vyhláška o kybernetické bezpečnosti

§ 17

Fyzická bezpečnost

Povinná osoba v rámci fyzické bezpečnosti

1. a) předchází poškození, krádeži nebo zneužití aktiv nebo přerušení poskytování služeb informačního a komunikačního systému,
2. b) stanoví fyzický bezpečnostní perimetr ohraničující oblast, ve které jsou uchovávány a zpracovávány informace a umístěna technická aktiva informačního a komunikačního systému, a
3. c) u fyzického bezpečnostního perimetru stanoveného podle písmene b) přijme nezbytná opatření a uplatňuje prostředky fyzické bezpečnosti
   1. 1. k zamezení neoprávněnému vstupu,
   2. 2. k zamezení poškození a neoprávněným zásahům a
   3. 3. pro zajištění ochrany na úrovni objektů a v rámci objektů.

§ 18

Bezpečnost komunikačních sítí

Povinná osoba pro ochranu bezpečnosti komunikační sítě zahrnuté v rozsahu podle § 3 písm. c)

1. a) zajistí segmentaci komunikační sítě,
2. b) zajistí řízení komunikace v rámci komunikační sítě a perimetru komunikační sítě,
3. c) pomocí kryptografie zajistí důvěrnost a integritu dat při vzdáleném přístupu, vzdálené správě nebo při přístupu do komunikační sítě pomocí bezdrátových technologií,
4. d) aktivně blokuje nežádoucí komunikaci a
5. e) pro zajištění segmentace sítě a pro řízení komunikace mezi jejími segmenty využívá nástroj, který zajistí ochranu integrity komunikační sítě.

§ 19

Správa a ověřování identit

(1) Povinná osoba používá nástroj pro správu a ověření identity uživatelů, administrátorů a aplikací informačního a komunikačního systému.

(2) Nástroj pro správu a ověření identity uživatelů, administrátorů a aplikací zajišťuje

1. a) ověření identity před zahájením aktivit v informačním a komunikačním systému,
2. b) řízení počtu možných neúspěšných pokusů o přihlášení,
3. c) odolnost uložených nebo přenášených autentizačních údajů proti neoprávněnému odcizení a zneužití,
4. d) ukládání autentizačních údajů ve formě odolné proti offline útokům,
5. e) opětovné ověření identity po určené době nečinnosti,
6. f) dodržení důvěrnosti autentizačních údajů při obnově přístupu a
7. g) centralizovanou správu identit.

(3) Povinná osoba pro ověření identity uživatelů, administrátorů a aplikací využívá autentizační mechanizmus, který není založený pouze na použití identifikátoru účtu a hesla, nýbrž na vícefaktorové autentizaci s nejméně dvěma různými typy faktorů.

(4) Do doby splnění požadavku podle odstavce 3 musí nástroj pro ověření identity uživatelů, administrátorů a aplikací, používat autentizaci pomocí kryptografických klíčů a zaručit obdobnou úroveň bezpečnosti.

(5) Do doby splnění požadavků podle odstavce 3 nebo 4 musí nástroj pro ověření identity uživatelů, administrátorů a aplikací, který používá k autentizaci identifikátor účtu a heslo, vynucovat pravidla

1. a) délky hesla alespoň
   1. 1. 12 znaků u uživatelů a
   2. 2. 17 znaků u administrátorů a aplikací,

1. b) umožňující zadat heslo o délce alespoň 64 znaků,
2. c) neomezující použití malých a velkých písmen, číslic a speciálních znaků,
3. d) umožňující uživatelům změnu hesla, přičemž období mezi dvěma změnami hesla nesmí být kratší než 30 minut,
4. e) neumožňující uživatelům a administrátorům
   1. 1. zvolit si nejčastěji používaná hesla,
   2. 2. tvořit hesla na základě mnohonásobně opakujících se znaků, přihlašovacího jména, e-mailu, názvu systému nebo obdobným způsobem a
   3. 3. opětovné použití dříve používaných hesel s pamětí alespoň 12 předchozích hesel a

1. f) pro povinnou změnu hesla v intervalu maximálně po 18 měsících, přičemž toto pravidlo se nevztahuje na účty sloužící k obnově systému v případě havárie.

(6) Povinná osoba v případě používání autentizace pouze účtem a heslem dále

1. a) vynutí bezodkladnou změnu výchozího hesla po jeho prvním použití,
2. b) bezodkladně zneplatní heslo sloužící k obnovení přístupu po jeho prvním použití nebo uplynutím nejvýše 60 minut od jeho vytvoření a
3. c) povinně zahrne pravidla tvorby bezpečných hesel do plánu rozvoje bezpečnostního povědomí podle § 9.

§ 20

Řízení přístupových oprávnění

Povinná osoba používá centralizovaný nástroj pro řízení přístupových oprávnění, kterým zajistí řízení oprávnění

1. a) pro přístup k jednotlivým aktivům informačního a komunikačního systému a
2. b) pro čtení dat, zápis dat a změnu oprávnění.

§ 21

Ochrana před škodlivým kódem

(1) Povinná osoba uvedená v § 3 písm. c), d) a f) zákona v rámci ochrany před škodlivým kódem

1. a) s ohledem na důležitost aktiv zajišťuje použití nástroje pro nepřetržitou automatickou ochranu
   1. 1. koncových stanic,
   2. 2. mobilních zařízení,
   3. 3. serverů,
   4. 4. datových úložišť a výměnných datových nosičů,
   5. 5. komunikační sítě a prvků komunikační sítě a
   6. 6. obdobných zařízení,

1. b) monitoruje a řídí používání výměnných zařízení a datových nosičů,
2. c) řídí automatické spouštění obsahu výměnných zařízení a datových nosičů,
3. d) řídí oprávnění ke spouštění kódu a
4. e) provádí pravidelnou a účinnou aktualizaci nástroje pro ochranu před škodlivým kódem.

(2) Povinná osoba uvedená v § 3 písm. e) zákona postupuje podle odstavce 1 přiměřeně.

§ 22

Zaznamenávání událostí informačního a komunikačního systému, jeho uživatelů a administrátorů

(1) Povinná osoba

1. a) zaznamenává bezpečnostní a potřebné provozní události důležitých aktiv informačního a komunikačního systému a
2. b) na základě hodnocení důležitosti aktiv aktualizuje rozsah aktiv, u kterých je zaznamenávání bezpečnostních a provozních událostí prováděno.

(2) Povinná osoba pro zaznamenávání bezpečnostních a provozních událostí podle odstavce 1 zajišťuje

1. a) jednoznačnou síťovou identifikaci zařízení původce, je-li v komunikační síti použit nástroj, který mění jeho síťovou identifikaci,
2. b) sběr informací o bezpečnostních a provozních událostech; zejména zaznamenává
   1. 1. datum a čas včetně specifikace časového pásma,
   2. 2. typ činnosti,
   3. 3. identifikaci technického aktiva, které činnost zaznamenalo,
   4. 4. jednoznačnou identifikaci účtu, pod kterým byla činnost provedena,
   5. 5. jednoznačnou síťovou identifikaci zařízení původce a
   6. 6. úspěšnost nebo neúspěšnost činnosti,

1. c) ochranu informací získaných podle písmen a) a b) před neoprávněným čtením a jakoukoli změnou,
2. d) zaznamenávání
   1. 1. přihlašování a odhlašování ke všem účtům, a to včetně neúspěšných pokusů,
   2. 2. činností provedených administrátory,
   3. 3. úspěšné i neúspěšné manipulace s účty, oprávněními a právy,
   4. 4. neprovedení činností v důsledku nedostatku přístupových práv a oprávnění,
   5. 5. činností uživatelů, které mohou mít vliv na bezpečnost informačního a komunikačního systému,
   6. 6. zahájení a ukončení činností technických aktiv,
   7. 7. kritických i chybových hlášení technických aktiv a
   8. 8. přístupů k záznamům o událostech, pokusy o manipulaci se záznamy o událostech a změny nastavení nástrojů pro zaznamenávání událostí a

1. e) synchronizaci jednotného času technických aktiv nejméně jednou za 24 hodin.

(3) Povinná osoba uvedená v § 3 písm. c), d) a f) zákona uchovává záznamy událostí zaznamenaných podle odstavce 2 nejméně po dobu 18 měsíců.

(4) Povinná osoba uvedená v § 3 písm. e) zákona uchovává záznamy událostí zaznamenaných podle odstavce 2 nejméně po dobu 12 měsíců.

§ 23

Detekce kybernetických bezpečnostních událostí

(1) Povinná osoba v rámci komunikační sítě, jejíž součástí je informační a komunikační systém, používá nástroj pro detekci kybernetických bezpečnostních událostí, který zajistí

1. a) ověření a kontrolu přenášených dat v rámci komunikační sítě a mezi komunikačními sítěmi,
2. b) ověření a kontrolu přenášených dat na perimetru komunikační sítě a
3. c) blokování nežádoucí komunikace.

(2) Povinná osoba uvedená v § 3 písm. c), d) a f) zákona zajistí detekci kybernetických bezpečnostních událostí přiměřeně s ohledem na důležitost aktiv v rámci

1. a) koncových stanic,
2. b) mobilních zařízení,
3. c) serverů,
4. d) datových úložišť a výměnných datových nosičů,
5. e) síťových aktivních prvků a
6. f) obdobných aktiv.

§ 24

Sběr a vyhodnocování kybernetických bezpečnostních událostí

Povinná osoba uvedená v § 3 písm. c), d) a f) zákona používá nástroj pro sběr a nepřetržité vyhodnocení kybernetických bezpečnostních událostí, který umožní

1. a) sběr a vyhodnocování událostí zaznamenaných podle § 22 a 23,
2. b) vyhledávání a seskupování souvisejících záznamů,
3. c) poskytování informací pro určené bezpečnostní role o detekovaných kybernetických bezpečnostních událostech,
4. d) vyhodnocování kybernetických bezpečnostních událostí s cílem identifikace kybernetických bezpečnostních incidentů, včetně včasného varování určených bezpečnostních rolí,
5. e) omezení případů nesprávného vyhodnocení událostí pravidelnou aktualizací nastavení pravidel pro
   1. 1. vyhodnocování kybernetických bezpečnostních událostí a
   2. 2. včasné varování a

1. f) využívání informací získaných nástrojem pro sběr a vyhodnocení kybernetických bezpečnostních událostí pro optimální nastavení bezpečnostních opatření informačního a komunikačního systému.

§ 25

Aplikační bezpečnost

(1) Povinná osoba provádí penetrační testy informačního a komunikačního systému se zaměřením na důležitá aktiva, a to

1. a) před jejich uvedením do provozu a
2. b) v souvislosti s významnou změnou podle § 11 odst. 3.

(2) Povinná osoba dále v rámci aplikační bezpečnosti zajistí trvalou ochranu aplikací, informací a transakcí před

1. a) neoprávněnou činností a
2. b) popřením provedených činností.

§ 26

Kryptografické prostředky

Povinná osoba pro ochranu aktiv informačního a komunikačního systému

1. a) používá aktuálně odolné kryptografické algoritmy a kryptografické klíče,
2. b) používá systém správy klíčů a certifikátů, který
   1. 1. zajistí generování, distribuci, ukládání, změny, omezení platnosti, zneplatnění certifikátů a likvidaci klíčů a
   2. 2. umožní kontrolu a audit,

1. c) prosazuje bezpečné nakládání s kryptografickými prostředky a
2. d) zohledňuje doporučení v oblasti kryptografických prostředků vydaná Úřadem, zveřejněná na jeho internetových stránkách.

§ 27

Zajišťování úrovně dostupnosti informací

Povinná osoba zavede opatření pro zajišťování úrovně dostupnosti, kterými zajistí

1. a) dostupnost informačního a komunikačního systému pro splnění cílů podle § 15,
2. b) odolnost informačního a komunikačního systému vůči kybernetickým bezpečnostním incidentům, které by mohly snížit jeho dostupnost,
3. c) dostupnost důležitých technických aktiv informačního a komunikačního systému a
4. d) redundanci aktiv nezbytných pro zajištění dostupnosti informačního a komunikačního systému.

§ 28

Průmyslové, řídicí a obdobné specifické systémy

Povinná osoba pro zajištění kybernetické bezpečnosti průmyslových, řídicích a obdobných specifických systémů používá nástroje a opatření, které zajistí

1. a) použití technických a programových prostředků, které jsou určeny do specifického prostředí,
2. b) omezení fyzického přístupu k zařízením těchto systémů a ke komunikační síti,
3. c) vyčlenění komunikační sítě určené pro tyto systémy od ostatní infrastruktury,
4. d) omezení a řízení vzdáleného přístupu k těmto systémům,
5. e) ochranu jednotlivých technických aktiv těchto systémů před využitím známých zranitelností a
6. f) obnovení chodu těchto systémů po kybernetickém bezpečnostním incidentu.

§ 29

Digitální služby

(1) Povinná osoba uvedená v § 3 písm. h) zákona zavede bezpečnostní opatření podle prováděcího nařízení Komise (EU) 2018/151 ze dne 30. ledna 2018, kterým se stanoví pravidla pro uplatňování směrnice Evropského parlamentu a Rady (EU) 2016/1148, pokud jde o bližší upřesnění prvků, které musí poskytovatelé digitálních služeb zohledňovat při řízení bezpečnostních rizik, jimiž jsou vystaveny sítě a informační systémy, a parametrů pro posuzování toho, zda je dopad incidentu významný; ustanovení § 3 až 28 se na tuto povinnou osobu nepoužijí.

(2) Povinná osoba uvedená v § 3 písm. h) zákona hlásí kontaktní údaje podle § 34 odst. 2.

(3) Povinná osoba uvedená v § 3 písm. h) zákona hlásí kybernetické bezpečnostní incidenty podle § 32 odst. 2 a 3.

§ 30

Bezpečnostní politika a bezpečnostní dokumentace

(1) Povinná osoba

1. a) stanoví bezpečnostní politiku a vede bezpečnostní dokumentaci zahrnující oblasti uvedené v příloze č. 5,
2. b) pravidelně přezkoumává bezpečnostní politiku a bezpečnostní dokumentaci a
3. c) zajistí, aby byla bezpečnostní politika a bezpečnostní dokumentace aktuální.

(2) Bezpečnostní politika a bezpečnostní dokumentace musí být

1. a) dostupné v listinné nebo elektronické podobě,
2. b) komunikovány v rámci povinné osoby,
3. c) přiměřeně dostupné dotčeným stranám,
4. d) řízeny,
5. e) chráněny z pohledu důvěrnosti, integrity a dostupnosti a
6. f) vedeny tak, aby informace v nich obsažené byly úplné, čitelné, snadno identifikovatelné a snadno vyhledatelné.