§ 14 vyhláška o kybernetické bezpečnosti – Řízení kontinuity činností
Vyhláška o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních a o stanovení náležitostí podání v oblasti kybernetické bezpečnosti (vyhláška o kybernetické bezpečnosti) · 316/2014 Sb. · IT právo a ochrana dat
Stručně: Paragraf 14 vyhlášky o kybernetické bezpečnosti stanovuje povinnosti pro orgány a osoby spravující kritickou informační infrastrukturu nebo významné informační systémy v oblasti řízení kontinuity činností, tedy zajištění provozu i po kybernetickém bezpečnostním incidentu. Subjekty musí jasně definovat, kdo za co odpovídá v rámci řízení kontinuity (např. garanti aktiv, administrátoři). (§ 14 zákona č. 316/2014 Sb., vyhláška o kybernetické bezpečnosti, stav k 7. 10. 2026)
Klíčová fakta
- Předmět úpravy: Řízení kontinuity činností
- Odkazuje na: § 26
- Znění: aktuální úplné znění podle Sbírky zákonů (e-Sbírka), stav databáze k
- Zdroj: e-Sbírka, 316/2014 Sb.
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v rámci řízení kontinuity činností stanoví
a) práva a povinnosti garantů aktiv, administrátorů a osob zastávajících bezpečnostní role,
b) cíle řízení kontinuity činností formou určení
1. minimální úrovně poskytovaných služeb, která je přijatelná pro užívání, provoz a správu informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému,
2. doby obnovení chodu, během které bude po kybernetickém bezpečnostním incidentu obnovena minimální úroveň poskytovaných služeb informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému, a
3. dobu obnovení dat jako termínu, ke kterému budou obnovena data po kybernetickém bezpečnostním incidentu, a
c) strategii řízení kontinuity činností, která obsahuje naplnění cílů podle písmene b).
(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále
a) vyhodnotí a dokumentuje možné dopady kybernetických bezpečnostních incidentů a posoudí možná rizika související s ohrožením kontinuity činností,
b) stanoví, aktualizuje a pravidelně testuje plány kontinuity činností informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury,
c) realizuje opatření pro zvýšení odolnosti informačního systému kritické informační infrastruktury a komunikačního systému kritické informační infrastruktury vůči kybernetickému bezpečnostnímu incidentu a využívá nástroj pro zajišťování úrovně dostupnosti podle § 26 a
d) stanoví a aktualizuje postupy pro provedení opatření vydaných Úřadem podle § 13 a 14 zákona, ve kterých zohlední
1. výsledky hodnocení rizik provedení opatření,
2. stav dotčených bezpečnostních opatření a
3. vyhodnocení případných negativních dopadů na provoz a bezpečnost informačního systému kritické informační infrastruktury nebo komunikačního systému kritické informační infrastruktury.
Srozumitelný výklad
Co to znamená v praxi
- Subjekty musí jasně definovat, kdo za co odpovídá v rámci řízení kontinuity (např. garanti aktiv, administrátoři).
- Je nutné stanovit konkrétní cíle pro obnovu provozu po incidentu, včetně minimální úrovně služeb, doby obnovení chodu systému a doby, ke které budou obnovena data.
- Musí být vypracována strategie, která zajistí dosažení těchto cílů kontinuity.
- Subjekty musí vyhodnocovat dopady kybernetických incidentů, posuzovat rizika ohrožení kontinuity a pravidelně testovat plány obnovy.
Na co si dát pozor
- Je důležité, aby stanovené cíle (minimální úroveň služeb, doby obnovení) byly realistické a zároveň dostatečné pro zajištění fungování po incidentu.
- Pravidelné testování plánů kontinuity je klíčové pro ověření jejich funkčnosti a odhalení případných nedostatků.
- Je nutné zohlednit výsledky hodnocení rizik při stanovování postupů pro provedení opatření vydaných Úřadem.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 15 Řízení kontinuity činností (Vyhláška o bezpečnostních opatřeních, ky)§ 6 Řízení kontinuity činností (Vyhláška o bezpečnostních opatřeních pos)§ 15 Řízení kontinuity činností (Vyhláška o bezpečnostních opatřeních pos)§ 11 Bezpečnostní požadavky na řízení kapacit a ko (Vyhláška o bezpečnosti informačních a ko)§ 14 Seznam bezpečnostních opatření (Zákon o kybernetické bezpečnosti)