Vyhláška o provádění certifikace při zabezpečování kryptografické ochrany utajovaných informací a o některých náležitostech žádosti o uzavření smlouvy o zajištění činnosti

§ 1

účinné od 1. 1. 2025Předmět úpravy

účinné od 1. 1. 2025(1) Tato vyhláška upravuje v návaznosti na předpis Evropské unie¹) způsob a podmínky provádění certifikace kryptografického prostředku a obsah certifikační zprávy podle § 46 odst. 13 zákona.

účinné od 1. 1. 2025(2) Tato vyhláška dále upravuje

1. účinné od 1. 1. 2025a) náležitosti žádosti a opakované žádosti o certifikaci kryptografického prostředku a certifikaci kryptografického pracoviště a dokumentaci nezbytnou k provedení certifikace kryptografického prostředku a certifikace kryptografického pracoviště,
2. účinné od 1. 1. 2025b) způsob a podmínky provádění certifikace kryptografického pracoviště a obsah certifikační zprávy podle § 46 odst. 13 zákona,
3. účinné od 1. 1. 2025c) vzor certifikátu kryptografického prostředku a certifikátu kryptografického pracoviště a
4. účinné od 1. 1. 2025d) náležitosti žádosti o uzavření smlouvy o zajištění činnosti podle § 52 zákona, jejímž předmětem je provádění dílčích úloh při ověřování způsobilosti kryptografického prostředku nebo kryptografického pracoviště.

§ 2

účinné od 1. 1. 2025Náležitosti žádosti o certifikaci kryptografického prostředku

účinné od 1. 1. 2025(1) Žádost o certifikaci kryptografického prostředku obsahuje

1. účinné od 1. 1. 2025a) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení, kterým se rozumí alespoň její telefonní číslo a adresa elektronické pošty,
2. účinné od 1. 1. 2025b) číslo osvědčení podnikatele s uvedením příslušného stupně utajení, je-li žadatelem podnikatel,
3. účinné od 1. 1. 2025c) typové označení kryptografického prostředku,
4. účinné od 1. 1. 2025d) určení kryptografického prostředku, zejména účel užití a stupeň utajení, pro který má být kryptografický prostředek používán,
5. účinné od 1. 1. 2025e) název, popřípadě obchodní firmu a sídlo výrobce kryptografického prostředku a
6. účinné od 1. 1. 2025f) způsob zajištění výroby a distribuce klíčového nebo heslového materiálu podle právního předpisu upravujícího zajištění kryptografické ochrany utajovaných informací.

účinné od 1. 1. 2025(2) K certifikaci kryptografického prostředku Evropské unie nebo některého jejího členského státu anebo Organizace Severoatlantické smlouvy, který je určen k ochraně utajovaných informací, žadatel předkládá žádost podle odstavce 1 a kopii certifikátu nebo obdobného dokumentu vydaného certifikačním orgánem Evropské unie nebo příslušným národním certifikačním orgánem jejího členského státu anebo Organizací Severoatlantické smlouvy.

§ 3

účinné od 1. 1. 2025Náležitosti opakované žádosti o certifikaci kryptografického prostředku

účinné od 1. 1. 2025Opakovaná žádost o certifikaci kryptografického prostředku obsahuje

1. účinné od 1. 1. 2025a) evidenční číslo, datum vydání certifikátu a dobu jeho platnosti,
2. účinné od 1. 1. 2025b) identifikaci certifikovaného kryptografického prostředku, zejména obchodní název, typové označení, variantní provedení, určení použití kryptografického prostředku, název, popřípadě obchodní firmu a sídlo výrobce kryptografického prostředku,
3. účinné od 1. 1. 2025c) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni a
4. účinné od 1. 1. 2025d) odůvodnění potřeby opakované certifikace kryptografického prostředku.

§ 4

účinné od 1. 1. 2025Dokumentace nezbytná k provedení certifikace kryptografického prostředku

účinné od 1. 1. 2025Dokumentace nezbytná k provedení certifikace kryptografického prostředku obsahuje

1. účinné od 1. 1. 2025a) určení a vymezení způsobu použití kryptografického prostředku a materiálu k zajištění jeho funkce,
2. účinné od 1. 1. 2025b) údaj o typu uživatelského prostředí a systémovém začlenění kryptografického prostředku a materiálu k zajištění jeho funkce,
3. účinné od 1. 1. 2025c) blokové schéma a popis kryptografického prostředku a materiálu k zajištění jeho funkce s vyznačením součinnostních vazeb jednotlivých jeho částí,
4. účinné od 1. 1. 2025d) popis metod zajištění kryptografické ochrany v kryptografickém prostředku,
5. účinné od 1. 1. 2025e) popis výroby klíčového materiálu pro kryptografický prostředek a správy klíčového hospodářství podle právního předpisu upravujícího zajištění kryptografické ochrany utajovaných informací,
6. účinné od 1. 1. 2025f) technický popis a návod k obsluze kryptografického prostředku a materiálu k zajištění jeho funkce,
7. účinné od 1. 1. 2025g) identifikaci hrozeb způsobilých ohrozit ochranu utajovaných informací při používání kryptografického prostředku, popis technických a organizačních opatření zmírňujících tyto hrozby a zhodnocení zbytkových hrozeb, které nelze zmírnit technickými a organizačními opatřeními,
8. účinné od 1. 1. 2025h) požadavky na instalaci a vyhodnocení testování kryptografického prostředku a materiálu k zajištění jeho funkce a
9. účinné od 1. 1. 2025i) již vydané platné certifikáty kryptografického prostředku nebo obdobné dokumenty vydané příslušným orgánem cizí moci nebo platná osvědčení hodnotící způsobilost kryptografického prostředku.

§ 5

účinné od 1. 1. 2025Vzor certifikátu kryptografického prostředku a obsah certifikační zprávy

účinné od 1. 1. 2025(1) Vzor certifikátu kryptografického prostředku je uveden v příloze č. 1 k této vyhlášce.

účinné od 1. 1. 2025(2) Přílohou certifikátu kryptografického prostředku je certifikační zpráva, která obsahuje

1. účinné od 1. 1. 2025a) požadavky na výrobu, dopravu a údržbu kryptografického prostředku,
2. účinné od 1. 1. 2025b) specifikaci kryptografického prostředku a materiálu k zajištění jeho funkce,
3. účinné od 1. 1. 2025c) ekvivalentní hodnotu parametru S1 podle právního předpisu upravujícího fyzickou bezpečnost a certifikaci technických prostředků,
4. účinné od 1. 1. 2025d) údaj o způsobilosti kryptografického prostředku pro ochranu utajovaných informací Evropské unie, nebo Organizace Severoatlantické smlouvy,
5. účinné od 1. 1. 2025e) podmínky provozování kryptografického prostředku a
6. účinné od 1. 1. 2025f) požadavky na zajištění obsluhy kryptografického prostředku.

§ 6

účinné od 1. 1. 2025Způsob a podmínky provádění certifikace kryptografického prostředku

účinné od 1. 1. 2025(1) Při ověřování způsobilosti kryptografického prostředku k ochraně utajovaných informací Národní úřad pro kybernetickou a informační bezpečnost hodnotí

1. účinné od 1. 1. 2025a) předloženou dokumentaci a funkčnost deklarovaných režimů činnosti kryptografického prostředku,
2. účinné od 1. 1. 2025b) kryptografické parametry kryptografického prostředku,
3. účinné od 1. 1. 2025c) technické parametry kryptografického prostředku,
4. účinné od 1. 1. 2025d) výrobu klíčového materiálu a jeho distribuci,
5. účinné od 1. 1. 2025e) materiál k zajištění funkce kryptografického prostředku,
6. účinné od 1. 1. 2025f) naplnění požadavků na výrobu, provozování a ochranu kryptografického prostředku a materiálu k zajištění jeho funkce,
7. účinné od 1. 1. 2025g) naplnění požadavků na začlenění kryptografického prostředku do komunikačního nebo informačního systému a
8. účinné od 1. 1. 2025h) použitelnost kryptografického prostředku pro ochranu utajovaných informací České republiky, Evropské unie, nebo Organizace Severoatlantické smlouvy.

účinné od 1. 1. 2025(2) Pro hodnocený materiál k zajištění funkce kryptografického prostředku vydává Národní úřad pro kybernetickou a informační bezpečnost samostatné schválení materiálu k zajištění funkce kryptografického prostředku a schvalující zprávu materiálu pro zajištění bezpečné funkce kryptografického prostředku.

účinné od 1. 1. 2025(3) Pro certifikaci kryptografického prostředku prováděnou na základě opakované žádosti podle § 3 platí odstavce 1 a 2 obdobně.

§ 7

účinné od 1. 1. 2025Náležitosti žádosti o certifikaci kryptografického pracoviště

účinné od 1. 1. 2025Žádost o certifikaci kryptografického pracoviště obsahuje

1. účinné od 1. 1. 2025a) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni,
2. účinné od 1. 1. 2025b) číslo osvědčení podnikatele s uvedením příslušného stupně utajení, je-li žadatelem podnikatel,
3. účinné od 1. 1. 2025c) identifikaci kryptografického pracoviště, zejména název, adresu a umístění,
4. účinné od 1. 1. 2025d) určení kryptografického pracoviště, zejména účel užití,
5. účinné od 1. 1. 2025e) určení kategorie kryptografického pracoviště podle právního předpisu upravujícího fyzickou bezpečnost a certifikaci technických prostředků a
6. účinné od 1. 1. 2025f) seznam přikládané dokumentace nezbytné k provedení certifikace kryptografického pracoviště.

§ 8

účinné od 1. 1. 2025Náležitosti opakované žádosti o certifikaci kryptografického pracoviště

účinné od 1. 1. 2025Opakovaná žádost o certifikaci kryptografického pracoviště obsahuje

1. účinné od 1. 1. 2025a) evidenční číslo, název kryptografického pracoviště, datum vydání certifikátu a dobu jeho platnosti,
2. účinné od 1. 1. 2025b) identifikaci certifikovaného kryptografického pracoviště podle § 7 písm. c) až e), a
3. účinné od 1. 1. 2025c) odůvodnění potřeby opakované certifikace kryptografického pracoviště.

§ 9

účinné od 1. 1. 2025Dokumentace nezbytná k provedení certifikace kryptografického pracoviště

účinné od 1. 1. 2025Dokumentace nezbytná k provedení certifikace kryptografického pracoviště obsahuje

1. účinné od 1. 1. 2025a) dokumentaci zabezpečení fyzické bezpečnosti kryptografického pracoviště v rozsahu stanoveném právním předpisem upravujícím fyzickou bezpečnost a certifikaci technických prostředků a
2. účinné od 1. 1. 2025b) dokumentaci provozně-bezpečnostního zabezpečení kryptografického pracoviště.

§ 10

účinné od 1. 1. 2025Vzor certifikátu kryptografického pracoviště a obsah certifikační zprávy

účinné od 1. 1. 2025(1) Vzor certifikátu kryptografického pracoviště je uveden v příloze č. 2 k této vyhlášce.

účinné od 1. 1. 2025(2) Přílohou certifikátu kryptografického pracoviště je certifikační zpráva, která obsahuje

1. účinné od 1. 1. 2025a) identifikaci kryptografického pracoviště,
2. účinné od 1. 1. 2025b) podmínky provozování kryptografického pracoviště a
3. účinné od 1. 1. 2025c) rozsah případných změn, které podmiňují platnost certifikátu kryptografického pracoviště.

§ 11

účinné od 1. 1. 2025Způsob a podmínky provádění certifikace kryptografického pracoviště

účinné od 1. 1. 2025(1) Při ověřování způsobilosti kryptografického pracoviště k ochraně utajovaných informací Národní úřad pro kybernetickou a informační bezpečnost hodnotí

1. účinné od 1. 1. 2025a) předloženou dokumentaci,
2. účinné od 1. 1. 2025b) účel kryptografického pracoviště a jeho technické vybavení,
3. účinné od 1. 1. 2025c) provozně-bezpečnostní zabezpečení kryptografického pracoviště podle specifikace kategorie kryptografického pracoviště,
4. účinné od 1. 1. 2025d) splnění požadavků na fyzickou a personální bezpečnost kryptografického pracoviště a
5. účinné od 1. 1. 2025e) výsledek kontroly kryptografického pracoviště Národním úřadem pro kybernetickou a informační bezpečnost.

účinné od 1. 1. 2025(2) Pro certifikaci kryptografického pracoviště prováděnou na základě opakované žádosti podle § 8 platí odstavec 1 obdobně.

§ 12

účinné od 1. 1. 2025Náležitosti žádosti orgánu státu, právnické osoby podle § 60b zákona nebo podnikatele o uzavření smlouvy o zajištění činnosti provádění dílčích úloh při ověřování způsobilosti kryptografického prostředku a kryptografického pracoviště

účinné od 1. 1. 2025(1) Žádost o uzavření smlouvy s Národním úřadem pro kybernetickou a informační bezpečnost o zajištění činnosti podle § 52 zákona (dále jen „smlouva o zajištění činnosti“), jejímž předmětem je provádění dílčích úloh při ověřování způsobilosti kryptografického prostředku k ochraně utajovaných informací, způsobilosti kryptografického pracoviště určeného k výrobě nebo testování materiálu k zajištění funkce kryptografického prostředku nebo které je centrálním distribučním a evidenčním místem kryptografického materiálu orgánu státu, právnické osoby podle § 60b zákona nebo podnikatele, obsahuje

1. účinné od 1. 1. 2025a) číslo osvědčení podnikatele s uvedením příslušného stupně utajení, je-li žadatelem podnikatel,
2. účinné od 1. 1. 2025b) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni a
3. účinné od 1. 1. 2025c) specifikace činností, které mají být prováděny podle smlouvy o zajištění činnosti.

účinné od 1. 1. 2025(2) Žádost podle odstavce 1 obsahuje dále

1. účinné od 1. 1. 2025a) adresu umístění pracoviště provádějícího požadované činnosti,
2. účinné od 1. 1. 2025b) prohlášení odpovědné osoby nebo jí pověřené osoby o splnění požadavků na fyzickou a personální bezpečnost pracoviště,
3. účinné od 1. 1. 2025c) rozsah požadovaných činností,
4. účinné od 1. 1. 2025d) personální zabezpečení požadovaných činností a
5. účinné od 1. 1. 2025e) technické a organizační zajištění požadovaných činností.

§ 13

účinné od 1. 1. 2025Přechodná ustanovení