Vyhláška o fyzické bezpečnosti a certifikaci technických prostředků

§ 1

Předmět úpravy

Tato vyhláška stanoví bodové ohodnocení jednotlivých opatření fyzické bezpečnosti¹), nejnižší míru zabezpečení zabezpečené oblasti²) a jednací oblasti³), základní metodu hodnocení rizik, další požadavky na opatření fyzické bezpečnosti a náležitosti certifikace technického prostředku.

§ 2

Vymezení pojmů

Pro účely této vyhlášky se rozumí

1. a) objektem budova nebo jiný ohraničený prostor, ve kterém se nacházejí zabezpečené nebo jednací oblasti,
2. b) hranicí objektu plášť budovy, fyzická bariéra (oplocení) nebo jinak viditelně vymezená hranice,
3. c) hranicí zabezpečené oblasti nebo jednací oblasti stavebně nebo jinak viditelně ohraničený prostor,
4. d) vstupem do objektu, zabezpečené oblasti nebo jednací oblasti místo určené pro vstup a výstup osob a místo určené pro vjezd a výjezd dopravních prostředků,
5. e) dopravními prostředky pozemní, podzemní, vzdušné a vodní prostředky určené k přepravě osob, předmětů a materiálu,
6. f) provozovatelem objektu odpovědná osoba⁴), popřípadě osoba jí k tomu pověřená,
7. g) hrozbou možnost vyzrazení nebo zneužití utajované informace při narušení fyzické bezpečnosti,
8. h) rizikem pravděpodobnost, že se určitá hrozba uskuteční,
9. i) mimořádnou situací stav, kdy bezprostředně hrozí, že dojde k vyzrazení nebo zneužití utajované informace,
10. j) technickým prostředkem bezpečnostní prvek, jehož použitím se zabraňuje, ztěžuje nebo oznamuje narušení ochrany objektu, zabezpečené oblasti nebo jednací oblasti, a dále ničí utajované informace,
11. k) úschovným objektem trezor, uzamykatelná skříň nebo jiná schránka stanovená v příloze č. 1 této vyhlášky,
12. l) technickým zařízením vojenský materiál⁵), zejména elektronická, fototechnická, chemická, fyzikálně-chemická, radiotechnická, optická a mechanická vojenská technika a vojenská výzbroj, který obsahuje utajovanou informaci,
13. m) útočníkem fyzická osoba, která vyvíjí činnost s cílem překonat technické prostředky a další překážky sloužící k zabezpečení ochrany utajovaných informací.

§ 3

Zabezpečení zabezpečené oblasti

(1) Hranici zabezpečené oblasti a její zařazení do příslušné kategorie⁶) a třídy stanoví provozovatel objektu. Hranici objektu stanoví provozovatel objektu.

(2) Zabezpečení zabezpečené oblasti a hranice objektu je zajišťováno kombinací opatření fyzické bezpečnosti podle odstavců 3 až 11 a § 6 až 10.

(3) Rozsah použití technických prostředků k zabezpečení zabezpečené oblasti se stanoví v závislosti na kategorii a třídě dané zabezpečené oblasti a vyhodnocení rizik podle § 10 odst. 3

1. a) pro kategorii Vyhrazené – mechanické zábranné prostředky,
2. b) pro kategorii Důvěrné – mechanické zábranné prostředky a zařízení elektrické zabezpečovací signalizace,
3. c) pro kategorii Tajné a Přísně tajné – mechanické zábranné prostředky, systémy pro kontrolu vstupů, zařízení elektrické zabezpečovací signalizace, speciální televizní systémy, zařízení elektrické požární signalizace.

(4) Speciální televizní systémy v odstavci 3 písm. c) lze nahradit tísňovými systémy.

(5) Bodové hodnoty nejnižší míry zabezpečení zabezpečené oblasti jsou stanoveny v příloze č. 1 této vyhlášky.

(6) Zabezpečené oblasti kategorie Důvěrné a vyšší, v nichž je zajištěna trvalá přítomnost zde pracujících osob, se zabezpečují zejména mechanickými zábrannými prostředky a zařízením elektrické zabezpečovací signalizace a nebo tísňovým systémem. Plní-li tyto zabezpečené oblasti současně úlohu stanovišť určených pro stálý výkon ostrahy, nemusí být vybaveny zařízeními elektrické zabezpečovací signalizace. Při použití speciálních televizních systémů nesmí být narušena ochrana utajovaných informací.

(7) K zajištění ochrany zabezpečených oblastí kategorie Vyhrazené se používají certifikované nebo necertifikované technické prostředky.

(8) K zajištění ochrany zabezpečených oblastí kategorie Důvěrné a vyšší se používají certifikované technické prostředky. Necertifikované technické prostředky lze použít pouze za předpokladu, že nesníží úroveň ochrany požadované pro daný stupeň utajení.

(9) Utajovaná informace se ukládá v zabezpečené oblasti, popřípadě v úschovném objektu, je-li jeho bodová hodnota uplatněna v projektu fyzické bezpečnosti pro příslušnou zabezpečenou oblast.

(10) Zabezpečení zabezpečené oblasti se dále provádí na hranici objektu, ve kterém se tato oblast nachází. Rozsah použití technických prostředků je stanoven v závislosti na nejvyšší kategorii zabezpečené oblasti, která se nachází v objektu, na základě vyhodnocení rizik podle § 10 odst. 3 a dále s ohledem na charakter hranice objektu

1. a) pro zabezpečenou oblast kategorie Vyhrazené – mechanické zábranné prostředky,
2. b) pro zabezpečenou oblast kategorie Důvěrné a Tajné – mechanické zábranné prostředky a zařízení elektrické zabezpečovací signalizace,
3. c) pro zabezpečenou oblast kategorie Přísně tajné – mechanické zábranné prostředky, zařízení elektrické zabezpečovací signalizace a speciální televizní systémy.

(11) V objektu se umísťuje zařízení fyzického ničení nosičů informací.

(12) V případě, že hranice objektu je totožná s hranicí zabezpečené oblasti, je rozsah použití opatření fyzické bezpečnosti určen požadavky na kategorii dané zabezpečené oblasti.

§ 4

Zabezpečení jednacích oblastí

(1) Hranici jednací oblasti a hranici objektu stanoví provozovatel objektu.

(2) Zabezpečení jednací oblasti a hranice objektu je zajišťováno kombinací opatření fyzické bezpečnosti podle odstavců 3 až 11 a § 6 až 10.

(3) Rozsah použití opatření fyzické bezpečnosti k zabezpečení jednací oblasti se stanoví v závislosti na stupni utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, a na vyhodnocení rizik podle § 10 odst. 3.

(4) Jednací oblasti pro pravidelné projednávání utajovaných informací stupňů utajení Tajné a Přísně tajné se zabezpečují mechanickými zábrannými prostředky, systémy pro kontrolu vstupů, zařízeními elektrické zabezpečovací signalizace, speciálními televizními systémy, zařízeními elektrické požární signalizace, zařízeními proti pasivnímu a aktivnímu odposlechu utajované informace.

(5) Speciální televizní systémy v odstavci 4 lze nahradit tísňovými systémy.

(6) Bodové hodnoty nejnižší míry zabezpečení jednací oblasti jsou stanoveny v příloze č. 1 této vyhlášky.

(7) Ustanovení přílohy č. 1 týkající se zabezpečení zabezpečené oblasti se obdobně vztahují na zabezpečení jednací oblasti, není-li v příloze č. 1 této vyhlášky stanoveno jinak.

(8) K zajištění ochrany jednacích oblastí se používají certifikované technické prostředky. Necertifikované technické prostředky lze použít pouze za předpokladu, že nesníží úroveň ochrany požadované pro daný stupeň utajení.

(9) Zabezpečení jednací oblasti se dále provádí na hranici objektu, ve kterém se tato oblast nachází. Rozsah použití technických prostředků je stanoven v závislosti na stupni utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, a na základě vyhodnocení rizik podle § 10 odst. 3 a dále s ohledem na charakter hranice objektu. Hranice objektu je zabezpečena mechanickými zábrannými prostředky, zařízením elektrické zabezpečovací signalizace a speciálním televizním systémem.

(10) V objektu se umísťuje zařízení fyzického ničení nosičů informací.

(11) V případě, že hranice objektu je totožná s hranicí jednací oblasti, je rozsah použití opatření fyzické bezpečnosti určen požadavky na zabezpečení jednací oblasti.

§ 5

Zabezpečení technického zařízení

(1) Technické zařízení obsahující utajovanou informaci stupně utajení Důvěrné a vyšší se ukládá v zabezpečené oblasti. Hranici této zabezpečené oblasti a její zařazení do příslušné kategorie a třídy stanoví provozovatel objektu. Hranici objektu stanoví provozovatel objektu.

(2) Zabezpečení zabezpečené oblasti a hranice objektu podle odstavce 1 je zajišťováno kombinací opatření fyzické bezpečnosti podle odstavců 3 až 10 anebo podle § 3 odst. 2.

(3) Rozsah a způsob použití technických prostředků a dalších překážek k zabezpečení ochrany utajovaných informací v technických zařízeních stanovuje provozovatel objektu tak, aby zajistil informování ostrahy o narušení bezpečnosti ze strany útočníka a zpomalil jej na cestě k utajované informaci v technickém zařízení.

(4) K zajištění ochrany zabezpečené oblasti a objektu podle odstavce 1 se mohou použít certifikované i necertifikované technické prostředky. Nejblíže k technickému zařízení se zpravidla umísťuje nejodolnější technický prostředek.

(5) Pro ostrahu technického zařízení obsahujícího utajovanou informaci stupně utajení Důvěrné je stanovena ostraha typu 4 nebo vyšší podle přílohy č. 1 této vyhlášky. Pro ostrahu technického zařízení obsahujícího utajovanou informaci stupně utajení Tajné je stanovena ostraha typu 4 s pravidelnými obchůzkami v intervalu ne větším než 4 hodiny nebo ostraha vyšší podle přílohy č. 1 této vyhlášky. Pro ostrahu technického zařízení obsahujícího utajovanou informaci stupně utajení Přísně tajné je stanovena ostraha typu 5 podle přílohy č. 1 této vyhlášky.

(6) Provozovatel objektu stanovuje časové limity pro ostrahu, které musí dodržet při zásahu proti útočníkovi na základě počtu a druhu jednotlivých technických prostředků a dalších překážek, které musí útočník překonat při cestě k utajované informaci v technickém zařízení.

(7) Zásah ostrahy proti útočníkovi je prováděn minimálně dvěma fyzickými osobami v jakémkoli místě objektu nebo zabezpečené oblasti, kde došlo k narušení ochrany utajované informace v technickém zařízení nebo k vyhlášení poplachového nebo nouzového signálu, aniž by byla oslabena ochrana utajovaných informací na jiném místě.

(8) Ostraha provádí zásah proti útočníkovi v časovém limitu, který stanovil provozovatel objektu podle odstavce 9, aby znemožnil získat útočníkovi utajovanou informaci, která se nachází v technickém zařízení. Stanovené časové limity musí být pravidelně prověřovány a upravovány na základě nových skutečností.

(9) Časové limity provozovatel objektu uvádí v projektu fyzické bezpečnosti. Tabulka bodového ohodnocení opatření fyzické bezpečnosti v zabezpečené oblasti stanovená v části 14.3.1 přílohy č. 1 k této vyhlášce se v tomto případě nezpracovává.

(10) Projekt fyzické bezpečnosti zabezpečené oblasti, ve které se ukládají technická zařízení, schvaluje odpovědná osoba nebo bezpečnostní ředitel.

(11) V případech, kdy je technické zařízení zabezpečováno podle § 3 odst. 2, jsou bodové hodnoty technického zařízení stanoveny v příloze č. 1 této vyhlášky.

§ 6

Režimová opatření

(1) Režimovými opatřeními jsou

1. a) stanovení oprávnění osob a dopravních prostředků pro vstup do objektu, stanovení oprávnění osob pro vstup do zabezpečené oblasti a jednací oblasti a způsob kontroly těchto oprávnění,
2. b) kontrolní opatření při vstupu do objektu, zabezpečených a jednacích oblastí a způsob kontroly těchto opatření,
3. c) podmínky a způsob kontroly pohybu osob v objektu, zabezpečené oblasti a jednací oblasti a způsob kontroly a vynášení utajovaných informací z objektu, zabezpečené oblasti a jednací oblasti,
4. d) režim manipulace s klíči a identifikačními daty,
5. e) režim manipulace s technickými prostředky a jejich používání.

(2) Bodové hodnoty režimových opatření jsou stanoveny v příloze č. 1 této vyhlášky.

§ 7

Režim pohybu osob a dopravních prostředků

(1) Seznam osob a dopravních prostředků oprávněných vstupovat a vjíždět do objektu, do zabezpečené oblasti a jednací oblasti se ukládá u provozovatele objektu. Oprávnění ke vstupu do objektu, zabezpečené oblasti nebo jednací oblasti vydává provozovatel objektu nebo jím pověřená osoba.

(2) Při vstupu osob, které nemají oprávnění pro vstup do objektu, ve kterém se nachází zabezpečená oblast kategorie Přísně tajné nebo jednací oblast pro pravidelné projednávání utajovaných informací stupňů utajení Přísně tajné, se provádí kontrola zařízením sloužícím k vyhledávání nebezpečných látek nebo předmětů.

(3) Na vstupu do objektu, ve kterém se nachází zabezpečená oblast kategorie Důvěrné, Tajné nebo Přísně tajné nebo jednací oblast pro pravidelné projednávání utajovaných informací stupňů utajení Tajné nebo Přísně tajné, se provádí kontrola vstupu včetně evidence údajů o návštěvách a povinně se stanoví režim návštěv s doprovodem.

§ 8

Režim manipulace s klíči a identifikačními daty

(1) Režim manipulace s klíči a identifikačními daty určuje systém a způsob označování, přidělování a odevzdávání, jejich úschovy a evidence, uložení duplikátů a způsob jejich použití.

(2) Klíče a identifikační data k jednací oblasti, a dále k zabezpečené oblasti a úschovnému objektu, kde se ukládá utajovaná informace stupně utajení Vyhrazené, která vyžaduje zvláštní režim nakládání, a utajovaná informace stupně utajení Důvěrné nebo vyššího, musí být označeny, ukládají se způsobem, který umožňuje kontrolu jejich použití, a jejich výdej podléhá evidenci. S klíči disponuje provozovatel objektu nebo jím pověřená osoba.

(3) Režim manipulace s klíči a identifikačními daty k zabezpečené oblasti a k úschovnému objektu, kde se ukládá utajovaná informace stupně utajení Vyhrazené, stanoví provozovatel objektu.

(4) Zabezpečená oblast a jednací oblast musí být v době nepřítomnosti osob, které mají povolen vstup do této zabezpečené oblasti nebo jednací oblasti, uzamčeny. Úschovný objekt musí být v době nepřítomnosti osob, které mají přístup k utajeným informacím⁷) v něm uloženým, uzamčen. Osoby disponující klíči a identifikačními daty od zabezpečených oblastí, jednacích oblastí a úschovných objektů ukládají klíče a identifikační data v objektu, kde se zabezpečené nebo jednací oblasti nacházejí, pokud jiné místo jejich uložení neurčí provozovatel objektu nebo jím pověřená osoba.

(5) Ztráta klíčů a identifikačních dat musí být neprodleně oznámena provozovateli objektu nebo jím pověřené osobě, která zajistí nápravu.

§ 9

Ostraha

Bodové hodnoty ostrahy u objektu jsou stanoveny v příloze č. 1 této vyhlášky.

§ 10

Ověřování opatření fyzické bezpečnosti a vyhodnocení rizik

(1) Ověření, zda jednotlivá použitá opatření fyzické bezpečnosti a vyhodnocení rizik odpovídají projektu fyzické bezpečnosti a právním předpisům v oblasti ochrany utajovaných informací, provádí provozovatel objektu nebo jím pověřená osoba průběžně, nejméně však každých 12 měsíců.

(2) Podmínkou pro ověření podle odstavce 1 v případě technických prostředků uvedených v § 30 odst. 1 zákona je provedení funkční zkoušky podle přílohy č. 1 této vyhlášky.

(3) Vyhodnocení rizik se provádí

1. a) identifikací stupňů utajovaných informací a zjištěním množství utajovaných informací, které se v objektu vyskytují nebo budou vyskytovat, zejména z hlediska následku jejich vyzrazení nebo zneužití,
2. b) popisem a vyhodnocením hrozeb, kterým jsou tyto utajované informace vystaveny,
3. c) popisem a vyhodnocením zranitelnosti utajovaných informací vůči těmto hrozbám,
4. d) stanovením míry rizika, jako „malé“, „střední“ nebo „velké“, na základě vyhodnocení hrozeb a zranitelnosti utajovaných informací.

(4) V případě změny opatření fyzické bezpečnosti provozovatel objektu nebo jím pověřená osoba neprodleně zajistí shodu s projektem fyzické bezpečnosti.

(5) Struktura projektu fyzické bezpečnosti je stanovena v příloze č. 1 této vyhlášky.

§ 11

Náležitosti žádosti o certifikaci technického prostředku

(1) Žádost o certifikaci technického prostředku obsahuje

1. a) identifikaci žadatele
   1. 1. obchodní firmou, popřípadě názvem, sídlem a identifikačním číslem, je-li žadatelem právnická osoba,
   2. 2. obchodní firmou, popřípadě jménem a příjmením, případně odlišujícím dodatkem, trvalým pobytem a místem podnikání, liší-li se od trvalého pobytu, datem narození a identifikačním číslem, je-li žadatelem fyzická osoba, která je podnikatelem, nebo
   3. 3. názvem, sídlem, identifikačním číslem a jménem a příjmením odpovědné osoby, jde-li o orgán státu,

1. b) výčet a označení technických prostředků a seznam předkládané dokumentace.

(2) K žádosti podle odstavce 1 se přiloží tato dokumentace

1. a) specifikace a popis technického prostředku,
2. b) prohlášení o nezávadnosti či shodě technického prostředku⁸),
3. c) certifikát shody nebo prohlášení o stejném složení a provedení technického prostředku, které obsahuje prohlášení výrobce, že technický prostředek bude vyráběn ve stejném složení a provedení, jak byl specifikován v posudku podle § 46 odst. 14 zákona,
4. d) posudek podle § 46 odst. 14 zákona.

§ 12

Doba platnosti certifikátu je odvozena od doby platnosti posudku podle § 46 odst. 14 zákona.

§ 13

Vzor certifikátu technického prostředku je uveden v příloze č. 2 této vyhlášky.

§ 14

Technické prostředky podle § 30 odst. 1 zákona se mohou po uplynutí doby platnosti jejich certifikátů používat způsobem a za podmínek, které jsou uvedeny v příloze č. 1 této vyhlášky.

§ 15

Náležitosti žádosti o uzavření smlouvy o zajištění činnosti

Žádost o uzavření smlouvy o zajištění činnosti⁹) obsahuje

1. a) identifikaci žadatele podle § 11 odst. 1 písm. a),
2. b) jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení,
3. c) identifikaci příslušného odborného pracoviště žadatele (předmět činnosti a podrobná specifikace umístění pověřovaného pracoviště, jméno a příjmení kontaktního pracovníka a kontaktní spojení),
4. d) specifikace činností, které mají být prováděny podle smlouvy o zajištění činnosti,
5. e) výpis z obchodního rejstříku nebo živnostenského rejstříku a ověřenou kopii platného rozhodnutí nebo osvědčení:
   1. 1. Rozhodnutí o udělení autorizace, v němž rozsah činností při posuzování shody zahrnuje technický prostředek (technické prostředky) uvedený v § 30 odst. 1 zákona, které vydává Úřad pro technickou normalizaci, metrologii a státní zkušebnictví¹⁰),
   2. 2. Osvědčení o akreditaci včetně přílohy, v němž předmět akreditace zahrnuje certifikaci technického prostředku (technických prostředků) uvedeného v § 30 odst. 1 zákona, které vydává Český institut pro akreditaci¹¹), nebo
   3. 3. Osvědčení o akreditaci včetně přílohy, v němž předmět akreditace zahrnuje provádění zkoušek technického prostředku (technických prostředků) uvedeného v § 30 odst. 1 zákona, které vydává Český institut pro akreditaci¹¹).

§ 16

Účinnost