§ 3 Vyhláška o postupech kvalifikovaných poskytovatelů certifikačních služeb, o požadavcích na nástroje elektronického podpisu a o požadavcích na ochranu dat pro vytváření elektronických značek (vyhláška o postupech kvalifikovaných poskytovatelů certifikačních služeb) – POSTUPY POSKYTOVATELŮ

§ 3 POSTUPY POSKYTOVATELŮ Systémy podle § 6 odst. 1 písm. c) a d) zákona (dále jen „důvěryhodné systémy“) jsou bezpečné a bezpečnost postupů, které tyto systémy podporují, je dostačující, pokud kvalifikovaný poskytovatel certifikačních služeb (dále jen „poskytovatel“) a) používá důvěryhodné systémy a postupy, které splňují požadavky standardu pro tyto systémy, který je uveden v bodu 1 přílohy č. 1 této vyhlášky, a požadavky českých technických norem uvedených v bodech 2 a 3 přílohy č. 1 této vyhlášky; požadavky těchto standardů a českých technických norem stanovené pro důvěryhodné systémy používané pro vydávání a správu kvalifikovaných certifikátů se použijí obdobně pro důvěryhodné systémy používané pro vydávání a správu kvalifikovaných systémových certifikátů, b) při řízení bezpečnosti důvěryhodných systémů postupuje podle české technické normy uvedené v bodu 4 přílohy č. 1 této vyhlášky a má zaveden a uplatňuje systém řízení bezpečnosti informací podle české technické normy uvedené v bodu 5 přílohy č. 1 této vyhlášky, c) užívá prostory, ve kterých je zajišťováno vytváření kvalifikovaných certifikátů nebo kvalifikovaných systémových certifikátů, kvalifikovaných časových razítek, prostředků pro vytváření elektronických podpisů, zneplatňování kvalifikovaných certifikátů nebo kvalifikovaných systémových certifikátů, vytváření seznamů zneplatněných certifikátů, veškeré nakládání s daty pro vytváření elektronických značek a jim odpovídajícími daty pro ověřování elektronických značek poskytovatele, nakládání s kvalifikovaným systémovým certifikátem poskytovatele a vytváření záznamů o událostech s těmito činnostmi spojených, zabezpečené obdobně jako zabezpečené oblasti kategorie „Důvěrné“ podle zvláštního právního předpisu1) a je zpracována dokumentace stanovená tímto právním předpisem, d) má zpracovánu a průběžně aktualizuje bezpečnostní dokumentaci, e) postupuje v souladu se zásadami a postupy uvedenými v bezpečnostní dokumentaci, f) provádí kontrolu bezpečnostní shody podle této vyhlášky, g) provádí audit systému řízení bezpečnosti informací podle této vyhlášky.