vyhláška o kybernetické bezpečnosti

Příloha č. 1

Hodnocení aktiv

(1) Pro hodnocení důležitosti aktiv jsou v tomto případě použity stupnice o čtyřech úrovních a posuzuje se, jaký dopad by mělo narušení bezpečnosti informací u jednotlivých aktiv. Povinná osoba může používat odlišný počet úrovní pro hodnocení důležitosti aktiv, než jaký je uveden v této příloze, dodrží-li jednoznačné vazby mezi jimi používaným způsobem hodnocení důležitosti aktiv a stupnicemi a úrovněmi pro hodnocení důležitosti aktiv, které jsou uvedeny v této příloze.

(2) Je doporučeno, aby si každá povinná osoba tyto dopadové matice přizpůsobila svým potřebám.

Tab. 1: Stupnice pro hodnocení důvěrnosti

Tab. 2: Stupnice pro hodnocení integrity

Tab. 3: Stupnice pro hodnocení dostupnosti

Příloha č. 2

Hodnocení rizik

(1) Jednoznačné stanovení funkce pro určení rizika je nezbytnou součástí metodiky pro hodnocení rizik podle § 5.

(2) Hodnota rizika je nejčastěji vyjádřena jako funkce, kterou ovlivňuje dopad, hrozba a zranitelnost.

(3) Pro hodnocení rizik lze použít například tuto funkci:

1. Riziko = dopad x hrozba x zranitelnost.

(4) Dopad je v tomto případě odvozen z hodnocení aktiv podle přílohy č. 1.

(5) V případě, že povinná osoba využívá metodu pro hodnocení rizik, která nerozlišuje hodnocení hrozby a zranitelnosti, je možné stupnice pro hodnocení hrozeb a zranitelností sloučit. Sloučení stupnic by nemělo vést ke ztrátě schopnosti rozlišení úrovně hrozby a zranitelnosti. Za tímto účelem lze použít například komentář, který zřetelně vyjádří jak úroveň hrozby, tak i úroveň zranitelnosti. Obdobně se postupuje i v případech, kdy povinná osoba používá jiný počet úrovní pro hodnocení dopadů, hrozeb, zranitelností a rizik.

Tab. 1: Stupnice pro hodnocení hrozeb

Tab. 2: Stupnice pro hodnocení zranitelností

Tab. 3: Stupnice pro hodnocení rizik

Příloha č. 3

Zranitelnosti a hrozby

Upozornění: Tato příloha obsahuje jen vybrané kategorie zranitelností a hrozeb. Identifikace konkrétních zranitelností a hrozeb je odpovědností povinné osoby.

Zranitelnosti

1. 1. nedostatečná údržba informačního a komunikačního systému,
2. 2. zastaralost informačního a komunikačního systému,
3. 3. nedostatečná ochrana vnějšího perimetru,
4. 4. nedostatečné bezpečnostní povědomí uživatelů a administrátorů,
5. 5. nedostatečná údržba informačního a komunikačního systému,
6. 6. nevhodné nastavení přístupových oprávnění,
7. 7. nedostatečné postupy při identifikování a odhalení negativních bezpečnostních jevů, kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů,
8. 8. nedostatečné monitorování činnosti uživatelů a administrátorů a neschopnost odhalit jejich nevhodné nebo závadné způsoby chování,
9. 9. nedostatečné stanovení bezpečnostních pravidel, nepřesné nebo nejednoznačné vymezení práv a povinností uživatelů, administrátorů a bezpečnostních rolí,
10. 10. nedostatečná ochrana aktiv,
11. 11. nevhodná bezpečnostní architektura,
12. 12. nedostatečná míra nezávislé kontroly,
13. 13. neschopnost včasného odhalení pochybení ze strany zaměstnanců.

Hrozby

1. 1. porušení bezpečnostní politiky, provedení neoprávněných činností, zneužití oprávnění ze strany uživatelů a administrátorů,
2. 2. poškození nebo selhání technického anebo programového vybavení,
3. 3. zneužití identity,
4. 4. užívání programového vybavení v rozporu s licenčními podmínkami,
5. 5. škodlivý kód (například viry, spyware, trojské koně),
6. 6. narušení fyzické bezpečnosti,
7. 7. přerušení poskytování služeb elektronických komunikací nebo dodávek elektrické energie,
8. 8. zneužití nebo neoprávněná modifikace údajů,
9. 9. ztráta, odcizení nebo poškození aktiva,
10. 10. nedodržení smluvního závazku ze strany dodavatele,
11. 11. pochybení ze strany zaměstnanců,
12. 12. zneužití vnitřních prostředků, sabotáž,
13. 13. dlouhodobé přerušení poskytování služeb elektronických komunikací, dodávky elektrické energie nebo jiných důležitých služeb,
14. 14. nedostatek zaměstnanců s potřebnou odbornou úrovní,
15. 15. cílený kybernetický útok pomocí sociálního inženýrství, použití špionážních technik,
16. 16. zneužití vyměnitelných technických nosičů dat,
17. 17. napadení elektronické komunikace (odposlech, modifikace).

Příloha č. 4

Likvidace dat

(1) Tato příloha udává povinnosti správce informačního a komunikačního systému k definování způsobů mazání dat a způsobů likvidace technických nosičů informace, provozních údajů, informací a jejich kopií.

(2) Jednotliví správci informačního a komunikačního systému si stanoví pravidla pro mazání dat a likvidaci technických nosičů dat v souladu s touto přílohou. Tím nejsou dotčeny povinnosti podle jiných právních předpisů. Je nutné zvolit adekvátní úroveň služby nabízející přiměřená bezpečnostní opatření, včetně adekvátních pravidel pro mazání dat a likvidaci technických nosičů dat, vzhledem k hodnotě a důležitosti aktiv.

(3) Pravidla pro likvidaci dat by měla být stanovena přiměřeně hodnotě a důležitosti aktiv a měla by zejména zohledňovat

1. a) hodnotu aktiva (zejména z pohledu důvěrnosti),
2. b) technologii (typy a velikost nosičů informace),
3. c) zda se nosič informace nachází pod kontrolou organizace či nikoliv,
4. d) zda jsou data součástí dedikovaného nebo multitenantního prostředí,
5. e) kdo bude likvidaci dat provádět (interní zaměstnanec, nebo dodavatel),
6. f) dostupnost vybavení a nástrojů pro likvidaci,
7. g) kapacitu likvidovaných nosičů,
8. h) zda je k dispozici vyškolený personál,
9. i) časovou náročnost likvidace,
10. j) cenu likvidace s ohledem na nástroje, školení, validaci, opětovné využití nosiče informace
11. k) možné způsoby likvidace dat (například zničením nosiče, několikanásobným přepsáním nosiče dat, znečitelněním dat jejich šifrováním a podobně),
12. l) použitelné způsoby likvidace dat vzhledem ke stavu nosiče informace (například při poškození zařízení nebude možné použít variantu přepisu informace, ale některý ze způsobů fyzické likvidace).

(4) Způsoby likvidace technických nosičů informace, provozních údajů, informací a jejich kopií:

1. a) Odstranění
   1. 1. Způsob likvidace spočívá v odstranění dat tak, aby byla pro systém nedostupná (například odstranění datového souboru, vyhození tištěného dokumentu do odpadu).
   2. 2. Jde o nejméně bezpečný způsob likvidace dat. V případě získání nosiče informace je možné s vynaložením určitého úsilí informace obnovit.
   3. 3. Tato metoda není použitelná pro nosiče digitálních dat neumožňující opětovný zápis.
   4. 4. Použitelný způsob pro úroveň důvěrnosti aktiva (vychází z přílohy č. 1): nízká.

1. b) Přepsání
   1. 1. Způsob likvidace spočívá v přepsání chráněné informace nahodilými hodnotami.
   2. 2. Jde o středně bezpečný způsob likvidace dat. Volně dostupné nástroje neumožňují obnovení přepsaných informací.
   3. 3. Přepsání může být nahrazeno nebo kombinováno bezpečnou likvidací kryptografických klíčů k zašifrované informaci.
   4. 4. Tato metoda není vhodná pro poškozená média, média neumožňující opětovný zápis, případně pro média s velkou kapacitou.
   5. 5. Použitelný způsob pro úroveň důvěrnosti aktiva (vychází z přílohy č. 1): nízká až kritická.

1. c) Fyzická likvidace nosiče informace
   1. 1. Způsob likvidace spočívající ve zničení nosiče informace, popřípadě v rozebrání zařízení a následném zničení nosiče informace (mechanickým, chemickým či tepelným působením).
   2. 2. Jde o nejbezpečnější metodu likvidace dat. Nosič informace po fyzické likvidaci nelze znovu použít pro původní účel. Původní informace není možné obnovit ani při vynaložení velkého množství prostředků a úsilí.
   3. 3. Použitelný způsob likvidace pro úroveň důvěrnosti aktiva (vychází z přílohy č. 1): střední až kritická.

Příklad možných způsobů likvidace podle úrovně důvěrnosti aktiva (vychází z přílohy č. 1)

Příloha č. 5

Obsah bezpečnostní politiky a bezpečnostní dokumentace

1. 1. Bezpečnostní politika
2. 1.1. Politika systému řízení bezpečnosti informací
   1. a) Cíle, principy a potřeby řízení bezpečnosti informací.
   2. b) Rozsah a hranice systému řízení bezpečnosti informací.
   3. c) Pravidla a postupy pro řízení dokumentace.
   4. d) Pravidla a postupy pro řízení zdrojů a provozu systému řízení bezpečnosti informací.
   5. e) Pravidla a postupy pro provádění auditů kybernetické bezpečnosti.
   6. f) Pravidla a postupy pro přezkoumání systému řízení bezpečnosti informací.
   7. g) Pravidla a postupy pro nápravná opatření a zlepšování systému řízení bezpečnosti informací.

1. 1.2. Politika řízení aktiv
   1. a) Identifikace, hodnocení a evidence primárních aktiv
      1. 1. určení a evidence jednotlivých primárních aktiv včetně určení jejich garanta,
      2. 2. hodnocení důležitosti primárních aktiv z hlediska důvěrnosti, integrity a dostupnosti.
   1. b) Identifikace, hodnocení a evidence podpůrných aktiv
      1. 1. určení a evidence jednotlivých podpůrných aktiv včetně určení jejich garanta,
      2. 2. určení vazeb mezi primárními a podpůrnými aktivy.
   1. c) Pravidla ochrany jednotlivých úrovní aktiv
      1. 1. způsoby rozlišování jednotlivých úrovní aktiv,
      2. 2. pravidla pro manipulaci a evidenci aktiv podle úrovní aktiv,
      3. 3. přípustné způsoby používání aktiv.
   1. d) Způsoby spolehlivého mazání nebo ničení technických nosičů dat, informací, provozních údajů a jejich kopií.

1. 1.3. Politika organizační bezpečnosti
   1. a) Určení bezpečnostních rolí a jejich práv a povinností.
   2. b) Požadavky na oddělení výkonu činností jednotlivých bezpečnostních rolí.
   3. c) Požadavky na oddělení výkonu bezpečnostních a provozních rolí.

1. 1.4. Politika řízení dodavatelů
   1. a) Pravidla a principy pro výběr dodavatelů.
   2. b) Pravidla pro hodnocení rizik souvisejících s dodavateli.
   3. c) Náležitosti smlouvy o úrovni služeb a způsobů a úrovní realizace bezpečnostních opatření a o určení vzájemné smluvní odpovědnosti.
   4. d) Pravidla pro provádění kontroly zavedení bezpečnostních opatření.
   5. e) Pravidla pro hodnocení dodavatelů.

1. 1.5. Politika bezpečnosti lidských zdrojů
   1. a) Pravidla rozvoje bezpečnostního povědomí a způsoby jeho hodnocení
      1. 1. způsoby a formy poučení uživatelů,
      2. 2. způsoby a formy poučení garantů aktiv,
      3. 3. způsoby a formy poučení administrátorů,
      4. 4. způsoby a formy poučení osob zastávajících bezpečnostní role.
   1. b) Bezpečnostní školení nových zaměstnanců.
   2. c) Pravidla pro řešení případů porušení bezpečnostní politiky systému řízení bezpečnosti informací.
   3. d) Pravidla pro ukončení pracovního vztahu nebo změnu pracovní pozice
      1. 1. vrácení svěřených aktiv a odebrání práv při ukončení pracovního vztahu,
      2. 2. změna přístupových oprávnění při změně pracovní pozice.

1. 1.6 Politika řízení provozu a komunikací
   1. a) Pravomoci a odpovědnosti spojené s bezpečným provozem.
   2. b) Postupy bezpečného provozu.
   3. c) Požadavky a standardy bezpečného provozu.
   4. d) Pravidla a omezení pro provádění auditů kybernetické bezpečnosti a bezpečnostních testů.

1. 1.7. Politika řízení přístupu
   1. a) Princip minimálních oprávnění/potřeba znát (need to know).
   2. b) Požadavky na řízení přístupu.
   3. c) Životní cyklus řízení přístupu.
   4. d) Řízení privilegovaných oprávnění.
   5. e) Řízení přístupu pro mimořádné situace.
   6. f) Pravidelné přezkoumání přístupových oprávnění včetně rozdělení jednotlivých uživatelů v přístupových skupinách.

1. 1.8. Politika bezpečného chování uživatelů
   1. a) Pravidla pro bezpečné nakládání s aktivy.
   2. b) Bezpečné použití přístupového hesla.
   3. c) Bezpečné použití elektronické pošty a přístupu na internet.
   4. d) Bezpečný vzdálený přístup.
   5. e) Bezpečné chování na sociálních sítích.
   6. f) Bezpečnost ve vztahu k mobilním zařízením.

1. 1.9. Politika zálohování a obnovy a dlouhodobého ukládání
   1. a) Požadavky na zálohování a obnovu.
   2. b) Pravidla a postupy zálohování.
   3. c) Pravidla a postupy dlouhodobého ukládání.
   4. d) Pravidla bezpečného zálohování a dlouhodobého ukládání informací.
   5. e) Pravidla a postupy obnovy.
   6. f) Pravidla a postupy testování zálohování a obnovy.
   7. g) Politika přístupu k zálohám, ukládaným informacím.

1. 1.10. Politika bezpečného předávání a výměny informací
   1. a) Pravidla a postupy pro ochranu předávaných informací.
   2. b) Způsoby ochrany elektronické výměny informací.
   3. c) Pravidla pro využívání kryptografické ochrany.

1. 1.11. Politika řízení technických zranitelností
   1. a) Pravidla pro omezení instalace programového vybavení.
   2. b) Pravidla a postupy vyhledávání opravných programových balíčků.
   3. c) Pravidla a postupy testování oprav programového vybavení.
   4. d) Pravidla a postupy nasazení oprav programového vybavení.

1. 1.12. Politika bezpečného používání mobilních zařízení
   1. a) Pravidla a postupy pro bezpečné používání mobilních zařízení.
   2. b) Pravidla a postupy pro zajištění bezpečnosti zařízení, která povinná osoba nemá ve své správě.

1. 1.13. Politika akvizice, vývoje a údržby
   1. a) Bezpečnostní požadavky pro akvizici, vývoj a údržbu.
   2. b) Řízení zranitelností.
   3. c) Politika poskytování a nabývání licencí programového vybavení a informací
      1. 1. pravidla a postupy nasazení programového vybavení a jeho evidence,
      2. 2. pravidla a postupy pro kontrolu dodržování licenčních podmínek.

1. 1.14. Politika ochrany osobních údajů
   1. a) Charakteristika zpracovávaných osobních údajů.
   2. b) Popis přijatých a provedených organizačních opatření pro ochranu osobních údajů.
   3. c) Popis přijatých a provedených technických opatření pro ochranu osobních údajů.

1. 1.15. Politika fyzické bezpečnosti
   1. a) Pravidla pro ochranu objektů.
   2. b) Pravidla pro kontrolu vstupu osob.
   3. c) Pravidla pro ochranu zařízení.
   4. d) Detekce narušení fyzické bezpečnosti.

1. 1.16. Politika bezpečnosti komunikační sítě
   1. a) Pravidla a postupy pro zajištění bezpečnosti sítě.
   2. b) Určení práv a povinností za bezpečný provoz sítě.
   3. c) Pravidla a postupy pro řízení přístupů v rámci sítě.
   4. d) Pravidla a postupy pro ochranu vzdáleného přístupu k síti.
   5. e) Pravidla a postupy pro monitorování sítě a vyhodnocování provozních záznamů.

1. 1.17. Politika ochrany před škodlivým kódem
   1. a) Pravidla a postupy pro ochranu síťové komunikace.
   2. b) Pravidla a postupy pro ochranu serverů a sdílených datových úložišť.
   3. c) Pravidla a postupy pro ochranu pracovních stanic.

1. 1.18. Politika nasazení a používání nástroje pro detekci kybernetických bezpečnostních událostí
   1. a) Pravidla a postupy nasazení nástroje pro detekci kybernetických bezpečnostních událostí.
   2. b) Provozní postupy pro vyhodnocování a reagování na detekované kybernetické bezpečnostní události.
   3. c) Pravidla a postupy pro optimalizaci nastavení nástroje pro detekci kybernetických bezpečnostních událostí.

1. 1.19. Politika využití a údržby nástroje pro sběr a vyhodnocení kybernetických bezpečnostních událostí
   1. a) Pravidla a postupy pro evidenci a vyhodnocení kybernetických bezpečnostních událostí.
   2. b) Pravidla a postupy pravidelné aktualizace pravidel pro vyhodnocení kybernetických bezpečnostních událostí.
   3. c) Pravidla a postupy pro optimální nastavení bezpečnostních vlastností nástroje pro sběr a vyhodnocení kybernetických bezpečnostních událostí.

1. 1.20. Politika bezpečného používání kryptografické ochrany
   1. a) Úroveň ochrany s ohledem na typ a sílu kryptografického algoritmu.
   2. b) Pravidla kryptografické ochrany informací
      1. 1. při přenosu po komunikačních sítích,
      2. 2. při uložení na mobilní zařízení nebo vyměnitelný technický nosič dat.
   1. c) Systém správy klíčů.

1. 1.21. Politika řízení změn
   1. a) Způsob a principy řízení významných změn v rámci povinné osoby, jejich procesech, informačních a komunikačních systémech.
   2. b) Přezkoumávání dopadů významných změn.
   3. c) Způsob vedení evidence a testování významných změn.

1. 1.22. Politika zvládání kybernetických bezpečnostních incidentů
   1. a) Definování kategorií kybernetického bezpečnostního incidentu.
   2. b) Pravidla a postupy pro identifikaci, evidenci a zvládání jednotlivých kategorií kybernetických bezpečnostních incidentů.
   3. c) Pravidla a postupy testování systému zvládání kybernetických bezpečnostních incidentů.
   4. d) Pravidla a postupy pro vyhodnocení kybernetických bezpečnostních incidentů a pro zlepšování kybernetické bezpečnosti.
   5. e) Evidence incidentů.

1. 1.23. Politika řízení kontinuity činností
   1. a) Práva a povinnosti zúčastněných osob.
   2. b) Cíle řízení kontinuity činností
      1. 1. minimální úroveň poskytovaných služeb,
      2. 2. doba obnovení chodu,
      3. 3. bod obnovení dat.
   1. c) Politika řízení kontinuity činností pro naplnění cílů kontinuity.
   2. d) Způsoby hodnocení dopadů kybernetických bezpečnostních incidentů na kontinuitu a posuzování souvisejících rizik.
   3. e) Určení a obsah potřebných plánů kontinuity a havarijních plánů.
   4. f) Postupy pro realizaci opatření vydaných Úřadem.

1. 2. Obsah bezpečnostní dokumentace
2. 2.1. Zpráva z auditu kybernetické bezpečnosti
   1. a) Cíle auditu kybernetické bezpečnosti.
   2. b) Předmět auditu kybernetické bezpečnosti.
   3. c) Kritéria auditu kybernetické bezpečnosti.
   4. d) Identifikování týmu auditorů a osob, které se auditu kybernetické bezpečnosti zúčastnily.
   5. e) Datum a místo, kde byly prováděny činnosti při auditu kybernetické bezpečnosti.
   6. f) Zjištění z auditu kybernetické bezpečnosti.
   7. g) Závěry auditu kybernetické bezpečnosti.

1. 2.2. Zpráva z přezkoumání systému řízení bezpečnosti informací
   1. a) Vyhodnocení opatření z předchozího přezkoumání systému řízení bezpečnosti informací.
   2. b) Identifikace změn a okolností, které mohou mít vliv na systém řízení bezpečnosti informací.
   3. c) Zpětná vazba o výkonnosti řízení bezpečnosti informací
      1. 1. neshody a nápravná opatření,
      2. 2. výsledky monitorování a měření,
      3. 3. výsledky auditu,
      4. 4. naplnění cílů systému řízení bezpečnosti informací.
   1. d) Výsledky hodnocení rizik a stav plánu zvládání rizik.
   2. e) Identifikace možností pro neustálé zlepšování.
   3. f) Doporučení potřebných rozhodnutí, stanovení opatření a osob zajišťujících výkon jednotlivých činností.

1. 2.3. Metodika pro identifikaci a hodnocení aktiv a pro hodnocení rizik
   1. a) Určení stupnice pro hodnocení primárních aktiv
      1. 1. určení stupnice pro hodnocení úrovní důvěrnosti aktiv,
      2. 2. určení stupnice pro hodnocení úrovní integrity aktiv,
      3. 3. určení stupnice pro hodnocení úrovní dostupnosti aktiv.
   1. b) Určení stupnice pro hodnocení rizik
      1. 1. určení stupnice pro hodnocení úrovní dopadu,
      2. 2. určení stupnice pro hodnocení úrovní hrozby,
      3. 3. určení stupnice pro hodnocení úrovní zranitelnosti,
      4. 4. určení stupnice pro hodnocení úrovní rizik.
   1. c) Metody a přístupy pro zvládání rizik.
   2. d) Způsoby schvalování akceptovatelných rizik.

1. 2.4. Zpráva o hodnocení aktiv a rizik
   1. a) Přehled primárních aktiv
      1. 1. identifikace a popis primárních aktiv,
      2. 2. určení garantů primárních aktiv,
      3. 3. hodnocení primárních aktiv z hlediska důvěrnosti, integrity a dostupnosti.
   1. b) Přehled podpůrných aktiv
      1. 1. identifikace a popis podpůrných aktiv,
      2. 2. určení garantů podpůrných aktiv,
      3. 3. určení vazeb mezi primárními a podpůrnými aktivy.
   1. c) Hodnocení rizik
      1. 1. posouzení možných dopadů na aktiva,
      2. 2. hodnocení existujících hrozeb,
      3. 3. hodnocení existujících zranitelností, hodnocení existujících opatření,
      4. 4. stanovení úrovně rizika, porovnání této úrovně s kritérii pro akceptovatelnost rizik,
      5. 5. určení a schválení akceptovatelných rizik.
   1. d) Zvládání rizik
      1. 1. návrh způsobu zvládání rizik,
      2. 2. návrh opatření a jejich realizace.

1. 2.5. Prohlášení o aplikovatelnosti
   1. a) Přehled vyloučených bezpečnostních opatření požadovaných touto vyhláškou včetně zdůvodnění, proč nebyla aplikována.
   2. b) Přehled zavedených bezpečnostních opatření včetně způsobu jejich implementace.

1. 2.6. Plán zvládání rizik
   1. a) Obsah a cíle vybraných bezpečnostních opatření pro zvládání rizik včetně vazby na konkrétní rizika.
   2. b) Potřebné zdroje pro jednotlivá bezpečnostní opatření pro zvládání rizik.
   3. c) Osoby zajišťující jednotlivá bezpečnostní opatření pro zvládání rizik.
   4. d) Termíny zavedení jednotlivých bezpečnostních opatření pro zvládání rizik.
   5. e) Způsob realizace bezpečnostních opatření.
   6. f) Způsoby hodnocení úspěšnosti zavedení jednotlivých bezpečnostních opatření pro zvládání rizik.

1. 2.7. Plán rozvoje bezpečnostního povědomí
   1. a) Obsah a termíny poučení uživatelů, administrátorů a osob zastávajících bezpečnostní role.
   2. b) Obsah a termíny poučení nových zaměstnanců.
   3. c) Přehledy, které obsahují předmět jednotlivých školení a seznam osob, které školení absolvovaly.
   4. d) Formy a způsoby hodnocení plánu.

1. 2.8. Evidence změn
   1. a) Evidence životního cyklu významných změn.
   2. b) Záznamy o změnách konfigurace podpůrných aktiv.

1. 2.9. Hlášené kontaktní údaje

   Přehled hlášených kontaktních údajů.

1. 2.10. Přehled obecně závazných právních předpisů, vnitřních předpisů a jiných předpisů a smluvních závazků
   1. a) Přehled obecně závazných právních předpisů.
   2. b) Přehled vnitřních předpisů a jiných předpisů.
   3. c) Přehled smluvních závazků.

1. 2.11. Další doporučená dokumentace
   1. a) Topologie infrastruktury.
   2. b) Přehled síťových zařízení.

Příloha č. 6

Výbor pro řízení kybernetické bezpečnosti a bezpečnostní role

Tato příloha obsahuje popis doporučených požadavků pro výbor pro řízení kybernetické bezpečnosti a bezpečnostní role uvedené v § 6 a 7.

Tab. 1: Výbor pro řízení kybernetické bezpečnosti

Tab. 2: Manažer kybernetické bezpečnosti

Tab. 3: Architekt kybernetické bezpečnosti

Tab. 4: Auditor kybernetické bezpečnosti

Tab. 5: Garant aktiva

Příloha č. 7

Řízení dodavatelů - bezpečnostní opatření pro smluvní vztahy

Obsah smlouvy uzavírané s významnými dodavateli:

1. a) ustanovení o bezpečnosti informací (z pohledu důvěrnosti, dostupnosti a integrity),
2. b) ustanovení o oprávnění užívat data,
3. c) ustanovení o autorství programového kódu, popřípadě o programových licencích,
4. d) ustanovení o kontrole a auditu dodavatele (pravidla zákaznického auditu),
5. e) ustanovení upravující řetězení dodavatelů, přičemž musí být zajištěno, že poddodavatelé se zaváží dodržovat v plném rozsahu ujednání mezi povinnou osobou a dodavatelem a nebudou v rozporu s požadavky povinné osoby na dodavatele,
6. f) ustanovení o povinnosti dodavatele dodržovat bezpečnostní politiky povinné osoby nebo ustanovení o odsouhlasení bezpečnostních politik dodavatele povinnou osobou,
7. g) ustanovení o řízení změn,
8. h) ustanovení o souladu smluv s obecně závaznými právními předpisy,
9. i) ustanovení o povinnosti dodavatele informovat povinnou osobu o
   1. 1. kybernetických bezpečnostních incidentech souvisejících s plněním smlouvy,
   2. 2. způsobu řízení rizik na straně dodavatele a o zbytkových rizicích souvisejících s plněním smlouvy,
   3. 3. významné změně ovládání tohoto dodavatele podle zákona o obchodních korporacích nebo změně vlastnictví zásadních aktiv, popřípadě změně oprávnění nakládat s těmito aktivy, využívaných tímto dodavatelem k plnění podle smlouvy se správcem,

1. j) specifikace podmínek z pohledu bezpečnosti při ukončení smlouvy (například přechodné období při ukončení spolupráce, kdy je třeba ještě udržovat službu před nasazením nového řešení, migrace dat a podobně),
2. k) specifikace podmínek pro řízení kontinuity činností v souvislosti s dodavateli (například zahrnutí dodavatelů do havarijních plánů, úkoly dodavatelů při aktivaci řízení kontinuity činností),
3. l) specifikace podmínek pro formát předání dat, provozních údajů a informací po vyžádání správcem,
4. m) pravidla pro likvidaci dat,
5. n) ustanovení o právu jednostranně odstoupit od smlouvy v případě významné změny kontroly nad dodavatelem nebo změny kontroly nad zásadními aktivy využívanými dodavatelem k plnění podle smlouvy a
6. o) ustanovení o sankcích za porušení povinností.

Příloha č. 8

Vzor Formuláře pro hlášení kontaktních údajů