Vyhláška o některých požadavcích pro zápis do katalogu cloud computingu

§ 6

Požadavky na strukturu a náležitosti zprávy o provedení penetračního testu a intervaly pro její předkládání

Požadavky na strukturu a náležitosti zprávy o provedení penetračního testu podle § 6t odst. 6 písm. d) a § 6t odst. 7 písm. e) zákona a intervaly pro její předkládání podle § 6y odst. 2 zákona jsou stanoveny v příloze č. 6 k této vyhlášce.

§ 7

Požadavky na náležitosti auditní zprávy osvědčující existenci plánu zajištění kontinuity provozu nabízeného cloud computingu a plánu na obnovu poskytování nabízeného cloud computingu po havárii

(1) Auditní zpráva osvědčující existenci plánu zajištění kontinuity provozu nabízené služby cloud computingu a plánu na obnovu poskytování nabízené služby cloud computingu po havárii musí být vyhotovena subjektem nezávislým na poskytovateli a musí prokazovat ověření aplikace plánů při jejich testování.

(2) Má se za to, že znaky auditní zprávy podle odstavce 1 naplňuje auditní zpráva vydaná pro účel certifikace podle ČSN ISO/IEC 20000, ISO/IEC 20000, ČSN EN ISO 22301, ISO 22301 od certifikačního orgánu, který byl akreditován některým z členů Mezinárodního akreditačního fóra (IAF), nebo auditní zpráva SOC 2® Type 2 nebo atestace podle CSA STAR Level 2. V rozsahu dané auditní zprávy musí být jmenovitě zahrnuta zapisovaná služba cloud computingu. V případě, že rozsah této auditní zprávy jmenovitě nezahrnuje zapisovanou službu cloud computingu, předloží poskytovatel čestné prohlášení poskytovatele podle § 9 odst. 5 písm. b) o rozsahu této auditní zprávy.

§ 8

Požadavky na strukturu a náležitosti dokladu o zhodnocení zdrojů rizik

Požadavky na strukturu a náležitosti dokladu o zhodnocení zdrojů rizik podle § 6t odst. 6 písm. f) a § 6t odst. 7 písm. g) zákona jsou stanoveny v příloze č. 7 k této vyhlášce.

§ 9

Požadavky na strukturu a náležitosti podkladů k ověření splnění požadavku na dosažení základní úrovně ochrany důvěrnosti, integrity a dostupnosti informací orgánu veřejné správy nabízeným cloud computingem

(1) Podklady k ověření splnění požadavku podle § 4 obsahují

1. a) popis splnění požadavku pro službu cloud computingu, kterou poskytovatel žádá zapsat do katalogu cloud computingu, kterým poskytovatel dokládá splnění požadavku v přílohách č. 1 až 4 k této vyhlášce, a
2. b) dokumenty, kterými poskytovatel doloží splnění požadavku podle příloh č. 1 až 4 k této vyhlášce.

(2) Náležitosti podle odstavce 1 písm. a) dokládá poskytovatel na elektronickém formuláři, který se zveřejňuje na internetových stránkách Digitální a informační agentury.

(3) Struktura podkladů k ověření splnění požadavků podle § 4 musí být přehledná a srozumitelná. Za tímto účelem poskytovatel popíše splnění každého z požadavků pro každou službu cloud computingu, kterou žádá zapsat do katalogu cloud computingu. V případě, že poskytovatel v rámci jedné nabídky cloud computingu žádá zapsat více služeb cloud computingu spadajících do stejné bezpečnostní úrovně a splňujících požadavek shodným způsobem, je možné doložit splnění každého z požadavků pouze jednou a následně jednoznačně uvést všechny služby cloud computingu, na které se toto doložení vztahuje. V případě, že poskytovatel žádá zapsat nabídku cloud computingu, pro kterou je možné doložit splnění požadavků shodným podkladem, kterým byly prokázány již zapsané nabídky téhož poskytovatele, může se poskytovatel na tento podklad odkázat. Na takový odkaz se uplatní požadavky odstavce 4.

(4) V případě, že je pro doložení splnění požadavku podle § 4 nezbytné odkázat do jiného dokumentu, který je k formuláři připojen, provede se tak ve formuláři uvedením názvu připojeného dokumentu a kapitoly, strany, odstavce a případně i konkrétní věty, ze které splnění požadavku pro službu cloud computingu vyplývá.

(5) Pro účely podkladů k ověření splnění požadavku na zajištění důvěrnosti, integrity a dostupnosti informací orgánu veřejné správy nabízeným cloud computingem podle § 4 se rozumí

1. a) písemným popisem popis uvedený ve formuláři žádosti podle odstavce 1 písm. a) nebo v samostatném podkladu, na který je v popisu splnění požadavku odkazováno,
2. b) čestným prohlášením podklad, kterým je čestně prohlášeno splnění daného požadavku či jeho aspektu, ze kterého je patrné, kdo a kdy jej činí, co jím dokládá, a podepsaný osobou oprávněnou jednat za poskytovatele; v případě, že čestné prohlášení činí osoba odlišná od poskytovatele, je zároveň s čestným prohlášením dokládán i doklad o zmocnění opravňujícím tuto osobu k tomuto čestnému prohlášení,
3. c) smluvní dokumentací návrh smlouvy, smluvních podmínek, podmínek poskytování služby či podobný podklad pro služby cloud computingu, které poskytovatel žádá zapsat do katalogu cloud computingu,
4. d) další dokumentací produktová specifikace, technická dokumentace nebo další jiný popis služby, který není smluvní dokumentací, a
5. e) auditní zprávou
   1. 1. auditní zpráva vydaná pro certifikaci podle ČSN EN ISO/IEC 27001, EN ISO/IEC 27001 nebo ISO/IEC 27001 od certifikačního orgánu, který byl akreditován pro provádění auditů a certifikaci systémů řízení bezpečnosti informací některým z členů Mezinárodního akreditačního fóra (IAF),
   2. 2. auditní zpráva SOC 2® Type 2,
   3. 3. auditní zpráva o vyhodnocení shody s aktuálními požadavky Cloud Computing Compliance Criteria Catalogue (C5), a to ve formě Type 2, nebo
   4. 4. auditní zpráva o vyhodnocení shody s požadavky této vyhlášky.

(6) Auditní zpráva podle odstavce 5 písm. e) musí být vydána subjektem nezávislým na poskytovateli, nesmí být ke dni podání žádosti o zápis nabídky cloud computingu do katalogu cloud computingu starší než 24 měsíců a do jejího rozsahu musí jmenovitě spadat posuzovaná služba cloud computingu.

§ 10

Přechodná ustanovení

§ 11

Zrušovací ustanovení

§ 12

Účinnost