Zákon o informačních systémech veřejné správy a o změně některých dalších zákonů

(1) Agentura vymaže z katalogu cloud computingu poptávku cloud computingu,

a) o jejíž zápis do katalogu cloud computingu požádal orgán veřejné správy, na základě požadavku tohoto orgánu veřejné správy, a to do 15 dnů ode dne uplatnění požadavku,

b) o jejíž zápis do katalogu cloud computingu požádal orgán veřejné správy, po uplynutí doby 1 roku ode dne, kdy byla poptávka cloud computingu do katalogu cloud computingu zapsána,

c) o jejíž zápis do katalogu cloud computingu požádal orgán veřejné správy, na základě zápisu cloud computingu, který je předmětem poptávky cloud computingu, do katalogu cloud computingu podle § 6x,

d) kterou zapsalo do katalogu cloud computingu podle § 6o odst. 1 věty druhé, na základě vlastního vyhodnocení potřeby využívání cloud computingu orgány veřejné správy.

(2) Agentura vyrozumí prostřednictvím informačního systému cloud computingu orgán veřejné správy, na základě jehož požadavku byla poptávka cloud computingu do katalogu cloud computingu zapsána, o výmazu poptávky cloud computingu podle odstavce 1 písm. a) a b).

(1) Agentura rozhodne o zápisu poskytovatele cloud computingu do katalogu cloud computingu na základě jeho žádosti, splňuje-li poskytovatel cloud computingu požadavky podle § 6m odst. 1. O žádosti rozhodne Agentura do 45 dnů ode dne jejího podání; proti rozhodnutí o žádosti není rozklad přípustný.

(2) Je-li žádosti v plném rozsahu vyhověno, písemné vyhotovení rozhodnutí se nevydává. Takové rozhodnutí nabývá právní moci dnem zápisu poskytovatele cloud computingu do katalogu cloud computingu. O zápisu do katalogu cloud computingu Agentura vyrozumí poskytovatele cloud computingu, který o zápis požádal.

(3) Poskytovatel cloud computingu podává žádost elektronicky ve strojově čitelném formátu.

(4) Poskytovatel cloud computingu uvede v žádosti

a) údaje o sobě v rozsahu údajů, které se o poskytovateli cloud computingu vedou v katalogu cloud computingu,

b) adresu svého sídla, má-li jej mimo území České republiky.

(5) Poskytovatel cloud computingu k žádosti připojí

a) doklad vydaný orgánem státu, v němž má sídlo, obsahující identifikační údaje osob, které jsou jeho skutečným majitelem; část věty před středníkem se nepoužije, má-li poskytovatel cloud computingu sídlo na území České republiky,

b) doklad o svých zkušenostech s poskytováním cloud computingu za posledních 5 let,

c) doklad o tom, že splňuje požadavky pro certifikaci nebo audit pro oblast ochrany důvěrnosti, integrity a dostupnosti informací, pokud jsou požadovány právním předpisem vydaným podle § 12 odst. 2,

d) doklad o své bezúhonnosti, nelze-li bezúhonnost potvrdit postupem podle § 12 zákona o Rejstříku trestů; ustanovení právního předpisu upravujícího elektronickou identifikaci o dokladech prokazujících bezúhonnost kvalifikovaného správce kvalifikovaného systému elektronické identifikace se použijí obdobně,

e) doklad vydaný orgánem státu, v němž má sídlo, a doklad vydaný orgánem státu, na jehož území předpokládá dlouhodobé uložení informací orgánu veřejné správy, že nemá evidován nedoplatek vůči žádnému z orgánů těchto států; část věty před středníkem se ve vztahu k dokladu vydanému orgánem státu, v němž má poskytovatel cloud computingu sídlo, nepoužije, má-li poskytovatel cloud computingu sídlo na území České republiky.

(6) Nevydává-li orgán státu doklad podle odstavce 5 písm. a) nebo e), poskytovatel cloud computingu jej může nahradit čestným prohlášením.

(1) Agentura si vyžádá pro účely posouzení splnění požadavků podle § 6m odst. 1 písm. a) závazné stanovisko Národního úřadu pro kybernetickou a informační bezpečnost. Národní úřad pro kybernetickou a informační bezpečnost vydá závazné stanovisko do 3 měsíců od jeho vyžádání.

(2) Agentura si vyžádá pro účely posouzení splnění požadavku podle § 6m odst. 1 písm. c) informace o tom, zda poskytovatel cloud computingu nemá evidovaný nedoplatek u

a) orgánu Finanční správy České republiky,

b) orgánu Celní správy České republiky,

c) orgánu sociálního zabezpečení na pojistném a na penále na sociální zabezpečení a příspěvku na státní politiku zaměstnanosti a

d) zdravotní pojišťovny na pojistném a na penále na veřejné zdravotní pojištění.

(3) Pro rozsah údajů poskytnutých podle odstavce 2 se přiměřeně použijí ustanovení daňového řádu o rozsahu údajů v potvrzení o stavu osobního daňového účtu. Poskytnutí těchto údajů není porušením mlčenlivosti podle daňového řádu.

(4) Agentura si vyžádá pro účely posouzení splnění požadavku podle § 6m odst. 1 písm. c) údaje o skutečném majiteli poskytovatele cloud computingu z evidence údajů o skutečných majitelích; pro tento účel umožní Ministerstvo spravedlnosti Agentuře dálkový přístup k údajům o skutečném majiteli podle právního předpisu upravujícího veřejné rejstříky právnických a fyzických osob.

(5) Agentura je oprávněna si vyžádat pro účely posouzení splnění požadavku podle § 6m odst. 1 písm. c) informace Národního úřadu pro kybernetickou a informační bezpečnost, Policie České republiky, zpravodajské služby nebo jiného orgánu.

(6) Po dobu od vyžádání vyjádření nebo informace podle odstavců 2, 4 a 5 do jejich poskytnutí lhůta podle § 6q odst. 1 neběží, nejdéle však po dobu 3 měsíců.

(7) Dokumenty týkající se posuzování splnění požadavků podle § 6m odst. 1, které obsahují utajované informace nebo jiné informace, na něž se vztahuje zákonem uložená nebo uznaná povinnost mlčenlivosti, se uchovávají odděleně mimo spis.

(1) Agentura rozhodne o výmazu poskytovatele cloud computingu z katalogu cloud computingu,

a) požádá-li o to poskytovatel cloud computingu, a to do 15 dnů ode dne podání žádosti, nebo

b) zjistí-li, že poskytovatel cloud computingu přestal splňovat požadavek podle § 6m odst. 1 písm. a) a nezjednal-li nápravu ve lhůtě stanovené Agenturou, která nesmí být kratší než 30 dnů, nebo zjistí-li, že poskytovatel cloud computingu přestal splňovat požadavek podle § 6m odst. 1 písm. b) nebo c).

(2) Proti rozhodnutí podle odstavce 1 není rozklad přípustný.

(3) Agentura vyrozumí prostřednictvím informačního systému cloud computingu o výmazu poskytovatele cloud computingu z katalogu cloud computingu orgán veřejné správy, který využívá cloud computing tohoto poskytovatele cloud computingu; ve vyrozumění uvede datum výmazu a jeho důvody.

(4) Ustanovení § 6r se na výmaz poskytovatele cloud computingu z katalogu cloud computingu použijí obdobně.

(1) Agentura rozhodne o zápisu nabídky cloud computingu zařazeného do jiné než nejnižší bezpečnostní úrovně do katalogu cloud computingu na základě žádosti poskytovatele státního cloud computingu nebo poskytovatele cloud computingu zapsaného v katalogu cloud computingu, splňuje-li nabízený cloud computing požadavky podle § 6n písm. a), b), d) a f) a požadavek podle § 6n písm. e), pokud jde o požadavky podle § 6n písm. b) a d) a požadavek na poskytování podpůrného cloud computingu poskytovatelem státního cloud computingu nebo poskytovatelem cloud computingu zapsaným v katalogu cloud computingu. Agentura rozhodne o zápisu nabídky cloud computingu zařazeného do nejnižší bezpečnostní úrovně do katalogu cloud computingu na základě žádosti poskytovatele podle věty první, splňuje-li nabízený cloud computing požadavky podle § 6n písm. a) a f) a požadavek podle § 6n písm. e), pokud jde o požadavek na poskytování podpůrného cloud computingu poskytovatelem státního cloud computingu nebo poskytovatelem cloud computingu zapsaným v katalogu cloud computingu. O žádosti podle vět první a druhé rozhodne Agentura do 30 dnů ode dne jejího podání; proti rozhodnutí o žádosti není rozklad přípustný.

(2) Je-li žádosti v plném rozsahu vyhověno, písemné vyhotovení rozhodnutí se nevydává. Takové rozhodnutí nabývá právní moci dnem zápisu nabídky cloud computingu do katalogu cloud computingu. Agentura o zápisu do katalogu cloud computingu vyrozumí poskytovatele cloud computingu, který o zápis požádal.

(3) Poskytovatel cloud computingu podává žádost elektronicky ve strojově čitelném formátu.

(4) Poskytovatel cloud computingu může v žádosti uvést pouze jednu nabídku jednoho cloud computingu nebo jednu nabídku více cloud computingů zařazených do stejné bezpečnostní úrovně.

(5) Poskytovatel cloud computingu uvede v žádosti

a) údaje o nabídce cloud computingu v rozsahu údajů, které se o nabídce cloud computingu vedou v katalogu cloud computingu,

b) údaj, zda je poskytování nabízeného cloud computingu závislé na využití jiného cloud computingu, identifikaci tohoto cloud computingu a jeho poskytovatele a popis využití jiného cloud computingu, včetně rozsahu využití,

c) údaj, zda je poskytování nabízeného cloud computingu závislé na více poskytovatelích cloud computingu, identifikaci těchto poskytovatelů cloud computingu a popis jejich zapojení do poskytování nabízeného cloud computingu, včetně rozsahu zapojení.

(6) Poskytovatel cloud computingu k žádosti připojí

a) seznam svých dodavatelů, u kterých předpokládá zpracovávání informací orgánu veřejné správy,

b) doklad o tom, že nabízený cloud computing splňuje požadavky pro certifikaci nebo audit pro oblast ochrany důvěrnosti, integrity a dostupnosti informací, pokud jsou požadovány právním předpisem vydaným podle § 12 odst. 2,

c) dokumentaci nabízeného cloud computingu,

d) zprávu o provedení penetračního testu nabízeného cloud computingu, pokud je požadována právním předpisem vydaným podle § 12 odst. 2,

e) plán zajištění kontinuity provozu nabízeného cloud computingu a plán na obnovu poskytování nabízeného cloud computingu po havárii, pokud jsou požadovány právním předpisem vydaným podle § 12 odst. 2; namísto plánů lze připojit auditní zprávu osvědčující jejich existenci,

f) doklad o zhodnocení zdrojů rizik nabízeného cloud computingu, pokud je požadován právním předpisem vydaným podle § 12 odst. 2,

g) podklady k ověření splnění požadavku na zajištění důvěrnosti, integrity a dostupnosti informací nabízeným cloud computingem, pokud jsou požadovány právním předpisem vydaným podle § 12 odst. 2.

(7) Je-li poskytování nabízeného cloud computingu závislé na využití jiného cloud computingu a není-li jiný cloud computing ke dni podání žádosti předmětem nabídky cloud computingu zapsané v katalogu cloud computingu, poskytovatel cloud computingu k žádosti dále připojí

a) smlouvu s poskytovatelem cloud computingu, který poskytuje cloud computing, na jehož využití je závislé poskytování nabízeného cloud computingu, (dále jen „podpůrný cloud computing“),

b) seznam dodavatelů poskytovatele podpůrného cloud computingu, u kterých poskytovatel podpůrného cloud computingu předpokládá zpracovávání informací orgánu veřejné správy,

c) doklad o tom, že podpůrný cloud computing splňuje požadavky pro certifikaci nebo audit pro oblast ochrany důvěrnosti, integrity a dostupnosti informací podpůrným cloud computingem, pokud jsou požadovány právním předpisem vydaným podle § 12 odst. 2,

d) dokumentaci podpůrného cloud computingu,

e) zprávu o provedení penetračního testu podpůrného cloud computingu, pokud je požadována právním předpisem vydaným podle § 12 odst. 2,

f) plán zajištění kontinuity provozu podpůrného cloud comutingu a plán na obnovu poskytování podpůrného cloud computingu po havárii, pokud jsou požadovány právním předpisem vydaným podle § 12 odst. 2; namísto plánů lze připojit auditní zprávu osvědčující jejich existenci,

g) doklad o zhodnocení zdrojů rizik podpůrného cloud computingu, pokud je požadován právním předpisem vydaným podle § 12 odst. 2,

h) podklady k ověření splnění požadavku na zajištění důvěrnosti, integrity a dostupnosti informací podpůrným cloud computingem, pokud jsou požadovány právním předpisem vydaným podle § 12 odst. 2.

(8) Je-li poskytování nabízeného cloud computingu závislé na více poskytovatelích cloud computingu, poskytovatel cloud computingu k žádosti dále připojí

a) smlouvu o poskytování nabízeného cloud computingu s těmito poskytovateli cloud computingu,

b) seznam dodavatelů těchto poskytovatelů cloud computingu, u kterých tito poskytovatelé cloud computingu předpokládají zpracovávání informací orgánu veřejné správy.

(1) Agentura si vyžádá pro účely posouzení splnění požadavků podle § 6n písm. b) a e) závazné stanovisko Národního úřadu pro kybernetickou a informační bezpečnost; část věty před středníkem se nepoužije v případě žádosti o zápis nabídky cloud computingu zařazeného do nejnižší bezpečnostní úrovně. Národní úřad pro kybernetickou a informační bezpečnost vydá závazné stanovisko podle věty první do 30 dnů od jeho vyžádání.

(2) Ustanovení § 6r odst. 7 se na zápis nabídky cloud computingu do katalogu cloud computingu použije obdobně.

(1) Agentura rozhodne o zápisu aktualizace nabídky cloud computingu zapsané v katalogu cloud computingu na základě žádosti poskytovatele cloud computingu, který požádal o její zápis do katalogu cloud computingu, je-li splněna podmínka podle odstavce 4. O žádosti rozhodne Agentura do 30 dnů ode dne jejího podání; proti rozhodnutí o žádosti není rozklad přípustný.

(2) Je-li žádosti v plném rozsahu vyhověno, písemné vyhotovení rozhodnutí se nevydává. Takové rozhodnutí nabývá právní moci dnem zápisu aktualizace nabídky cloud computingu do katalogu cloud computingu. O zápisu do katalogu cloud computingu Agentura vyrozumí poskytovatele cloud computingu, který o zápis požádal.

(3) Poskytovatel cloud computingu uvede v žádosti údaje o nabídce cloud computingu v rozsahu údajů, které se o nabídce cloud computingu vedou v katalogu cloud computingu a které jsou aktualizací dotčeny. Poskytovatel cloud computingu k žádosti připojí podklady podle § 6t odst. 6 až 8, v nichž jsou vyjádřeny skutečnosti, jež jsou aktualizací dotčeny.

(4) Podmínkou aktualizace nabídky cloud computingu zapsané v katalogu cloud computingu je, že

a) nabízený cloud computing bude po aktualizaci nadále splňovat podmínky pro zápis do katalogu cloud computingu,

b) aktualizace se nedotýká údajů charakterizujících nabízený cloud computing s výjimkou objemu, rámcové ceny nebo názvu konkrétní cloudové služby.

(5) Ustanovení § 6r odst. 7 a § 6u odst. 1 se na aktualizaci nabídky cloud computingu zapsané v katalogu cloud computingu použijí obdobně.

(1) Agentura rozhodne o výmazu nabídky cloud computingu z katalogu cloud computingu,

a) požádá-li o výmaz poskytovatel cloud computingu, o jehož nabídku se jedná, a to do 15 dnů ode dne podání žádosti,

b) zjistí-li, že nabízený cloud computing přestal splňovat požadavky podle § 6n a nezjednal-li poskytovatel cloud computingu nápravu ve lhůtě stanovené Agenturou, která nesmí být kratší než 15 dnů,

c) uplyne-li doba 3 let ode dne, kdy byla nabídka cloud computingu do katalogu cloud computingu zapsána, pokud poskytovatel cloud computingu nepotvrdil Agentuře, že nabídka cloud computingu je stále platná, nebo uplyne-li doba 3 let ode dne, kdy poskytovatel cloud computingu naposledy potvrdil Agentuře, že nabídka cloud computingu je stále platná; Agentura vyzve prostřednictvím informačního systému cloud computingu poskytovatele cloud computingu, aby potvrdil platnost nabídky cloud computingu po uplynutí doby 30 měsíců ode dne, kdy byla nabídka cloud computingu do katalogu cloud computingu zapsána, a dále vždy po uplynutí doby 30 měsíců ode dne, kdy mu poskytovatel cloud computingu potvrdil, že nabídka cloud computingu je stále platná,

d) o jejíž zápis do katalogu cloud computingu požádal poskytovatel cloud computingu, u něhož došlo k výmazu z katalogu cloud computingu, a to současně s výmazem poskytovatele cloud computingu; je-li poskytování nabízeného cloud computingu závislé na více poskytovatelích cloud computingu zapsaných do katalogu cloud computingu, postačí výmaz kteréhokoliv z těchto poskytovatelů cloud computingu,

e) o jejíž zápis do katalogu cloud computingu požádal poskytovatel cloud computingu, a u níž došlo k výmazu poskytovatele podpůrného cloud computingu z katalogu cloud computingu, a to současně s výmazem poskytovatele podpůrného cloud computingu.

(2) Týká-li se žádost o výmaz nabídky cloud computingu podle odstavce 1 písm. a), zjištění podle odstavce 1 písm. b) nebo potvrzení platnosti nabídky cloud computingu podle odstavce 1 písm. c) nabídky cloud computingu obsahující více cloud computingů zařazených do stejné bezpečnostní úrovně, Agentura vymaže z katalogu cloud computingu u nabídky cloud computingu pouze cloud computing, jehož se žádost, zjištění nebo potvrzení platnosti týká.

(3) Proti rozhodnutí podle odstavce 1 není rozklad přípustný.

(4) Agentura vyrozumí prostřednictvím informačního systému cloud computingu o výmazu nabídky cloud computingu nebo její části z katalogu cloud computingu orgán veřejné správy, který využívá cloud computing, který je předmětem nabídky; ve vyrozumění uvede datum výmazu a jeho důvody.

(5) Ustanovení § 6r odst. 7 se na výmaz nabídky cloud computingu nebo její části z katalogu cloud computingu použije obdobně.

Orgán veřejné správy zapíše cloud computing, který využívá, do katalogu cloud computingu, a to do 45 dnů ode dne nabytí platnosti smlouvy o poskytnutí cloud computingu. Věta první se nepoužije v případě cloud computingu poskytovaného podle § 6l odst. 1 písm. c).

(1) Dojde-li v době, kdy je cloud computing předmětem nabídky cloud computingu zapsané v katalogu cloud computingu nebo kdy je poskytován orgánu veřejné správy, ke změně údajů vedených v katalogu cloud computingu, které poskytuje poskytovatel cloud computingu, anebo skutečností vyjádřených v podkladech podle § 6q odst. 5 nebo § 6t odst. 6 až 8, poskytovatel cloud computingu o této změně bezodkladně vyrozumí Agenturu a současně mu předloží aktuální podklady.

(2) Poskytovatel cloud computingu předkládá po dobu, kdy je cloud computing předmětem nabídky cloud computingu zapsané v katalogu cloud computingu nebo kdy je poskytován orgánu veřejné správy, v intervalech stanovených prováděcím právním předpisem Agentuře doklady o splnění požadavku pro certifikaci nebo audit pro oblast ochrany důvěrnosti, integrity a dostupnosti informací podle § 6q odst. 5 písm. c), § 6t odst. 6 písm. b) a § 6t odst. 7 písm. c) a zprávu o provedení penetračního testu podle § 6t odst. 6 písm. d) a § 6t odst. 7 písm. e).

(3) Orgán veřejné správy zapíše do katalogu cloud computingu vždy do 3 měsíců od skončení rozpočtového období údaje o finančním objemu nákladů vynaložených v souvislosti s využívaním cloud computingu za uplynulé rozpočtové období za každý informační systém veřejné správy, pro který orgán veřejné správy využívá nebo využíval cloud computing.

Orgán veřejné správy vymaže cloud computing, jehož využívání ukončil, z katalogu cloud computingu, a to do 45 dnů ode dne pozbytí platnosti smlouvy o poskytnutí cloud computingu.

(1) Akreditující osobě, která

a) neprovádí akreditaci podle akreditačních pravidel, s nimiž Agentura vyslovila souhlas [§ 6 odst. 4 písm. a)],

b) vydá osvědčení o akreditaci, aniž by splňovala personální požadavky [§ 6 odst. 4 písm. d)],

c) neohlásí bezodkladně Agentuře, že nemá po dobu delší než 3 měsíce zajištěné zdroje potřebné pro výkon svých činností [§ 6 odst. 4 písm. f)],

d) nepostupuje při provádění akreditace nestranně [§ 6 odst. 4 písm. e)], nebo

e) nesplní ve stanovené lhůtě povinnost předání informací Agentuře (§ 6a odst. 3),

lze uložit pokutu do 100 000 Kč.

(2) Atestační středisko se dopustí přestupku tím, že

a) neprovádí atestaci podle postupů atestačního střediska schválených Agenturou (§ 6b odst. 3),

b) vyhodnotilo způsob dlouhodobého řízení informačních systémů veřejné správy v rozporu s osvědčením o akreditaci (§ 6a) nebo tímto zákonem,

c) vydá atest na dlouhodobé řízení informačních systémů veřejné správy, na jejichž vývoji, přípravě, výrobě nebo na obchodu se jakkoliv podílelo samo nebo s ním ekonomicky nebo personálně spojená osoba (§ 6d odst. 2),

d) nesplní ve stanovené lhůtě povinnost vydání protokolu o provedené zkoušce (§ 6d odst. 4),

e) nesplní ve stanovené lhůtě povinnost předání informací Agentuře (§ 6d odst. 7), nebo

f) nesplní ve stanovené lhůtě povinnost zveřejnění atestačních podmínek (§ 6e odst. 1).

(3) Právnická nebo podnikající fyzická osoba se jako provozovatel informačního systému veřejné správy dopustí přestupku tím, že

a) nepředá data a provozní údaje na vyžádání správce informačního systému veřejné správy podle § 9e odst. 1, nebo

b) v rozporu s § 9e odst. 2 nebo 3

1. nepředá data a provozní údaje po ukončení provozování informačního systému veřejné správy,

2. nezlikviduje kopie dat a provozních údajů, nebo

3. neumožní správci informačního systému veřejné správy dohled nad průběhem likvidace kopií dat a provozních údajů.

(4) Poskytovatel cloud computingu se dopustí přestupku tím, že poskytuje orgánu veřejné správy nebo poskytovateli státního cloud computingu cloud computing, který nesplňuje požadavky na cloud computing využívaný orgánem veřejné správy podle § 6n.

(5) Orgán veřejné správy se dopustí přestupku tím, že

a) využívá cloud computing v rozporu s § 6l odst. 1,

b) nesplní ve stanovené lhůtě povinnost ukončit využívání cloud computingu podle § 6l odst. 2,

c) nesplní povinnost zařadit informační systém nebo jeho část do bezpečnostní úrovně podle § 6l odst. 3, nebo

d) nezajišťuje dodržování bezpečnostních pravidel podle § 6l odst. 3.

(6) Za přestupek lze uložit pokutu do

a) 10 000 000 Kč, jde-li o přestupek podle odstavce 4 nebo 5,

b) 1 000 000 Kč, jde-li o přestupek podle odstavce 2 písm. a) až c) nebo odstavce 3 písm. b) bodu 1 nebo 2,

c) 200 000 Kč, jde-li o přestupek podle odstavce 3 písm. a) nebo písm. b) bodu 3,

d) 100 000 Kč, jde-li o přestupek podle odstavce 2 písm. d) až f).

Přestupky podle tohoto zákona projednává Agentura.

Úkon, jehož náležitostí má být podpis toho, kdo jej činí, učiněný prostřednictvím informačního systému veřejné správy se považuje za podepsaný, umožňuje-li informační systém veřejné správy prokázání totožnosti toho, kdo úkon činí, s využitím elektronické identifikace, autorizaci úkonu tím, kdo úkon činí, a zpětné prokázání projevu vůle toho, kdo úkon činí.

(1) Podání správním orgánům lze činit v rozsahu a za podmínek stanovených jinými právními předpisy prostřednictvím kontaktního místa veřejné správy (Českého podacího ověřovacího informačního národního terminálu - Czech POINT). Kontaktní místo veřejné správy může dále doručovat dokumenty veřejných orgánů.

(2) Kontaktními místy veřejné správy jsou

a) notáři,

b) krajské úřady,

c) matriční úřady,

d) obecní úřady, úřady městských částí nebo městských obvodů územně členěných statutárních měst a úřady městských částí hlavního města Prahy, jejichž seznam stanoví prováděcí právní předpis,

e) zastupitelské úřady určené ministrem zahraničních věcí; Ministerstvo zahraničních věcí zveřejní seznam takových zastupitelských úřadů na svých internetových stránkách,

f) držitel poštovní licence15), Hospodářská komora České republiky a Agrární komora České republiky,

g) banka, pojišťovna, zdravotní pojišťovna a poskytovatel univerzální služby podle právního předpisu upravujícího elektronické komunikace, kterým byla Agenturou udělena autorizace k výkonu působnosti kontaktního místa veřejné správy (dále jen „osoba autorizovaná Agenturou“).

(3) Držitel poštovní licence, Hospodářská komora České republiky, Agrární komora České republiky a osoba autorizovaná Agenturou mohou za provedení správního úkonu kontaktního místa veřejné správy nebo jiného správního úkonu svěřeného jim zvláštním zákonem požadovat poplatek, jehož výše nesmí přesáhnout sazbu správního poplatku stanovenou pro tento správní úkon v právním předpisu upravujícím správní poplatky.

(4) Nestanoví-li tento zákon nebo jiný právní předpis jinak, je působnost kontaktního místa veřejné správy výkonem přenesené působnosti krajských a obecních úřadů.

(5) Označení Český podací ověřovací informační národní terminál nebo Czech POINT lze užít jen pro kontaktní místo veřejné správy.

(6) Informační systém, jehož prostřednictvím je zajišťován výkon působnosti kontaktních míst veřejné správy, spravuje Agentura. Tento informační systém je informačním systémem veřejné správy.

(1) Agentura udělí na žádost banky, pojišťovny, zdravotní pojišťovny nebo poskytovatele univerzální služby podle právního předpisu upravujícího elektronické komunikace autorizaci k výkonu působnosti kontaktního místa veřejné správy, splňuje-li věcné, personální, technické, bezpečnostní a organizační podmínky pro výkon této působnosti. Agentura rozhodne o žádosti o udělení autorizace do 3 měsíců ode dne jejího podání. Autorizace se uděluje na dobu 5 let.

(2) Agentura stanovuje věcné, personální, technické, bezpečnostní a organizační podmínky pro výkon působnosti kontaktního místa veřejné správy a zveřejňuje je ve Věstníku Agentury a způsobem umožňujícím dálkový přístup. Stanoví-li Agentura nové podmínky podle věty první, povinnost osoby autorizované Agenturou splňovat tyto podmínky nastane nejdříve prvním dnem šestého kalendářního měsíce následujícího po kalendářním měsíci, v němž došlo k jejich zveřejnění, nestanoví-li Agentura delší dobu.

(3) Osoba autorizovaná Agenturou je povinna uhradit za autorizaci k výkonu působnosti kontaktního místa veřejné správy poplatek 200 000 Kč. Osoba autorizovaná Agenturou uhradí poplatek do 30 dnů ode dne, kdy rozhodnutí Agentury o udělení autorizace nabylo právní moci. Poplatek je příjmem státního rozpočtu, vybírá jej Agentura.

(4) Osoba autorizovaná Agenturou odpovídá za škodu způsobenou v souvislosti s výkonem působnosti kontaktního místa veřejné správy. Osoba autorizovaná Agenturou se odpovědnosti zprostí, prokáže-li, že škodě nemohlo být zabráněno ani při vynaložení veškerého úsilí, které lze na ní požadovat.

(5) Agentura kontroluje u osoby autorizované Agenturou plnění věcných, personálních, technických, bezpečnostních a organizačních podmínek pro výkon působnosti kontaktního místa veřejné správy.

(6) Agentura je oprávněna omezit osobě autorizované Agenturou na nezbytně nutnou dobu přístup do informačního systému, jehož prostřednictvím je zajišťován výkon působnosti kontaktních míst veřejné správy, porušila-li osoba autorizovaná Agenturou věcné, personální, technické, bezpečnostní nebo organizační podmínky pro výkon působnosti kontaktního místa veřejné správy způsobem vážně ohrožujícím funkčnost informačního systému, jehož prostřednictvím je zajišťován výkon působnosti kontaktních míst veřejné správy.

(7) Agentura odejme autorizaci k výkonu působnosti kontaktního místa veřejné správy,

a) nesplňuje-li osoba autorizovaná Agenturou věcné, personální, technické, bezpečnostní nebo organizační podmínky pro výkon působnosti kontaktního místa veřejné správy a nedojde-li do 3 měsíců ode dne, kdy Agentura na tuto skutečnost upozornila, k nápravě,

b) požádá-li o to osoba autorizovaná Agenturou, nebo

c) nezaplatí-li osoba autorizovaná Agenturou poplatek za autorizaci k výkonu působnosti kontaktního místa veřejné správy ve stanovené lhůtě.

(8) Agentura vede seznam osob autorizovaných Agenturou a zveřejňuje jej způsobem umožňujícím dálkový přístup. Pro potřeby vedení seznamu osoba autorizovaná Agenturou bezodkladně informuje Agenturu o počtu pracovišť, jejichž prostřednictvím vykonává působnost kontaktního místa veřejné správy, adresách těchto pracovišť a o změnách počtu těchto pracovišť a jejich adres.

(1) Z informačních systémů veřejné správy nebo jejich částí, které jsou veřejnými evidencemi, rejstříky nebo seznamy, vydávají orgány veřejné správy, které jsou správci těchto systémů, na požádání úplný nebo částečný výpis ze zápisu vedeného v elektronické podobě v tomto informačním systému. Z informačních systémů veřejné správy nebo jejich částí, které jsou neveřejnými evidencemi, rejstříky nebo seznamy, vydávají správci, pokud tak stanoví zvláštní právní předpis, na požádání úplný nebo částečný výpis ze zápisu vedeného v elektronické podobě v tomto informačním systému osobě, které se zápis přímo týká, nebo osobě, která je podle zvláštního právního předpisu oprávněna žádat informaci uvedenou v zápisu, a to v rozsahu tímto zvláštním právním předpisem stanoveném.

(2) Stanoví-li tak zvláštní právní předpis, výpis podle odstavce 1 nebo potvrzení o tom, že určitý údaj v informačním systému veřejné správy není, v elektronické podobě zabezpečené způsobem zajišťujícím integritu, případně původ dat (dále jen „výstup z informačního systému veřejné správy“), ověřují a ověřené výstupy z informačních systémů veřejné správy na žádost vydávají kontaktní místa veřejné správy. S přihlédnutím k současným technickým podmínkám mohou kontaktní místa veřejné správy vydávat ověřené výstupy i z ostatních informačních systémů veřejné správy, které jsou veřejnými evidencemi, rejstříky nebo seznamy.

(3) Ověřeným výstupem z informačního systému veřejné správy (dále jen „ověřený výstup“) se rozumí listina, která vznikla úplným převodem výstupu z informačního systému veřejné správy z elektronické do listinné podoby (§ 9a).

(4) Osoba, která je držitelem prostředku pro elektronickou identifikaci, který umožňuje přístup se zaručenou identitou, je oprávněna obstarat si s využitím tohoto prostředku výstup z informačního systému veřejné správy, který je neveřejnou evidencí, rejstříkem nebo seznamem, který se jí přímo týká, nebo údaje vedené o ní v tomto informačním systému veřejné správy, a to alespoň prostřednictvím portálu veřejné správy nebo s využitím národního bodu pro identifikaci a autentizaci, anebo poskytnout tento výstup nebo údaje jiné osobě anebo veřejnému orgánu. Správce portálu veřejné správy zveřejní na portálu veřejné správy seznam informačních systémů veřejné správy, z nichž lze výstup nebo údaje takto obstarat anebo poskytnout. Vydání výstupu nebo údajů anebo poskytnutí výstupu nebo údajů zajistí orgán veřejné správy, který je správcem informačního systému veřejné správy; po dohodě s ním může vydání výstupu nebo údajů zajistit správce portálu veřejné správy nebo správce národního bodu pro identifikaci a autentizaci.

(5) Výpis v listinné podobě, výstup z informačního systému veřejné správy a ověřený výstup podle odstavce 3 jsou veřejnými listinami.

(1) Ověřením výstupu z informačního systému veřejné správy se rozumí ověření té skutečnosti, že listina vznikla převedením výstupu z informačního systému veřejné správy z elektronické do listinné podoby. Ověření se provede ověřovací doložkou, která obsahuje

a) údaj o ověření toho, že ověřený výstup odpovídá výstupu z informačního systému veřejné správy,

b) údaj o tom, z kolika listů se skládá ověřený výstup,

c) údaj o tom, že ověřený výstup obsahuje částečný výpis z informačního systému veřejné správy, pokud neobsahuje výstup úplný,

d) místo a datum vyhotovení doložky o ověření,

e) pořadové číslo, pod kterým je ověření vedeno v evidenci ověření výstupu z informačního systému veřejné správy,

f) otisk úředního razítka a podpis ověřujícího.

(2) Ověřovací doložku vyhotoví ověřující na listině, která vznikla převedením výstupu z informačního systému veřejné správy z elektronické do listinné podoby, nebo ověřovací doložku vyhotoví zvlášť a s touto listinou ji pevně spojí. Listina, která vznikla převedením výstupu z informačního systému veřejné správy z elektronické do listinné podoby, a na ní vyhotovená nebo s ní pevně spojená ověřovací doložka, se považují za jednu listinu.

(1) Ti, kteří vydávají ověřené výstupy (dále jen „ověřující“), jsou povinni při ověřování výstupu z informačního systému veřejné správy používat pouze takové technické zařízení, které výstup z informačního systému veřejné správy, který má být ověřen, zobrazí do formy, v níž je jeho obsah pro fyzickou osobu čitelný tak, aby jeho interpretace odpovídala zápisu v informačním systému veřejné správy.

(2) Ověřující je povinen provést veškeré úkony potřebné k tomu, aby ověřil tu skutečnost, že výstup z informačního systému veřejné správy je zabezpečen způsobem zajišťujícím integritu, případně původ dat.

(3) Při vydávání ověřených výstupů na základě výpisů podle § 9 odst. 1 věty druhé je ověřující povinen prověřit oprávnění žadatele a zjistit jeho totožnost. Jde-li o právnickou osobu, zjišťuje její existenci a totožnost osob jednajících jejím jménem.

(4) Ověřující je povinen vést evidenci vydaných ověřených výstupů. Evidence obsahuje alespoň tyto údaje:

a) pořadové číslo, pod kterým je ověření vedeno v evidenci ověření výstupu z informačního systému veřejné správy,

b) datum vyhotovení doložky o ověření,

c) je-li žadatelem fyzická osoba jméno, příjmení, datum narození a dále jméno, příjmení a datum narození osoby, jejíž totožnost byla pro účely vydání ověřeného výstupu ověřena, včetně druhu a čísla průkazu, jímž byla totožnost zjištěna, je-li ověření totožnosti předepsáno; je-li žadatelem právnická osoba, její obchodní firmu nebo název, adresu sídla, identifikační číslo, je-li přiděleno, a jméno, příjmení, datum narození osoby nebo osob, jednajících jménem této právnické osoby, nebo osoby jednající za právnickou osobu jejím jménem na základě zastoupení.

(1) Správci informačních systémů veřejné správy jsou povinni předat ověřující osobě na požádání bezodkladně výstup z informačního systému veřejné správy opatřený datem a časem s uvedením hodiny, minuty a sekundy, kdy byl výstup vytvořen, a datem a časem s uvedením hodiny, minuty a sekundy okamžiku, ke kterému správce odpovídá za soulad výstupu se stavem zápisu v informačním systému veřejné správy (dále jen „okamžik platnosti údajů“), a zabezpečený způsobem zajišťujícím integritu, případně původ dat.

(2) Správci informačních systémů veřejné správy odpovídají za soulad výpisu, který vydávají podle § 9, nebo výstupu z informačního systému veřejné správy se stavem zápisu v informačním systému veřejné správy k okamžiku platnosti údajů.

(3) Správci informačních systémů veřejné správy, které jsou neveřejnými evidencemi, rejstříky nebo seznamy, jsou povinni předat ověřující osobě výstup z informačního systému veřejné správy tak, aby byl tento výstup z informačního systému veřejné správy v průběhu předání odpovídajícím způsobem skryt před třetími osobami.

(1) Správce informačního systému veřejné správy je oprávněn požadovat za poskytnutí výstupu z informačního systému veřejné správy ověřujícímu úplatu, a to za každý poskytnutý výstup z informačního systému veřejné správy částku, která je stanovena zvláštním právním předpisem jako poplatek za vydání výpisu z předmětného záznamu, jenž má jednu stránku16).

(2) Správní poplatek za vydání ověřeného výstupu vydaného ověřujícím podle § 8a odst. 2 písm. b) až e) stanoví zvláštní právní předpis16).

(3) Odměnu notáře za vydávání ověřených výstupů stanoví zvláštní právní předpis17).

(1) Provozovatel informačního systému veřejné správy předá bezodkladně na vyžádání správce informačního systému veřejné správy data a provozní údaje týkající se provozovaného informačního systému veřejné správy.

(2) Provozovatel informačního systému veřejné správy předá bezodkladně po ukončení provozování informačního systému veřejné správy data a provozní údaje týkající se provozovaného informačního systému veřejné správy správci informačního systému veřejné správy a kopie těchto dat a provozních údajů zlikviduje.

(3) Provozovatel informačního systému veřejné správy postupuje při likvidaci kopií dat a provozních údajů týkajících se provozovaného informačního systému veřejné správy podle pravidel stanovených právním předpisem upravujícím kybernetickou bezpečnost pro likvidaci dat, provozních údajů, informací a jejich kopií. Provozovatel informačního systému veřejné správy umožní správci informačního systému veřejné správy dohled nad průběhem likvidace kopií dat a provozních údajů, nevylučuje-li to způsob provozování informačního systému veřejné správy.

(4) Provozovatel informačního systému veřejné správy má právo na úhradu účelně vynaložených nákladů za předání dat a provozních údajů podle odstavců 1 a 2.

(5) Ustanovení právního předpisu upravujícího práva k duševnímu vlastnictví nejsou předáním dat a provozních údajů podle odstavců 1 a 2 dotčena.

(1) Informační systémy, které orgány veřejné správy ke dni účinnosti tohoto zákona již spravují, provozují nebo budují, musí orgány veřejné správy nejpozději do 2 let ode dne účinnosti tohoto zákona uvést do souladu s tímto zákonem nebo ukončit jejich činnost.

(2) V případě informačních systémů veřejné správy, jejichž správci jsou orgány územní samosprávy, které nevykonávají státní správu v přenesené působnosti, se na tyto správce povinnosti uvedené v § 5 odst. 2 písm. c), f), g) a h) vztahují po uplynutí doby 2 let ode dne nabytí účinnosti těchto ustanovení zákona.

(1) Úřad pro státní informační systém se zrušuje.

(2) Dosavadní působnost Úřadu pro státní informační systém stanovená zvláštními zákony13) přechází na Úřad.

(3) Práva a povinnosti z pracovněprávních a jiných právních vztahů přecházejí z Úřadu pro státní informační systém na Úřad.

(1) Agentura stanoví vyhláškou

a) požadavky na strukturu a náležitosti hodnocení ekonomické výhodnosti způsobu provozu informačních systémů veřejné správy podle § 5 odst. 2 písm. j), hodnocení ekonomické výhodnosti provozu informačního systému veřejné správy podle § 5 odst. 2 písm. k) a hodnocení ekonomické výhodnosti využití poptávaného cloud computingu podle § 6o odst. 4 a postup při jejich provádění,

b) požadavky na strukturu a náležitosti informační koncepce orgánu veřejné správy, postupy orgánů veřejné správy při jejím vytváření, vydávání, při vyhodnocování jejího dodržování, požadavky na řízení informačních systémů veřejné správy, včetně dekomponování informačních systémů veřejné správy, technické požadavky na informační systémy veřejné správy, pravidla pro strukturování dat v informačních systémech veřejné správy a bezpečnostní požadavky na zajištění důvěrnosti, integrity a dostupnosti informací zpracovávaných v informačních systémech veřejné správy spravovaných orgány veřejné správy, které nejsou orgány nebo osobami, kterým se ukládají povinnosti v oblasti kybernetické bezpečnosti podle zákona upravujícího kybernetickou bezpečnost, podle § 5a odst. 2,

c) požadavky na strukturu a náležitosti provozní dokumentace podle § 5a odst. 3 a na rozsah provozní dokumentace předkládané při atestaci podle § 5a odst. 4,

d) postupy atestačních středisek při posuzování dlouhodobého řízení informačních systémů veřejné správy podle § 6d odst. 1 písm. b),

e) údaje o poptávkách cloud computingu, poskytovatelích cloud computingu, nabídkách cloud computingu a o cloud computingu využívaném orgány veřejné správy podle § 6k odst. 2,

f) požadavky na náležitosti smlouvy o poskytování cloud computingu orgánu veřejné správy podle § 6l odst. 3,

g) požadavky na náležitosti dokladu o zkušenostech poskytovatele cloud computingu s poskytováním cloud computingu podle § 6q odst. 5 písm. b),

h) požadavky na strukturu a náležitosti dokumentace nabízeného cloud computingu podle § 6t odst. 6 písm. c) a dokumentace podpůrného cloud computingu podle § 6t odst. 7 písm. d),

i) seznam obecních úřadů, úřadů městských částí nebo městských obvodů územně členěných statutárních měst a úřadů městských částí hlavního města Prahy podle § 8a odst. 2 písm. d),

j) náležitosti a vzor formuláře žádosti o vyjádření podle § 5 odst. 2 písm. b) a f) a žádosti o posouzení podle § 5 odst. 2 písm. c).

(2) Národní úřad pro kybernetickou a informační bezpečnost stanoví vyhláškou

a) požadavky na zajištění základní úrovně ochrany důvěrnosti, integrity a dostupnosti informací orgánu veřejné správy podle § 6m odst. 1 písm. a) a § 6n písm. b),

b) seznam certifikací a auditů pro oblast ochrany důvěrnosti, integrity a dostupnosti informací podle § 6q odst. 5 písm. c), § 6t odst. 6 písm. b) a § 6t odst. 7 písm. c), doklady o jejich splnění a intervaly pro předkládání těchto dokladů podle § 6y odst. 2,

c) požadavky na strukturu a náležitosti zprávy o provedení penetračního testu podle § 6t odst. 6 písm. d) a § 6t odst. 7 písm. e) a intervaly pro její předkládání,

d) požadavky na náležitosti auditní zprávy osvědčující existenci plánu zajištění kontinuity provozu nabízeného cloud computingu a plánu na obnovu poskytování nabízeného cloud computingu po havárii podle § 6t odst. 6 písm. e) a § 6t odst. 7 písm. f),

e) požadavky na strukturu a náležitosti dokladu o zhodnocení zdrojů rizik podle § 6t odst. 6 písm. f) a § 6t odst. 7 písm. g),

f) požadavky na strukturu a náležitosti podkladů k ověření splnění požadavku na zajištění důvěrnosti, integrity a dostupnosti informací podle § 6t odst. 6 písm. g) a § 6t odst. 7 písm. h),

g) bezpečnostní úrovně informačních systémů veřejné správy,

h) obsah a rozsah bezpečnostních pravidel pro orgány veřejné správy využívající služeb cloud computingu podle § 6l odst. 3.

(3) Agentura a Ministerstvo vnitra stanoví vyhláškou požadavky na strukturu a náležitosti záznamů o poskytnutí a využití údajů a o přístupu do informačního systému veřejné správy podle § 5e.

1. V sazebníku správních poplatků uvedeném v příloze k zákonu č. 368/1992 Sb., o správních poplatcích, ve znění zákona č. 10/1993 Sb., zákona č. 85/1994 Sb., zákona č. 273/1994 Sb., zákona č. 36/1995 Sb., zákona č. 301/1995 Sb., zákona č. 305/1997 Sb., zákona č. 149/1998 Sb., zákona č. 157/1998 Sb., zákona č. 167/1998 Sb., zákona č. 63/1999 Sb., zákona č. 166/1999 Sb., zákona č. 167/1999 Sb., zákona č. 326/1999 Sb., zákona č. 352/1999 Sb., zákona č. 357/1999 Sb., zákona č. 360/1999 Sb., zákona č. 363/1999 Sb., zákona č. 62/2000 Sb., zákona č. 117/2000 Sb., zákona č. 133/2000 Sb., zákona č. 151/2000 Sb., zákona č. 153/2000 Sb., zákona č. 154/2000 Sb., zákona č. 156/2000 Sb., zákona č. 158/2000 Sb., zákona č. 227/2000 Sb., zákona č. 241/2000 Sb., zákona č. 242/2000 Sb. a zákona č. 307/2000 Sb., se doplňuje část XIV, která zní:

„ČÁST XIV

Položka 164

Podání žádosti o udělení statutu atestačního střediska Kč 100 000“.

2. REJSTŘÍK K SAZEBNÍKU se doplňuje o část XIV, která zní:

„ČÁST XIV

Řízení podle zákona o informačních systémech veřejné správy a o změně některých dalších zákonů164“.

3. Tečka za částí XIII se zrušuje.

V § 2 odst. 1 bodu 6 zákona č. 2/1969 Sb., o zřízení ministerstev a jiných ústředních orgánů státní správy České republiky, ve znění zákona č. 272/1996 Sb., se slova „Úřad pro státní informační systém“ nahrazují slovy „Úřad pro veřejné informační systémy“.

Tento zákon nabývá účinnosti dnem vyhlášení, s výjimkou ustanovení

a) § 5 odst. 2 písm. c), které nabývá účinnosti dnem 1. července 2001;

b) § 5 odst. 2 písm. f), které nabývá účinnosti dnem 1. ledna 2001;

c) § 5 odst. 2 písm. g), které nabývá účinnosti dnem 1. ledna 2002;

d) § 5 odst. 2 písm. h), které nabývá účinnosti dnem 1. ledna 2001 a pro zveřejňování informací dálkovým přístupem nabývá účinnosti dnem 1. ledna 2002;

e) § 6, které nabývá účinnosti dnem 1. července 2001.

Klaus v. r.

Havel v. r.

Zeman v. r.

7a) Zákon č. 218/2000 Sb., o rozpočtových pravidlech a o změně některých souvisejících zákonů (rozpočtová pravidla), ve znění pozdějších předpisů.

9a) § 61 odst. 1 písm. a) zákona č. 128/2000 Sb., o obcích (obecní zřízení), ve znění pozdějších předpisů.

11) § 116 a násl. občanského zákoníku.

11a) Zákon č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení, ve znění pozdějších předpisů.

11c) Zákon č. 82/1998 Sb., o odpovědnosti za škodu způsobenou při výkonu veřejné moci rozhodnutím nebo nesprávným úředním postupem a o změně zákona České národní rady č. 358/1992 Sb., o notářích a jejich činnosti (notářský řád), ve znění pozdějších předpisů.

13) § 64d zákona č. 199/1994 Sb., o zadávání veřejných zakázek, ve znění zákona č. 28/2000 Sb.

§ 62 zákona č. 26/2000 Sb., o veřejných dražbách.

15) Zákon č. 29/2000 Sb., o poštovních službách a o změně některých zákonů (zákon o poštovních službách), ve znění pozdějších předpisů.

16) Zákon č. 634/2004 Sb., o správních poplatcích, ve znění pozdějších předpisů.

17) Vyhláška č. 196/2001 Sb., o odměnách a náhradách notářů a správců dědictví, ve znění vyhlášky č. 42/2002 Sb.