vyhláška o informační bezpečnosti

§ 36

(1) Bezpečnostní dokumentaci systému tvoří

1. a) projektová bezpečnostní dokumentace a
2. b) provozní bezpečnostní dokumentace.

(2) Projektová bezpečnostní dokumentace obsahuje

1. a) bezpečnostní politiku,
2. b) analýzu rizik,
3. c) popis bezpečnosti systému a
4. d) dokumentaci k bezpečnostním testům.

(3) Provozní bezpečnostní dokumentace obsahuje

1. a) provozní bezpečnostní směrnice pro každou zavedenou roli,
2. b) evidence aktiv systému, zejména nosičů informací,
3. c) evidenci uživatelů,
4. d) provozní deníky a
5. e) další provozní bezpečnostní dokumentaci definovanou v projektové bezpečnostní dokumentaci.

§ 37

Bezpečnostní politika

(1) Bezpečnostní politika

1. a) je tvořena souborem obecných pravidel a postupů, který vymezuje způsob, jakým má být zajištěna informační bezpečnost a odpovědnost uživatele za jeho činnost v systému, který je konkretizován jako bezpečnostní opatření v popisu bezpečnosti systému,
2. b) obsahuje prohlášení odpovědné osoby nebo bezpečnostního ředitele o naplnění požadavků právních předpisů z oblasti ochrany utajovaných informací a
3. c) stanoví způsob zajištění pravosti a nepopiratelnosti informací, je-li to nutné.

(2) U informačního systému musí být bezpečnostní politika průběžně přezkoumávána, vyhodnocována a aktualizována, nejpozději však bezprostředně před podáním opakované žádosti o certifikaci podle § 48.

§ 38

Analýza rizik

(1) Pro účely analýzy rizik se rozumí

1. a) hrozbou potenciální příčina bezpečnostního incidentu,
2. b) zranitelností slabé místo aktiva systému, které může být využito hrozbou,
3. c) rizikem kombinace pravděpodobnosti události a jejího následku jako souhrnu možností, že hrozba využije zranitelnost a způsobí škodu.

(2) Analýza rizik vychází z bezpečnostní politiky a u informačního systému i ze stanoveného bezpečnostního provozního módu.

(3) Analýza rizik obsahuje

1. a) provozovatelem systému stanovenou metodiku pro identifikaci a hodnocení aktiv systému a pro identifikaci a hodnocení rizik včetně stanovených kritérií pro přijatelnost rizik,
2. b) identifikaci a hodnocení aktiv systému z hlediska hrozeb, zranitelností a dopadů,
3. c) kvantifikaci rizik, která zohledňuje hrozby, zranitelnosti a dopady,
4. d) určenou a akceptovatelnou míru rizika a
5. e) přehled navržených bezpečnostních opatření.

(4) U informačního systému musí být analýza rizik přezkoumávána, vyhodnocována a aktualizována, nejpozději však bezprostředně před podáním opakované žádosti o certifikaci podle § 48.

§ 39

Popis bezpečnosti systému

(1) Popis bezpečnosti systému popisuje aplikaci bezpečnostních opatření navržených v analýze rizik pro splnění požadavků definovaných v bezpečnostní politice, včetně řešení kryptografické ochrany, pokud je aplikována. Popis bezpečnosti systému musí být konkrétní a přesný.

(2) U rozsáhlých systémů lze popis bezpečnosti systému rozdělit do několika samostatných dokumentů, které popisují konkrétní řešení jednotlivých částí systému, zpravidla na úrovni poskytovaných služeb.

§ 40

Dokumentace k bezpečnostním testům

Dokumentace k bezpečnostním testům obsahuje souhrn bezpečnostních testů a jejich výsledků z oblasti plnění bezpečnostních opatření navržených v analýze rizik a popsaných v popisu bezpečnosti systému.

§ 41

Provozní bezpečnostní směrnice

(1) Pro každou definovanou roli v systému musí být zpracována provozní bezpečnostní směrnice.

(2) Provozní bezpečnostní směrnice pro každou roli stanoví

1. a) práva uživatele v roli,
2. b) povinnosti uživatele v roli,
3. c) zakázané činnosti uživatele v roli a
4. d) postupy spojené s povinnostmi, právy a zakázanými činnostmi podle písmen a) až c).

(3) Provozní bezpečnostní směrnice pro roli koncového uživatele obsahuje také

1. a) stručný a zjednodušený popis systému včetně jeho rozsahu a případného umístění,
2. b) definici a klasifikaci krizových situací včetně základního popisu toho, jak se koncový uživatel podílí na jejich řešení,
3. c) definici a klasifikaci bezpečnostních událostí a incidentů včetně základního popisu toho, jak se koncový uživatel podílí na jejich řešení,
4. d) definici kompromitace utajované informace při použití kryptografického prostředku včetně základního popisu toho, jak se uživatel podílí na řešení,
5. e) způsob manipulace s nosiči informací a způsob jejich používání,
6. f) pravidla provádění tisku a
7. g) způsob používání specifického softwarového vybavení.

§ 42

Evidence aktiv

(1) Veškerá aktiva systému musí být evidována v evidenci aktiv.

(2) Záznam v evidenci aktiv musí obsahovat přesný název, typ, sériové nebo výrobní číslo aktiva a další informace, které umožní jednoznačnou identifikaci evidovaného aktiva.

(3) Evidovaná hmotná aktiva musí být, kromě výjimek uvedených v bezpečnostní dokumentaci, označena tak, aby byla jednoznačně určena jejich příslušnost k systému.

(4) Evidence nosičů informací obsahuje položky:

1. a) pořadové číslo,
2. b) stupeň utajení nebo informaci o tom, že nosič informací je neutajovaný,
3. c) evidenční označení, které tvoří zkratka stupně utajení, je-li nosič informací utajovaný, nebo zkratka informace o tom, že nosič informací je neutajovaný, pořadové číslo, rok zavedení do evidence a identifikaci provozovatele systému,
4. d) datum zavedení do evidence,
5. e) typ nosiče informací,
6. f) jednoznačný identifikátor nosiče informací, kterým je zpravidla sériové číslo, a
7. g) jméno, příjmení a podpis uživatele, kterému byl nosič informací přidělen, datum převzetí, datum vrácení nosiče informací a jméno, příjmení a podpis uživatele, kterému byl nosič informací vrácen.

(5) Evidence nosičů informací může být vedena i samostatně mimo provozní bezpečnostní dokumentaci. Způsob vedení evidence nosičů informací podle věty první je uveden v bezpečnostní dokumentaci.

§ 43

Evidence uživatelů

(1) Každý uživatel musí být evidován v evidenci uživatelů.

(2) Evidence uživatelů obsahuje

1. a) jméno a příjmení uživatele,
2. b) údaje o oznámení o splnění podmínek pro přístup k utajované informaci stupně utajení Vyhrazené, zejména datum jeho vydání; to neplatí, má-li uživatel přístup k utajované informaci stupně utajení Vyhrazené podle § 58a zákona,
3. c) údaje o osvědčení fyzické osoby, bylo-li uživateli vydáno, kterými se rozumí číslo osvědčení, datum vydání, doba platnosti osvědčení a nejvyšší stupeň utajení utajovaných informací, ke kterým osvědčení umožňuje přístup,
4. d) údaje o osvědčení fyzické osoby pro cizí moc, bylo-li uživateli vydáno, kterými se rozumí číslo osvědčení, datum vydání, doba platnosti osvědčení a nejvyšší stupeň utajení utajovaných informací, ke kterým osvědčení umožňuje přístup, a
5. e) údaje o roli, kterou byl uživatel pověřen, zejména o rozsahu jeho oprávnění, datu pověření a datu zrušení pověření a datu proškolení podle § 19 odst. 5.

(3) V případě, že má uživatel přístup k utajované informaci podle § 58 zákona, nebo k utajované informaci stupně utajení Vyhrazené podle § 58a zákona, jsou tyto údaje uvedeny v evidenci uživatelů.

§ 44

Provozní deník

(1) Provozní deník slouží k řízení změn v systému a jejich zadokumentování. Do provozního deníku se zaznamenávají zejména změny prováděné v systému pracovníky správy.

(2) Provozní deník lze vést i v elektronické podobě, je-li zabezpečen proti neoprávněnému přístupu nebo zásahu a prokazatelným způsobem zaznamenává všechny v něm prováděné změny.

§ 45

Žádost o certifikaci informačního systému

(1) Žádost o certifikaci informačního systému obsahuje

1. a) číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li žadatelem podnikatel,
2. b) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení, kterým se rozumí alespoň její telefonní číslo a adresa elektronické pošty,
3. c) popis účelu a rozsahu informačního systému,
4. d) údaj o stupni utajení utajovaných informací, se kterými bude informační systém nakládat,
5. e) údaj o stanovení bezpečnostního provozního módu informačního systému a
6. f) identifikační údaje dodavatele informačního systému nebo jeho komponent ovlivňujících bezpečnost informačního systému a číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li dodavatel podnikatelem.

(2) K provedení certifikace informačního systému žadatel předloží

1. a) žádost o certifikaci informačního systému podle odstavce 1,
2. b) projektovou bezpečnostní dokumentaci podle § 36 odst. 2,
3. c) provozní bezpečnostní dokumentaci v rozsahu § 36 odst. 3 písm. a),
4. d) popis bezpečnosti vývojového prostředí a
5. e) další podklady obsahující informace, které by mohly mít vliv na posuzování bezpečnosti informačního systému nebo jeho provoz.

(3) K provedení certifikace informačního systému nakládajícího s utajovanými informacemi stupně utajení Důvěrné nebo vyššího žadatel předloží podklady nezbytné k ověření způsobilosti elektrických nebo elektronických zařízení, které jsou součástí informačního systému, k ochraně před únikem utajovaných informací kompromitujícím vyzařováním.

(4) K žádosti žadatel přiloží výsledky dílčích úloh v rámci ověřování způsobilosti informačního systému k nakládání s utajovanými informacemi, provedených orgánem státu, právnickou osobou podle § 60b zákona nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Národním úřadem pro kybernetickou a informační bezpečnost podle § 52 zákona, byly-li tyto dílčí úlohy provedeny.

(5) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen c) až f) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu. Zpravodajská služba předkládá podklady podle odstavce 2 pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

§ 46

Způsob a podmínky provádění certifikace informačního systému

(1) V rámci certifikace informačního systému posuzuje Národní úřad pro kybernetickou a informační bezpečnost

1. a) vhodnost navrženého souboru bezpečnostních opatření pro dosažení informační bezpečnosti informačního systému podle § 3,
2. b) správnost a úplnost bezpečnostní dokumentace a
3. c) správnost realizace navrženého souboru bezpečnostních opatření v daném informačním systému a její soulad s bezpečnostní dokumentací.

(2) Certifikace informačního systému se provádí na základě předložených podkladů a provedených bezpečnostních testů. Bezpečnostní testy provádí žadatel o certifikaci informačního systému v provozním prostředí hodnoceného informačního systému za spoluúčasti Národního úřadu pro kybernetickou a informační bezpečnost, případně i dodavatele. Provádí-li bezpečnostní testy podle věty druhé zpravodajská služba, spoluúčast Národního úřadu pro kybernetickou a informační bezpečnosti se nevyžaduje.

(3) Certifikaci informačního systému lze provádět průběžně po ukončení jednotlivých fází výstavby informačního systému nebo až po jejím dokončení, uvede-li to žadatel v žádosti o certifikaci informačního systému podle § 45.

(4) Dojde-li v informačním systému, který byl certifikován a schválen do provozu, ke změnám uvedeným v § 51 odst. 2, provádí se pouze doplňující posouzení informačního systému v rozsahu provedených změn. Při provádění doplňujícího posouzení informačního systému se postupuje podle odstavce 1 v nezbytném rozsahu. Výsledek doplňujícího posouzení je součástí certifikační zprávy.

(5) Vzor certifikátu informačního systému je uveden v příloze č. 2 k této vyhlášce.

§ 47

Certifikační zpráva

Národní úřad pro kybernetickou a informační bezpečnost vydává k certifikátu informačního systému certifikační zprávu, která obsahuje

1. a) identifikaci informačního systému obsahující jeho název, označení verze a stupeň utajení utajovaných informací, pro který byla způsobilost informačního systému ověřena,
2. b) popis informačního systému,
3. c) zásady a podmínky provozování informačního systému, včetně typů změn informačního systému, které vyžadují provedení doplňujícího posouzení informačního systému, a podmínek ukončení jeho provozu,
4. d) identifikaci přijatelných rizik souvisejících s provozem informačního systému a
5. e) typy kryptografických prostředků, jsou-li použity, a způsob, jakým bude zajištěn výkon kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku.

§ 48

Opakovaná žádost o certifikaci informačního systému

(1) Opakovaná žádost o certifikaci informačního systému obsahuje

1. a) číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li provozovatelem informačního systému podnikatel,
2. b) identifikaci vydaného certifikátu informačního systému obsahující identifikaci jeho držitele, evidenční číslo, datum vydání a dobu platnosti,
3. c) identifikaci informačního systému obsahující jeho název, označení verze a stupeň utajení utajovaných informací, pro který byla způsobilost informačního systému ověřena, a
4. d) jméno a příjmení kontaktní osoby provozovatele informačního systému a kontaktní spojení na ni.

(2) Opakovaná žádost o certifikaci informačního systému dále obsahuje návrh změny bezpečnostní dokumentace, pokud ji ke dni ukončení platnosti dosavadního certifikátu provozovatel informačního systému navrhuje.

(3) Pokud v opakované žádosti provozovatel informačního systému doloží, že ke dni ukončení platnosti dosavadního certifikátu informačního systému bude informační systém provozován za podmínek stanovených v certifikační zprávě a v jeho provozování nenastaly změny, je rozsah posuzování podle § 46 odst. 1 omezen pouze na písmeno c).

(4) Pokud v opakované žádosti provozovatel informačního systému navrhuje změnu bezpečnostní dokumentace, je rozsah posuzování podle § 46 odst. 1 písm. a) a b) omezen na tyto navrhované změny.

(5) Pokud navrhované změny bezpečnostní dokumentace informačního systému jsou podstatné pro celkovou bezpečnost informačního systému, bude Národní úřad pro kybernetickou a informační bezpečnost postupovat jako v případě nové certifikace.

(6) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen c) a d) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu. Zpravodajská služba předkládá podklady podle odstavce 2 pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

§ 49

(1) Žádost o uzavření smlouvy s Národním úřadem pro kybernetickou a informační bezpečnost o zajištění činnosti podle § 52 zákona, jejímž předmětem je provádění dílčích úloh při ověřování způsobilosti informačního systému k nakládání s utajovanými informacemi (dále jen „smlouva o zajištění činnosti“), obsahuje

1. a) číslo osvědčení podnikatele s uvedením příslušného stupně utajení, je-li žadatelem podnikatel,
2. b) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni a
3. c) specifikace činností, které mají být prováděny podle smlouvy o zajištění činnosti.

(2) Žádost dle odstavce 1 obsahuje dále

1. a) adresu umístění pracoviště provádějícího požadované činnosti,
2. b) prohlášení odpovědné osoby nebo jí pověřené osoby o splnění požadavků na fyzickou a personální bezpečnost pracoviště,
3. c) rozsah požadovaných činností,
4. d) údaje o personálním zabezpečení požadovaných činností a
5. e) údaje o technickém a organizačním zajištění požadovaných činností.

§ 50

(1) Akreditaci informačního systému cizí moci provádí Národní úřad pro kybernetickou a informační bezpečnost na žádost, která obsahuje prohlášení o naplnění bezpečnostních požadavků vyžadovaných bezpečnostní akreditační autoritou cizí moci podle příslušného předpisu Evropské unie²) a podle mezinárodní smlouvy³).

(2) Pokud Národní úřad pro kybernetickou a informační bezpečnost ověří naplnění bezpečnostních požadavků vyžadovaných bezpečnostní akreditační autoritou cizí moci, předá prohlášení podle odstavce 1 bezpečnostní akreditační autoritě cizí moci.

(3) Na základě rozhodnutí bezpečnostní akreditační autority cizí moci o akreditaci informačního systému cizí moci Národní úřad pro kybernetickou a informační bezpečnost informační systém cizí moci akredituje.

(4) Pokud má být informační systém cizí moci používán i bezprostředně po uplynutí doby platnosti jeho akreditace, požádá jeho provozovatel o opakovanou akreditaci informačního systému podle odstavce 1 obdobně nejpozději 6 měsíců před koncem platnosti akreditace informačního systému cizí moci.

§ 51

(1) Podmínky bezpečného provozování informačního systému spočívají v

1. a) dodržování bezpečnostních opatření,
2. b) dodržování podmínek provozování informačního systému stanovených v certifikační zprávě a
3. c) informování Národního úřadu pro kybernetickou a informační bezpečnost o významné změně týkající se provozu informačního systému, která by mohla mít vliv na informační bezpečnost.

(2) Pokud v rámci provozu informačního systému dojde ke změně podle odstavce 1 písmene c) nebo ke změně podle § 47 písm. c), musí být taková změna bez zbytečného odkladu zohledněna v bezpečnostní dokumentaci, zejména v analýze rizik.

§ 52

Náležitosti projektu bezpečnosti

(1) Projekt bezpečnosti obsahuje bezpečnostní dokumentaci, a to alespoň v rozsahu § 36 odst. 2 písm. a) až c) a odst. 3 písm. a).

(2) Popis bezpečnosti podle § 39 obsahuje pro komunikační systém popis

1. a) způsobu, jakým bude zajištěn výkon kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku,
2. b) bezpečnostní správy kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku a
3. c) bezpečnostních opatření a zásad provozních postupů, jejichž naplňováním bude zajištěna informační bezpečnost.

(3) Bezpečnostní směrnice jednotlivých rolí obsahují pro komunikační systém

1. a) požadavky uvedené v § 41 a
2. b) popis konkrétních provozních postupů pro zajištění bezpečnostní správy komunikačního systému a výkonu kryptografické ochrany.

(4) Popis bezpečnosti komunikačního systému, který pro zajištění komunikace a řízení používá prvky výpočetní techniky, musí obsahovat popis komunikační infrastruktury a popis informační infrastruktury.

§ 53

Žádost o schválení projektu bezpečnosti

(1) Žádost o schválení projektu bezpečnosti obsahuje

1. a) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni,
2. b) číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li provozovatelem komunikačního systému podnikatel,
3. c) název komunikačního systému a popis jeho účelu a rozsahu včetně stanovení jeho běžných provozních funkcí,
4. d) údaj o stupni utajení utajovaných informací, se kterými bude komunikační systém nakládat,
5. e) identifikační údaje dodavatele jednotlivých komponent komunikačního systému majících vliv na bezpečnost komunikačního systému a číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li dodavatel podnikatelem, a
6. f) projekt bezpečnosti.

(2) Ke schválení projektu bezpečnosti komunikačního systému nakládajícího s utajovanými informacemi stupně utajení Důvěrné nebo vyššího žadatel předloží podklady nezbytné k ověření způsobilosti elektrických nebo elektronických zařízení, které jsou součástí komunikačního systému, k ochraně před únikem utajovaných informací kompromitujícím vyzařováním.

(3) Pokud žadatel poskytuje jednotlivé části projektu bezpečnosti v průběhu jeho schvalování postupně, musí je předkládat v pořadí podle § 36.

(4) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen c) až f) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu. Zpravodajská služba předkládá podklady podle odstavce 2 pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

§ 54

Způsob a podmínky schvalování projektu bezpečnosti

(1) V rámci schvalování projektu bezpečnosti posuzuje Národní úřad pro kybernetickou a informační bezpečnost

1. a) vhodnost navrženého souboru bezpečnostních opatření pro dosažení informační bezpečnosti komunikačního systému podle § 3,
2. b) správnost a úplnost bezpečnostní dokumentace a
3. c) správnost realizace navrženého souboru bezpečnostních opatření v daném komunikačním systému a její soulad s bezpečnostní dokumentací.

(2) Schvalování projektu bezpečnosti se provádí posouzením podkladů předložených provozovatelem komunikačního systému a posouzením správnosti realizace projektu bezpečnosti Národním úřadem pro kybernetickou a informační bezpečnost v provozním prostředí schvalovaného komunikačního systému.

(3) Schvalování projektu bezpečnosti lze provádět průběžně po ukončení jednotlivých fází výstavby komunikačního systému nebo až po jejím celkovém dokončení, podle požadavků žadatele, zažádá-li o to v žádosti o schválení projektu bezpečnosti podle § 53.

(4) Zjistí-li Národní úřad pro kybernetickou a informační bezpečnost při schvalování projektu bezpečnosti způsobilost hodnoceného komunikačního systému k nakládání s utajovanými informacemi, vydá rozhodnutí o schválení projektu bezpečnosti.

(5) Dojde-li v komunikačním systému ke změnám, které mají vliv na informační bezpečnost komunikačního systému, provádí se doplňující posouzení projektu bezpečnosti v rozsahu potřebném k posouzení provedených změn. Při provádění doplňujícího posouzení projektu bezpečnosti se postupuje obdobně jako při schvalování projektu bezpečnosti.

§ 55

(1) V rámci certifikace informačního systému nebo schvalování projektu bezpečnosti lze rozdělit existující informační nebo komunikační systém na moduly, které mohou být bez dalšího posuzování obdobně použity i v jiných informačních nebo komunikačních systémech podle § 46 nebo 54 při zachování stejné úrovně informační bezpečnosti.

(2) Modul je funkční celek tvořený

1. a) softwarovým vybavením, zejména elektronickým systémem spisové služby, sloužícím k evidenci utajovaných informací,
2. b) hardwarovým vybavením, zejména zástavbou kryptografického prostředku v systému, nebo
3. c) kombinací softwarového a hardwarového vybavení, zejména bezpečnostním oddělovacím blokem,

jestliže má jasně definované hranice určující způsob jeho začlenění do systému.

(3) Národní úřad pro kybernetickou a informační bezpečnost při posuzování jiného systému podle § 46 odst. 3 a § 54 odst. 1 a 2 nehodnotí modul, jestliže modul

1. a) byl posouzen a použit v již existujícím systému podle § 46 nebo 54 a
2. b) má být obdobně použit v jiném systému ve stejné konfiguraci a za stejných podmínek jako v jiném již existujícím systému podle písmene a).

§ 56

Podmínky bezpečného provozování samostatného elektronického zařízení

(1) Podmínkou bezpečného provozování samostatného elektronického zařízení podle § 36 odst. 4 zákona je zpracování bezpečnostní provozní směrnice obsahující bezpečnostní dokumentaci alespoň v rozsahu § 36 odst. 2 písm. c) a odst. 3 písm. a).

(2) Popis bezpečnosti systému podle § 36 odst. 2 písm. c) stanoví způsob bezpečného provozování s ohledem na funkci samostatného elektronického zařízení a způsob ukládání zpracovávané utajované informace a identifikuje samostatné elektronické zařízení podle funkce jako

1. a) zobrazovací, které zobrazuje utajované informace,
2. b) zaznamenávací, které zaznamenává utajované informace v různých formátech, zejména psací stroj s pamětí, fotoaparát, kamera nebo záznamník,
3. c) kopírovací a převodní, které kopíruje nebo převádí utajované informace z jednoho formátu do druhého, a
4. d) kombinované, které kombinuje funkce uvedené v písmenech a) až c).

(3) Obsahuje-li samostatné elektronické zařízení nosič informací, pak popis bezpečnosti systému obsahuje i jeho identifikaci podle způsobu zapojení do zařízení podle § 13 odst. 3.

(4) Pokud provozovatel samostatného elektronického zařízení provozuje více samostatných elektronických zařízení stejného typu podle funkce a způsobu integrace nosiče informací, pak může zpracovat jednu bezpečnostní provozní směrnici pro daný typ samostatného elektronického zařízení.

§ 57

Oznámení o provozovaném samostatném elektronickém zařízení podle § 36 odst. 2 písm. b) zákona obsahuje

1. a) identifikační údaje provozovatele samostatného elektronického zařízení a
2. b) seznam provozovaných samostatných elektronických zařízení obsahující pro každé provozované samostatné elektronické zařízení
   1. 1. typ samostatného elektronického zařízení podle § 56 odst. 2 a 3 a
   2. 2. stupeň utajení utajovaných informací, pro něž je určeno.

§ 58

Přechodná ustanovení

§ 60