Vyhláška o dlouhodobém řízení informačních systémů veřejné správy

(1) Věcný správce ve fázi realizace vytvoření a rozvoje informačního systému

a) zajišťuje zdroje potřebné k realizaci vytvoření nebo rozvoji informačního systému,

b) stanovuje rozsah a formát datového výstupu k dlouhodobému uchovávání a

c) stanovuje uživatelské role, náplň vykonávaných činností a přístupová oprávnění.

(2) Technický správce ve fázi realizace vytvoření a rozvoje informačního systému zajišťuje

a) pořízení nebo technické zhodnocení informačního systému splňujícího požadavky kladené na jeho služby,

b) splnění požadavků kladených na provoz informačního systému,

c) zveřejnění zdrojového kódu vytvořeného během projektu v rozsahu, v jakém jej nemůže být zneužito k narušení nebo zničení informačního systému,

d) řízení změn informačního systému,

e) řízení kontinuity provozu informačního systému a

f) zřízení podpory uživatelům informačního systému.

(3) Technický správce ve fázi realizace vytvoření a rozvoje informačního systému zajišťuje, aby projekt, jehož součástí je dodávka více než jedné komponenty, byl rozdělen na dílčí plnění obsahující dodávku jednotlivých komponent. Činí tak způsobem, aby bylo možné po dodávce každé komponenty projekt ukončit, pokud ztratil své původní opodstatnění.

(4) Technický správce ve fázi realizace vytvoření a rozvoje informačního systému při zahajování provozu informačního systému s využitím jeho zkušebního provozu

a) zajišťuje akceptaci produkčního prostředí informačního systému, akceptační protokoly, seznam chyb a postup jejich odstranění,

b) provádí testy

1. výkonu,

2. reakcí na poruchy a přetížení a

3. integrace a kvality poskytovaných služeb,

c) provádí testy mechanismů

1. k zajištění integrity dat a procesů jejich zpracování,

2. detekce chyb, jejich ohlášení a postupu nápravy,

3. detekce škodlivého programového prostředku a škodlivé komunikace a

4. hlášení a předcházení výskytu škodlivého programového prostředku nebo škodlivé komunikace,

d) zajišťuje kontrolu a upřesnění plánu ukončení provozu předchozího informačního systému,

e) vytváří a předává zkušební datový výstup k dlouhodobému uchovávání.

(5) Věcný správce při dokončení fáze vytvoření a rozvoje informačního systému

a) školí budoucí uživatele informačního systému a

b) identifikuje vady informačního systému a zajišťuje jejich odstranění.

(6) Technický správce při dokončení fáze vytvoření a rozvoje informačního systému

a) zajišťuje provoz produkčního prostředí informačního systému,

b) identifikuje vady informačního systému a zajišťuje jejich odstranění a

c) zodpovídá za úplnost a aktuálnost provozní dokumentace informačního systému při jejím převzetí.

(1) Věcný správce ve fázi produkčního provozu informačního systému

a) zajišťuje zdroje potřebné k zajištění produkčního provozu informačního systému,

b) průběžně školí uživatele informačního systému,

c) zajišťuje příjem a evidenci požadavků na změny funkcí a služeb informačního systému od uživatelů informačního systému,

d) vyhodnocuje plnění stanovených požadavků na služby informačního systému a

e) stanovuje prioritu evidovaných požadavků na změny funkcí a služeb informačního systému.

(2) Technický správce ve fázi produkčního provozu informačního systému zajišťuje

a) provozování produkčního prostředí,

b) plánování a pravidelnou kontrolu dostupnosti a zajištění zdrojů potřebných k provozování informačního systému,

c) pravidelnou kontrolu integrity dat,

d) pravidelné zálohování a uchovávání dat bez přerušení provozu informačního systému,

e) pravidelné testy obnovy všech funkcí, kódů a dat informačního systému do nového prostředí,

f) komponenty v provozuschopném a bezpečném stavu,

g) příjem a evidenci požadavků na změny funkcí a služeb informačního systému,

h) příjem hlášení provozních událostí a vyhodnocování závažnosti dopadu nalezených chyb, poruch a nedostatků informačního systému, vytváření a upřednostnění servisních požadavků,

i) vyhledávání škodlivých programových prostředků a škodlivé komunikace,

j) sledování a analýzu dopadů provozních událostí,

k) nasazování ověřených, funkčních a formálně akceptovaných verzí s předem otestovanou integrací bez ohrožení kvality a dostupnosti služeb informačního systému,

l) vytváření a předávání datového výstupu k dlouhodobému uchovávání,

m) stanovenou úroveň kontinuity pro služby informačního systému, pro podporu služeb jiných informačních systémů a pro provoz informačních systémů a

n) řízení provozovatele informačního systému.

(1) Věcný správce ve fázi produkčního provozu informačního systému vyhodnocuje

a) plnění stanovených požadavků na služby informačního systému,

b) přínosy služeb informačního systému,

c) ekonomickou výhodnost služeb informačního systému a

d) plnění cílů stanovených ve fázi strategického plánování vytvoření a rozvoje informačního systému.

(2) Technický správce ve fázi produkčního provozu informačního systému vyhodnocuje

a) plnění věcným správcem stanovených požadavků na služby informačního systému a

b) zajištění bezpečnosti informačního systému a aplikuje bezodkladně potřebná bezpečnostní opatření.

(1) Technický správce ve fázi ukončení životního cyklu informačního systému zajišťuje

a) transformaci údajů a export dat podle potřeb z informačního systému způsobem umožňujícím jejich dlouhodobé uchovávání nebo přenesení do informačního systému, který má původní informační systém nahradit, a

b) přenos aktuálních dat, kódů a prostředí v útlumovém režimu, je-li plánován.

(2) Technický správce provádí export dat podle odstavce 1 písm. a) v rozsahu údajů, které informační systém zpracovával k okamžiku ukončení jeho produkčního provozu s ověřením integrity dat. Správce provádí export dat přednostně v otevřeném formátu.

(3) Věcný správce stanovuje pro provoz prostředí v útlumovém režimu pravidla pro aktivaci, údržbu a aktualizaci kódů a komponent, přístup uživatelů informačního systému a využívání a poskytování údajů, bude-li technický správce takové prostředí vytvářet a udržovat.

(1) Orgán veřejné správy provádí dekomponování informačních systémů ve 3 nezávislých a vzájemně se kombinujících děleních, kterými jsou

a) funkční dělení; funkčním dělením se rozumí dělení podle různých funkcí komponent při poskytování služeb informačního systému,

b) technologické dělení; technologickým dělením se rozumí dělení podle technologických platforem sloužících pro vytvoření, rozvoj a provoz informačních systémů a

c) provozní dělení; provozním dělením se rozumí dělení na prostředí podle jejich různého využití v životním cyklu informačních systémů.

(2) Orgán veřejné správy provádí dekomponování informačního systému na všech vrstvách architektury informačních systémů.

(3) Odstavce 1 a 2 se na dekomponování prvků sdílené infrastruktury použijí obdobně.

(4) Orgán veřejné správy každé prostředí jednoznačně identifikuje. Údaje v produkčním prostředí nelze změnit prostřednictvím neprodukčního prostředí.

(1) Orgán veřejné správy strukturuje data vedená v informačním systému na údaje

a) základních registrů,

b) jiných agend,

c) vlastní a

d) provozní.

(2) Orgán veřejné správy strukturuje data vedená v informačním systému podle způsobu jejich sdílení na údaje

a) veřejně přístupné,

b) poskytované na žádost a

c) zpřístupňované pro výkon agendy.

(3) Orgán veřejné správy strukturuje data vedená v informačním systému podle jejich obsahu na údaje

a) identifikační,

b) evidenční a

c) statistické.

(4) Orgán veřejné správy odděluje údaje vedoucí k jednoznačné identifikaci fyzické osoby od evidenčních údajů.

(5) Orgán veřejné správy strukturuje data tak, aby bylo možno naplnit požadavky právních předpisů upravujících ochranu osobních údajů.

(1) Údaje vedené v informačním systému jsou zpřístupněny v otevřeném a strojově čitelném formátu, a to ve formě datových souborů nebo prostřednictvím programovacího aplikačního rozhraní.

(2) Údaje vedené v informačním systému jsou poskytovány podle otevřené formální normy pro rozhraní katalogů otevřených dat, kterou zveřejňuje Digitální a informační agentura způsobem umožňujícím dálkový přístup.

(3) Technické a programové prostředky, které slouží pro sdílení údajů mimo referenční rozhraní, umožňují

a) sdílení údajů mezi informačními systémy jednoho správce prostřednictvím integračního rozhraní a

b) sdílení údajů jako službu, jejíž technické a technologické specifikace jsou veřejně dostupné a využitelné bez dalších omezení a zvýšených nákladů.

(1) Během provozu různých prostředí informačního systému zařazených do různých bezpečnostních úrovní jsou tato prostředí rozlišována a produkční údaje odděleny od údajů ostatních.

(2) Propojované informační systémy provozované v různých prostředích a zařazené do různých bezpečnostních úrovní

a) zajišťují rozlišení jednotlivých prostředí pro použitá rozhraní, poskytnuté služby a přístupová oprávnění,

b) zamezují uživatelům informačního systému používat shodné autentizační údaje současně v prostředí s produkčními údaji a v prostředí s ostatními údaji,

c) zamezují uživatelům zajišťujícím provoz, užívání a konfiguraci informačních systémů používat stejné pracovní stanice pro více prostředí s produkčními údaji,

d) oddělují údaje při přístupu k údajům do prostředí s vyšší bezpečnostní úrovní z prostředí s nižší bezpečnostní úrovní jejich pseudonymizací nebo anonymizací,

e) zajišťují důvěrnost údajů a stabilitu prostředí při přístupu k údajům do prostředí s vyšší bezpečnostní úrovní z prostředí s nižší bezpečnostní úrovní a

f) zaznamenávají informace o bezpečnostních a provozních událostech.

Informační systém využívá centrální sdílené služby pro

a) zajištění identifikace a autentizace uživatelů služeb,

b) zajištění autorizace uživatelů uvnitř orgánu veřejné správy, kteří nejsou jeho zaměstnanci, a

c) publikování poskytovaných služeb informačního systému v portálu veřejné správy, pokud je služba informačního systému vedena v katalogu služeb podle zákona upravujícího právo na digitální služby.

(1) Je-li to při tvorbě technických požadavků na nový informační systém nebo rozvoj stávajícího informačního systému možné, využívají se

a) technické a programové prostředky a návrhové vzory, které umožňují vytvořit informační systém pro cloud computing nebo pro provoz bez odstávek, a

b) prvky infrastruktury umožňující své sdílení.

(2) Dálkový přístup ke službám informačních systémů je umožněn rovnocenným použitím informačního protokolu IPv4 a IPv6.

(3) Informační systém, který poskytuje služby překladu jmen, poskytuje tyto služby způsobem zaručujícím integritu.

(1) Hodnocení ekonomické výhodnosti provozu a způsobu provozu informačního systému tvoří

a) výsledky pravidelných hodnocení za použití metody celkových nákladů na vlastnictví informačního systému; popis metody celkových nákladů na vlastnictví informačního systému je uveden v příloze k této vyhlášce a

b) hodnocení ukazatelů hospodárnosti, efektivnosti a účelnosti provozu a způsobu provozu informačního systému za minulá účetní období a jejich cílové hodnoty pro příští účetní období s uvedením nezbytných předpokladů pro jejich dosažení.

(2) Orgán veřejné správy porovnává aktualizované hodnocení za použití metody celkových nákladů na vlastnictví informačního systému provozovaného ve správě majetku orgánu veřejné správy s provozováním informačního systému způsobem odlišným od provozu informačního systému ve správě majetku orgánu veřejné správy a uvede jej do hodnocení ekonomické výhodnosti provozu a způsobu provozu informačního systému. Orgán veřejné správy porovnává způsoby provozu informačního systému ve vyžadovaných bezpečnostních úrovních informačního systému a jeho jednotlivých komponent, pokud pro ně byly stanoveny bezpečnostní úrovně samostatně.

(1) Orgán veřejné správy provádí hodnocení ekonomické výhodnosti provozu a způsobu provozu informačních systémů a využití cloud computingu ve fázích životního cyklu informačního systému

a) podle § 15 písm. a) až c) před změnou informačního systému mající povahu architektonické změny a

b) podle § 15 písm. d) před změnou smluvního vztahu s provozovatelem informačního systému.

(2) Orgán veřejné správy zohledňuje při hodnocení ekonomické výhodnosti provozu, způsobu provozu informačních systémů a využití cloud computingu dostupnost vlastních personálních kapacit a možnost jejich využití za účelem snížení závislosti na dodavatelích.

(3) Orgán veřejné správy využívá při řízení životního cyklu informačního systému rovněž ukazatele ekonomické výhodnosti provozu a způsobu provozu srovnatelných informačních systémů, sdílených prvků technologické a komunikační infrastruktury a služeb.

(4) Orgán veřejné správy porovnává při provádění hodnocení ekonomické výhodnosti způsobu provozu informačních systémů variantu provozu informačního systému s použitím vlastní nebo zprostředkované infrastruktury. Orgán veřejné správy využívá pro variantu odpovídající současnému způsobu provozu hodnocení ukazatelů hospodárnosti, efektivnosti a účelnosti jím spravovaných informačních systémů a pro jiné varianty kvalifikovaný odhad hodnocení ukazatelů hospodárnosti, efektivnosti a účelnosti jím spravovaných informačních systémů na základě použití metody hodnocení celkových nákladů na vlastnictví informačního systému.

(5) Orgán veřejné správy provádí vyhodnocení za použití metody celkových nákladů na vlastnictví po zahájení poskytování služeb informačního systému a po obdržení podkladů umožňujících toto vyhodnocení.

Orgán veřejné správy provádí předběžné posouzení plánovaných nákladů za použití metody celkových nákladů na vlastnictví ve fázi plánování a přípravy vytvoření a rozvoje informačního systému s využitím relevantních nabídek cloud computingu uvedených v katalogu cloud computingu. Je-li varianta s využitím nabídek cloud computingu vybraná s odbornou péčí výhodnější, využije orgán veřejné správy tuto variantu.

(1) Orgán veřejné správy zpracuje informační koncepci orgánu veřejné správy a provozní dokumentaci k informačním systémům, jejichž je správcem, ve struktuře a s náležitostmi podle této vyhlášky do 4 let ode dne nabytí účinnosti této vyhlášky.

(2) Do doby splnění povinností podle odstavce 1 je orgán veřejné správy povinen mít zpracovanou informační koncepci orgánu veřejné správy a provozní dokumentaci k informačním systémům, jejichž je správcem, ve struktuře a s náležitostmi podle vyhlášky č. 529/2006 Sb., o požadavcích na strukturu a obsah informační koncepce a provozní dokumentace a o požadavcích na řízení bezpečnosti a kvality informačních systémů veřejné správy (vyhláška o dlouhodobém řízení informačních systémů veřejné správy), ve znění účinném přede dnem nabytí účinnosti této vyhlášky.

(3) Orgán veřejné správy zpřístupní údaje v otevřeném a strojově čitelném formátu podle § 24 odst. 1, a to ve formě datových souborů nebo prostřednictvím programovacího aplikačního rozhraní do 1 roku ode dne nabytí účinnosti této vyhlášky.

(4) Orgán veřejné správy splní povinnost u stávajících informačních systémů podle § 8 odst. 2 do 6 měsíců ode dne nabytí účinnosti této vyhlášky. V důvodných a ojedinělých případech a v souladu se zásadou hospodárnosti může tento orgán veřejné správy požádat Digitální a informační agenturu o odklad termínu migrace pod jednotnou státní doménu .gov.cz některých svých dosavadních informačních systémů, u kterých by migrace do 6 měsíců ode dne nabytí účinnosti této vyhlášky byla ekonomicky i technicky vysoce náročná, na pozdější datum.

Vyhláška č. 529/2006 Sb., o požadavcích na strukturu a obsah informační koncepce a provozní dokumentace a o požadavcích na řízení bezpečnosti a kvality informačních systémů veřejné správy (vyhláška o dlouhodobém řízení informačních systémů veřejné správy), se zrušuje.

Tato vyhláška nabývá účinnosti dnem 1. července 2024.

Ředitel:

Ing. Mesršmíd v. r.

Příloha k vyhlášce č. 360/2023 Sb.

Popis nákladové kategoriePopis nákladové komponentyA. Předběžné analýzy, tvorba zadání, výběr řešení a dodavatele – náklady nákupního procesuA1. Projektový záměr a úvodní studie (studie proveditelnosti, zadávací dokumentace, marketingový průzkum trhu)A2. Práce spojené s výběrem software (SW) aplikace a jejího dodavatele a výběrem hardware (HW) a jeho dodavatelůB. Nákup SW a HW pro projekt (ne v případě software jako služba (SaaS))B1. Stavební, provozní a komunikační infrastrukturaB2. Informační a komunikační technologie (ICT) - HW a interní sítěB3. Licence systémového SW – základní SW nutný pro provoz aplikace (operační systém, systém řízení báze dat, atd.)B4. Licence vývojového SW prostředí pro vývoj aplikace, nebo pro úpravy standardního SWB5. Pořízení aplikačního SWB6. Spojené HW+SW zařízení (Appliance)B7. Prostředky kybernetické bezpečnostiC. Analýza, vývoj, implementace a zkušební provozC1. Vedení projektu vývoje a implementace na straně orgánu veřejné správy (i dodavatele)C2. Vypracování celkové architektury řešení, včetně návrhu procesního chování budoucího řešeníC3. Náklady organizačních a procesních změn vyvolaných zavedením ICT službyC4. Oživení HW a systémového SW vývojového a implementačního prostředíC5. Vývoj a programové úpravy aplikaceC6. Customizace (nastavení parametrů) aplikaceC7. Integrace aplikace na ostatní aplikaceC8. Pořízení dat, migrace datC9. Testování (funkcionality, vazeb na jiné aplikace, výkonu, spolehlivosti, bezpečnosti)C10. Školení uživatelův projektu (započítávají se pouze náklady na vlastní školení, nikoliv časová ztráta školených zaměstnanců)C11. Akceptace a ověřovací provozC12. Implementace HW a SW pro kybernetickou bezpečnost, implementace bezpečnosti, auditC13. Ostatní přímé náklady na pořízení řešeníD. Provoz a podpora řešení HW a SW (ne v případě SaaS)D1. Provoz a podpora aplikací (service desk / podpora uživatelů při provozu aplikace – řešení incidentů a problémů)D2. Provoz a podpora ICT technologií (administrátoři, správci, technici na administraci aplikace, systému a sítě, řízení konfigurace a kapacit, řízení dostupnosti a dalších dohodnutých parametrů služby)D3. Provoz a podpora technologie datových center a komunikační infrastrukturyD4. Provoz a podpora prostředků kybernetické bezpečnostiD5. Zajištění kybernetické bezpečnosti provozu řešení a dodávky služebE. Hardware/Software údržba a průběžné úpravy (ne v případě SaaS)E1. Poplatky za roční standardní údržbu

HW a prvků infrastrukturyE2. Poplatky za roční standardní údržbu, typicky právo upgrade) vývojového, provozního i systémového SWE3. Poplatky za roční standardní údržbu (, typicky právo upgrade) aplikačního SWE4. Úpravy/rozvoj aplikace (nad standardní údržbu) – průběžné (interní, liniově řízené)E5. Poplatky za roční standardní údržbu prostředků kybernetické bezpečnostiE6. Úpravy/opravy/rozvoj HW a prvků síťové infrastruktury (nad standardní údržbu)E7. Úpravy/opravy/rozvoj vývojového, provozního i systémového SW (nad standardní údržbu)E8. Úpravy/opravy/rozvoj aplikace (nad standardní údržbu) – průběžné (interní, liniově řízené)E9. Úpravy/opravy/rozvoj HW+SW zařízení (Appliance) (nad standardní údržbu)E10. Úpravy/opravy/rozvoj prostředků kybernetické bezpečnosti (nad standardní údržbu)F. Projekty postupné inovace a zlepšování (plánované)F1. Funkční (procesní) inovační rozvojové projektyF2. Technologické rozvojové projektyF3. Roll-out projekty (rozšíření na další uživatele, organizace)F4. Projekty optimalizace řešení (např. konsolidace HW)G. Projekty upgrade (pokud jsou plánovány)G1. Projekty aplikačního upgradeG2. Projekty upgrade systémového SWG3. Projekty technologického upgradeG4. Projekty infrastrukturního upgradeH. Zvýšené náklady užívání řešení (pokud se vyskytnou)H1. Náklady ze ztráty produktivityH2. Náklady spojené s užíváním řešeníI. Útlum, konzervace a ukončení řešeníI1. Archivace, zakonzervování a útlum řešeníI2. Příprava dat pro migraci z řešení při ukončeníI3. Likvidace komponent řešeníX. Licence, HW, provoz, podpora, údržba, průběžný rozvoj - vše v subskripci (pouze SaaS)X1. Předplatné službyZ. Ostatní, do fází životního cyklu nerozlišitelné režijní nákladyZ1. Provozní režieZ2. Správní režie

1) Například zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů, zákon č. 106/1999 Sb., o svobodném přístupu k informacím, zákon č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti.