Zákon, kterým se mění zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění zákona č. 104/2017 Sb., a některé další zákony

Národní úřad pro kybernetickou a informační bezpečnost v oblasti působnosti svěřené mu tímto zákonem

a) zajišťuje zkoušky zvláštní odborné způsobilosti a vydává osvědčení o zvláštní odborné způsobilosti,

b) plní úkoly v souladu se závazky vyplývajícími z členství České republiky v Evropské unii, Organizaci Severoatlantické smlouvy a z mezinárodních smluv, jimiž je Česká republika vázána, ve vybraných oblastech ochrany utajovaných informací,

c) vykonává metodickou činnost,

d) zajišťuje činnost Národního střediska komunikační bezpečnosti, Národního střediska pro distribuci kryptografického materiálu, Národního střediska pro měření kompromitujícího vyzařování a Národního střediska pro bezpečnost informačních systémů, které jsou jeho součástí,

e) provádí certifikace informačního systému, kryptografického prostředku, kryptografického pracoviště a stínící komory a schvaluje projekt bezpečnosti komunikačního systému,

f) zajišťuje výzkum, vývoj a výrobu národních kryptografických prostředků,

g) vyvíjí a schvaluje národní šifrové algoritmy a vytváří národní politiku kryptografické ochrany,

h) zjišťuje kompromitující vyzařování tam, kde se vyskytují nebo budou vyskytovat utajované informace,

i) zjišťuje v součinnosti se zpravodajskými službami a policií, zda v jednací oblasti nedochází nedovoleným použitím technických prostředků určených k získávání informací k ohrožení nebo únikům utajovaných informací,

j) vydává bezpečnostní standardy,

k) ukládá správní tresty za nedodržení povinností stanovených tímto zákonem,

l) rozhoduje v dalších věcech a plní další úkoly na úseku ochrany utajovaných informací stanovené tímto zákonem.“.

26. V § 138 odst. 1 písm. b) se slova „evidenci pracovníků kryptografické ochrany, kurýrů kryptografického materiálu a evidenci fyzických osob, které jsou držiteli osvědčení o zvláštní odborné způsobilosti,“ zrušují.

27. V § 138 odst. 1 se písmeno c) zrušuje.

Dosavadní písmena d) až m) se označují jako písmena c) až l).

28. V § 138 odst. 1 písm. h) se slova „informačních systémů, kryptografických prostředků, kryptografického pracoviště, stínících komor, k provádění školení zvláštní odborné způsobilosti pracovníků kryptografické ochrany a zjišťování možnosti výskytu kompromitujícího vyzařování tam, kde se utajované informace budou vyskytovat, a provádět výrobu kryptografických prostředků,“ zrušují.

29. V § 138 se doplňuje odstavec 3, který zní:

„(3) Národní úřad pro kybernetickou a informační bezpečnost je při plnění úkolů podle tohoto zákona oprávněn k činnostem podle odstavce 1 písm. a), c), g) a i), a dále je oprávněn

a) vést evidenci fyzických osob, které jsou držiteli osvědčení o zvláštní odborné způsobilosti, evidenci porušení ochrany utajovaných informací a evidenci pracovníků kryptografické ochrany a kurýrů kryptografického materiálu,

b) uzavírat smlouvu s orgánem státu nebo podnikatelem k provádění dílčích úloh při certifikaci informačních systémů, kryptografických prostředků, kryptografického pracoviště, stínících komor, k provádění školení zvláštní odborné způsobilosti pracovníků kryptografické ochrany a zjišťování možnosti výskytu kompromitujícího vyzařování tam, kde se utajované informace budou vyskytovat, a provádět výrobu kryptografických prostředků a

c) vést certifikační spis informačního systému, kryptografického prostředku, kryptografického pracoviště a stínící komory, vést seznam kontrolovaných kryptografických položek a vést dokumentaci pro provádění činností podle § 45.“.

30. V § 138a se na konci odstavce 1 tečka nahrazuje čárkou a doplňuje se písmeno g), které zní:

„g) záznam o zřízení datové schránky a identifikátor datové schránky, je-li tato datová schránka zpřístupněna.“.

31. V § 138a se za odstavec 4 vkládá nový odstavec 5, který zní:

„(5) Úřadu jsou poskytovány pro výkon působnosti podle tohoto zákona ze základního registru právnických osob, podnikajících fyzických osob a orgánů veřejné moci údaje, kterými jsou

a) obchodní firma nebo název právnické osoby nebo jméno, popřípadě jména, a příjmení podnikající fyzické osoby,

b) datum vzniku nebo datum zápisu do evidence podle zvláštních právních předpisů,

c) datum zániku nebo datum výmazu z evidence podle zvláštních právních předpisů,

d) právní forma,

e) záznam o zřízení datové schránky a identifikátor datové schránky, je-li tato datová schránka zpřístupněna,

f) statutární orgán vyjádřený referenční vazbou na registr obyvatel anebo na registr osob nebo údajem o jménu, popřípadě jménech, příjmení a bydlišti u zahraniční fyzické osoby,

g) právní stav,

h) adresa sídla právnické osoby nebo adresa místa podnikání fyzické osoby ve formě referenční vazby (kódu adresního místa) na referenční údaj o adrese v registru územní identifikace.“.

Dosavadní odstavce 5 a 6 se označují jako odstavce 6 a 7.

32. V § 138a odst. 6 se slova „odstavců 2 až 4“ nahrazují slovy „odstavců 2 až 5“.

33. V § 138a se doplňuje odstavec 8, který zní:

„(8) Národnímu úřadu pro kybernetickou a informační bezpečnost jsou poskytovány pro výkon jeho působnosti podle tohoto zákona údaje podle odstavce 1, odstavce 2 písm. a), c), d), f), m) a n), odstavce 3 písm. a), b), e) až g), j), k) a r) až t), odstavce 4 písm. a), b), d) a e) a odstavce 5.“.

34. Za § 138a se vkládá nový § 138b, který včetně nadpisu zní:

Národní úřad pro kybernetickou a informační bezpečnost předá bez zbytečného odkladu Úřadu oznámení, které obdržel podle § 34 odst. 5, § 43 odst. 2 nebo § 69 odst. 1 písm. f) a h).“.

35. Nadpis části šesté zní:

36. V § 143 odstavec 1 zní:

„(1) Úřad v oblasti ochrany utajovaných informací a bezpečnostní způsobilosti kontroluje, jak orgány státu, právnické osoby, podnikající fyzické osoby a fyzické osoby (dále jen „kontrolované osoby“) dodržují právní předpisy v této oblasti.“.

37. V § 143 odst. 2 až 4 se slova „státního dozoru“ nahrazují slovem „kontroly“.

38. V § 143 odst. 5 se slova „Státnímu dozoru“ nahrazují slovem „Kontrole“.

39. V § 143 se doplňuje odstavec 6, který zní:

„(6) V případě kontroly, která zasahuje do oblasti působnosti ochrany utajovaných informací, jejíž státní správu podle tohoto zákona vykonává Národní úřad pro kybernetickou a informační bezpečnost, bude ke kontrole přizván jeho zástupce.“.

40. V § 145 odst. 5 se na konci písmene e) čárka nahrazuje tečkou a písmeno f) se zrušuje.

41. V § 146 odst. 1 se slova „nebo v rámci správního řízení o vydání opatření podle zákona o kybernetické bezpečnosti“ zrušují.

42. V § 146 odst. 2 se slova „nebo podle zákona o kybernetické bezpečnosti“ zrušují.

43. V § 153 odst. 1 se na konci písmene dd) slovo „nebo“ zrušuje.

44. V § 153 odst. 1 se na konci písmene ee) tečka nahrazuje slovem „, nebo“ a doplňuje se písmeno ff), které zní:

„ff) nevede některou z evidencí stanovených v § 69 odst. 1 písm. t).“.

45. V § 153 odst. 2 písm. b) se slova „n) nebo o)“ nahrazují slovy „n), o) nebo ff)“.

46. Na konci textu § 156 se doplňují slova „, s výjimkou přestupků podle § 148 odst. 1 písm. f) až h) a j), § 149 odst. 1 písm. g) až k), § 153 odst. 1 písm. b), s) až z) a ff) a § 154 odst. 1 písm. e), které projednává a za něž pokuty vybírá Národní úřad pro kybernetickou a informační bezpečnost“.

47. § 158 včetně nadpisu zní:

Úřad vydá vyhlášku k provedení § 7 odst. 3, § 9 odst. 8, § 15a odst. 7, § 23 odst. 2, § 33, § 53 písm. a) a f), § 64, § 75a odst. 4, § 79 odst. 8, § 85 odst. 5 a § 135. Národní úřad pro kybernetickou a informační bezpečnost vydá vyhlášku k provedení § 34 odst. 6, § 35 odst. 6, § 36 odst. 4, § 44 a § 53 písm. b) až f).“.

Čl. XV

1. Řízení podle § 42 odst. 3 a hlavy IX zákona č. 412/2005 Sb., zahájená a nedokončená přede dnem nabytí účinnosti tohoto zákona, s výjimkou řízení o certifikaci technického prostředku, dokončí Národní úřad pro kybernetickou a informační bezpečnost.

2. Řízení o správních deliktech a přestupcích uvedených v § 148 odst. 1 písm. f) až h) a j), § 149 odst. 1 písm. g) až k), § 153 odst. 1 písm. b), s) až z) a ff) a § 154 odst. 1 písm. e) zákona č. 412/2005 Sb., zahájená a nedokončená přede dnem nabytí účinnosti tohoto zákona dokončí Národní úřad pro kybernetickou a informační bezpečnost.

3. Výkon práv a povinností ze smluv uzavřených Národním bezpečnostním úřadem podle § 52 zákona č. 412/2005 Sb., s výjimkou smluv uzavřených podle § 46 odst. 15 zákona č. 412/2005 Sb., k zajištění vydání posudku vlastností technického prostředku podle § 46 odst. 14 zákona č. 412/2005 Sb., přechází ke dni nabytí účinnosti tohoto zákona z Národního bezpečnostního úřadu na Národní úřad pro kybernetickou a informační bezpečnost.

4. Národní bezpečnostní úřad předá Národnímu úřadu pro kybernetickou a informační bezpečnost ke dni nabytí účinnosti tohoto zákona veškeré doklady a údaje týkající se nedokončených řízení podle bodů 1 a 2 a o předání sepíše s Národním úřadem pro kybernetickou a informační bezpečnost protokol.

5. Národní bezpečnostní úřad předá Národnímu úřadu pro kybernetickou a informační bezpečnost do 6 měsíců ode dne nabytí účinnosti tohoto zákona veškeré doklady a údaje týkající se výkonu působnosti, která ke dni nabytí účinnosti tohoto zákona přechází na Národní úřad pro kybernetickou a informační bezpečnost.

6. Výkon práv a povinností vyplývajících z pracovněprávních vztahů zaměstnanců Národního bezpečnostního úřadu, kteří zajišťovali činnost Národního bezpečnostního úřadu podle zákona č. 412/2005 Sb., ve znění účinném přede dnem nabytí účinnosti tohoto zákona, která dnem nabytí účinnosti tohoto zákona přechází na Národní úřad pro kybernetickou a informační bezpečnost, přechází dnem nabytí účinnosti tohoto zákona na Národní úřad pro kybernetickou a informační bezpečnost.

7. Příslušnost k hospodaření s majetkem státu užívaným Národním bezpečnostním úřadem přechází ke dni nabytí účinnosti tohoto zákona na Národní úřad pro kybernetickou a informační bezpečnost, pokud byl tento majetek využíván k zajišťování činnosti Národního bezpečnostního úřadu podle zákona č. 412/2005 Sb., ve znění účinném přede dnem nabytí účinnosti tohoto zákona, která přechází ke dni nabytí účinnosti tohoto zákona na Národní úřad pro kybernetickou a informační bezpečnost.

8. Rozpočtované prostředky kapitoly 308 - Národní bezpečnostní úřad podle zákona č. 457/2016 Sb., o státním rozpočtu České republiky na rok 2017, včetně nároků nespotřebovaných výdajů za předcházející léta, které souvisí s výkonem působnosti Národního bezpečnostního úřadu, která ke dni nabytí účinnosti tohoto zákona přechází na Národní úřad pro kybernetickou a informační bezpečnost, se přesouvají ke dni nabytí účinnosti tohoto zákona na Národní úřad pro kybernetickou a informační bezpečnost.

9. Certifikát informačního systému, certifikát kryptografického prostředku, certifikát kryptografického pracoviště a certifikát stínící komory vydaný Národním bezpečnostním úřadem podle zákona č. 412/2005 Sb., ve znění účinném přede dnem nabytí účinnosti tohoto zákona se považuje za certifikát vydaný Národním úřadem pro kybernetickou a informační bezpečnost.

ČÁST ČTRNÁCTÁ

Čl. XVI

Tento zákon nabývá účinnosti prvním dnem prvního kalendářního měsíce následujícího po dni jeho vyhlášení.

v z. Vondráček v. r.

Zeman v. r.

Sobotka v. r.