Vyhláška o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor

§ 1

účinné od 1. 1. 2006Předmět úpravy

účinné od 1. 1. 2006Touto vyhláškou se stanoví požadavky na informační systémy nakládající s utajovanými informacemi¹) (dále jen „informační systém“) a provádění jejich certifikace, na komunikační systémy nakládající s utajovanými informacemi²) (dále jen „komunikační systém“) a schvalování jejich projektů bezpečnosti, ochranu utajovaných informací v kopírovacím zařízení, zobrazovacím zařízení a psacím stroji s pamětí, ochranu utajovaných informací před jejich únikem kompromitujícím elektromagnetickým vyzařováním a provádění certifikace stínicích komor.

§ 2

účinné od 1. 1. 2006Vymezení pojmů

účinné od 1. 1. 2006Pro účely této vyhlášky se rozumí

1. účinné od 1. 1. 2006a) aktivem informačního systému na základě analýzy rizik (§ 11) definovaný hardware, software, dokumentace informačního systému a utajované informace, které jsou v informačním systému uloženy,
2. účinné od 1. 1. 2006b) objektem informačního systému pasivní prvek informačního systému, který obsahuje nebo přijímá informaci,
3. účinné od 1. 1. 2006c) subjektem informačního systému aktivní prvek informačního systému, který způsobuje předání informace mezi objekty informačního systému nebo změnu stavu systému,
4. účinné od 1. 1. 2006d) analýzou rizik proces, během něhož jsou zjišťována aktiva informačního systému, hrozby působící na aktiva informačního systému, jeho zranitelná místa, pravděpodobnost realizace hrozeb a odhad jejich následků,
5. účinné od 1. 1. 2006e) auditním záznamem záznam informačního systému o události, která může ovlivnit bezpečnost informačního systému,
6. účinné od 1. 1. 2006f) identifikací subjektu informačního systému proces zjištění jeho identity v informačním systému,
7. účinné od 1. 1. 2006g) autentizací subjektu informačního systému proces ověření jeho identity v informačním systému, splňující požadovanou míru záruky,
8. účinné od 1. 1. 2006h) autorizací subjektu informačního systému udělení určitých práv pro vykonávání určených aktivit v informačním systému,
9. účinné od 1. 1. 2006i) důvěrností utajované informace její vlastnost, která znemožňuje odhalení utajované informace neoprávněné osobě,
10. účinné od 1. 1. 2006j) fyzickou bezpečností informačního systému nebo komunikačního systému opatření použitá k zajištění fyzické ochrany aktiv těchto systémů proti náhodným nebo úmyslným hrozbám,
11. účinné od 1. 1. 2006k) integritou aktiva informačního systému nebo komunikačního systému vlastnost, která umožňuje provedení jeho změny určeným způsobem a pouze oprávněným subjektem informačního systému,
12. účinné od 1. 1. 2006l) komunikační bezpečností opatření použitá k zajištění ochrany utajovaných informací při přenosu definovaným komunikačním prostředím,
13. účinné od 1. 1. 2006m) počítačovou bezpečností bezpečnost informačního systému zajišťovaná jeho technickými a programovými prostředky,
14. účinné od 1. 1. 2006n) povinným řízením přístupu prostředky pro omezení přístupu subjektů informačního systému k objektům informačního systému, založené na porovnání stupně utajení utajované informace obsažené v objektu informačního systému a úrovně oprávnění subjektu informačního systému pro přístup k utajované informaci a zajišťující správný tok informací mezi objekty informačního systému s různými stupni utajení, nezávisle na volbě učiněné uživatelem,
15. účinné od 1. 1. 2006o) rizikem pro informační systém nebo komunikační systém pravděpodobnost, že určitá hrozba využije zranitelných míst některého z těchto systémů,
16. účinné od 1. 1. 2006p) rolí souhrn určených činností a potřebných autorizací pro subjekt informačního systému působící v informačním systému nebo komunikačním systému,
17. účinné od 1. 1. 2006q) bezpečnostním správcem informačního systému nebo komunikačního systému pracovník správy informačního systému nebo komunikačního systému v roli vytvořené pro řízení a kontrolu bezpečnosti informačního systému nebo komunikačního systému a provádění stanovených činností pro zajištění bezpečnosti informačního systému nebo komunikačního systému,
18. účinné od 1. 1. 2006r) správcem informačního systému nebo komunikačního systému pracovník správy informačního systému nebo komunikačního systému v roli vytvořené zejména pro zajištění požadované funkčnosti informačního systému nebo komunikačního systému a řízení provozu informačního systému nebo komunikačního systému,
19. účinné od 1. 1. 2006s) uživatelem informačního systému nebo komunikačního systému fyzická osoba v roli vytvořené zejména pro nakládání s utajovanými informacemi v informačním systému nebo pro přenos utajovaných informací v komunikačním systému,
20. účinné od 1. 1. 2006t) řízením přístupu prostředky pro omezení přístupu subjektů informačního systému k objektům informačního systému, zajišťující, že přístup k nim získá jen autorizovaný subjekt informačního systému,
21. účinné od 1. 1. 2006u) volitelným řízením přístupu prostředky omezení přístupu subjektů informačního systému k objektům informačního systému, založené na kontrole přístupových práv subjektu informačního systému k objektu informačního systému, přičemž uživatel, správce nebo bezpečnostní správce informačního systému vybavený určitými přístupovými právy pro přístup k objektu informačního systému může zvolit, na které další subjekty informačního systému přenese přístupová práva k tomuto objektu informačního systému, a může tak ovlivňovat tok informace mezi objekty informačního systému,
22. účinné od 1. 1. 2006v) bezpečnostním standardem utajovaný soubor pravidel, ve kterém se stanoví postupy, technická řešení, bezpečnostní parametry a organizační opatření pro zajištění nejmenší možné míry ochrany utajovaných informací,
23. účinné od 1. 1. 2006w) bezpečnostním provozním módem prostředí, ve kterém informační systém pracuje, charakterizované stupněm utajení zpracovávané utajované informace a úrovněmi oprávnění uživatelů,
24. účinné od 1. 1. 2006x) žadatelem orgán státu nebo podnikatel, který písemně požádal Národní bezpečnostní úřad (dále jen „Úřad“) o certifikaci informačního systému, o certifikaci stínicí komory, o schválení projektu bezpečnosti komunikačního systému nebo o ověření způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím elektromagnetickým vyzařováním.

§ 3

účinné od 1. 1. 2006Bezpečnost informačních systémů

účinné od 1. 1. 2006(1) Bezpečnosti informačního systému se dosahuje uplatněním souboru opatření z oblasti

1. účinné od 1. 1. 2006a) počítačové a komunikační bezpečnosti,
2. účinné od 1. 1. 2006b) kryptografické ochrany,
3. účinné od 1. 1. 2006c) ochrany proti úniku kompromitujícího elektromagnetického vyzařování,
4. účinné od 1. 1. 2006d) administrativní bezpečnosti a organizačních opatření,
5. účinné od 1. 1. 2006e) personální bezpečnosti a
6. účinné od 1. 1. 2006f) fyzické bezpečnosti informačního systému.

účinné od 1. 1. 2006(2) Opatření přijatá v procesu certifikace informačního systému zajišťují, aby rizika, kterým je informační systém vystaven, byla snížena na přijatelnou úroveň.

účinné od 1. 1. 2006(3) Soubor opatření uvedený v odstavci 1 je specifikován v bezpečnostní dokumentaci informačního systému.

§ 4

účinné od 1. 1. 2006Bezpečnostní dokumentace informačního systému

účinné od 1. 1. 2006(1) Bezpečnostní dokumentaci informačního systému tvoří

1. účinné od 1. 1. 2006a) projektová bezpečnostní dokumentace informačního systému a
2. účinné od 1. 1. 2006b) provozní bezpečnostní dokumentace informačního systému.

účinné od 1. 1. 2006(2) Projektová bezpečnostní dokumentace informačního systému obsahuje

1. účinné od 1. 1. 2006a) bezpečnostní politiku informačního systému a výsledky analýzy rizik,
2. účinné od 1. 1. 2006b) návrh bezpečnosti informačního systému zajišťující splnění bezpečnostní politiky informačního systému, přičemž podrobnost jeho popisu musí umožnit přímou realizaci navrhovaných opatření, a
3. účinné od 1. 1. 2006c) dokumentaci k testům bezpečnosti informačního systému.

účinné od 1. 1. 2006(3) Provozní bezpečnostní dokumentace informačního systému obsahuje

1. účinné od 1. 1. 2006a) bezpečnostní směrnice informačního systému, které předepisují činnost bezpečnostních správců informačního systému v jednotlivých rolích zavedených v informačním systému pro zajištění bezpečnostní správy informačního systému,
2. účinné od 1. 1. 2006b) bezpečnostní směrnice informačního systému, které předepisují činnost správců informačního systému v jednotlivých rolích zavedených v informačním systému pro správu informačního systému, pokud se týká zajištění bezpečnosti informačního systému, a
3. účinné od 1. 1. 2006c) bezpečnostní směrnice informačního systému, které předepisují činnost uživatelů informačního systému, pokud se týká zajištění bezpečnosti informačního systému.

§ 5

účinné od 1. 1. 2006Bezpečnostní politika informačního systému

účinné od 1. 1. 2006(1) Pro každý informační systém musí být již v počáteční fázi jeho vývoje zpracována bezpečnostní politika informačního systému. Bezpečnostní politiku informačního systému tvoří soubor norem, pravidel a postupů, který vymezuje způsob, jakým má být zajištěna důvěrnost, integrita a dostupnost utajované informace a odpovědnost uživatele, bezpečnostního správce a správce informačního systému za jeho činnost v informačním systému. Zásady bezpečnostní politiky jsou rozpracovány v projektové a provozní bezpečnostní dokumentaci informačního systému.

účinné od 1. 1. 2006(2) Při formulaci bezpečnostní politiky informačního systému a posuzování bezpečnostních vlastností komponentů informačního systému lze využít též mezinárodních standardizovaných bezpečnostních specifikací ³).

§ 6

účinné od 1. 1. 2006Požadavky na formulaci bezpečnostní politiky informačního systému

účinné od 1. 1. 2006Bezpečnostní politika informačního systému se formuluje na základě

1. účinné od 1. 1. 2006a) minimálních bezpečnostních požadavků v oblasti počítačové bezpečnosti,
2. účinné od 1. 1. 2006b) systémově závislých bezpečnostních požadavků, požadavků uživatele a výsledků analýzy rizik a
3. účinné od 1. 1. 2006c) bezpečnostních požadavků bezpečnostní politiky nadřízeného orgánu, pokud byla zpracována.

§ 7

účinné od 1. 1. 2006Minimální bezpečnostní požadavky v oblasti počítačové bezpečnosti

účinné od 1. 1. 2006(1) Informační systém nakládající s utajovanými informacemi stupně utajení Důvěrné nebo vyššího musí zajišťovat tyto bezpečnostní funkce

1. účinné od 1. 1. 2006a) jednoznačnou identifikaci a autentizaci uživatele, bezpečnostního správce nebo správce informačního systému, které musí předcházet všem jejich dalším aktivitám v informačním systému a musí zajistit ochranu důvěrnosti a integrity autentizační informace,
2. účinné od 1. 1. 2006b) volitelné řízení přístupu k objektům informačního systému na základě rozlišování a správy přístupových práv uživatele, bezpečnostního správce nebo správce informačního systému a jejich identity nebo jejich členství ve skupině uživatelů, bezpečnostních správců nebo správců informačního systému,
3. účinné od 1. 1. 2006c) nepřetržité zaznamenávání událostí, které mohou ovlivnit bezpečnost informačního systému do auditních záznamů a zabezpečení auditních záznamů před neautorizovaným přístupem, zejména modifikací nebo zničením. Zaznamenává se zejména použití identifikačních a autentizačních informací, pokusy o zkoumání přístupových práv, vytváření nebo rušení objektu informačního systému nebo činnost autorizovaných subjektů informačního systému ovlivňující bezpečnost informačního systému,
4. účinné od 1. 1. 2006d) možnost zkoumání auditních záznamů a stanovení odpovědnosti jednotlivého uživatele, bezpečnostního správce nebo správce informačního systému,
5. účinné od 1. 1. 2006e) ošetření paměťových objektů před jejich dalším použitím, zejména před přidělením jinému subjektu informačního systému, které znemožní zjistit jejich předchozí obsah, a
6. účinné od 1. 1. 2006f) ochranu důvěrnosti dat během přenosu mezi zdrojem a cílem.

účinné od 1. 1. 2006(2) K zajištění bezpečnostních funkcí uvedených v odstavci 1 se v informačním systému realizují identifikovatelné programově technické mechanismy. Dokumentace popisující jejich provedení a operační nastavení musí umožnit jejich nezávislé prověření a zhodnocení jejich dostatečnosti.

účinné od 1. 1. 2006(3) Bezpečnostní mechanismy, jimiž se realizují bezpečnostní funkce uplatňující bezpečnostní politiku informačního systému, musí být v celém životním cyklu informačního systému chráněny před narušením nebo neautorizovanými změnami.

účinné od 1. 1. 2006(4) V informačním systému, který nakládá s utajovanými informacemi nejvýše do stupně utajení Vyhrazené, se musí přiměřeně využívat bezpečnostní funkce uvedené v odstavci 1, a dále opatření z oblasti personální, administrativní a fyzické bezpečnosti informačních systémů.

§ 8

účinné od 1. 1. 2006Systémově závislé bezpečnostní požadavky odvozené z bezpečnostního provozního módu

účinné od 1. 1. 2006(1) Informační systémy se mohou provozovat pouze v některém z uvedených bezpečnostních provozních módů, jimiž jsou

1. účinné od 1. 1. 2006a) bezpečnostní provozní mód vyhrazený,
2. účinné od 1. 1. 2006b) bezpečnostní provozní mód s nejvyšší úrovní, nebo
3. účinné od 1. 1. 2006c) bezpečnostní provozní mód víceúrovňový.

účinné od 1. 1. 2006(2) Bezpečnostní provozní mód vyhrazený je takové prostředí, které umožňuje zpracování utajovaných informací různého stupně utajení, přičemž všichni uživatelé musí splňovat podmínky pro přístup k utajovaným informacím nejvyššího stupně utajení, které jsou v informačním systému obsaženy, a zároveň musí být oprávněni pracovat se všemi utajovanými informacemi, které jsou v informačním systému obsaženy. Bezpečnost informačního systému, který je provozován v bezpečnostním provozním módu vyhrazeném, se zabezpečuje splněním minimálních bezpečnostních požadavků v oblasti počítačové bezpečnosti uvedených v § 7 odst. 1 písm. a), c), d) a f) a dále opatřeními z oblasti administrativní a personální bezpečnosti a fyzické bezpečnosti informačních systémů. Úroveň použitých opatření z uvedených oblastí a opatření k zajištění důvěrnosti dat během přenosu musí odpovídat úrovni požadované pro nejvyšší stupeň utajení utajovaných informací, se kterými informační systém nakládá.

účinné od 1. 1. 2006(3) Bezpečnostní provozní mód s nejvyšší úrovní je takové prostředí, které umožňuje současné zpracování utajovaných informací klasifikovaných různými stupni utajení, ve kterém všichni uživatelé musí splňovat podmínky pro přístup k utajovaným informacím nejvyššího stupně utajení, které jsou v informačním systému obsaženy, přičemž všichni uživatelé nemusí být oprávněni pracovat se všemi utajovanými informacemi. Bezpečnost informačního systému, který je provozován v bezpečnostním provozním módu s nejvyšší úrovní, se zabezpečuje splněním minimálních bezpečnostních požadavků v oblasti počítačové bezpečnosti uvedených v § 7 a dále opatřeními z oblasti administrativní a personální bezpečnosti a fyzické bezpečnosti informačních systémů. Úroveň použitých opatření z uvedených oblastí a opatření k zajištění důvěrnosti dat během přenosu musí odpovídat úrovni požadované pro nejvyšší stupeň utajení utajovaných informací, se kterými informační systém nakládá.

účinné od 1. 1. 2006(4) Bezpečnostní provozní mód víceúrovňový je takové prostředí, které umožňuje v jednom informačním systému současné zpracování utajovaných informací klasifikovaných různými stupni utajení, ve kterém nemusí všichni uživatelé splňovat podmínky přístupu k utajovaným informacím nejvyššího stupně utajení, které jsou v informačním systému obsaženy, přičemž všichni uživatelé nemusí být oprávněni pracovat se všemi utajovanými informacemi. Bezpečnost informačního systému, který je provozován v bezpečnostním provozním módu víceúrovňovém, se zabezpečuje opatřeními uvedenými v odstavci 3 a bezpečnostní funkcí povinného řízení přístupu subjektů informačního systému k objektům informačního systému. Úroveň použitých opatření z oblasti administrativní a personální bezpečnosti, fyzické bezpečnosti informačních systémů a opatření k zajištění důvěrnosti dat během přenosu se stanoví na základě principu povinného řízení přístupu.

účinné od 1. 1. 2006(5) Funkce povinného řízení přístupu subjektů informačního systému k objektům informačního systému musí zabezpečit

1. účinné od 1. 1. 2006a) trvalé spojení každého subjektu informačního systému a objektu informačního systému s bezpečnostním atributem, který pro subjekt informačního systému vyjadřuje úroveň oprávnění subjektu informačního systému a pro objekt informačního systému jeho stupeň utajení,
2. účinné od 1. 1. 2006b) ochranu integrity bezpečnostního atributu,
3. účinné od 1. 1. 2006c) výlučné oprávnění bezpečnostního správce informačního systému k provádění změn bezpečnostních atributů subjektů informačního systému i objektů informačního systému a
4. účinné od 1. 1. 2006d) přidělení předem definovaných hodnot atributů pro nově vytvořené objekty informačního systému a zachování atributu při kopírování objektu informačního systému.

účinné od 1. 1. 2006(6) Při uplatňování bezpečnostní funkce povinného řízení přístupu subjektů informačního systému k objektům informačního systému musí být zabezpečeny tyto zásady

1. účinné od 1. 1. 2006a) subjekt informačního systému může číst informace v objektu informačního systému pouze tehdy, je-li úroveň jeho oprávnění stejná nebo vyšší než stupeň utajení objektu informačního systému,
2. účinné od 1. 1. 2006b) subjekt informačního systému může zapisovat informaci do objektu informačního systému pouze tehdy, je-li úroveň jeho oprávnění stejná nebo nižší než stupeň utajení objektu informačního systému, a
3. účinné od 1. 1. 2006c) přístup subjektu informačního systému k informaci obsažené v objektu informačního systému je možný, jestliže jej povolují jak pravidla povinného řízení přístupu, tak pravidla volitelného řízení přístupu.

účinné od 1. 1. 2006(7) Informační systém, který je provozován v bezpečnostním provozním módu víceúrovňovém, musí být schopen přesně označit stupněm utajení utajované informace vystupující z informačního systému a umožnit přiřadit stupeň utajení utajované informaci vstupující do informačního systému.

účinné od 1. 1. 2006(8) U informačního systému, který je provozován v bezpečnostním provozním módu víceúrovňovém a nakládá s utajovanou informací stupně utajení Přísně tajné, musí být provedena identifikace a analýza skrytých kanálů. Skrytým kanálem se rozumí nepřípustná komunikace, jíž se utajovaná informace může dostat k neoprávněnému subjektu informačního systému.

§ 9

účinné od 1. 1. 2006Systémově závislé bezpečnostní požadavky na bezpečnost v prostředí počítačových sítí

účinné od 1. 1. 2006(1) Při přenosu utajované informace komunikačním kanálem musí být zajištěna ochrana její důvěrnosti a integrity.

účinné od 1. 1. 2006(2) Základním prostředkem pro zajištění důvěrnosti utajované informace při jejím přenosu komunikačním kanálem je kryptografická ochrana⁴).

účinné od 1. 1. 2006(3) Základním prostředkem pro zajištění integrity utajované informace při jejím přenosu komunikačním kanálem je spolehlivá detekce záměrné i náhodné změny utajované informace.

účinné od 1. 1. 2006(4) Pro lokální počítačovou síť v rámci zabezpečené oblasti nebo objektu může být postačující fyzická ochrana všech komponentů komunikačního kanálu.

účinné od 1. 1. 2006(5) V závislosti na komunikačním prostředí se zajišťuje spolehlivá identifikace a autentizace komunikujících stran, včetně ochrany identifikační a autentizační informace. Tato identifikace a autentizace předchází přenosu utajované informace.

účinné od 1. 1. 2006(6) Připojení sítě, která je pod kontrolou správy informačního systému, k síti vnější, která není pod kontrolou správy informačního systému, musí být zabezpečeno vhodným bezpečnostním rozhraním tak, aby bylo zamezeno průniku do informačního systému.

§ 10

účinné od 1. 1. 2006Požadavky na dostupnost utajované informace a služeb informačního systému

účinné od 1. 1. 2006(1) Informační systém musí zajistit, aby požadovaná utajovaná informace byla přístupná ve stanoveném místě, v požadované formě a v určeném časovém rozmezí.

účinné od 1. 1. 2006(2) V zájmu zajištění bezpečného provozu informačního systému se v bezpečnostní politice informačního systému stanoví komponenty, které musí být nahraditelné bez přerušení činnosti informačního systému. Dále se definuje rozsah požadované minimální funkčnosti informačního systému a uvedou se komponenty, při jejichž selhání musí být minimální funkčnost informačního systému zaručena.

účinné od 1. 1. 2006(3) Plánování kapacit aktiv informačního systému a sledování kapacitních požadavků se provádí tak, aby nedocházelo k chybám způsobeným nedostatkem volných kapacit.

účinné od 1. 1. 2006(4) Informační systém musí mít zpracován plán na obnovení jeho činnosti po havárii. Opětovné uvedení informačního systému do známého zabezpečeného stavu může být provedeno manuálně správcem informačního systému nebo automaticky. Všechny činnosti, které byly provedeny pro obnovení činnosti informačního systému, se zpravidla zaznamenávají do auditních záznamů chráněných před neoprávněnou modifikací nebo zničením.

§ 11

účinné od 1. 1. 2006Systémově závislé bezpečnostní požadavky odvozené z analýzy rizik

účinné od 1. 1. 2006(1) Pro stanovení hrozeb, které ohrožují aktiva informačního systému, musí být provedena analýza rizik.

účinné od 1. 1. 2006(2) V rámci provedení analýzy rizik se vymezují aktiva informačního systému a hrozby, které působí na jednotlivá aktiva informačního systému. Posuzují se zejména hrozby, které způsobují ztrátu funkčnosti nebo bezpečnosti informačního systému.

účinné od 1. 1. 2006(3) Po stanovení hrozeb se vymezují zranitelná místa informačního systému tak, že ke každé hrozbě se najde zranitelné místo nebo místa, na která tato hrozba působí.

účinné od 1. 1. 2006(4) Výsledkem provedené analýzy rizik je seznam hrozeb, které mohou ohrozit informační systém, s uvedením odpovídajícího rizika.

účinné od 1. 1. 2006(5) Na základě provedené analýzy rizik se provádí výběr vhodných protiopatření.

§ 12

účinné od 1. 1. 2006Možnost nahrazení prostředků počítačové bezpečnosti

účinné od 1. 1. 2006Zajištění některých bezpečnostních funkcí informačního systému prostředky počítačové bezpečnosti lze v odůvodněných případech nahradit zvýšeným použitím prostředků personální nebo administrativní bezpečnosti, fyzické bezpečnosti informačních systémů anebo organizačních opatření. Při nahrazení prostředků počítačové bezpečnosti náhradním bezpečnostním mechanismem nebo skupinou mechanismů, které mají zajišťovat určitou bezpečnostní funkci, musí být plně realizována bezpečnostní funkce a zachována kvalita a úroveň bezpečnostní funkce.

§ 13

účinné od 1. 1. 2006Požadavky na ochranu mobilních a přenosných informačních systémů

účinné od 1. 1. 2006(1) Pro mobilní a přenosné informační systémy se v analýze rizik posuzují i rizika, která jsou u mobilních informačních systémů spojená s dopravním prostředkem, a u přenosných informačních systémů s prostředími, ve kterých budou tyto informační systémy používány.

účinné od 1. 1. 2006(2) Systém opatření použitých pro celkovou ochranu mobilních a přenosných informačních systémů, obsahujících komponenty umožňující uchování utajovaných informací, musí vedle ostatních požadavků stanovených touto vyhláškou zahrnovat pojetí tohoto zařízení jako nosiče utajované informace klasifikovaného nejvyšším stupněm utajení utajované informace, se kterou nakládá.

§ 14

účinné od 1. 1. 2006Požadavek ochrany proti kompromitujícímu elektromagnetickému vyzařování

účinné od 1. 1. 2006(1) Komponenty informačního systému, které nakládají s utajovanými informacemi stupně utajení Důvěrné nebo vyššího, musí být zabezpečeny proti kompromitujícímu elektromagnetickému vyzařování, které by mohlo způsobit únik utajované informace.

účinné od 1. 1. 2006(2) Úroveň zabezpečení podle odstavce 1 je závislá na stupni utajení utajované informace, se kterou informační systém nakládá, a je dána bezpečnostními standardy.

§ 15

účinné od 1. 1. 2006Požadavky na bezpečnost nosičů utajovaných informací

účinné od 1. 1. 2006(1) Všechny nosiče utajovaných informací používané v provozu informačního systému musí být evidovány. Stupeň utajení těchto nosičů informací musí odpovídat bezpečnostnímu provoznímu módu a nejvyššímu stupni utajení utajovaných informací na nosiči uložených.

účinné od 1. 1. 2006(2) Pokud je vyměnitelný nosič utajovaných informací určen výhradně pro použití v provozu určitého informačního systému, vyznačuje se spolu se stupněm utajení i název daného informačního systému a evidenční číslo nosiče informací. Nosiče utajovaných informací určené pro předání nebo výdej informací z informačního systému se označují stupněm utajení a dalšími údaji podle zvláštního právního předpisu⁵).

účinné od 1. 1. 2006(3) Nosiče utajovaných informací zabudované do zařízení a jiné komponenty umožňující uchování utajovaných informací musí být evidovány a označeny stupněm utajení nejpozději po jejich vyjmutí z daného zařízení. Zařízení se evidují v provozní bezpečnostní dokumentaci informačního systému.

účinné od 1. 1. 2006(4) Stupeň utajení nosiče utajovaných informací stupně utajení Přísně tajné nesmí být snížen, vyjma případu, kdy je prokázáno, že na něm byly během jeho dosavadního života uloženy pouze utajované informace nižšího stupně utajení nebo informace neutajované.

účinné od 1. 1. 2006(5) Stupeň utajení nosiče utajovaných informací stupně utajení Tajné nebo Důvěrné může být snížen anebo Vyhrazené může být zrušen pouze v případě, že vymazání utajovaných informací z něj bylo provedeno způsobem uvedeným v odstavci 6 nebo je prokázáno, že na něm byly během jeho dosavadního života uloženy pouze utajované informace nižšího stupně utajení nebo informace neutajované.

účinné od 1. 1. 2006(6) Vymazání utajované informace z nosiče utajovaných informací, které umožňuje snížení jeho stupně utajení, musí být provedeno tak, aby získání zbytkové utajované informace nebylo možné. Postup je uveden v provozní bezpečnostní dokumentaci certifikovaného informačního systému.

účinné od 1. 1. 2006(7) Ničení nosiče utajovaných informací informačního systému musí být provedeno tak, aby se znemožnilo utajovanou informaci z něho opětovně získat.

§ 16

účinné od 1. 1. 2006Požadavky na přístup k utajované informaci v informačním systému

účinné od 1. 1. 2006(1) Uživatelem, bezpečnostním správcem nebo správcem informačního systému může být pouze osoba, která byla pro svou činnost v informačním systému autorizována postupem stanoveným v bezpečnostní dokumentaci informačního systému.

účinné od 1. 1. 2006(2) Uživatel, bezpečnostní správce a správce informačního systému musí být držitelem osvědčení fyzické osoby stupně utajení, který se stanovuje v souladu s bezpečnostním provozním módem a v závislosti na nejvyšším stupni utajení utajovaných informací, se kterými může informační systém nakládat.

účinné od 1. 1. 2006(3) Uživateli, bezpečnostnímu správci a správci informačního systému se na základě autorizace přiděluje v rámci informačního systému jedinečný identifikátor. Pro zajištění nepřetržité dostupnosti utajovaných informací a služeb informačního systému, který je ve stálém provozu, může v odůvodněných případech Úřad v rámci jeho certifikace umožnit, aby určitý identifikátor byl využíván několika uživateli, bezpečnostními správci nebo správci informačního systému. Předpokladem je zavedení postupu umožňujícího určit, který uživatel, bezpečnostní správce nebo správce informačního systému v dané době daný identifikátor využíval.

účinné od 1. 1. 2006(4) Uživateli, bezpečnostnímu správci nebo správci informačního systému se uděluje oprávnění pouze v rozsahu nezbytném pro provádění jemu určených aktivit v informačním systému.

§ 17

účinné od 1. 1. 2006Požadavek odpovědnosti za činnost v informačním systému

účinné od 1. 1. 2006(1) Uživatel, bezpečnostní správce a správce informačního systému dodržuje předepsané postupy stanovené v bezpečnostní dokumentaci informačního systému, kterými je zajišťována bezpečnost informačního systému.

účinné od 1. 1. 2006(2) Informace o činnosti subjektu informačního systému v informačním systému se zaznamenává tak, aby bylo možno identifikovat narušení bezpečnosti informačního systému nebo pokusy o ně. Záznamy o činnosti subjektu informačního systému v informačním systému se uchovávají pro zpětné zkoumání po dobu stanovenou v bezpečnostní politice informačního systému.

§ 18

účinné od 1. 1. 2006Bezpečnostní správa informačního systému

účinné od 1. 1. 2006(1) V informačním systému se zavádí vhodný systém bezpečnostní správy informačního systému. V rámci systému bezpečnostní správy informačního systému se zavádí role bezpečnostního správce informačního systému, odděleně od jiných rolí ve správě informačního systému, pokud není dále stanoveno jinak.

účinné od 1. 1. 2006(2) V případě potřeby zajistit stanovený rozsah činnosti pro zajištění bezpečnosti informačního systému se zavádějí další role v bezpečnostní správě informačního systému, zejména organizační struktura bezpečnostních správců, bezpečnostní správci jednotlivých lokalit, bezpečnostní správce pro oblast komunikační bezpečnosti nebo bezpečnostní správce bezpečnostního rozhraní informačních systémů.

účinné od 1. 1. 2006(3) Role bezpečnostního správce informačního systému obsahuje výkon správy bezpečnosti informačního systému spočívající zejména v přidělování přístupových práv, správě autentizačních a autorizačních informací, správě konfigurace informačního systému, správě a vyhodnocování auditních záznamů, aktualizaci bezpečnostních směrnic, řešení bezpečnostních incidentů a krizových situací a vypracování zpráv o nich, zajištění školení uživatelů v oblasti bezpečnosti informačního systému, kontroly dodržování bezpečnostních provozních směrnic, jakož i v dalších činnostech stanovených v bezpečnostní dokumentaci informačního systému.

účinné od 1. 1. 2006(4) V informačním systému malého rozsahu může Úřad v rámci jeho certifikace umožnit spojení role bezpečnostního správce a některých dalších rolí ve správě informačního systému.

účinné od 1. 1. 2006(5) Správce informačního systému mimo činnosti pro zajištění funkčnosti informačního systému a řízení jeho provozu plní stanovené činnosti pro zajištění počítačové a komunikační bezpečnosti informačního systému.

§ 19

účinné od 1. 1. 2006Požadavky personální bezpečnosti při provozu informačního systému

účinné od 1. 1. 2006(1) Činnost uživatele, bezpečnostního správce a správce informačního systému v informačním systému se umožňuje na základě jeho autorizace pro tuto činnost, která musí být změněna při změně jeho role v rámci informačního systému nebo zrušena, pokud přestal splňovat podmínky přístupu k utajované informaci. Bezpečnostní správce vede seznam uživatelů informačního systému.

účinné od 1. 1. 2006(2) Provozovatel informačního systému zajišťuje úvodní školení uživatelů, bezpečnostních správců a správců informačního systému v dodržování opatření stanovených v bezpečnostní dokumentaci informačního systému a správném užívání informačního systému. Další školení zajišťuje při podstatných změnách v informačním systému okamžitě, jinak nejméně jednou ročně.

§ 20

účinné od 1. 1. 2006Požadavky fyzické bezpečnosti informačních systémů

účinné od 1. 1. 2006(1) Aktiva informačního systému musí být umístěna do prostoru, ve kterém je zajištěna fyzická ochrana informačního systému před neoprávněným přístupem, poškozením a ovlivněním. V rámci certifikace informačního systému se stanovuje, které komponenty informačního systému musí být umístěny v zabezpečené oblasti nebo v objektu, a požadovaná kategorie zabezpečené oblasti.

účinné od 1. 1. 2006(2) Aktiva informačního systému musí být chráněna před bezpečnostními hrozbami a riziky vyplývajícími z prostředí, ve kterém jsou umístěna.

účinné od 1. 1. 2006(3) Umístění aktiv informačního systému musí být provedeno tak, aby zamezovalo nepovolané osobě odezírat utajované informace nebo informace sloužící k identifikaci a autentizaci uživatele.

účinné od 1. 1. 2006(4) Komunikační infrastruktura přenášející data nebo podporující služby informačního systému musí být chráněna před možností zachycení přenášených utajovaných informací a před poškozením.

§ 21

účinné od 1. 1. 2006Požadavek testování bezpečnosti informačního systému

účinné od 1. 1. 2006(1) Bezpečnost informačního systému se musí před vydáním certifikátu ověřit nezávislým testováním. K provedení testování se nesmějí používat utajované informace.

účinné od 1. 1. 2006(2) Výsledky testů musí prokázat, že bezpečnostní funkce jsou plně v souladu s bezpečnostní politikou informačního systému. Výsledky testů musí být zadokumentovány. Chyby nalezené během testování musí být odstraněny a jejich odstranění musí být ověřeno následnými testy.

§ 22

účinné od 1. 1. 2006Požadavky na bezpečnost při instalaci informačního systému

účinné od 1. 1. 2006Postup instalace informačního systému musí být organizován tak, aby nebyla ohrožena jeho bezpečnost a oslabeny jeho bezpečnostní funkce. V bezpečnostní politice informačního systému se stanoví komponenty informačního systému, které musí být instalovány osobami splňujícími podmínky zákona pro přístup k utajovaným informacím nejvyššího stupně utajení, pro jehož nakládání je informační systém určen. Jedná se o komponenty zajišťující bezpečnostní funkce informačního systému nebo komponenty vyhodnocené jako zranitelné ve fázi instalace. Ostatní komponenty informačního systému mohou být instalovány osobami splňujícími podmínky zákona pro přístup k utajované informaci nižšího stupně utajení nebo osobami nesplňujícími podmínky pro přístup k utajované informaci, schválenými bezpečnostním ředitelem provozovatele informačního systému, avšak pod neustálým dohledem pracovníka správy informačního systému, prověřeného pro přístup k utajovaným informacím nejvyššího stupně utajení, pro jehož nakládání je informační systém určen.

§ 23

účinné od 1. 1. 2006Požadavky na bezpečnost provozovaného informačního systému

účinné od 1. 1. 2006(1) Bezpečnost provozovaného informačního systému musí být průběžně, s ohledem na skutečný stav informačního systému, prověřována a vyhodnocována. Dílčí změnu v informačním systému je možno provést až po vyhodnocení vlivu této změny na bezpečnost informačního systému a po jejím schválení Úřadem, nestanoví-li certifikační zpráva jinak.

účinné od 1. 1. 2006(2) Integrita programového vybavení i utajovaných informací musí být chráněna před působením škodlivého kódu.

účinné od 1. 1. 2006(3) V provozovaném informačním systému může být používáno pouze softwarové a hardwarové vybavení odpovídající bezpečnostní dokumentaci informačního systému schválené Úřadem a podmínkám certifikační zprávy k certifikátu informačního systému.

účinné od 1. 1. 2006(4) V provozovaném informačním systému musí být prováděno zálohování programového vybavení a utajovaných informací. Záloha programového vybavení a utajovaných informací musí být uložena tak, aby nemohlo dojít k jejímu poškození nebo ke zničení při ohrožení informačního systému anebo zneužití pro narušení důvěrnosti utajovaných informací.

účinné od 1. 1. 2006(5) Servisní činnost v provozovaném informačním systému se musí organizovat tak, aby nebyla ohrožena jeho bezpečnost. Z nosičů utajovaných informací informačního systému přístupných při servisní činnosti musí být vymazány utajované informace a dálková diagnostika musí být zabezpečena před zneužitím.

účinné od 1. 1. 2006(6) Údržbu komponent informačního systému zajišťujících bezpečnostní funkce informačního systému nebo přímo ovlivňujících bezpečnost informačního systému musí zajišťovat osoby splňující podmínky zákona pro přístup k utajovaným informacím nejvyššího stupně utajení, pro jehož nakládání je informační systém určen. Takové komponenty musí být stanoveny v provozní bezpečnostní dokumentaci informačního systému. Údržba ostatních komponentů informačního systému může být prováděna osobami splňujícími podmínky zákona pro nižší stupeň utajení nebo osobami schválenými bezpečnostním ředitelem provozovatele informačního systému, avšak pod neustálým dohledem pracovníka správy informačního systému prověřeného pro přístup k utajovaným informacím nejvyššího stupně utajení, pro jehož nakládání je informační systém určen.

účinné od 1. 1. 2006(7) V provozovaném informačním systému musí být v termínech stanovených v bezpečnostní dokumentaci informačního systému a při vzniku krizové situace neprodleně prováděno vyhodnocení auditních záznamů. Auditní záznamy musí být archivovány po dobu stanovenou v bezpečnostní dokumentaci informačního systému a chráněny před modifikací nebo zničením.

účinné od 1. 1. 2006(8) Pro řešení krizové situace provozovaného informačního systému musí být v bezpečnostní dokumentaci informačního systému stanovena opatření zaměřená na jeho uvedení do stavu odpovídajícího bezpečnostní dokumentaci informačního systému. V bezpečnostní dokumentaci informačního systému musí být uvedeny základní typy krizových situací, které mohou podle analýzy rizik nastat, a pro každou z nich specifikována činnost následující

1. účinné od 1. 1. 2006a) bezprostředně po vzniku krizové situace zaměřená na minimalizaci škod a zajištění informací potřebných pro zjištění příčin a mechanismu vzniku krizové situace a
2. účinné od 1. 1. 2006b) po vzniku krizové situace zaměřená na likvidaci následků krizové situace včetně vymezení osobní odpovědnosti za jednotlivé úkoly.

účinné od 1. 1. 2006(9) Pro případ havárie softwarového nebo hardwarového vybavení musí být uveden v bezpečnostní dokumentaci informačního systému způsob

1. účinné od 1. 1. 2006a) zálohování informačního systému a uložení záložních médií,
2. účinné od 1. 1. 2006b) zajišťování servisní činnosti,
3. účinné od 1. 1. 2006c) zajištění nouzového provozu informačního systému s vyjmenováním minimálních funkcí, které musí být zachovány, a
4. účinné od 1. 1. 2006d) obnovy funkčnosti a uvedení informačního systému do známého bezpečného stavu.

účinné od 1. 1. 2006(10) Před trvalým ukončením provozu informačního systému musí být provedeno vyjmutí nebo zničení nosičů utajovaných informací, se kterými informační systém nakládal.

§ 24

účinné od 1. 1. 2006Žádost o certifikaci informačního systému a způsob a podmínky jejího provedení

účinné od 1. 1. 2006(1) Žádost o certifikaci informačního systému obsahuje

1. účinné od 1. 1. 2006a) identifikaci žadatele
   1. účinné od 1. 1. 20061. obchodní firmou, popřípadě názvem, sídlem a identifikačním číslem, je-li žadatelem právnická osoba,
   2. účinné od 1. 1. 20062. obchodní firmou, popřípadě jménem a příjmením, případně odlišujícím dodatkem, trvalým pobytem a místem podnikání, liší-li se od trvalého pobytu, datem narození a identifikačním číslem, je-li žadatelem fyzická osoba, která je podnikatelem, nebo
   3. účinné od 1. 1. 20063. názvem, sídlem, identifikačním číslem a jménem a příjmením odpovědné osoby, jde-li o orgán státu,

1. účinné od 1. 1. 2006b) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení,
2. účinné od 1. 1. 2006c) stručný popis účelu a rozsahu informačního systému,
3. účinné od 1. 1. 2006d) stupeň utajení utajovaných informací, se kterými bude informační systém nakládat,
4. účinné od 1. 1. 2006e) stanovení bezpečnostního provozního módu informačního systému a
5. účinné od 1. 1. 2006f) identifikaci dodavatele informačního systému nebo jeho komponent ovlivňujících bezpečnost informačního systému, podle písmene a) bodu 1 nebo 2, a stupeň utajení, pro který bylo vydáno dodavateli osvědčení podnikatele.

účinné od 1. 1. 2006(2) K provedení certifikace informačního systému žadatel předloží následující podklady

1. účinné od 1. 1. 2006a) bezpečnostní politiku informačního systému a výsledky analýzy rizik,
2. účinné od 1. 1. 2006b) návrh bezpečnosti informačního systému,
3. účinné od 1. 1. 2006c) sadu testů bezpečnosti informačního systému, jejich popis a popis výsledků testování,
4. účinné od 1. 1. 2006d) bezpečnostní provozní dokumentaci informačního systému,
5. účinné od 1. 1. 2006e) popis bezpečnosti vývojového prostředí a
6. účinné od 1. 1. 2006f) další podklady nezbytné k certifikaci informačního systému, vyplývající ze specifikace informačního systému.

účinné od 1. 1. 2006(3) Žádá-li o provedení certifikace informačního systému zpravodajská služba, uvede v žádosti podle odstavce 1 a v podkladech podle odstavce 2 pouze nezbytné údaje, které umožní Úřadu provedení certifikace informačního systému.

účinné od 1. 1. 2006(4) Jako podklad pro certifikaci informačního systému může žadatel předložit také výsledky dílčích úloh v hodnocení některých komponent informačního systému a v hodnocení jednotlivých oblastí bezpečnosti uvedených v § 3 odst. 1, provedených orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem.

účinné od 1. 1. 2006(5) V rámci certifikace informačního systému se posuzuje vhodnost souboru opatření navržených pro dosažení bezpečnosti informačního systému podle § 3, správnost a úplnost bezpečnostní dokumentace informačního systému a správnost realizace navrženého souboru opatření v daném informačním systému.

účinné od 1. 1. 2006(6) Certifikace informačního systému se provádí posouzením podkladů předložených žadatelem a provedením dodatečných testů. Dodatečné testy provádí Úřad v provozním prostředí hodnoceného informačního systému za spoluúčasti žadatele a v případě potřeby dodavatele.

účinné od 1. 1. 2006(7) Certifikaci informačního systému lze provádět průběžně po ukončení jednotlivých fází výstavby informačního systému nebo až po jeho celkovém dokončení.

účinné od 1. 1. 2006(8) Dojde-li v informačním systému, který byl certifikován a schválen do provozu, ke změnám uvedeným v § 25 písm. d), provádí se doplňující hodnocení informačního systému v rozsahu potřebném k posouzení provedených změn. V případě provádění doplňujícího hodnocení informačního systému se postupuje obdobně jako při provádění certifikace informačního systému.

účinné od 1. 1. 2006(9) Vzor certifikátu informačního systému je uveden v příloze č. 1 této vyhlášky.

§ 25

účinné od 1. 1. 2006Certifikační zpráva informačního systému

účinné od 1. 1. 2006Certifikační zpráva obsahuje

1. účinné od 1. 1. 2006a) orientační popis informačního systému,
2. účinné od 1. 1. 2006b) podmínky provozu informačního systému,
3. účinné od 1. 1. 2006c) identifikaci případných přijatelných rizik souvisejících s provozem informačního systému a
4. účinné od 1. 1. 2006d) typy změn informačního systému, které vyžadují provedení doplňujícího hodnocení informačního systému.

§ 26

účinné od 1. 1. 2006Žádost o opakovanou certifikaci informačního systému a způsob jejího provedení

účinné od 1. 1. 2006(1) Žádost o opakovanou certifikaci informačního systému obsahuje

1. účinné od 1. 1. 2006a) identifikaci žadatele podle § 24 odst. 1 písm. a),
2. účinné od 1. 1. 2006b) úplnou identifikaci vydaného certifikátu informačního systému obsahující jeho držitele, evidenční číslo, datum vydání a dobu platnosti,
3. účinné od 1. 1. 2006c) identifikaci informačního systému obsahující jeho název, označení verze a stupeň utajení utajovaných informací, pro který byla schválena jeho způsobilost, a
4. účinné od 1. 1. 2006d) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení.

účinné od 1. 1. 2006(2) Pokud žadatel doloží, že ke dni ukončení platnosti dosavadního certifikátu bude informační systém provozován v rámci podmínek stanovených v certifikační zprávě, a žadatel ani Úřad neidentifikovali nová rizika pro informační systém, vydá Úřad certifikát na základě existující bezpečnostní dokumentace informačního systému a provedené kontroly bezpečnosti informačního systému.

účinné od 1. 1. 2006(3) Pokud ke dni ukončení platnosti dosavadního certifikátu provozovatel navrhuje změnu bezpečnostní politiky informačního systému, případně byla identifikována nová rizika pro informační systém, vyžádá si Úřad doplnění nebo úpravu odpovídajících částí dokumentace a provede doplňující hodnocení informačního systému v rozsahu stanoveném Úřadem. Pokud informační systém vyhoví stanoveným bezpečnostním podmínkám, Úřad vydá certifikát.

účinné od 1. 1. 2006(4) V případě, že navrhované změny bezpečnostní politiky informačního systému jsou podstatné pro celkovou bezpečnost informačního systému, bude Úřad postupovat jako v případě nové certifikace.

§ 27

účinné od 1. 1. 2006Náležitosti projektu bezpečnosti komunikačního systému

účinné od 1. 1. 2006(1) Bezpečnostní politika komunikačního systému vymezuje způsob, jakým má být zajištěna důvěrnost, integrita a dostupnost utajované informace a odpovědnost uživatele za jeho činnost v daném komunikačním systému.

účinné od 1. 1. 2006(2) Bezpečnostní politika komunikačního systému obsahuje souhrn zásad a požadavků v oblasti personální, administrativní, fyzické a komunikační bezpečnosti, stanovených v závislosti na stupni utajení přenášených utajovaných informací, na výsledcích analýzy rizik komunikačního systému a na zásadách a podmínkách provozování kryptografického prostředku uvedených v certifikační zprávě kryptografického prostředku.

účinné od 1. 1. 2006(3) Organizační opatření a provozní postupy provozování komunikačního systému obsahují

1. účinné od 1. 1. 2006a) způsob, jakým bude zajištěn výkon kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku,
2. účinné od 1. 1. 2006b) požadovanou strukturu správy komunikačního systému a
3. účinné od 1. 1. 2006c) organizační opatření a zásady provozních postupů, jejichž naplňováním bude zajištěna ochrana utajovaných informací přenášených v komunikačním systému.

účinné od 1. 1. 2006(4) Na základě bezpečnostní politiky komunikačního systému a organizačních opatření a provozních postupů provozování komunikačního systému se zpracují odděleně provozní směrnice pro bezpečnostní správu komunikačního systému a provozní směrnice uživatele komunikačního systému. Tyto směrnice musí obsahovat konkrétní provozní postupy pro zajištění bezpečnostní správy komunikačního systému a výkonu kryptografické ochrany a musí stanovit odpovědnost pracovníků správy komunikačního systému, pracovníků kryptografické ochrany a uživatelů k zajištění ochrany utajovaných informací.

§ 28

účinné od 1. 1. 2006Žádost o schválení projektu bezpečnosti komunikačního systému

účinné od 1. 1. 2006(1) Žádost o schválení projektu bezpečnosti komunikačního systému předkládá orgán státu nebo podnikatel, který bude komunikační systém provozovat.

účinné od 1. 1. 2006(2) Žádost podle odstavce 1 obsahuje

1. účinné od 1. 1. 2006a) identifikaci žadatele podle § 24 odst. 1 písm. a),
2. účinné od 1. 1. 2006b) jméno a příjmení kontaktního pracovníka a kontaktní spojení,
3. účinné od 1. 1. 2006c) stupeň a číslo osvědčení podnikatele pro seznamování se s utajovanými informacemi, je-li žadatelem podnikatel,
4. účinné od 1. 1. 2006d) název a stručný popis účelu a rozsahu komunikačního systému včetně stanovení jeho běžných provozních funkcí,
5. účinné od 1. 1. 2006e) stupeň utajení utajovaných informací, se kterými bude komunikační systém nakládat, a
6. účinné od 1. 1. 2006f) identifikaci dodavatele jednotlivých komponent komunikačního systému majících vliv na bezpečnost komunikačního systému, podle § 24 odst. 1 písm. a) bodu 1 nebo 2, a stupeň utajení, pro který bylo vydáno dodavateli osvědčení podnikatele.

účinné od 1. 1. 2006(3) K žádosti podle odstavce 2 se v průběhu schvalování přikládají jednotlivé části projektu bezpečnosti komunikačního systému podle § 27 odst. 2.

účinné od 1. 1. 2006(4) Žádá-li o schválení projektu bezpečnosti komunikačního systému zpravodajská služba, uvede v žádosti podle odstavce 2 a v podkladech podle odstavce 3 pouze nezbytné údaje, které umožní Úřadu schválení projektu bezpečnosti komunikačního systému.

§ 29

účinné od 1. 1. 2006Způsob a podmínky schvalování projektu bezpečnosti komunikačního systému

účinné od 1. 1. 2006(1) V rámci schvalování projektu bezpečnosti komunikačního systému se posuzuje vhodnost souhrnu zásad a požadavků v oblasti personální, administrativní, fyzické a komunikační bezpečnosti podle § 27 odst. 2 a organizačních opatření a provozních postupů provozování komunikačního systému podle § 27 odst. 3, navržených pro dosažení bezpečnosti komunikačního systému, a správnost a úplnost provozních směrnic podle § 27 odst. 4.

účinné od 1. 1. 2006(2) Schvalování projektu bezpečnosti komunikačního systému se provádí posouzením podkladů předložených žadatelem a provedením kontroly realizace projektu bezpečnosti komunikačního systému Úřadem v provozním prostředí schvalovaného komunikačního systému.

účinné od 1. 1. 2006(3) Schvalování projektu bezpečnosti komunikačního systému lze provádět průběžně po ukončení jednotlivých fází výstavby komunikačního systému nebo až po jeho celkovém dokončení, podle požadavků žadatele.

účinné od 1. 1. 2006(4) Jestliže se při schvalování projektu bezpečnosti komunikačního systému zjistí způsobilost hodnoceného komunikačního systému pro nakládání s utajovanými informacemi, bude žadateli písemně zasláno schválení projektu bezpečnosti komunikačního systému.

účinné od 1. 1. 2006(5) Dojde-li v komunikačním systému k závažným změnám, které mají vliv na celkovou bezpečnost tohoto komunikačního systému, provádí se doplňující hodnocení komunikačního systému v rozsahu potřebném k posouzení provedených změn. V případě provádění doplňujícího hodnocení komunikačního systému se postupuje obdobně jako při schvalování projektu bezpečnosti komunikačního systému.