§ 16 vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností – Provádění auditu kybernetické bezpečnosti
Vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností · 409/2025 Sb. · Ostatní právní předpisy
Stručně: Paragraf 16 vyhlášky 409/2025 stanovuje povinnost provádět audit kybernetické bezpečnosti, který posuzuje zavedená bezpečnostní opatření, jejich soulad s předpisy a nejlepší praxí, a na základě výsledků auditu se stanovují nápravná opatření. Povinná osoba musí mít plán pro provádění auditů kybernetické bezpečnosti. (§ 16 zákona č. 409/2025 Sb., vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností, stav k 7. 10. 2026)
Klíčová fakta
- Předmět úpravy: Provádění auditu kybernetické bezpečnosti
- Lhůta nebo doba (odst. 3): „…bezpečnosti podle odstavce 2 případná nápravná opatření, která budou přijata bez zbytečného odkladu.“
- Lhůta nebo doba (odst. 4): „v pravidelných intervalech alespoň jednou za 2 roky a“
- Lhůta nebo doba (odst. 5): „…celcích tak, aby byl naplněn celý rozsah auditu podle odstavce 2 alespoň jednou za 5 let.“
- Odkazuje na: § 5
- Znění: aktuální úplné znění podle Sbírky zákonů (e-Sbírka), stav databáze k
- Zdroj: e-Sbírka, 409/2025 Sb.
(1) Povinná osoba stanoví plán provádění auditu kybernetické bezpečnosti.
(2) Povinná osoba při auditu kybernetické bezpečnosti
a) posuzuje, zda byla zavedena bezpečnostní opatření požadovaná zákonem a touto vyhláškou,
b) posuzuje soulad zavedených bezpečnostních opatření s právními předpisy, vnitřními předpisy, smluvními závazky a nejlepší praxí a
c) provádí a dokumentuje audit dodržování pravidel a postupů stanovených v bezpečnostní politice, včetně přezkoumání technické shody a dříve stanovených nápravných opatření podle odstavce 3 písm. b).
(3) Povinná osoba
a) zahrne výsledky auditu kybernetické bezpečnosti podle odstavce 2 do
1. plánu rozvoje bezpečnostního povědomí,
2. řízení rizik a
b) stanoví na základě výsledku auditu kybernetické bezpečnosti podle odstavce 2 případná nápravná opatření, která budou přijata bez zbytečného odkladu.
(4) Audit kybernetické bezpečnosti podle odstavce 2 je prováděn
a) při významných změnách, a to v rámci jejich rozsahu,
b) v pravidelných intervalech alespoň jednou za 2 roky a
c) v souladu s plánem auditu kybernetické bezpečnosti.
(5) Není-li v odůvodněných případech možné provést audit v celém rozsahu podle odstavce 2 ve lhůtě podle odstavce 4 písm. b), je možné audit kybernetické bezpečnosti provádět průběžně po systematických celcích tak, aby byl naplněn celý rozsah auditu podle odstavce 2 alespoň jednou za 5 let.
(6) Audit kybernetické bezpečnosti musí být prováděn osobou vyhovující podmínkám stanoveným v § 5 odst. 4, která nezávisle hodnotí správnost a účinnost zavedených bezpečnostních opatření.
Srozumitelný výklad
Co to znamená v praxi
- Povinná osoba musí mít plán pro provádění auditů kybernetické bezpečnosti.
- Audit zjišťuje, zda jsou zavedena bezpečnostní opatření požadovaná zákonem a vyhláškou, a prověřuje jejich soulad s právními předpisy, vnitřními pravidly, smluvními závazky a osvědčenými postupy.
- Výsledky auditu se promítají do plánu rozvoje bezpečnostního povědomí a řízení rizik, a na jejich základě se stanovují nápravná opatření.
- Audity se provádějí při významných změnách, pravidelně alespoň jednou za 2 roky a v souladu s plánem auditu. V odůvodněných případech lze audit rozložit na menší celky, ale celý rozsah musí být pokryt alespoň jednou za 5 let.
Na co si dát pozor
- Audit musí být prováděn nezávislou osobou, která splňuje podmínky stanovené v § 5 odst. 4.
- Nápravná opatření zjištěná auditem musí být přijata bez zbytečného odkladu.
- Audit je nutné provádět nejen pravidelně, ale i při každé významné změně v rozsahu této změny.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 37 Účinnost (Vyhláška o bezpečnostních opatřeních, ky)§ 4 Katalog prací ve veřejných službách a správě (Nařízení vlády o katalogu prací ve veřej)§ 7 Bezpečnostní role (Vyhláška o bezpečnostních opatřeních, ky)§ 14 Seznam bezpečnostních opatření (Zákon o kybernetické bezpečnosti)§ 35 ÚČINNOST (Vyhláška o bezpečnostních opatřeních, ky)