vyhláška o informační bezpečnosti

§ 36

účinné od 1. 1. 2025(1) Bezpečnostní dokumentaci systému tvoří

1. účinné od 1. 1. 2025a) projektová bezpečnostní dokumentace a
2. účinné od 1. 1. 2025b) provozní bezpečnostní dokumentace.

účinné od 1. 1. 2025(2) Projektová bezpečnostní dokumentace obsahuje

1. účinné od 1. 1. 2025a) bezpečnostní politiku,
2. účinné od 1. 1. 2025b) analýzu rizik,
3. účinné od 1. 1. 2025c) popis bezpečnosti systému a
4. účinné od 1. 1. 2025d) dokumentaci k bezpečnostním testům.

účinné od 1. 1. 2025(3) Provozní bezpečnostní dokumentace obsahuje

1. účinné od 1. 1. 2025a) provozní bezpečnostní směrnice pro každou zavedenou roli,
2. účinné od 1. 1. 2025b) evidence aktiv systému, zejména nosičů informací,
3. účinné od 1. 1. 2025c) evidenci uživatelů,
4. účinné od 1. 1. 2025d) provozní deníky a
5. účinné od 1. 1. 2025e) další provozní bezpečnostní dokumentaci definovanou v projektové bezpečnostní dokumentaci.

§ 37

účinné od 1. 1. 2025Bezpečnostní politika

účinné od 1. 1. 2025(1) Bezpečnostní politika

1. účinné od 1. 1. 2025a) je tvořena souborem obecných pravidel a postupů, který vymezuje způsob, jakým má být zajištěna informační bezpečnost a odpovědnost uživatele za jeho činnost v systému, který je konkretizován jako bezpečnostní opatření v popisu bezpečnosti systému,
2. účinné od 1. 1. 2025b) obsahuje prohlášení odpovědné osoby nebo bezpečnostního ředitele o naplnění požadavků právních předpisů z oblasti ochrany utajovaných informací a
3. účinné od 1. 1. 2025c) stanoví způsob zajištění pravosti a nepopiratelnosti informací, je-li to nutné.

účinné od 1. 1. 2025(2) U informačního systému musí být bezpečnostní politika průběžně přezkoumávána, vyhodnocována a aktualizována, nejpozději však bezprostředně před podáním opakované žádosti o certifikaci podle § 48.

§ 38

účinné od 1. 1. 2025Analýza rizik

účinné od 1. 1. 2025(1) Pro účely analýzy rizik se rozumí

1. účinné od 1. 1. 2025a) hrozbou potenciální příčina bezpečnostního incidentu,
2. účinné od 1. 1. 2025b) zranitelností slabé místo aktiva systému, které může být využito hrozbou,
3. účinné od 1. 1. 2025c) rizikem kombinace pravděpodobnosti události a jejího následku jako souhrnu možností, že hrozba využije zranitelnost a způsobí škodu.

účinné od 1. 1. 2025(2) Analýza rizik vychází z bezpečnostní politiky a u informačního systému i ze stanoveného bezpečnostního provozního módu.

účinné od 1. 1. 2025(3) Analýza rizik obsahuje

1. účinné od 1. 1. 2025a) provozovatelem systému stanovenou metodiku pro identifikaci a hodnocení aktiv systému a pro identifikaci a hodnocení rizik včetně stanovených kritérií pro přijatelnost rizik,
2. účinné od 1. 1. 2025b) identifikaci a hodnocení aktiv systému z hlediska hrozeb, zranitelností a dopadů,
3. účinné od 1. 1. 2025c) kvantifikaci rizik, která zohledňuje hrozby, zranitelnosti a dopady,
4. účinné od 1. 1. 2025d) určenou a akceptovatelnou míru rizika a
5. účinné od 1. 1. 2025e) přehled navržených bezpečnostních opatření.

účinné od 1. 1. 2025(4) U informačního systému musí být analýza rizik přezkoumávána, vyhodnocována a aktualizována, nejpozději však bezprostředně před podáním opakované žádosti o certifikaci podle § 48.

§ 39

účinné od 1. 1. 2025Popis bezpečnosti systému

účinné od 1. 1. 2025(1) Popis bezpečnosti systému popisuje aplikaci bezpečnostních opatření navržených v analýze rizik pro splnění požadavků definovaných v bezpečnostní politice, včetně řešení kryptografické ochrany, pokud je aplikována. Popis bezpečnosti systému musí být konkrétní a přesný.

účinné od 1. 1. 2025(2) U rozsáhlých systémů lze popis bezpečnosti systému rozdělit do několika samostatných dokumentů, které popisují konkrétní řešení jednotlivých částí systému, zpravidla na úrovni poskytovaných služeb.

§ 40

účinné od 1. 1. 2025Dokumentace k bezpečnostním testům

účinné od 1. 1. 2025Dokumentace k bezpečnostním testům obsahuje souhrn bezpečnostních testů a jejich výsledků z oblasti plnění bezpečnostních opatření navržených v analýze rizik a popsaných v popisu bezpečnosti systému.

§ 41

účinné od 1. 1. 2025Provozní bezpečnostní směrnice

účinné od 1. 1. 2025(1) Pro každou definovanou roli v systému musí být zpracována provozní bezpečnostní směrnice.

účinné od 1. 1. 2025(2) Provozní bezpečnostní směrnice pro každou roli stanoví

1. účinné od 1. 1. 2025a) práva uživatele v roli,
2. účinné od 1. 1. 2025b) povinnosti uživatele v roli,
3. účinné od 1. 1. 2025c) zakázané činnosti uživatele v roli a
4. účinné od 1. 1. 2025d) postupy spojené s povinnostmi, právy a zakázanými činnostmi podle písmen a) až c).

účinné od 1. 1. 2025(3) Provozní bezpečnostní směrnice pro roli koncového uživatele obsahuje také

1. účinné od 1. 1. 2025a) stručný a zjednodušený popis systému včetně jeho rozsahu a případného umístění,
2. účinné od 1. 1. 2025b) definici a klasifikaci krizových situací včetně základního popisu toho, jak se koncový uživatel podílí na jejich řešení,
3. účinné od 1. 1. 2025c) definici a klasifikaci bezpečnostních událostí a incidentů včetně základního popisu toho, jak se koncový uživatel podílí na jejich řešení,
4. účinné od 1. 1. 2025d) definici kompromitace utajované informace při použití kryptografického prostředku včetně základního popisu toho, jak se uživatel podílí na řešení,
5. účinné od 1. 1. 2025e) způsob manipulace s nosiči informací a způsob jejich používání,
6. účinné od 1. 1. 2025f) pravidla provádění tisku a
7. účinné od 1. 1. 2025g) způsob používání specifického softwarového vybavení.

§ 42

účinné od 1. 1. 2025Evidence aktiv

účinné od 1. 1. 2025(1) Veškerá aktiva systému musí být evidována v evidenci aktiv.

účinné od 1. 1. 2025(2) Záznam v evidenci aktiv musí obsahovat přesný název, typ, sériové nebo výrobní číslo aktiva a další informace, které umožní jednoznačnou identifikaci evidovaného aktiva.

účinné od 1. 1. 2025(3) Evidovaná hmotná aktiva musí být, kromě výjimek uvedených v bezpečnostní dokumentaci, označena tak, aby byla jednoznačně určena jejich příslušnost k systému.

účinné od 1. 1. 2025(4) Evidence nosičů informací obsahuje položky:

1. účinné od 1. 1. 2025a) pořadové číslo,
2. účinné od 1. 1. 2025b) stupeň utajení nebo informaci o tom, že nosič informací je neutajovaný,
3. účinné od 1. 1. 2025c) evidenční označení, které tvoří zkratka stupně utajení, je-li nosič informací utajovaný, nebo zkratka informace o tom, že nosič informací je neutajovaný, pořadové číslo, rok zavedení do evidence a identifikaci provozovatele systému,
4. účinné od 1. 1. 2025d) datum zavedení do evidence,
5. účinné od 1. 1. 2025e) typ nosiče informací,
6. účinné od 1. 1. 2025f) jednoznačný identifikátor nosiče informací, kterým je zpravidla sériové číslo, a
7. účinné od 1. 1. 2025g) jméno, příjmení a podpis uživatele, kterému byl nosič informací přidělen, datum převzetí, datum vrácení nosiče informací a jméno, příjmení a podpis uživatele, kterému byl nosič informací vrácen.

účinné od 1. 1. 2025(5) Evidence nosičů informací může být vedena i samostatně mimo provozní bezpečnostní dokumentaci. Způsob vedení evidence nosičů informací podle věty první je uveden v bezpečnostní dokumentaci.

§ 43

účinné od 1. 1. 2025Evidence uživatelů

účinné od 1. 1. 2025(1) Každý uživatel musí být evidován v evidenci uživatelů.

účinné od 1. 1. 2025(2) Evidence uživatelů obsahuje

1. účinné od 1. 1. 2025a) jméno a příjmení uživatele,
2. účinné od 1. 1. 2025b) údaje o oznámení o splnění podmínek pro přístup k utajované informaci stupně utajení Vyhrazené, zejména datum jeho vydání; to neplatí, má-li uživatel přístup k utajované informaci stupně utajení Vyhrazené podle § 58a zákona,
3. účinné od 1. 1. 2025c) údaje o osvědčení fyzické osoby, bylo-li uživateli vydáno, kterými se rozumí číslo osvědčení, datum vydání, doba platnosti osvědčení a nejvyšší stupeň utajení utajovaných informací, ke kterým osvědčení umožňuje přístup,
4. účinné od 1. 1. 2025d) údaje o osvědčení fyzické osoby pro cizí moc, bylo-li uživateli vydáno, kterými se rozumí číslo osvědčení, datum vydání, doba platnosti osvědčení a nejvyšší stupeň utajení utajovaných informací, ke kterým osvědčení umožňuje přístup, a
5. účinné od 1. 1. 2025e) údaje o roli, kterou byl uživatel pověřen, zejména o rozsahu jeho oprávnění, datu pověření a datu zrušení pověření a datu proškolení podle § 19 odst. 5.

účinné od 1. 1. 2025(3) V případě, že má uživatel přístup k utajované informaci podle § 58 zákona, nebo k utajované informaci stupně utajení Vyhrazené podle § 58a zákona, jsou tyto údaje uvedeny v evidenci uživatelů.

§ 44

účinné od 1. 1. 2025Provozní deník

účinné od 1. 1. 2025(1) Provozní deník slouží k řízení změn v systému a jejich zadokumentování. Do provozního deníku se zaznamenávají zejména změny prováděné v systému pracovníky správy.

účinné od 1. 1. 2025(2) Provozní deník lze vést i v elektronické podobě, je-li zabezpečen proti neoprávněnému přístupu nebo zásahu a prokazatelným způsobem zaznamenává všechny v něm prováděné změny.

§ 45

účinné od 1. 1. 2025Žádost o certifikaci informačního systému

účinné od 1. 1. 2025(1) Žádost o certifikaci informačního systému obsahuje

1. účinné od 1. 1. 2025a) číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li žadatelem podnikatel,
2. účinné od 1. 1. 2025b) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení, kterým se rozumí alespoň její telefonní číslo a adresa elektronické pošty,
3. účinné od 1. 1. 2025c) popis účelu a rozsahu informačního systému,
4. účinné od 1. 1. 2025d) údaj o stupni utajení utajovaných informací, se kterými bude informační systém nakládat,
5. účinné od 1. 1. 2025e) údaj o stanovení bezpečnostního provozního módu informačního systému a
6. účinné od 1. 1. 2025f) identifikační údaje dodavatele informačního systému nebo jeho komponent ovlivňujících bezpečnost informačního systému a číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li dodavatel podnikatelem.

účinné od 1. 1. 2025(2) K provedení certifikace informačního systému žadatel předloží

1. účinné od 1. 1. 2025a) žádost o certifikaci informačního systému podle odstavce 1,
2. účinné od 1. 1. 2025b) projektovou bezpečnostní dokumentaci podle § 36 odst. 2,
3. účinné od 1. 1. 2025c) provozní bezpečnostní dokumentaci v rozsahu § 36 odst. 3 písm. a),
4. účinné od 1. 1. 2025d) popis bezpečnosti vývojového prostředí a
5. účinné od 1. 1. 2025e) další podklady obsahující informace, které by mohly mít vliv na posuzování bezpečnosti informačního systému nebo jeho provoz.

účinné od 1. 1. 2025(3) K provedení certifikace informačního systému nakládajícího s utajovanými informacemi stupně utajení Důvěrné nebo vyššího žadatel předloží podklady nezbytné k ověření způsobilosti elektrických nebo elektronických zařízení, které jsou součástí informačního systému, k ochraně před únikem utajovaných informací kompromitujícím vyzařováním.

účinné od 1. 1. 2025(4) K žádosti žadatel přiloží výsledky dílčích úloh v rámci ověřování způsobilosti informačního systému k nakládání s utajovanými informacemi, provedených orgánem státu, právnickou osobou podle § 60b zákona nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Národním úřadem pro kybernetickou a informační bezpečnost podle § 52 zákona, byly-li tyto dílčí úlohy provedeny.

účinné od 1. 1. 2025(5) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen c) až f) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu. Zpravodajská služba předkládá podklady podle odstavce 2 pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

§ 46

účinné od 1. 1. 2025Způsob a podmínky provádění certifikace informačního systému

účinné od 1. 1. 2025(1) V rámci certifikace informačního systému posuzuje Národní úřad pro kybernetickou a informační bezpečnost

1. účinné od 1. 1. 2025a) vhodnost navrženého souboru bezpečnostních opatření pro dosažení informační bezpečnosti informačního systému podle § 3,
2. účinné od 1. 1. 2025b) správnost a úplnost bezpečnostní dokumentace a
3. účinné od 1. 1. 2025c) správnost realizace navrženého souboru bezpečnostních opatření v daném informačním systému a její soulad s bezpečnostní dokumentací.

účinné od 1. 1. 2025(2) Certifikace informačního systému se provádí na základě předložených podkladů a provedených bezpečnostních testů. Bezpečnostní testy provádí žadatel o certifikaci informačního systému v provozním prostředí hodnoceného informačního systému za spoluúčasti Národního úřadu pro kybernetickou a informační bezpečnost, případně i dodavatele. Provádí-li bezpečnostní testy podle věty druhé zpravodajská služba, spoluúčast Národního úřadu pro kybernetickou a informační bezpečnosti se nevyžaduje.

účinné od 1. 1. 2025(3) Certifikaci informačního systému lze provádět průběžně po ukončení jednotlivých fází výstavby informačního systému nebo až po jejím dokončení, uvede-li to žadatel v žádosti o certifikaci informačního systému podle § 45.

účinné od 1. 1. 2025(4) Dojde-li v informačním systému, který byl certifikován a schválen do provozu, ke změnám uvedeným v § 51 odst. 2, provádí se pouze doplňující posouzení informačního systému v rozsahu provedených změn. Při provádění doplňujícího posouzení informačního systému se postupuje podle odstavce 1 v nezbytném rozsahu. Výsledek doplňujícího posouzení je součástí certifikační zprávy.

účinné od 1. 1. 2025(5) Vzor certifikátu informačního systému je uveden v příloze č. 2 k této vyhlášce.

§ 47

účinné od 1. 1. 2025Certifikační zpráva

účinné od 1. 1. 2025Národní úřad pro kybernetickou a informační bezpečnost vydává k certifikátu informačního systému certifikační zprávu, která obsahuje

1. účinné od 1. 1. 2025a) identifikaci informačního systému obsahující jeho název, označení verze a stupeň utajení utajovaných informací, pro který byla způsobilost informačního systému ověřena,
2. účinné od 1. 1. 2025b) popis informačního systému,
3. účinné od 1. 1. 2025c) zásady a podmínky provozování informačního systému, včetně typů změn informačního systému, které vyžadují provedení doplňujícího posouzení informačního systému, a podmínek ukončení jeho provozu,
4. účinné od 1. 1. 2025d) identifikaci přijatelných rizik souvisejících s provozem informačního systému a
5. účinné od 1. 1. 2025e) typy kryptografických prostředků, jsou-li použity, a způsob, jakým bude zajištěn výkon kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku.

§ 48

účinné od 1. 1. 2025Opakovaná žádost o certifikaci informačního systému

účinné od 1. 1. 2025(1) Opakovaná žádost o certifikaci informačního systému obsahuje

1. účinné od 1. 1. 2025a) číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li provozovatelem informačního systému podnikatel,
2. účinné od 1. 1. 2025b) identifikaci vydaného certifikátu informačního systému obsahující identifikaci jeho držitele, evidenční číslo, datum vydání a dobu platnosti,
3. účinné od 1. 1. 2025c) identifikaci informačního systému obsahující jeho název, označení verze a stupeň utajení utajovaných informací, pro který byla způsobilost informačního systému ověřena, a
4. účinné od 1. 1. 2025d) jméno a příjmení kontaktní osoby provozovatele informačního systému a kontaktní spojení na ni.

účinné od 1. 1. 2025(2) Opakovaná žádost o certifikaci informačního systému dále obsahuje návrh změny bezpečnostní dokumentace, pokud ji ke dni ukončení platnosti dosavadního certifikátu provozovatel informačního systému navrhuje.

účinné od 1. 1. 2025(3) Pokud v opakované žádosti provozovatel informačního systému doloží, že ke dni ukončení platnosti dosavadního certifikátu informačního systému bude informační systém provozován za podmínek stanovených v certifikační zprávě a v jeho provozování nenastaly změny, je rozsah posuzování podle § 46 odst. 1 omezen pouze na písmeno c).

účinné od 1. 1. 2025(4) Pokud v opakované žádosti provozovatel informačního systému navrhuje změnu bezpečnostní dokumentace, je rozsah posuzování podle § 46 odst. 1 písm. a) a b) omezen na tyto navrhované změny.

účinné od 1. 1. 2025(5) Pokud navrhované změny bezpečnostní dokumentace informačního systému jsou podstatné pro celkovou bezpečnost informačního systému, bude Národní úřad pro kybernetickou a informační bezpečnost postupovat jako v případě nové certifikace.

účinné od 1. 1. 2025(6) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen c) a d) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu. Zpravodajská služba předkládá podklady podle odstavce 2 pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

§ 49

účinné od 1. 1. 2025(1) Žádost o uzavření smlouvy s Národním úřadem pro kybernetickou a informační bezpečnost o zajištění činnosti podle § 52 zákona, jejímž předmětem je provádění dílčích úloh při ověřování způsobilosti informačního systému k nakládání s utajovanými informacemi (dále jen „smlouva o zajištění činnosti“), obsahuje

1. účinné od 1. 1. 2025a) číslo osvědčení podnikatele s uvedením příslušného stupně utajení, je-li žadatelem podnikatel,
2. účinné od 1. 1. 2025b) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni a
3. účinné od 1. 1. 2025c) specifikace činností, které mají být prováděny podle smlouvy o zajištění činnosti.

účinné od 1. 1. 2025(2) Žádost dle odstavce 1 obsahuje dále

1. účinné od 1. 1. 2025a) adresu umístění pracoviště provádějícího požadované činnosti,
2. účinné od 1. 1. 2025b) prohlášení odpovědné osoby nebo jí pověřené osoby o splnění požadavků na fyzickou a personální bezpečnost pracoviště,
3. účinné od 1. 1. 2025c) rozsah požadovaných činností,
4. účinné od 1. 1. 2025d) údaje o personálním zabezpečení požadovaných činností a
5. účinné od 1. 1. 2025e) údaje o technickém a organizačním zajištění požadovaných činností.

§ 50

účinné od 1. 1. 2025(1) Akreditaci informačního systému cizí moci provádí Národní úřad pro kybernetickou a informační bezpečnost na žádost, která obsahuje prohlášení o naplnění bezpečnostních požadavků vyžadovaných bezpečnostní akreditační autoritou cizí moci podle příslušného předpisu Evropské unie²) a podle mezinárodní smlouvy³).

účinné od 1. 1. 2025(2) Pokud Národní úřad pro kybernetickou a informační bezpečnost ověří naplnění bezpečnostních požadavků vyžadovaných bezpečnostní akreditační autoritou cizí moci, předá prohlášení podle odstavce 1 bezpečnostní akreditační autoritě cizí moci.

účinné od 1. 1. 2025(3) Na základě rozhodnutí bezpečnostní akreditační autority cizí moci o akreditaci informačního systému cizí moci Národní úřad pro kybernetickou a informační bezpečnost informační systém cizí moci akredituje.

účinné od 1. 1. 2025(4) Pokud má být informační systém cizí moci používán i bezprostředně po uplynutí doby platnosti jeho akreditace, požádá jeho provozovatel o opakovanou akreditaci informačního systému podle odstavce 1 obdobně nejpozději 6 měsíců před koncem platnosti akreditace informačního systému cizí moci.

§ 51

účinné od 1. 1. 2025(1) Podmínky bezpečného provozování informačního systému spočívají v

1. účinné od 1. 1. 2025a) dodržování bezpečnostních opatření,
2. účinné od 1. 1. 2025b) dodržování podmínek provozování informačního systému stanovených v certifikační zprávě a
3. účinné od 1. 1. 2025c) informování Národního úřadu pro kybernetickou a informační bezpečnost o významné změně týkající se provozu informačního systému, která by mohla mít vliv na informační bezpečnost.

účinné od 1. 1. 2025(2) Pokud v rámci provozu informačního systému dojde ke změně podle odstavce 1 písmene c) nebo ke změně podle § 47 písm. c), musí být taková změna bez zbytečného odkladu zohledněna v bezpečnostní dokumentaci, zejména v analýze rizik.

§ 52

účinné od 1. 1. 2025Náležitosti projektu bezpečnosti

účinné od 1. 1. 2025(1) Projekt bezpečnosti obsahuje bezpečnostní dokumentaci, a to alespoň v rozsahu § 36 odst. 2 písm. a) až c) a odst. 3 písm. a).

účinné od 1. 1. 2025(2) Popis bezpečnosti podle § 39 obsahuje pro komunikační systém popis

1. účinné od 1. 1. 2025a) způsobu, jakým bude zajištěn výkon kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku,
2. účinné od 1. 1. 2025b) bezpečnostní správy kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku a
3. účinné od 1. 1. 2025c) bezpečnostních opatření a zásad provozních postupů, jejichž naplňováním bude zajištěna informační bezpečnost.

účinné od 1. 1. 2025(3) Bezpečnostní směrnice jednotlivých rolí obsahují pro komunikační systém

1. účinné od 1. 1. 2025a) požadavky uvedené v § 41 a
2. účinné od 1. 1. 2025b) popis konkrétních provozních postupů pro zajištění bezpečnostní správy komunikačního systému a výkonu kryptografické ochrany.

účinné od 1. 1. 2025(4) Popis bezpečnosti komunikačního systému, který pro zajištění komunikace a řízení používá prvky výpočetní techniky, musí obsahovat popis komunikační infrastruktury a popis informační infrastruktury.

§ 53

účinné od 1. 1. 2025Žádost o schválení projektu bezpečnosti

účinné od 1. 1. 2025(1) Žádost o schválení projektu bezpečnosti obsahuje

1. účinné od 1. 1. 2025a) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni,
2. účinné od 1. 1. 2025b) číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li provozovatelem komunikačního systému podnikatel,
3. účinné od 1. 1. 2025c) název komunikačního systému a popis jeho účelu a rozsahu včetně stanovení jeho běžných provozních funkcí,
4. účinné od 1. 1. 2025d) údaj o stupni utajení utajovaných informací, se kterými bude komunikační systém nakládat,
5. účinné od 1. 1. 2025e) identifikační údaje dodavatele jednotlivých komponent komunikačního systému majících vliv na bezpečnost komunikačního systému a číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li dodavatel podnikatelem, a
6. účinné od 1. 1. 2025f) projekt bezpečnosti.

účinné od 1. 1. 2025(2) Ke schválení projektu bezpečnosti komunikačního systému nakládajícího s utajovanými informacemi stupně utajení Důvěrné nebo vyššího žadatel předloží podklady nezbytné k ověření způsobilosti elektrických nebo elektronických zařízení, které jsou součástí komunikačního systému, k ochraně před únikem utajovaných informací kompromitujícím vyzařováním.

účinné od 1. 1. 2025(3) Pokud žadatel poskytuje jednotlivé části projektu bezpečnosti v průběhu jeho schvalování postupně, musí je předkládat v pořadí podle § 36.

účinné od 1. 1. 2025(4) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen c) až f) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu. Zpravodajská služba předkládá podklady podle odstavce 2 pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

§ 54

účinné od 1. 1. 2025Způsob a podmínky schvalování projektu bezpečnosti

účinné od 1. 1. 2025(1) V rámci schvalování projektu bezpečnosti posuzuje Národní úřad pro kybernetickou a informační bezpečnost

1. účinné od 1. 1. 2025a) vhodnost navrženého souboru bezpečnostních opatření pro dosažení informační bezpečnosti komunikačního systému podle § 3,
2. účinné od 1. 1. 2025b) správnost a úplnost bezpečnostní dokumentace a
3. účinné od 1. 1. 2025c) správnost realizace navrženého souboru bezpečnostních opatření v daném komunikačním systému a její soulad s bezpečnostní dokumentací.

účinné od 1. 1. 2025(2) Schvalování projektu bezpečnosti se provádí posouzením podkladů předložených provozovatelem komunikačního systému a posouzením správnosti realizace projektu bezpečnosti Národním úřadem pro kybernetickou a informační bezpečnost v provozním prostředí schvalovaného komunikačního systému.

účinné od 1. 1. 2025(3) Schvalování projektu bezpečnosti lze provádět průběžně po ukončení jednotlivých fází výstavby komunikačního systému nebo až po jejím celkovém dokončení, podle požadavků žadatele, zažádá-li o to v žádosti o schválení projektu bezpečnosti podle § 53.

účinné od 1. 1. 2025(4) Zjistí-li Národní úřad pro kybernetickou a informační bezpečnost při schvalování projektu bezpečnosti způsobilost hodnoceného komunikačního systému k nakládání s utajovanými informacemi, vydá rozhodnutí o schválení projektu bezpečnosti.

účinné od 1. 1. 2025(5) Dojde-li v komunikačním systému ke změnám, které mají vliv na informační bezpečnost komunikačního systému, provádí se doplňující posouzení projektu bezpečnosti v rozsahu potřebném k posouzení provedených změn. Při provádění doplňujícího posouzení projektu bezpečnosti se postupuje obdobně jako při schvalování projektu bezpečnosti.

§ 55

účinné od 1. 1. 2025(1) V rámci certifikace informačního systému nebo schvalování projektu bezpečnosti lze rozdělit existující informační nebo komunikační systém na moduly, které mohou být bez dalšího posuzování obdobně použity i v jiných informačních nebo komunikačních systémech podle § 46 nebo 54 při zachování stejné úrovně informační bezpečnosti.

účinné od 1. 1. 2025(2) Modul je funkční celek tvořený

1. účinné od 1. 1. 2025a) softwarovým vybavením, zejména elektronickým systémem spisové služby, sloužícím k evidenci utajovaných informací,
2. účinné od 1. 1. 2025b) hardwarovým vybavením, zejména zástavbou kryptografického prostředku v systému, nebo
3. účinné od 1. 1. 2025c) kombinací softwarového a hardwarového vybavení, zejména bezpečnostním oddělovacím blokem,

účinné od 1. 1. 2025jestliže má jasně definované hranice určující způsob jeho začlenění do systému.

účinné od 1. 1. 2025(3) Národní úřad pro kybernetickou a informační bezpečnost při posuzování jiného systému podle § 46 odst. 3 a § 54 odst. 1 a 2 nehodnotí modul, jestliže modul

1. účinné od 1. 1. 2025a) byl posouzen a použit v již existujícím systému podle § 46 nebo 54 a
2. účinné od 1. 1. 2025b) má být obdobně použit v jiném systému ve stejné konfiguraci a za stejných podmínek jako v jiném již existujícím systému podle písmene a).

§ 56

účinné od 1. 1. 2025Podmínky bezpečného provozování samostatného elektronického zařízení

účinné od 1. 1. 2025(1) Podmínkou bezpečného provozování samostatného elektronického zařízení podle § 36 odst. 4 zákona je zpracování bezpečnostní provozní směrnice obsahující bezpečnostní dokumentaci alespoň v rozsahu § 36 odst. 2 písm. c) a odst. 3 písm. a).

účinné od 1. 1. 2025(2) Popis bezpečnosti systému podle § 36 odst. 2 písm. c) stanoví způsob bezpečného provozování s ohledem na funkci samostatného elektronického zařízení a způsob ukládání zpracovávané utajované informace a identifikuje samostatné elektronické zařízení podle funkce jako

1. účinné od 1. 1. 2025a) zobrazovací, které zobrazuje utajované informace,
2. účinné od 1. 1. 2025b) zaznamenávací, které zaznamenává utajované informace v různých formátech, zejména psací stroj s pamětí, fotoaparát, kamera nebo záznamník,
3. účinné od 1. 1. 2025c) kopírovací a převodní, které kopíruje nebo převádí utajované informace z jednoho formátu do druhého, a
4. účinné od 1. 1. 2025d) kombinované, které kombinuje funkce uvedené v písmenech a) až c).

účinné od 1. 1. 2025(3) Obsahuje-li samostatné elektronické zařízení nosič informací, pak popis bezpečnosti systému obsahuje i jeho identifikaci podle způsobu zapojení do zařízení podle § 13 odst. 3.

účinné od 1. 1. 2025(4) Pokud provozovatel samostatného elektronického zařízení provozuje více samostatných elektronických zařízení stejného typu podle funkce a způsobu integrace nosiče informací, pak může zpracovat jednu bezpečnostní provozní směrnici pro daný typ samostatného elektronického zařízení.

§ 57

účinné od 1. 1. 2025Oznámení o provozovaném samostatném elektronickém zařízení podle § 36 odst. 2 písm. b) zákona obsahuje

1. účinné od 1. 1. 2025a) identifikační údaje provozovatele samostatného elektronického zařízení a
2. účinné od 1. 1. 2025b) seznam provozovaných samostatných elektronických zařízení obsahující pro každé provozované samostatné elektronické zařízení
   1. účinné od 1. 1. 20251. typ samostatného elektronického zařízení podle § 56 odst. 2 a 3 a
   2. účinné od 1. 1. 20252. stupeň utajení utajovaných informací, pro něž je určeno.

§ 58

účinné od 1. 1. 2025Přechodná ustanovení

§ 60