§ 20 Zákon o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti) – Vládní CERT
Zákon o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti) · 181/2014 Sb. · § 20 · IT právo a ochrana dat
Stručně: Paragraf 20 zákona o kybernetické bezpečnosti definuje Vládní CERT jako součást Úřadu a stanovuje jeho hlavní úkoly a pravomoci v oblasti kybernetické bezpečnosti, zejména ve vztahu k orgánům a osobám, na které se zákon vztahuje.
§ 20 Vládní CERT
Vládní CERT jako součást Úřadu
a) přijímá oznámení kontaktních údajů od orgánů a osob uvedených v § 3 písm. c) až g),
b) přijímá hlášení o kybernetických bezpečnostních incidentech od orgánů a osob uvedených v § 3 písm. c) až g),
c) vyhodnocuje údaje o kybernetických bezpečnostních událostech a kybernetických bezpečnostních incidentech z kritické informační infrastruktury, informačního systému základní služby, významných informačních systémů a dalších informačních systémů veřejné správy,
d) poskytuje orgánům a osobám uvedeným v § 3 písm. c) až g) metodickou podporu a pomoc,
e) poskytuje součinnost orgánům a osobám uvedeným v § 3 písm. c) až g) při výskytu kybernetického bezpečnostního incidentu a kybernetické bezpečnostní události,
f) přijímá podněty a údaje od orgánů a osob uvedených v § 3 a od jiných orgánů a osob a tyto podněty a údaje vyhodnocuje,
g) přijímá údaje od provozovatele národního CERT a tyto údaje vyhodnocuje,
h) přijímá údaje od orgánů, které vykonávají působnost v oblasti kybernetické bezpečnosti v zahraničí, a tyto údaje vyhodnocuje,
i) poskytuje podle § 9 odst. 4 provozovateli národního CERT, orgánům vykonávajícím působnost v oblasti kybernetické bezpečnosti v zahraničí a jiným osobám působícím v oblasti kybernetické bezpečnosti údaje z evidence incidentů,
j) provádí hodnocení zranitelností v oblasti kybernetické bezpečnosti,
k) informuje bez uvedení identifikačních údajů ohlašovatele příslušný orgán jiného členského státu o kybernetickém bezpečnostním incidentu, který má významný dopad na kontinuitu poskytování základních služeb v tomto členském státě nebo se dotýká poskytování digitálních služeb v tomto členském státě, přičemž zachovává bezpečnost a obchodní zájmy ohlašovatele,
l) přijímá hlášení o kybernetickém bezpečnostním incidentu od orgánů a osob neuvedených v § 3; vládní CERT hlášení zpracovává, a pokud to jeho kapacity umožňují a jedná se o kybernetický bezpečnostní incident s významným dopadem, poskytuje orgánům nebo osobám dotčeným kybernetickým bezpečnostním incidentem metodickou podporu, pomoc a součinnost,
m) plní roli týmu CSIRT podle příslušného předpisu Evropské unie12) a
n) spolupracuje s týmy CSIRT jiných členských států.
HLAVA III
Paragraf 20 zákona o kybernetické bezpečnosti definuje Vládní CERT jako součást Úřadu a stanovuje jeho hlavní úkoly a pravomoci v oblasti kybernetické bezpečnosti, zejména ve vztahu k orgánům a osobám, na které se zákon vztahuje.
Co to znamená v praxi
Vládní CERT je centrální místo pro příjem informací o kybernetických incidentech a kontaktních údajích od subjektů, na které se zákon vztahuje.
Vyhodnocuje data o kybernetických událostech a incidentech z klíčových informačních systémů a poskytuje metodickou podporu a pomoc dotčeným orgánům a osobám.
Spolupracuje s národním CERT, zahraničními orgány a dalšími subjekty v oblasti kybernetické bezpečnosti a vyměňuje si s nimi relevantní údaje.
Může přijímat hlášení o incidentech i od subjektů, na které se zákon přímo nevztahuje, a v případě významného dopadu jim poskytovat podporu.
Na co si dát pozor
Orgány a osoby uvedené v § 3 písm. c) až g) mají povinnost oznamovat Vládnímu CERT své kontaktní údaje a hlásit kybernetické bezpečnostní incidenty.
Vládní CERT má roli týmu CSIRT podle příslušného předpisu Evropské unie, což znamená mezinárodní spolupráci v oblasti řešení kybernetických incidentů.