| Řádek | Požadavky na dosažení základní úrovně ochrany důvěrnosti, integrity a dostupnosti informací orgánu veřejné správy nabízeným cloud computingem zařazeným v bezpečnostní úrovni střední | Podklad, kterým poskytovatel doloží splnění požadavku |
|---|
| 1. Místo zpracování a uložení dat |
| 1.1 | Poskytovatel uvádí informace o všech státech, z jejichž území dochází k výkonu správy a dohledu nad službou cloud computingu. | Písemný popis podle § 9 odst. 5 písm. a) této vyhlášky, ze kterého vyplývá splnění požadavku. |
| 1.2 | Poskytovatel uvádí informace o všech státech, na jejichž území jsou nebo mohou být uložena zákaznická data ve stavu neaktivních dat a specifické provozní údaje ve stavu neaktivních dat, a dále uvádí informace o všech státech mimo území členských států Evropské unie a členských států Evropského sdružení volného obchodu, na jejichž území předpokládá zpracování zákaznických dat a specifických provozních údajů. | Písemný popis podle § 9 odst. 5 písm. a) této vyhlášky, ze kterého vyplývá splnění požadavku. |
| Platí, že státy, na jejichž území dochází nebo může docházet ke zpracování zákaznických dat nebo specifických provozních údajů, nejsou |
| A) státy, z jejichž území se mohou nepravidelně vzdáleně připojovat pracovníci technické podpory poskytovatele cloud computingu za účelem technické podpory služby cloud computingu, která se v čase mění, a nemohou být specifikovány předem, nebo |
| B) státy, z jejichž území poskytovatel může předávat zákaznická data nebo specifické provozní údaje za účelem poskytování volitelné doplňkové služby se zapojením třetích stran, která není sama o sobě cloud computingem, aktivované podle volby zákazníka, s tím, že poskytovatel jasně označí třetí stranu, jíž může předat zákaznická data nebo specifické provozní údaje, a je-li to možné, blíže specifikuje, jaká zákaznická data nebo jaké specifické provozní údaje zpravidla předává a na jakou předpokládanou dobu zákaznická data nebo specifické provozní údaje předává. |
| 2. Žádosti o zpřístupnění a předání dat |
| 2.1 | Poskytovatel v případě, že obdrží právně závaznou žádost cizozemského orgánu o zpřístupnění nebo předání zákaznických dat nebo specifických provozních údajů, nevyhoví této žádosti a odkáže tohoto žadatele na zákazníka nebo, v případě, že této žádosti vyhoví, o takové žádosti zákazníka bezodkladně informuje, pokud to právní řád, jemuž poskytovatel podléhá, poskytovateli nezakazuje. | Čestné prohlášení poskytovatele podle § 9 odst. 5 písm. b) této vyhlášky, ze kterého vyplývá splnění požadavku, |
| Poskytovatel dále po obdržení takové žádosti přezkoumá její zákonnost, zejména provede právní posouzení, ze kterého bude vyplývat, zda žádost cizozemského orgánu má proveditelný, aplikovatelný a platný právní základ, je právně závazná a rozsah poskytovaných nebo zpřístupňovaných zákaznických dat nebo specifických provozních údajů je přiměřený účelu žádosti. Poskytovatel se zavazuje, že předá zákaznická data a specifické provozní údaje cizozemskému orgánu pouze, pokud z právního posouzení vyšlo, že žádost cizozemského orgánu má proveditelný, aplikovatelný a platný právní základ, je právně závazná a rozsah poskytovaných nebo zpřístupňovaných zákaznických dat nebo specifických provozních údajů je přiměřený účelu žádosti. | část smluvní dokumentace podle § 9 odst. 5 písm. c) této vyhlášky, ze které vyplývá splnění požadavku, |
| část další dokumentace podle § 9 odst. 5 písm. d) této vyhlášky, ze které vyplývá splnění požadavku, nebo |
| O podkladech sloužících k přezkoumání zákonnosti žádosti poskytovatel provede záznam, který uchová alespoň 5 let pro účely kontroly nebo ho prokazatelně předá zákazníkovi. | část auditní zprávy podle § 9 odst. 5 písm. e) této vyhlášky, ze které vyplývá splnění požadavku. |
| 2.2 | Poskytovatel jasně a srozumitelně uvádí své povinnosti vyplývající z právních řádů států odlišných od členských států Evropské unie nebo odlišných od členských států Evropského hospodářského prostoru nebo u těch států, u kterých Evropská komise nerozhodla o udělení rozhodnutí o odpovídající ochraně (adequacy decision) podle článku 45 obecného nařízení o ochraně osobních údajů1), na jejichž území se nalézá datacentrum nebo jiná infrastruktura, ve které dochází ke zpracování zákaznických dat nebo specifických provozních údajů podle řádku 1.2 této přílohy týkající se zpřístupnění a předávání zákaznických dat a specifických provozních údajů. | Písemný popis podle § 9 odst. 5 písm. a) této vyhlášky, ze kterého vyplývá splnění požadavku. |
| Tento popis musí být v takové kvalitě, aby z něj bylo možné zákazníkem posoudit vhodnost právního řádu s ohledem na zpracovávání zákaznických dat a specifických provozních údajů. Proto poskytovatel provede popis povinností obsahující informace o tom, který cizozemský orgán veřejné moci, jehož činnost spočívá v prevenci, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, zpravodajská služba, nebo jiný orgán s obdobným předmětem činnosti nebo obdobnými pravomocemi, může žádat o zpřístupnění a předání dat, za jakých podmínek může tento orgán žádat o zpřístupnění a předání dat a na jak dlouho, na jaká data se daná povinnost vztahuje a zda je možné žádost o zpřístupnění nebo předání dat přezkoumat nezávislým soudem. |
| 3. Oprávnění k provedení kontroly |
| 3.1 | Poskytovatel jednou ročně, nebo na základě opakujících se kybernetických bezpečnostních incidentů, nebo v případě rozporu s jím deklarovanými parametry, umožňuje Digitální a informační agentuře nebo Národnímu úřadu pro kybernetickou a informační bezpečnost zdarma ve vztahu k dané službě cloud computingu provedení kontroly splnění požadavků podle § 6i odst. 2 a 3 zákona o informačních systémech veřejné správy a podle kontrolního řádu na všech místech a zařízeních, souvisejících s poskytováním služby cloud computingu, a zároveň poskytuje veškerou součinnost, kterou si tyto orgány vyžádají, vyjma zpřístupnění či předání zákaznických dat bez souhlasu dotčeného zákazníka. | Žádný doklad se nevyžaduje. |
| Splnění tohoto požadavku ověří Digitální a informační agentura nebo Národní úřad pro kybernetickou a informační bezpečnost z úřední činnosti. |
| 4. Zajištění poskytování služby cloud computingu |
| 4.1 | Poskytovatel má vyhotoven a udržuje plán zajištění kontinuity provozu a plán na obnovu po havárii týkající se poskytované služby cloud computingu. | Plán zajištění kontinuity provozu a |
| plán na obnovu po havárii, nebo |
| auditní zpráva podle § 7 odst. 1 této vyhlášky. |
| 4.2 | Poskytovatel vždy zajišťuje primární a alespoň jedno záložní datové centrum, které je kapacitně dostatečné k převzetí služby poskytované z primárního datového centra, a uvádí úplný výčet datových center, ze kterých je služba cloud computingu poskytována, a jejich lokace po úroveň katastrálního území nebo obce a dále zajišťuje, že | Část smluvní dokumentace podle § 9 odst. 5 písm. c) této vyhlášky, nebo část další dokumentace podle § 9 odst. 5 písm. d) této vyhlášky, nebo část platné auditní zprávy podle § 9 odst. 5 písm. e) této vyhlášky, ze které vyplývá splnění obecného požadavku, a dále |
| A) tato datová centra jsou v dostatečné vzdálenosti od přírodních zdrojů rizik a zdrojů rizik vyvolaných činností člověka vedoucích k narušení nebo omezení poskytování služby cloud computingu nebo bezpečnosti informací, nebo že je přijato adekvátní bezpečnostní opatření, nebo | zprávu nebo jiný doklad o zhodnocení přírodních zdrojů rizik a zdrojů rizik vyvolaných činností člověka, který obsahuje náležitosti uvedené v příloze č. 7 k této vyhlášce, ze kterého vyplývá splnění požadavku podle A), nebo |
| B) se tato datová centra nacházejí ve vzájemné vzdálenosti nejméně 50 km a u obou datových center je navržena a aplikována fyzická ochrana proti přírodním katastrofám, úmyslnému útoku nebo haváriím. | část auditní zprávy podle § 9 odst. 5 písm. e) této vyhlášky, ze které vyplývá splnění požadavku podle B). |
| 4.3 | Poskytovatel je schopen poskytovat nástroj nebo službu pro detekci a zmírnění útoků typu odepření služby (DoS/DDoS) jak na síťové, tak aplikační úrovni. | Část smluvní dokumentace podle § 9 odst. 5 písm. c) této vyhlášky, ze které vyplývá splnění požadavku, |
| část další dokumentace, například popis volitelné služby cloud computingu, podle § 9 odst. 5 písm. d) této vyhlášky, ze které vyplývá splnění požadavku, nebo |
| část auditní zprávy podle § 9 odst. 5 písm. e) této vyhlášky, ze které vyplývá splnění požadavku. |
| 5. Nakládání s daty |
| 5.1 | Poskytovatel vyhotovuje záznam o přístupu jeho interních a externích pracovníků k nezašifrovaným zákaznickým datům, ke kterému došlo v daném případě bez přechozího svolení zákazníka. Tento záznam musí obsahovat alespoň důvod, čas, trvání, typ a rozsah přístupu a dostatek dalších údajů potřebných k tomu, aby mohl zákazník vyhodnotit rizikovost tohoto přístupu. | Část smluvní dokumentace podle § 9 odst. 5 písm. c) této vyhlášky, ze které vyplývá splnění požadavku, |
| Poskytovatel umožňuje zákazníkovi přístup k tomuto záznamu, a za tím účelem jej uchovává alespoň po dobu 7 dní. Poskytovatel nemusí umožňovat přístup k záznamu v případě, že interní a externí pracovníci přistupují k nezašifrovanému zákaznickému obsahu na základě žádosti cizozemského orgánu o zpřístupnění nebo předání dat a vyrozumění zákazníka o této žádosti není možné v souladu s bodem 2.1 této přílohy. | část další dokumentace podle § 9 odst. 5 písm. d) této vyhlášky, ze které vyplývá splnění požadavku, nebo |
| Pokud poskytovatel nemá zaveden proces pro přístup jeho interních a externích pracovníků k nezašifrovaným zákaznickým datům bez předchozího svolení zákazníka, tento požadavek se neuplatní. Každý přístup k nezašifrovaným zákaznickým datům, ke kterému dojde bez předchozího svolení zákazníka, se pak považuje za narušení bezpečnosti informací dle řádku 7.2 této přílohy a poskytovatel postupuje v souladu s tímto požadavkem. | část auditní zprávy podle § 9 odst. 5 písm. e) této vyhlášky, ze které vyplývá splnění požadavku. |
| 5.2 | Poskytovatel umožňuje ochranu zákaznického obsahu šifrováním při přenosu po sítích mimo kontrolu poskytovatele a v úložištích ve službě cloud computingu. | Část smluvní dokumentace podle § 9 odst. 5 písm. c) této vyhlášky, ze které vyplývá splnění požadavku, |
| část další dokumentace podle § 9 odst. 5 písm. d) této vyhlášky, ze které vyplývá splnění požadavku, nebo |
| část auditní zprávy podle § 9 odst. 5 písm. e) této vyhlášky, ze které vyplývá splnění požadavku. |
| 5.3 | Poskytovatel zákazníkovi umožňuje ochranu zákaznického obsahu šifrováním při přenosu po sítích mimo kontrolu poskytovatele a v úložištích ve službě cloud computingu pomocí některého ze schválených algoritmů uvedených v aktuálně platném doporučení v oblasti kryptografických prostředků vydaném v souladu s nejlepší praxí Národním úřadem pro kybernetickou a informační bezpečnost, které je zveřejněno na jeho internetových stránkách, v rámci celé šifrovací sady. | Část smluvní dokumentace podle § 9 odst. 5 písm. c) této vyhlášky, ze které vyplývá splnění požadavku, |
| V případě, že poskytovatel nabízí šifrovací sady, které obsahují takové algoritmy, které nejsou schválené v doporučení v oblasti kryptografických prostředků vydaného Národním úřadem pro kybernetickou a informační bezpečnost, poskytovatel umožní zákazníkovi výběr těch šifrovacích sad, které aplikují algoritmy schválené v doporučení v oblasti kryptografických prostředků vydaného Národním úřadem pro kybernetickou a informační bezpečnost. | část další dokumentace podle § 9 odst. 5 písm. d) této vyhlášky, ze které vyplývá splnění požadavku, nebo |
| část auditní zprávy podle § 9 odst. 5 písm. e) této vyhlášky, ze které vyplývá splnění požadavku. |
| 6. Certifikace služby cloud computingu |
| 6.1 | Poskytovatel je držitelem platné certifikace podle ČSN EN ISO/IEC 27001, EN ISO/IEC 27001 nebo ISO/IEC 27001 od certifikačního orgánu, který byl akreditován pro provádění auditů a certifikaci systémů řízení bezpečnosti informací některým z členů Mezinárodního akreditačního fóra (IAF), do jejíhož rozsahu náleží posuzovaná služba cloud computingu provozovaná v souladu s postupy normy ČSN ISO/IEC 27017, ČSN EN ISO/IEC 27017 nebo ISO/IEC 27017. | Platný certifikát podle ČSN EN ISO/IEC 27001, EN ISO/IEC 27001 nebo ISO/IEC 27001 od certifikačního orgánu, který byl akreditován pro provádění auditů a certifikaci systémů řízení bezpečnosti informací některým z členů Mezinárodního akreditačního fóra (IAF) s označením poskytovatele, kdy rozsah certifikace jmenovitě zahrnuje posuzovanou službu cloud computingu, která je provozována v souladu s postupy normy ČSN ISO/IEC 27017, ČSN EN ISO/IEC 27017 nebo ISO/IEC 27017 a |
| v případě, že posuzovaná služba cloud computingu není jmenovitě zahrnuta v rozsahu tohoto certifikátu, dále čestné prohlášení poskytovatele podle § 9 odst. 5 písm. b) této vyhlášky o rozsahu tohoto certifikátu. |
| 7. Kybernetické bezpečnostní události a kybernetické bezpečnostní incidenty |
| 7.1 | Poskytovatel má zaveden nástroj na sledování a vyhodnocování kybernetických bezpečnostních událostí. Poskytovatel umožňuje zákazníkovi vzdálený přístup k informacím o všech událostech týkajících se daného zákazníka. Nové události zpřístupní poskytovatel zákazníkovi bez zbytečného odkladu. | Část smluvní dokumentace podle § 9 odst. 5 písm. c) této vyhlášky, ze které vyplývá splnění požadavku, |
| část další dokumentace podle § 9 odst. 5 písm. d) této vyhlášky, ze které vyplývá splnění požadavku, nebo |
| část auditní zprávy podle § 9 odst. 5 písm. e) této vyhlášky, ze které vyplývá splnění požadavku. |
| 7.2 | Poskytovatel informuje zákazníka v případě narušení bezpečnosti informací zákaznických dat nebo specifických provozních údajů bez zbytečného odkladu, nejpozději však do 72 hodin od okamžiku, kdy se o narušení bezpečnosti zákaznických dat nebo specifických provozních údajů dozvěděl. Jakmile je řešení incidentu uzavřeno, informuje poskytovatel zákazníka o přijatých opatřeních. | Část smluvní dokumentace podle § 9 odst. 5 písm. c) této vyhlášky, ze které vyplývá splnění požadavku, nebo |
| část další dokumentace podle § 9 odst. 5 písm. d) této vyhlášky, ze které vyplývá splnění požadavku. |
| 8. Testování služby cloud computingu |
| 8.1 | Poskytovatel pravidelně provádí skeny zranitelností služby cloud computingu v intervalu alespoň jeden sken zranitelností každé 3 měsíce a v případě zjištění zranitelností zavádí nápravná opatření. | Tři záznamy o provedení skenů zranitelností v souladu s platnou metodikou vydanou Národním úřadem pro kybernetickou a informační bezpečnost, která je zveřejněna na jeho internetových stránkách, ze kterých vyplývá splnění požadavku, přičemž tyto záznamy nejsou ke dni podání žádosti o zápis zapisované služby do katalogu cloud computingu starší více než 12 měsíců a zároveň alespoň jeden z těchto záznamů nebude ke dni podání žádosti o zápis služby do katalogu cloud computingu starší více než 3 měsíce, nebo |
| část auditní zprávy podle § 9 odst. 5 písm. e) této vyhlášky, ze které vyplývá splnění požadavku. |
| Dojde-li k aktualizaci metodiky Národního úřadu pro kybernetickou a informační bezpečnost, poskytovatel předkládá podklady ke splnění požadavku v souladu s aktualizovanou metodikou po 24 měsících od data zveřejnění aktualizované metodiky. |