci stínicí komory obsahuje

1. účinné od 1. 1. 2025a) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni,
2. účinné od 1. 1. 2025b) identifikaci vydaného certifikátu stínicí komory obsahující jeho držitele, evidenční číslo, datum vydání a dobu platnosti a
3. účinné od 1. 1. 2025c) identifikaci certifikované stínicí komory obsahující její název, typové označení, variantní provedení a její umístění.

účinné od 1. 1. 2025(2) K opakované žádosti o certifikaci žadatel přiloží zprávu o výsledku měření útlumových vlastností stínicí komory provedeného orgánem státu, právnickou osobou podle § 60b zákona nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Národním úřadem pro kybernetickou a informační bezpečnost podle § 16, bylo-li měření provedeno.

účinné od 1. 1. 2025(3) Národní úřad pro kybernetickou a informační bezpečnost provede na základě opakované žádosti o certifikaci doplňující ověření způsobilosti stínicí komory v nezbytně nutném rozsahu, a ověří-li, že stínicí komora má způsobilost, vydá certifikát.

účinné od 1. 1. 2025(4) Národní úřad pro kybernetickou a informační bezpečnost vydá certifikát, doloží-li žadatel, že v době od provedeného měření podle § 13 odst. 1 ke dni uplynutí doby platnosti dosavadního certifikátu stínicí komory nedošlo u stínicí komory ke změnám.

účinné od 1. 1. 2025(5) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen b) a c) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu. Zpravodajská služba předkládá podklady podle odstavce 2 pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

§ 16

účinné od 1. 1. 2025Náležitosti žádosti o uzavření smlouvy o zajištění činnosti podle § 52 zákona, jejímž předmětem je provádění měření možného úniku utajovaných informací podle § 45 odst. 4 zákona a provádění dílčích úloh při ověřování způsobilosti stínicí komory

účinné od 1. 1. 2025(1) Žádost o uzavření smlouvy s Národním úřadem pro kybernetickou a informační bezpečnost o zajištění činnosti podle § 52 zákona (dále jen „smlouva o zajištění činnosti“) obsahuje

1. účinné od 1. 1. 2025a) číslo osvědčení podnikatele s uvedením příslušného stupně utajení, je-li žadatelem podnikatel, a
2. účinné od 1. 1. 2025b) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni.

účinné od 1. 1. 2025(2) Žádost podle odstavce 1, která se týká smlouvy o zajištění činnosti, jejímž předmětem je provádění měření možného úniku utajovaných informací podle § 45 odst. 4 zákona, obsahuje dále

1. účinné od 1. 1. 2025a) identifikaci příslušného odborného pracoviště žadatele, zejména předmět činnosti a podrobnou specifikaci umístění pověřovaného pracoviště, jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni,
2. účinné od 1. 1. 2025b) údaje o personálních předpokladech pracoviště k provádění požadovaných činností, zejména jméno a příjmení vedoucího pracovníka odborného pracoviště, jména a příjmení ostatních odborných pracovníků pracoviště,
3. účinné od 1. 1. 2025c) prohlášení odpovědné osoby nebo jí pověřené osoby nebo bezpečnostního ředitele o úrovni fyzické, personální a administrativní bezpečnosti, která je zajištěna pro odborné pracoviště,
4. účinné od 1. 1. 2025d) údaj o stupni utajení utajovaných informací, se kterými je informační systém určen nakládat, a evidenční číslo certifikátu informačního systému, pokud je použití certifikovaného informačního systému potřebné pro provádění činností podle smlouvy o zajištění činnosti,
5. účinné od 1. 1. 2025e) údaje o technickém vybavení odborného pracoviště, potřebném pro provádění činností podle smlouvy o zajištění činnosti, a
6. účinné od 1. 1. 2025f) podmínku vypracování zprávy o průběhu a výsledcích měření a podmínku oznámení výsledku měření žadateli o provedení měření podle § 45 odst. 4 zákona a Národnímu úřadu pro kybernetickou a informační bezpečnost.

účinné od 1. 1. 2025(3) Žádost podle odstavce 1, která se týká smlouvy o zajištění činnosti, jejímž předmětem je provádění dílčích úloh při ověřování způsobilosti stínicí komory, obsahuje dále

1. účinné od 1. 1. 2025a) adresu umístění pracoviště provádějícího požadované činnosti,
2. účinné od 1. 1. 2025b) prohlášení odpovědné osoby nebo jí pověřené osoby nebo bezpečnostního ředitele o splnění požadavků na fyzickou a personální bezpečnost pracoviště,
3. účinné od 1. 1. 2025c) údaje o rozsahu požadovaných činností,
4. účinné od 1. 1. 2025d) údaje o personálním zabezpečení požadovaných činností a
5. účinné od 1. 1. 2025e) údaje o technickém a organizačním zajištění požadovaných činností.

§ 17

účinné od 1. 1. 2025Přechodná ustanovení

§ 18

účinné od 1. 1. 2025Účinnost