§ 20 vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností – Řízení přístupových práv a oprávnění
Vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností · 409/2025 Sb. · Ostatní právní předpisy
Stručně: Paragraf 20 vyhlášky 409/2025 stanovuje povinnost pro regulované subjekty používat centralizovaný nástroj pro řízení přístupových práv a oprávnění k jejich aktivům, který umožňuje spravovat přístup a oprávnění pro čtení, zápis a změnu informací. Povinná osoba musí mít jeden systém, který spravuje, kdo má k čemu přístup, a to s ohledem na vzájemné souvislosti mezi jednotlivými aktivy (např. servery, databáze, aplikace). (§ 20 zákona č. 409/2025 Sb., vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností, stav k 7. 10. 2026)
Klíčová fakta
- Předmět úpravy: Řízení přístupových práv a oprávnění
- Znění: aktuální úplné znění podle Sbírky zákonů (e-Sbírka), stav databáze k
- Zdroj: e-Sbírka, 409/2025 Sb.
Povinná osoba pro řízení přístupových práv a oprávnění využívá nástroj,
a) který je centralizovaný s ohledem na vazby mezi aktivy,
b) kterým řídí práva pro přístup k jednotlivým aktivům a
c) kterým řídí oprávnění pro čtení a zápis informací a dat a změnu oprávnění.
Srozumitelný výklad
Co to znamená v praxi
- Povinná osoba musí mít jeden systém, který spravuje, kdo má k čemu přístup, a to s ohledem na vzájemné souvislosti mezi jednotlivými aktivy (např. servery, databáze, aplikace).
- Tento systém musí umožňovat nastavit, kdo smí k jakému aktivu přistupovat.
- Nástroj musí také řídit, zda uživatelé mohou data pouze číst, zapisovat je, nebo dokonce měnit svá vlastní oprávnění.
Na co si dát pozor
- Nástroj musí být "centralizovaný s ohledem na vazby mezi aktivy", což znamená, že by nemělo jít o nesourodou sadu nástrojů, ale o integrované řešení, které chápe vztahy mezi jednotlivými komponentami IT infrastruktury.
- Je třeba zajistit, aby nástroj efektivně řídil jak přístup k samotným aktivům, tak i konkrétní oprávnění pro manipulaci s daty v rámci těchto aktiv.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 19 Nástroj pro řízení přístupových oprávnění (Vyhláška o bezpečnostních opatřeních, ky)§ 20 Řízení přístupových oprávnění (Vyhláška o bezpečnostních opatřeních, ky)§ 12 Řízení přístupu (Vyhláška o bezpečnostních opatřeních, ky)§ 7 Řízení přístupu (Vyhláška o bezpečnostních opatřeních pos)§ 11 Řízení přístupu a bezpečné chování uživatelů (Vyhláška o bezpečnostních opatřeních, ky)