Vyhláška o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor

§ 30

účinné od 1. 1. 2006Žádost o ověření způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu

účinné od 1. 1. 2006(1) Žádost o ověření způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu obsahuje

1. účinné od 1. 1. 2006a) identifikaci žadatele podle § 24 odst. 1 písm. a),
2. účinné od 1. 1. 2006b) jméno a příjmení kontaktního pracovníka a kontaktní spojení,
3. účinné od 1. 1. 2006c) identifikaci elektrického nebo elektronického zařízení, zabezpečené oblasti nebo objektu, jehož způsobilost má být ověřena, a
4. účinné od 1. 1. 2006d) stupeň utajení utajovaných informací, které budou v elektrickém nebo elektronickém zařízení, zabezpečené oblasti nebo objektu zpracovávány.

účinné od 1. 1. 2006(2) K žádosti může být přiložena zpráva o výsledku hodnocení způsobilosti elektrického nebo elektronického zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím elektromagnetickým vyzařováním, provedeného orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem.

účinné od 1. 1. 2006(3) Podmínky hodnocení a používání elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně utajovaných informací před únikem utajované informace kompromitujícím elektromagnetickým vyzařováním stanoví Úřad v bezpečnostních standardech.

§ 31

účinné od 1. 1. 2006Způsob hodnocení způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu

účinné od 1. 1. 2006(1) Hodnocení způsobilosti elektrických a elektronických zařízení z hlediska úniku utajované informace kompromitujícím elektromagnetickým vyzařováním se provádí měřením úrovní vyzařovaného elektromagnetického pole a porovnáním naměřených hodnot s bezpečnostními standardy.

účinné od 1. 1. 2006(2) Hodnocení způsobilosti zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím elektromagnetickým vyzařováním se provádí měřením jeho útlumových vlastností a porovnáním naměřených hodnot s bezpečnostními standardy.

účinné od 1. 1. 2006(3) Jsou-li v průběhu hodnocení způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu zjištěny nedostatky, vyzve Úřad žadatele k jejich odstranění.

účinné od 1. 1. 2006(4) O průběhu a výsledcích hodnocení způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím elektromagnetickým vyzařováním vypracuje Úřad zprávu a výsledek písemně oznámí žadateli.

§ 32

účinné od 1. 1. 2006K ochraně utajovaných informací před jejich únikem kompromitujícím elektromagnetickým vyzařováním se používá stínicí komora certifikovaná Úřadem. Podmínky hodnocení stínicí komory k ochraně utajovaných informací stanoví Úřad v bezpečnostních standardech.

§ 33

účinné od 1. 1. 2006Žádost o certifikaci stínicí komory

účinné od 1. 1. 2006(1) Žádost o certifikaci stínicí komory obsahuje

1. účinné od 1. 1. 2006a) identifikaci žadatele podle § 24 odst. 1 písm. a),
2. účinné od 1. 1. 2006b) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení,
3. účinné od 1. 1. 2006c) stupeň a číslo osvědčení podnikatele pro seznamování se s utajovanými informacemi, je-li žadatelem podnikatel,
4. účinné od 1. 1. 2006d) označení a umístění stínicí komory a
5. účinné od 1. 1. 2006e) identifikaci výrobce stínicí komory, podle § 24 odst. 1 písm. a) bodu 1 nebo 2.

účinné od 1. 1. 2006(2) K žádosti může být přiložena zpráva o výsledku hodnocení stínicí komory, provedeného orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem. Ke dni podání žádosti o certifikaci stínicí komory nesmí být její výsledek hodnocení uvedený v přiložené zprávě starší 6 měsíců.

§ 34

účinné od 1. 1. 2006Způsob a podmínky provádění certifikace stínicí komory

účinné od 1. 1. 2006(1) Certifikace stínicí komory se provádí měřením útlumových vlastností stínicí komory a jejich porovnáním s bezpečnostními standardy. Měření stínicí komory se provádí za spoluúčasti žadatele a v případě potřeby i dodavatele stínicí komory.

účinné od 1. 1. 2006(2) O průběhu a dílčích výsledcích certifikace stínicí komory vypracuje Úřad zprávu.

účinné od 1. 1. 2006(3) Vzor certifikátu stínicí komory je uveden v příloze č. 2 této vyhlášky.

§ 35

účinné od 1. 1. 2006Certifikační zpráva stínicí komory

účinné od 1. 1. 2006Certifikační zpráva stínicí komory obsahuje

1. účinné od 1. 1. 2006a) orientační popis stínicí komory, jejího umístění a účelu jejího používání,
2. účinné od 1. 1. 2006b) podmínky provozu stínicí komory a
3. účinné od 1. 1. 2006c) typy změn, které vyžadují provedení opakované certifikace stínicí komory.

§ 36

účinné od 1. 1. 2006Žádost o opakovanou certifikaci stínicí komory a způsob jejího provedení

účinné od 1. 1. 2006(1) Žádost o opakovanou certifikaci stínicí komory obsahuje

1. účinné od 1. 1. 2006a) identifikaci žadatele podle § 24 odst. 1 písm. a),
2. účinné od 1. 1. 2006b) úplnou identifikaci vydaného certifikátu stínicí komory obsahující jeho držitele, evidenční číslo, datum vydání a dobu platnosti,
3. účinné od 1. 1. 2006c) identifikaci certifikované stínicí komory obsahující její název, typové označení, variantní provedení a umístění a
4. účinné od 1. 1. 2006d) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení.

účinné od 1. 1. 2006(2) K žádosti může být přiložena zpráva o výsledku hodnocení stínicí komory, provedeného orgánem státu nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Úřadem, podle § 33 odst. 2.

účinné od 1. 1. 2006(3) Pokud žadatel doloží, že ke dni ukončení platnosti dosavadního certifikátu stínicí komory nedochází ke změnám podmínek podmiňujících platnost vydaného certifikátu, Úřad vydá certifikát.

účinné od 1. 1. 2006(4) Pokud ke dni ukončení platnosti certifikátu stínicí komory žadatel nemůže doložit skutečnosti uvedené v odstavci 3, Úřad provede doplňující hodnocení stínicí komory, a pokud ověří způsobilost stínicí komory k ochraně utajovaných informací, vydá certifikát. V případě podstatných změn podmínek provozu stínicí komory se postupuje jako při nové certifikaci.

§ 37

účinné od 1. 1. 2006Žádost o uzavření smlouvy o zajištění činnosti obsahuje

1. účinné od 1. 1. 2006a) identifikaci žadatele podle § 24 odst. 1 písm. a),
2. účinné od 1. 1. 2006b) stupeň a číslo osvědčení podnikatele pro seznamování se s utajovanými informacemi, je-li žadatelem podnikatel,
3. účinné od 1. 1. 2006c) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení,
4. účinné od 1. 1. 2006d) identifikaci příslušného odborného pracoviště žadatele (předmět činnosti a podrobná specifikace umístění pověřovaného pracoviště, jméno a příjmení kontaktního pracovníka a kontaktní spojení),
5. účinné od 1. 1. 2006e) specifikace činností, které mají být prováděny podle smlouvy,
6. účinné od 1. 1. 2006f) personální předpoklady pracoviště k provádění požadovaných činností (jméno, příjmení a kvalifikace vedoucího pracovníka odborného pracoviště, jména a příjmení ostatních odborných pracovníků pracoviště a jejich kvalifikace),
7. účinné od 1. 1. 2006g) prohlášení odpovědné osoby o úrovni fyzické, personální a administrativní bezpečnosti, která je zajištěna pro odborné pracoviště,
8. účinné od 1. 1. 2006h) stupeň a evidenční číslo certifikátu informačního systému, pokud je použití certifikovaného informačního systému potřebné pro provádění činností podle smlouvy, a
9. účinné od 1. 1. 2006i) vybavenost odborného pracoviště technickým zařízením potřebným pro provádění činností podle smlouvy.

§ 38

účinné od 1. 1. 2006(1) Bezpečného provozování kopírovacího zařízení, zobrazovacího zařízení nebo psacího stroje s pamětí, které nejsou součástí informačního nebo komunikačního systému, se v závislosti na stupni utajení utajovaných informací dosahuje uplatněním souboru opatření z oblasti

1. účinné od 1. 1. 2006a) personální bezpečnosti,
2. účinné od 1. 1. 2006b) fyzické bezpečnosti,
3. účinné od 1. 1. 2006c) administrativní bezpečnosti a organizačních opatření a
4. účinné od 1. 1. 2006d) ochrany utajované informace před jejím únikem kompromitujícím elektromagnetickým vyzařováním.

účinné od 1. 1. 2006(2) Kopírovací zařízení, zobrazovací zařízení a psací stroj s pamětí, které se používají pro zpracování utajovaných informací stupně utajení Důvěrné nebo vyššího, musí být zabezpečeny proti úniku utajované informace kompromitujícím elektromagnetickým vyzařováním. Při ověřování způsobilosti kopírovacího zařízení, zobrazovacího zařízení nebo psacího stroje s pamětí k ochraně utajované informace před jejím únikem kompromitujícím elektromagnetickým vyzařováním se postupuje podle § 31.

účinné od 1. 1. 2006(3) Kopírovací zařízení, zobrazovací zařízení a psací stroj s pamětí musí být umístěny do prostoru, ve kterém je zajištěna jejich fyzická ochrana před neoprávněným přístupem, poškozením a ovlivněním. Tento prostor je vymezen definovanými prvky ochrany s vhodnými kontrolami vstupu a bezpečnostními bariérami. Podle charakteru zařízení se na základě analýzy rizik stanovuje, zda musí být umístěno v zabezpečené oblasti nebo v objektu, a požadovaná kategorie zabezpečené oblasti. Analýza rizik stanoví pro zranitelná místa zařízení pravděpodobnost realizace možných hrozeb a odhad jejich následků.

účinné od 1. 1. 2006(4) Kopírovací zařízení, zobrazovací zařízení a psací stroje s pamětí musí být fyzicky chráněny před bezpečnostními hrozbami a riziky prostředí.

účinné od 1. 1. 2006(5) Umístění kopírovacího zařízení, zobrazovacího zařízení a psacího stroje s pamětí musí být provedeno tak, aby zamezovalo nepovolané osobě odezírat utajované informace.

účinné od 1. 1. 2006(6) S kopírovacím zařízením a zobrazovacím zařízením obsahujícím zabudované nosiče utajovaných informací nebo jiné komponenty umožňující uchování utajovaných informací a s psacím strojem s pamětí musí být spojena informace o stupni utajení informací uchovávaných na těchto nosičích, komponentách a pamětech. Tato informace může být vyjádřena na štítku připevněném k zařízení, stanovena v bezpečnostní provozní směrnici nebo být vyjádřena jiným vhodným způsobem. Nosiče utajovaných informací zabudované do zařízení a jiné komponenty umožňující uchování utajovaných informací musí být evidovány a označeny stupněm utajení nejpozději po jejich vyjmutí z daného zařízení.

účinné od 1. 1. 2006(7) Servisní činnost pro kopírovací zařízení, zobrazovací zařízení a psací stroje s pamětí se musí organizovat tak, aby nebyla ohrožena bezpečnost utajovaných informací. Z nosičů utajovaných informací a pamětí přístupných při servisní činnosti musí být vymazány utajované informace.

§ 39