§ 4 vyhláška Úřadu pro ochranu osobních údajů o upřesnění podmínek stanovených v § 6 a 17 zákona o elektronickém podpisu a o upřesnění požadavků na nástroje elektronického podpisu – Bezpečnost informačního systému pro certifikační služby
Vyhláška Úřadu pro ochranu osobních údajů o upřesnění podmínek stanovených v § 6 a 17 zákona o elektronickém podpisu a o upřesnění požadavků na nástroje elektronického podpisu · 366/2001 Sb. · IT právo a ochrana dat
Stručně: Paragraf 4 vyhlášky 366/2001 stanovuje, jaké bezpečnostní požadavky musí splňovat informační systém pro certifikační služby a jaké záznamy musí poskytovatel certifikačních služeb vést pro doložení bezpečnosti. Informační systém pro certifikační služby musí zajistit důvěrnost, integritu, dostupnost a prokazatelnost původu dat, která zpracovává. (§ 4 zákona č. 366/2001 Sb., vyhláška Úřadu pro ochranu osobních údajů o upřesnění podmínek stanovených v § 6 a 17 zákona o elektronickém podpisu a o upřesnění požadavků na nástroje elektronického podpisu, stav k 7. 10. 2026)
Klíčová fakta
(1) Používaný informační systém pro certifikační služby se považuje za bezpečný, pokud u dat, která zpracovává, je zajištěna důvěrnost, integrita, dostupnost a prokazatelnost jejich původu a pokud odpovídá požadavkům technické normy upravující oblast informační bezpečnosti.1)
(2) Za účelem doložení bezpečnosti postupů podle § 6 odst. 1 písm. j) zákona o elektronickém podpisu poskytovatel certifikačních služeb vydávající kvalifikované certifikáty zajistí zaznamenávání událostí při
a) vydání kvalifikovaných certifikátů,
b) ukončení platnosti kvalifikovaných certifikátů,
c) nakládání s daty pro vytváření elektronického podpisu a jim odpovídajícími daty pro ověřování elektronického podpisu poskytovatele certifikačních služeb vydávajícího kvalifikované certifikáty (dále jen „párová data poskytovatele“), a to během jejich celého životního cyklu, a
d) nakládání s kvalifikovaným certifikátem poskytovatele certifikačních služeb vydávajícího kvalifikované certifikáty, a to během celého životního cyklu tohoto certifikátu.
(3) Záznamy o událostech podle odstavce 2 musí být pořizovány, uchovávány a zpracovávány se zachováním prokazatelnosti původu, dostupnosti, integrity, časové autentičnosti a důvěrnosti těchto záznamů.
(4) Prostory, kde dochází k činnosti podle odstavců 1 až 3 a podle § 5 odst. 1, musí být zabezpečeny obdobně jako objekty kategorie „D“ podle zvláštního právního předpisu.2)
(5) Za účelem doložení bezpečnosti postupů podle § 6 odst. 1 písm. j) a k) zákona o elektronickém podpisu poskytovatel certifikačních služeb vydávající kvalifikované certifikáty pořizuje písemné záznamy o tom, že osoby jím určené k zajišťování služeb spojených s elektronickými podpisy jsou
a) seznamovány v potřebném rozsahu s dokumenty uvedenými v § 2 odst. 1 písm. a) až e), a
b) proškolovány tak, aby jejich odborné předpoklady odpovídaly vykonávané činnosti.
Srozumitelný výklad
Co to znamená v praxi
- Informační systém pro certifikační služby musí zajistit důvěrnost, integritu, dostupnost a prokazatelnost původu dat, která zpracovává.
- Poskytovatel certifikačních služeb vydávající kvalifikované certifikáty musí zaznamenávat události spojené s vydáváním a ukončováním platnosti certifikátů, a také s nakládáním s daty pro vytváření a ověřování elektronického podpisu (tzv. párová data poskytovatele) a s kvalifikovaným certifikátem poskytovatele.
- Tyto záznamy musí být pořizovány, uchovávány a zpracovávány tak, aby byla zachována jejich prokazatelnost původu, dostupnost, integrita, časová autentičnost a důvěrnost.
- Prostory, kde probíhají tyto činnosti, musí být zabezpečeny jako objekty kategorie „D“.
- Poskytovatel certifikačních služeb musí mít písemné záznamy o tom, že osoby zajišťující služby jsou seznámeny s potřebnými dokumenty (§ 2 odst. 1 písm. a) až e)) a proškoleny pro svou činnost.
Příklad
Poskytovatel certifikačních služeb, který vydává kvalifikované elektronické podpisy, musí mít systém, který zaznamená přesný čas a datum, kdy byl každý certifikát vydán a kdy mu byla ukončena platnost. Tyto záznamy musí být uloženy tak, aby nikdo nemohl dodatečně změnit jejich obsah ani časové údaje.
Na co si dát pozor
- Záznamy o událostech musí být uchovávány tak, aby byla zajištěna jejich časová autentičnost, tedy aby bylo možné prokázat, kdy přesně událost nastala.
- Zabezpečení prostor musí odpovídat kategorii „D“ podle zvláštního právního předpisu, což znamená vysokou úroveň fyzické bezpečnosti.
- Školení a seznámení personálu s interními dokumenty musí být písemně doloženo.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 26 Žádost o opakovanou certifikaci informačního (Vyhláška o bezpečnosti informačních a ko)§ 47 Certifikační zpráva (Vyhláška o bezpečnosti informačních a ko)§ 51 Podmínky bezpečného provozování informačního (Vyhláška o bezpečnosti informačních a ko)§ 23 Požadavky na bezpečnost provozovaného informa (Vyhláška o bezpečnosti informačních a ko)§ 46 Způsob a podmínky provádění certifikace infor (Vyhláška o bezpečnosti informačních a ko)