§ 6 vyhláška o kybernetické bezpečnosti – Organizační bezpečnost
Vyhláška o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních a o stanovení náležitostí podání v oblasti kybernetické bezpečnosti (vyhláška o kybernetické bezpečnosti) · 316/2014 Sb. · IT právo a ochrana dat
Stručně: Paragraf 6 vyhlášky o kybernetické bezpečnosti stanovuje povinnost určit organizační strukturu pro řízení bezpečnosti informací, včetně zřízení výboru pro kybernetickou bezpečnost a definování konkrétních bezpečnostních rolí s odpovídající kvalifikací. Subjekty, na které se vyhláška vztahuje, musí mít jasně definovanou organizační strukturu pro řízení bezpečnosti informací, včetně zřízení výboru pro řízení kybernetické bezpečnosti. (§ 6 zákona č. 316/2014 Sb., vyhláška o kybernetické bezpečnosti, stav k 7. 10. 2026)
Klíčová fakta
- Předmět úpravy: Organizační bezpečnost
- Lhůta nebo doba (odst. 4): „…prokáže odbornou způsobilost praxí s řízením bezpečnosti informací po dobu nejméně tří let.“
- Lhůta nebo doba (odst. 5): „…odbornou způsobilost praxí s navrhováním bezpečnostní architektury po dobu nejméně tří let.“
- Lhůta nebo doba (odst. 6): „…způsobilost praxí s prováděním auditů kybernetické bezpečnosti po dobu nejméně tří let“
- Odkazuje na: § 2, § 3, § 9
- Znění: aktuální úplné znění podle Sbírky zákonů (e-Sbírka), stav databáze k
- Zdroj: e-Sbírka, 316/2014 Sb.
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona zavede organizaci řízení bezpečnosti informací, v rámci které určí výbor pro řízení kybernetické bezpečnosti a bezpečnostní role a jejich práva a povinnosti související s informačním systémem kritické informační infrastruktury, komunikačním systémem kritické informační infrastruktury nebo významným informačním systémem.
(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona určí bezpečnostní role
a) manažer kybernetické bezpečnosti,
b) architekt kybernetické bezpečnosti,
c) auditor kybernetické bezpečnosti a
d) garant aktiva podle § 2 písm. m).
(3) Orgán a osoba uvedená v § 3 písm. e) určí bezpečnostní role přiměřeně podle odstavce 2.
(4) Manažer kybernetické bezpečnosti je osoba, odpovědná za systém řízení bezpečnosti informací, která je pro tuto činnost vyškolena a prokáže odbornou způsobilost praxí s řízením bezpečnosti informací po dobu nejméně tří let.
(5) Architekt kybernetické bezpečnosti je osoba zajišťující návrh a implementaci bezpečnostních opatření, která je pro tuto činnost vyškolena a prokáže odbornou způsobilost praxí s navrhováním bezpečnostní architektury po dobu nejméně tří let.
(6) Auditor kybernetické bezpečnosti je osoba provádějící audit kybernetické bezpečnosti, která je pro tuto činnost vyškolena a prokáže odbornou způsobilost praxí s prováděním auditů kybernetické bezpečnosti po dobu nejméně tří let. Auditor kybernetické bezpečnosti vykonává svoji roli nestranně a výkon jeho role je oddělen od výkonu rolí uvedených v odstavci 2 písm. a), b) nebo d).
(7) Výbor pro řízení kybernetické bezpečnosti je organizovaná skupina tvořená osobami, které jsou pověřeny celkovým řízením a rozvojem informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému, anebo se významně podílejí na řízení a koordinaci činností spojených s kybernetickou bezpečností těchto systémů.
(8) Orgán a osoba uvedená v § 3 písm. c) až e) zákona zajistí odborné školení osob, které zastávají bezpečnostní role v souladu s plánem rozvoje bezpečnostního povědomí podle § 9 odst. 1 písm. b).
Srozumitelný výklad
Co to znamená v praxi
- Subjekty, na které se vyhláška vztahuje, musí mít jasně definovanou organizační strukturu pro řízení bezpečnosti informací, včetně zřízení výboru pro řízení kybernetické bezpečnosti.
- Musí být určeny specifické bezpečnostní role, jako je manažer, architekt a auditor kybernetické bezpečnosti, a pro každou z nich musí být stanovena práva a povinnosti.
- Osoby zastávající tyto bezpečnostní role musí být řádně vyškoleny a prokázat odbornou způsobilost praxí v dané oblasti po dobu nejméně tří let.
- Auditor kybernetické bezpečnosti musí vykonávat svou roli nestranně a jeho činnost musí být oddělena od ostatních bezpečnostních rolí.
Na co si dát pozor
- Je třeba zajistit, aby osoby v bezpečnostních rolích splňovaly požadavky na odbornou způsobilost a praxi.
- Oddělení role auditora kybernetické bezpečnosti od ostatních rolí je klíčové pro zajištění nestrannosti auditu.
- Je nutné zajistit průběžné odborné školení osob zastávajících bezpečnostní role v souladu s plánem rozvoje bezpečnostního povědomí.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 12a Organizační požadavky (Zákon o podnikání na kapitálovém trhu)§ 5 (Zákon o kybernetické bezpečnosti a o změ)§ 2 Registrace k provozování autoškoly (Zákon o získávání a zdokonalování odborn)§ 2 (Nařízení vlády o bližších požadavcích na)§ 25 PODROBNĚJŠÍ POŽADAVKY NA ZAJIŠTĚNÍ BEZPEČNOST (Vyhláška o bezpečnosti a ochraně zdraví )