§ 9 Vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností – Řízení dodavatelů

§ 9 Řízení dodavatelů (1) Povinná osoba při řízení dodavatelů a) stanoví pravidla pro dodavatele, která zohledňují požadavky systému řízení bezpečnosti informací, b) prokazatelně seznamuje své dodavatele s pravidly podle písmene a) a vyžaduje plnění těchto pravidel, c) řídí rizika spojená s dodavateli, d) identifikuje a eviduje své významné dodavatele ve smyslu § 2 písm. h), e) prokazatelně písemně informuje své významné dodavatele o jejich evidenci podle písmene d), f) zajistí v souvislosti s řízením rizik spojených s významnými dodavateli, aby smlouvy uzavírané s významnými dodavateli obsahovaly relevantní ustanovení uvedená v příloze č. 5 k této vyhlášce, a g) pravidelně přezkoumává plnění smluv s významnými dodavateli z hlediska systému řízení bezpečnosti informací. (2) Povinná osoba u významných dodavatelů dále a) provádí v rámci výběrového řízení podle zákona o zadávání veřejných zakázek2) nebo před uzavřením smlouvy hodnocení rizik souvisejících s plněním podle přílohy č. 4 k této vyhlášce, b) stanoví v rámci uzavíraných smluvních vztahů způsoby a úrovně realizace bezpečnostních opatření a smluvně určí obsah vzájemné odpovědnosti za zavedení a kontrolu bezpečnostních opatření, c) provádí pravidelné hodnocení rizik a pravidelnou kontrolu zavedených bezpečnostních opatření u poskytovaných plnění pomocí vlastních zdrojů nebo pomocí třetí strany a d) zajistí v reakci na rizika a zjištěné nedostatky jejich řešení, která budou přijata bez zbytečného odkladu. (3) Náležitosti prokazatelného informování podle odstavce 1 písm. e) jsou a) identifikační údaje povinné osoby, včetně uvedení, že povinná osoba je poskytovatelem regulované služby v režimu vyšších povinností, b) název regulované služby povinné osoby, c) identifikační údaje významného dodavatele a d) prohlášení, že dodavatel je pro povinnou osobu významným dodavatelem.