§ 27 zákon o kybernetické bezpečnosti – Prověřování rizik spojených s dodavatelem
Zákon o kybernetické bezpečnosti · 264/2025 Sb. · IT právo a ochrana dat
Stručně: Paragraf 27 zákona č. 264/2025 Sb. stanovuje, že Úřad pro kybernetickou bezpečnost shromažďuje a vyhodnocuje informace o dodavatelích strategicky významných služeb, aby prověřil rizika pro bezpečnost České republiky nebo vnitřní pořádek. Úřad bude aktivně sbírat data o tom, kdo dodává komponenty nebo služby do strategicky významných služeb, a to i nepřímo. (§ 27 zákona č. 264/2025 Sb., zákon o kybernetické bezpečnosti, stav k 7. 10. 2026)
Klíčová fakta
- Předmět úpravy: Prověřování rizik spojených s dodavatelem
- Týká se: dodavatel
- Znění: aktuální úplné znění podle Sbírky zákonů (e-Sbírka), stav databáze k
- Zdroj: e-Sbírka, 264/2025 Sb.
(1) Úřad za účelem prověřování rizik spojených s dodavatelem poskytovatele strategicky významné služby shromažďuje a vyhodnocuje informace a data o tom, kdo přímo nebo zprostředkovaně poskytuje plnění do strategicky významné služby, a které se týkají možné hrozby pro bezpečnost České republiky nebo vnitřní pořádek.
(2) Pro potřeby mechanismu prověřování bezpečnosti dodavatelského řetězce se rozumí
a) kritickou částí stanoveného rozsahu aktiva stanoveného rozsahu strategicky významné služby, u kterých poskytovatel strategicky významné služby postupem podle vyhlášky Úřadu ohodnotil dopad narušení bezpečnosti informací na stanovený rozsah strategicky významné služby úrovní kritická; kritickou částí stanoveného rozsahu jsou vždy alespoň aktiva stanoveného rozsahu strategicky významné služby, která zajišťují nepominutelné funkce strategicky významné služby,
b) bezpečnostně významnou dodávkou plnění směřující do kritické části stanoveného rozsahu, spočívající v poskytnutí, vývoji, výrobě, sestavení, správě, provozu nebo servisu aktiv, a
c) dodavatelem bezpečnostně významné dodávky ten, kdo poskytovateli strategicky významné služby poskytne přímo nebo jako poddodavatel bezpečnostně významnou dodávku.
(3) Nepominutelnou funkcí je činnost nebo vlastnost aktiva zajišťující provoz strategicky významné služby, jejichž narušení by mohlo mít závažný dopad na poskytování strategicky významné služby.
(4) Vláda nařízením stanoví seznam nepominutelných funkcí strategicky významných služeb.
Srozumitelný výklad
Co to znamená v praxi
- Úřad bude aktivně sbírat data o tom, kdo dodává komponenty nebo služby do strategicky významných služeb, a to i nepřímo.
- Zákon definuje, co je "kritická část" strategicky významné služby a "bezpečnostně významná dodávka", což jsou klíčové pojmy pro posuzování rizik.
- "Nepominutelné funkce" jsou ty činnosti nebo vlastnosti aktiv, jejichž narušení by mělo závažný dopad na strategicky významnou službu.
- Vláda určí konkrétní seznam nepominutelných funkcí pro strategicky významné služby.
Na co si dát pozor
- Úřad se zaměřuje na dodavatele, kteří mohou představovat hrozbu pro bezpečnost státu nebo vnitřní pořádek.
- Prověřování se týká i poddodavatelů, tedy těch, kteří dodávají plnění dodavateli strategicky významné služby.
- Důraz je kladen na dodávky směřující do kritických částí strategicky významných služeb.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 16 Ochrana informací (Zákon o provádění mezinárodních sankcí)§ 5b Změna zákona o elektronických komunikacích (Zákon, kterým se mění některé zákony v s)§ 39 Výjimky z mlčenlivosti (Zákon o některých opatřeních proti legal)§ 38 (Zákon o bankách)