§ 3 vyhláška o kybernetické bezpečnosti – Jaké organizační kroky musí provést orgány a osoby…
Vyhláška o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních a o stanovení náležitostí podání v oblasti kybernetické bezpečnosti (vyhláška o kybernetické bezpečnosti) · 316/2014 Sb. · IT právo a ochrana dat · neoficiální nadpis
Stručně: Paragraf 3 vyhlášky o kybernetické bezpečnosti stanovuje, jaké organizační kroky musí provést orgány a osoby, na které se vztahuje zákon o kybernetické bezpečnosti, v rámci svého systému řízení bezpečnosti informací, aby zajistily kybernetickou bezpečnost. Orgány a osoby musí jasně vymezit, kterých jejich částí a technických prvků se systém řízení bezpečnosti informací týká. (§ 3 zákona č. 316/2014 Sb., vyhláška o kybernetické bezpečnosti, stav k 7. 10. 2026)
Klíčová fakta
- Lhůta nebo doba (odst. 2): „…zvládání rizik a plánu rozvoje bezpečnostního povědomí, a to nejméně jednou za tři roky nebo v souvislosti s prováděnými nebo plánovanými změnami.“
- Odkazuje na: § 4, § 5, § 15
- Znění: aktuální úplné znění podle Sbírky zákonů (e-Sbírka), stav databáze k
- Zdroj: e-Sbírka, 316/2014 Sb.
(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona v rámci systému řízení bezpečnosti informací
a) stanoví s ohledem na aktiva a organizační bezpečnost rozsah a hranice systému řízení bezpečnosti informací, ve kterém určí, kterých organizačních částí a technických prvků se systém řízení bezpečnosti informací týká,
b) řídí rizika podle § 4 odst. 1,
c) vytvoří a schválí bezpečnostní politiku v oblasti systému řízení bezpečnosti informací, která obsahuje hlavní zásady, cíle, bezpečnostní potřeby, práva a povinnosti ve vztahu k řízení bezpečnosti informací a na základě bezpečnostních potřeb a výsledků hodnocení rizik stanoví bezpečnostní politiku v dalších oblastech podle § 5 a zavede příslušná bezpečnostní opatření,
d) monitoruje účinnost bezpečnostních opatření,
e) vyhodnocuje vhodnost a účinnost bezpečnostní politiky podle § 5,
f) zajistí provedení auditu kybernetické bezpečnosti podle § 15, a to nejméně jednou ročně,
g) zajistí vyhodnocení účinnosti systému řízení bezpečnosti informací, které obsahuje hodnocení stavu systému řízení bezpečnosti informací včetně revize hodnocení rizik, posouzení výsledků provedených kontrol a auditů kybernetické bezpečnosti a dopadů kybernetických bezpečnostních incidentů na systém řízení bezpečnosti informací, a to nejméně jednou ročně,
h) aktualizuje systém řízení bezpečnosti informací a příslušnou dokumentaci na základě zjištění auditů kybernetické bezpečnosti, výsledků vyhodnocení účinnosti systému řízení bezpečnosti informací a v souvislosti s prováděnými nebo plánovanými změnami a
i) řídí provoz a zdroje systému řízení bezpečnosti informací, zaznamenává činnosti spojené se systémem řízení bezpečnosti informací a řízením rizik.
(2) Orgán a osoba uvedená v § 3 písm. e) zákona v rámci systému řízení bezpečnosti informací
a) řídí rizika podle § 4 odst. 2,
b) vytvoří a schválí bezpečnostní politiku v oblasti systému řízení bezpečnosti informací, která obsahuje hlavní zásady, cíle, bezpečnostní potřeby, práva a povinnosti ve vztahu k řízení bezpečnosti informací a na základě bezpečnostních potřeb a výsledků hodnocení rizik stanoví bezpečnostní politiku v dalších oblastech podle § 5, a zavede příslušná bezpečnostní opatření a
c) provádí aktualizaci zprávy o hodnocení aktiv a rizik, bezpečnostní politiky, plánu zvládání rizik a plánu rozvoje bezpečnostního povědomí, a to nejméně jednou za tři roky nebo v souvislosti s prováděnými nebo plánovanými změnami.
Srozumitelný výklad
Co to znamená v praxi
- Orgány a osoby musí jasně vymezit, kterých jejich částí a technických prvků se systém řízení bezpečnosti informací týká.
- Je nutné vytvořit a schválit bezpečnostní politiku, která stanoví hlavní zásady, cíle a povinnosti v oblasti bezpečnosti informací, a na jejím základě zavést konkrétní bezpečnostní opatření.
- Musí se pravidelně monitorovat účinnost zavedených bezpečnostních opatření a vyhodnocovat vhodnost bezpečnostní politiky.
- Nejméně jednou ročně je povinné provést audit kybernetické bezpečnosti a vyhodnotit celkovou účinnost systému řízení bezpečnosti informací.
Na co si dát pozor
- Systém řízení bezpečnosti informací a související dokumentace musí být pravidelně aktualizovány na základě zjištění z auditů, vyhodnocení účinnosti a změn.
- Osoby uvedené v § 3 písm. e) zákona mají mírně odlišné povinnosti, zejména co se týče frekvence aktualizace některých dokumentů (nejméně jednou za tři roky).
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 5 OPERATIVNÍ EVIDENCE (Vyhláška Ministerstva financí o hospodař)§ 26 (Zákon o rozpočtových pravidlech a o změn)§ 112 Prvky systému zabezpečení (Vyhláška o radiační ochraně a zabezpečen)§ 2 (Nařízení vlády o bližších požadavcích na)§ 120 JEDNÁNÍ O NÁVRZÍCH ZÁKONNÝCH OPATŘENÍ SENÁTU (Zákon o jednacím řádu Senátu)