vyhláška o informační bezpečnosti

§ 1

účinné od 1. 1. 2025Předmět úpravy

účinné od 1. 1. 2025(1) Tato vyhláška upravuje v návaznosti na předpisy Evropské unie¹)

1. účinné od 1. 1. 2025a) požadavky na informační systém nakládající s utajovanými informacemi (dále jen „informační systém“) a podmínky jeho bezpečného provozování v závislosti na stupni utajení utajovaných informací, s nimiž nakládá, a na bezpečnostním provozním módu,
2. účinné od 1. 1. 2025b) obsah bezpečnostní dokumentace informačního systému,
3. účinné od 1. 1. 2025c) náležitosti oznámení provozovatele certifikovaného informačního systému o zavedení dalších nutných bezpečnostních funkcí nebo opatření podle § 34 odst. 7 písm. c) zákona,
4. účinné od 1. 1. 2025d) obsah žádosti o schválení projektu bezpečnosti komunikačního systému nakládajícího s utajovanými informacemi (dále jen „komunikační systém“),
5. účinné od 1. 1. 2025e) náležitosti projektu bezpečnosti komunikačního systému (dále jen „projekt bezpečnosti“) a způsob a podmínky jeho schvalování podle § 35 odst. 6 zákona,
6. účinné od 1. 1. 2025f) způsob a podmínky provádění akreditace informačního systému cizí moci nakládajícího s utajovanými informacemi a provozovaného na území České republiky,
7. účinné od 1. 1. 2025g) náležitosti žádosti a opakované žádosti o certifikaci informačního systému a dokumentaci nezbytnou k provedení certifikace informačního systému,
8. účinné od 1. 1. 2025h) způsob a podmínky provádění certifikace nebo akreditace informačního systému, jejich opakování a obsah certifikační zprávy podle § 46 odst. 13 a
9. účinné od 1. 1. 2025i) vzor certifikátu informačního systému.

účinné od 1. 1. 2025(2) Tato vyhláška dále stanoví podmínky bezpečného provozování zařízení, které není součástí informačního nebo komunikačního systému (dále jen „samostatné elektronické zařízení“), a rozsah požadovaných informací podle § 36 odst. 2 písm. b) zákona.

účinné od 1. 1. 2025(3) Tato vyhláška dále stanoví náležitosti žádosti o uzavření smlouvy o zajištění činnosti podle § 52 zákona, jejímž předmětem je provádění dílčích úloh při ověřování způsobilosti informačního systému k nakládání s utajovanými informacemi.

§ 2

účinné od 1. 1. 2025Vymezení pojmů

účinné od 1. 1. 2025Pro účely této vyhlášky se rozumí

1. účinné od 1. 1. 2025a) objektem informačního systému, komunikačního systému nebo samostatného elektronického zařízení (dále jen „systém“) pasivní prvek, který obsahuje nebo přijímá informaci,
2. účinné od 1. 1. 2025b) subjektem systému aktivní prvek, který způsobuje předání informace mezi objekty systému nebo změnu stavu systému,
3. účinné od 1. 1. 2025c) aktivem systému na základě analýzy rizik definované hardwarové a softwarové vybavení, dokumentace a informace, které jsou v systému uloženy,
4. účinné od 1. 1. 2025d) auditním záznamem záznam systému poskytující bližší informace o události nebo stavu systému nebo o činnosti subjektu systému,
5. účinné od 1. 1. 2025e) autentizací subjektu systému proces ověření předložených identifikačních znaků poskytující záruky, že prohlašovaná identita subjektu systému je pravá,
6. účinné od 1. 1. 2025f) autorizací subjektu systému proces udělení oprávnění subjektu systému k provádění určených operací s určenými objekty systému,
7. účinné od 1. 1. 2025g) informační bezpečností soubor, uspořádání a řízení bezpečnostních opatření, jejichž cílem je zajistit důvěrnost, integritu a dostupnost aktiv systému, a odpovědnost subjektů systému za jejich činnost v systému,
8. účinné od 1. 1. 2025h) komunikační bezpečností bezpečnostní opatření použitá k zajištění bezpečnosti informací v systému při přenosu komunikačním kanálem,
9. účinné od 1. 1. 2025i) komunikačním kanálem prostředí sloužící k přenosu informací mezi objekty systému, případně subjekty systému v rámci jednoho nebo několika propojených systémů,
10. účinné od 1. 1. 2025j) bezpečnostní událostí událost, která může způsobit bezpečnostní incident,
11. účinné od 1. 1. 2025k) bezpečnostním incidentem narušení informační bezpečnosti,
12. účinné od 1. 1. 2025l) uživatelem fyzická osoba jako subjekt systému v určité roli,
13. účinné od 1. 1. 2025m) rolí souhrn určených činností a potřebných oprávnění,
14. účinné od 1. 1. 2025n) nosičem informací zařízení s energeticky nezávislou pamětí, které je určeno výhradně pro použití v provozu systému jako jeho součást, a které není určeno k evidenci nebo doručení adresátovi jako utajovaný dokument v nelistinné podobě podle právního předpisu upravujícího administrativní bezpečnost,
15. účinné od 1. 1. 2025o) řízením přístupu prostředky pro omezení přístupu subjektů systému k objektům systému, zajišťující, že přístup k nim získá jen oprávněný subjekt systému,
16. účinné od 1. 1. 2025p) volitelným řízením přístupu řízení přístupu založené na kontrole přístupových práv subjektu systému k objektu systému, přičemž subjekt systému vybavený určitými přístupovými právy pro přístup k objektu systému může zvolit, které další subjekty systému autorizuje k přístupu k tomuto objektu systému, a může tak ovlivňovat tok informací mezi objekty systému, a
17. účinné od 1. 1. 2025q) povinným řízením přístupu řízení přístupu založené na porovnání stupně utajení utajované informace obsažené v objektu systému a úrovně oprávnění subjektu systému pro přístup k utajované informaci a zajišťující správný tok informací mezi objekty systému s různými stupni utajení nezávisle na volbě učiněné uživatelem.