§ 5 vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností – Stanovení bezpečnostních rolí
Vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností · 409/2025 Sb. · Ostatní právní předpisy
Stručně: Paragraf 5 vyhlášky 409/2025 stanovuje konkrétní bezpečnostní role v rámci regulované služby, jako jsou manažer kybernetické bezpečnosti, architekt kybernetické bezpečnosti, garant aktiva a auditor kybernetické bezpečnosti, a definuje jejich hlavní úkoly a požadavky na odbornou způsobilost. Poskytovatel regulované služby musí mít jasně definované pozice pro řízení kybernetické bezpečnosti, přičemž každá z nich má specifické odpovědnosti a kvalifikační požadavky. (§ 5 zákona č. 409/2025 Sb., vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností, stav k 7. 10. 2026)
Klíčová fakta
- Předmět úpravy: Stanovení bezpečnostních rolí
- Lhůta nebo doba (odst. 1): „…kybernetické bezpečnosti nebo s řízením bezpečnosti informací po dobu alespoň 3 let“
- Lhůta nebo doba (odst. 2): „…bezpečnostních opatření a zajišťováním bezpečné architektury v délce alespoň 3 let.“
- Lhůta nebo doba (odst. 4): „…bezpečnosti nebo auditů systému řízení bezpečnosti informací v délce alespoň 3 let“
- Znění: aktuální úplné znění podle Sbírky zákonů (e-Sbírka), stav databáze k
- Zdroj: e-Sbírka, 409/2025 Sb.
(1) Manažer kybernetické bezpečnosti
a) je pověřen řízením systému řízení bezpečnosti informací, přičemž výkonem této role může být pověřena osoba, která je pro tuto činnost vyškolena a prokáže odbornou způsobilost praxí s řízením kybernetické bezpečnosti nebo s řízením bezpečnosti informací po dobu alespoň 3 let,
b) odpovídá za pravidelné informování vrcholného vedení o
1. činnostech vyplývajících z rozsahu jeho odpovědnosti a
2. stavu systému řízení bezpečnosti informací,
c) nesmí být pověřen výkonem rolí odpovědných za provoz technických aktiv regulované služby.
(2) Architekt kybernetické bezpečnosti je pověřen k zajištění návrhu implementace bezpečnostních opatření tak, aby byla zajištěna bezpečná architektura regulované služby, přičemž výkonem této role může být pověřena osoba, která je pro tuto činnost vyškolena a prokáže odbornou způsobilost praxí s navrhováním implementace bezpečnostních opatření a zajišťováním bezpečné architektury v délce alespoň 3 let.
(3) Garant aktiva je pověřen k zajištění rozvoje, použití a bezpečnost aktiva.
(4) Auditor kybernetické bezpečnosti
a) je pověřen prováděním auditu kybernetické bezpečnosti, přičemž výkonem této role může být pověřena osoba, která je pro tuto činnost vyškolena a prokáže odbornou způsobilost praxí s prováděním auditů kybernetické bezpečnosti nebo auditů systému řízení bezpečnosti informací v délce alespoň 3 let,
b) zaručuje, že provedení auditu kybernetické bezpečnosti je nestranné, a
c) nesmí být pověřen výkonem jiných bezpečnostních rolí.
Srozumitelný výklad
Co to znamená v praxi
- Poskytovatel regulované služby musí mít jasně definované pozice pro řízení kybernetické bezpečnosti, přičemž každá z nich má specifické odpovědnosti a kvalifikační požadavky.
- Osoby vykonávající tyto role musí prokázat odpovídající vzdělání a praxi, typicky alespoň tříletou, v dané oblasti.
- Je zavedena striktní dělba rolí, například manažer kybernetické bezpečnosti nesmí provozovat technická aktiva a auditor kybernetické bezpečnosti nesmí vykonávat jiné bezpečnostní role, což má zajistit objektivitu a nezávislost.
- Vrcholné vedení je pravidelně informováno manažerem kybernetické bezpečnosti o stavu systému řízení bezpečnosti informací.
Na co si dát pozor
- Při obsazování rolí je nutné pečlivě ověřit odbornou způsobilost a délku praxe kandidátů.
- Je třeba zajistit, aby nedocházelo ke střetu zájmů a k porušení zákazu souběhu některých rolí, zejména u manažera a auditora kybernetické bezpečnosti.
- Poskytovatel musí zajistit pravidelné informování vrcholného vedení o stavu kybernetické bezpečnosti.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 6 Způsob stanovení rozsahu bezpečnostních opatř (Vyhláška o stanovení rozsahu bezpečnostn)§ 39 Požárně technické charakteristiky (Vyhláška Ministerstva vnitra o stanovení)§ 36 Zrušovací ustanovení (Vyhláška o bezpečnostních opatřeních, ky)§ 7 Stanovení bezpečnostních požadavků pro dodava (Vyhláška o bezpečnostních opatřeních, ky)§ 19 Posuzování dokumentace staveb a technologií (Vyhláška Ministerstva vnitra, kterou se )