Zákon o ochraně utajovaných informací a o bezpečnostní způsobilosti

(1) Podmínky uvedené v § 6 odst. 2 písm. a) a c) musí fyzická osoba, která je držitelem oznámení, splňovat po celou dobu přístupu k utajované informaci stupně utajení Vyhrazené.

(2) Fyzická osoba podle odstavce 1 je povinna

a) písemně sdělovat tomu, kdo vydal oznámení,

1. změnu týkající se podmínek uvedených v § 6 odst. 2 písm. a) a c),

2. odcizení, ztrátu nebo poškození oznámení,

3. den doručení osvědčení fyzické osoby nebo dokladu,

4. skutečnosti uvedené v § 9 odst. 3 písm. c), f) a j),

a to ve lhůtě 15 dnů ode dne, kdy tato změna nebo skutečnost nastala, nebo se o ní fyzická osoba dozvěděla, a v případě zániku platnosti oznámení podle § 9 odst. 3 písm. j) do 30 dnů,

b) v případech podle § 9 odst. 2 předložit ve stanovené lhůtě na žádost toho, kdo vydal oznámení,

1. výpis z evidence Rejstříku trestů11), v případě cizince i obdobný doklad státu, jehož je cizinec státním příslušníkem, jakož i státu, v němž cizinec pobýval nepřetržitě po dobu delší než 6 měsíců v posledních 5 letech, anebo výpisem z evidence Rejstříku trestů s přílohou obsahující informace, které jsou zapsané v evidenci trestů takového státu; v případě, že cizí stát doklad obdobný výpisu z rejstříku trestů nevydává, čestné prohlášení, a

2. prohlášení fyzické osoby o svéprávnosti;

tyto doklady nesmějí být starší než 3 měsíce.

(1) Fyzické osobě lze umožnit přístup k utajované informaci stupně utajení Přísně tajné, Tajné nebo Důvěrné, jestliže jej nezbytně potřebuje k výkonu své funkce, pracovní nebo jiné činnosti, je držitelem platného osvědčení fyzické osoby (§ 54) příslušného stupně utajení a je poučena, nestanoví-li tento zákon nebo zvláštní právní předpis jinak (§ 58 až 62).

(2) Před prvním přístupem k utajované informaci stupně utajení Přísně tajné, Tajné nebo Důvěrné ten, kdo je vůči fyzické osobě v rámci služebního poměru nebo pracovněprávního, členského či obdobného vztahu osobou odpovědnou, zajistí její poučení. Jde-li o fyzickou osobu ve vztahu, vůči níž není odpovědná osoba podle věty první, zajistí poučení odpovědná osoba toho, kdo fyzické osobě přístup k utajované informaci umožní. Poučení podepisuje fyzická osoba a ten, kdo poučení provedl; jeden výtisk poučení jí předá, jeden výtisk uloží12) a kopii zašle Úřadu; kopii poučení lze Úřadu zaslat i elektronicky. Povinnost zaslání kopie poučení Úřadu se nevztahuje na zpravodajské služby v případech podle § 140 odst. 1 písm. a) a na Ministerstvo vnitra v případech podle § 141 odst 1.

(3) Poučení ředitele Úřadu a ředitele Bezpečnostní informační služby provede předseda vlády, poučení ředitele Úřadu pro zahraniční styky a informace provede ministr vnitra a poučení ředitele Vojenského zpravodajství provede ministr obrany; pro podpis, předání a uložení výtisku poučení platí odstavec 2 obdobně.

(4) V případě zániku platnosti osvědčení fyzické osoby (§ 56 odst. 1) nebo skončení služebního poměru nebo pracovněprávního, členského či obdobného vztahu, ve kterém byl fyzické osobě umožněn přístup k utajované informaci, se má za to, že fyzická osoba poučena není.

V případě skončení služebního poměru nebo pracovněprávního, členského či obdobného vztahu nebo při změně služebního úřadu, ve kterém byl fyzické osobě umožněn přístup k utajovaným informacím, je tato osoba povinna písemně potvrdit, že si je vědoma povinnosti zachovávat mlčenlivost o utajovaných informacích, ke kterým měla přístup, a neumožnit k nim přístup neoprávněné osobě. Odpovědná osoba je povinna zajistit provedení tohoto úkonu.

(1) Osvědčení fyzické osoby Úřad vydá fyzické osobě, která

a) je státním občanem České republiky nebo státním příslušníkem členského státu Evropské unie nebo Organizace Severoatlantické smlouvy,

b) splňuje podmínky uvedené v § 6 odst. 2 písm. a) a b),

c) je bezpečnostně spolehlivá a

d) je bezúhonná podle § 13.

(2) Podmínky uvedené v odstavci 1 musí fyzická osoba splňovat po celou dobu platnosti osvědčení fyzické osoby (§ 55).

(1) Podmínku bezúhonnosti pro účely vydání osvědčení fyzické osoby splňuje fyzická osoba, která nebyla pravomocně odsouzena za spáchání úmyslného trestného činu nebo trestného činu vztahujícího se k ochraně utajovaných informací, nebo se na ni hledí, jako by odsouzena nebyla. Jestliže trestní stíhání pro takový trestný čin bylo podmíněně zastaveno nebo bylo podmíněně odloženo podání návrhu na potrestání, je podmínka bezúhonnosti splněna až poté, co se fyzická osoba osvědčila podle jiného právního předpisu57). V případě rozhodnutí o schválení narovnání v trestním řízení o úmyslném trestném činu je podmínka bezúhonnosti splněna, pokud od právní moci takového rozhodnutí uplynula doba alespoň 5 let.

(2) Podmínka bezúhonnosti se ověřuje opisem z evidence Rejstříku trestů11) a v případě cizince dokladem obdobným výpisu z evidence Rejstříku trestů státu, jehož je cizinec státním příslušníkem, jakož i státu, v němž cizinec pobýval po dosažení věku 15 let nepřetržitě po dobu delší než 6 měsíců, anebo výpisem z evidence Rejstříku trestů s přílohou obsahující informace, které jsou zapsané v evidenci trestů takového státu. V případě, že cizí stát doklad obdobný výpisu z rejstříku trestů nevydává, prokazuje se podmínka bezúhonnosti čestným prohlášením. Doklady k ověření bezúhonnosti nesmějí být starší než 3 měsíce.

(1) Podmínku bezpečnostní spolehlivosti splňuje fyzická osoba, u níž není zjištěno bezpečnostní riziko.

(2) Bezpečnostním rizikem je

a) činnost proti zájmu České republiky,

b) činnost spočívající v potlačování základních práv a svobod, anebo podpora takové činnosti,

c) skutečnost, že jsou majetkové poměry zjevně nepřiměřené řádně přiznaným příjmům fyzické osoby, nebo

d) opakované neposkytnutí nezbytné součinnosti nebo neudělení souhlasu podle § 107 odst. 4 v probíhajícím řízení o zrušení platnosti osvědčení fyzické osoby, pokud bez poskytnutí součinnosti nelze ve věci rozhodnout.

(3) Za bezpečnostní riziko lze též považovat

a) zařazení do složky bývalé Státní bezpečnosti s rozvědným nebo kontrarozvědným zaměřením, zpravodajské správy Generálního štábu Československé lidové armády nebo odboru vnitřní ochrany Sboru nápravné výchovy anebo prokazatelnou spolupráci s bývalou Státní bezpečností nebo zpravodajskou správou Generálního štábu Československé lidové armády nebo odborem vnitřní ochrany Sboru nápravné výchovy,

b) úmyslné porušení právních předpisů, na jehož základě může nastat újma zájmu České republiky,

c) chování, které má negativní vliv na důvěryhodnost nebo ovlivnitelnost fyzické osoby,

d) styky s osobou, která vyvíjí nebo vyvíjela činnost proti zájmu České republiky,

e) porušení podmínek přístupu k utajovaným informacím nebo jiné povinnosti při ochraně utajovaných informací, nebo

f) skutečnost, že fyzická osoba trpí takovou poruchou zdraví nebo se ve struktuře její osobnosti vyskytují takové charakteristiky, které mohou mít negativní vliv na její schopnost utajovat informace.

(4) Bezpečnostní rizika uvedená v odstavci 2 písm. a) až c) a v odstavci 3 písm. a) se v řízení zjišťují za období od 15 let věku. Bezpečnostní riziko uvedené v odstavci 2 písm. d) se zjišťuje pouze v probíhajícím řízení o zrušení platnosti osvědčení fyzické osoby. Bezpečnostní rizika uvedená v odstavci 3 písm. b) až e) se zjišťují za období 10 let pro stupeň utajení Důvěrné, 15 let pro stupeň utajení Tajné a 20 let pro stupeň utajení Přísně tajné předcházejících dni zahájení řízení nebo za období od 15 let věku podle toho, které z nich je kratší.

(5) Při posuzování, zda skutečnost uvedená v odstavci 3 je bezpečnostním rizikem, se přihlíží k tomu, do jaké míry může ovlivnit schopnost utajovat informace, k době jejího výskytu, k jejímu rozsahu, charakteru a k chování fyzické osoby v období uvedeném v odstavci 4.

(6) Zpravodajská služba u svých příslušníků, zaměstnanců a uchazečů o přijetí do služebního poměru nebo základního pracovněprávního vztahu může při ověřování podmínky bezpečnostní spolehlivosti provést fyziodetekční vyšetření. Zpravodajská služba u svých příslušníků, zaměstnanců a uchazečů o přijetí do služebního poměru nebo základního pracovněprávního vztahu v případech podle § 140 odst. 1 písm. a) a Ministerstvo vnitra v případech podle § 141 odst. 1 může při zjišťování a posuzování skutečností podle odstavce 3 písm. f) provést psychologické nebo lékařské vyšetření odborným pracovištěm zpravodajské služby nebo Ministerstva vnitra.

Přístup k utajované informaci lze umožnit podnikateli, který je fyzickou osobou s trvalým pobytem na území České republiky zapsanou do živnostenského rejstříku, obchodního rejstříku nebo jiné evidence vedené podle jiného zákona registrující osoby a provozuje podnikatelskou činnost nebo právnickou osobou se sídlem v České republice zapsanou v obchodním rejstříku, jejíž hlavní činností je podnikatelská činnost, jestliže jej nezbytně potřebuje k výkonu své činnosti, a pokud při přístupu k utajované informaci

a) stupně utajení Vyhrazené

1. doloží písemným prohlášením svou schopnost zabezpečit ochranu utajovaných informací (dále jen „prohlášení podnikatele“), nebo

2. je držitelem platného osvědčení podnikatele, nebo

b) stupně utajení Důvěrné a vyšší je držitelem platného osvědčení podnikatele příslušného stupně utajení,

není-li stanoveno v § 58 až 62 jinak.

(1) Podnikatel je oprávněn učinit prohlášení podnikatele, pokud

a) má pro ochranu utajované informace stupně utajení Vyhrazené vytvořeny podmínky odpovídající formě přístupu k této informaci (§ 20) a příslušnému druhu zajištění její ochrany (§ 5),

b) odpovědná osoba je držitelem oznámení, osvědčení fyzické osoby nebo dokladu.

(2) Splnění podmínek pro přístup k utajované informaci podle § 15 písm. a) bodu 1 prokazuje podnikatel poskytovateli utajované informace stupně utajení Vyhrazené (dále jen „poskytovatel vyhrazené informace“) předáním prohlášení podnikatele před prvním přístupem k této informaci; ten je oprávněn od podnikatele požadovat předložení bezpečnostní dokumentace podnikatele. Poskytovatel vyhrazené informace zašle kopii prohlášení podnikatele neprodleně Úřadu.

(3) Podnikatel, u něhož utajovaná informace stupně utajení Vyhrazené bude pouze vznikat, zašle prohlášení podnikatele neprodleně poté, co ho učiní, Úřadu.

(4) Podnikatel, který ukončuje přístup k utajované informaci stupně utajení Vyhrazené, neprodleně písemně oznámí tuto skutečnost tomu, komu podle odstavce 2 nebo 3 předal nebo zaslal prohlášení podnikatele; to neplatí, došlo-li k zániku prohlášení podnikatele podle odstavce 5 písm. a).

(5) Platnost prohlášení podnikatele zaniká

a) uplynutím 5 let ode dne, kdy bylo učiněno,

b) dnem doručení písemného oznámení podnikatele podle odstavce 4 poskytovateli vyhrazené informace nebo Úřadu,

c) dnem doručení osvědčení podnikatele pro formu přístupu podle § 20 odst. 1 písm. a) nebo pro stejnou formu přístupu podnikatele k utajované informaci,

d) zrušením nebo zánikem podnikatele,

e) přestal-li podnikatel splňovat některou z podmínek uvedených v odstavci 1, nebo

f) změnou některého z údajů uvedených v prohlášení podnikatele.

(6) Podnikatel neprodleně písemně oznámí zánik platnosti prohlášení podnikatele podle odstavce 5 písm. c), e) a f) tomu, komu podle odstavce 2 nebo 3 předal nebo zaslal prohlášení podnikatele.

(7) Náležitosti prohlášení podnikatele stanoví prováděcí právní předpis.

(1) Osvědčení podnikatele Úřad vydá podnikateli,

a) který je ekonomicky stabilní,

b) který je bezpečnostně spolehlivý,

c) který je způsobilý zabezpečit ochranu utajovaných informací,

d) pokud odpovědná osoba je držitelem platného osvědčení fyzické osoby nejméně pro takový stupeň utajení, pro který žádá podnikatel o vydání osvědčení podnikatele,

e) který je bezúhonný.

(2) Podmínky uvedené v odstavci 1 musí podnikatel splňovat po celou dobu platnosti osvědčení podnikatele (§ 55).

(1) Podmínku ekonomické stability nesplňuje podnikatel,

a) u kterého soud vyhlásil moratorium15),

b) vůči jehož majetku je vydáno rozhodnutí o úpadku15),

c) u kterého byla zavedena nucená správa nebo v posledních 3 letech dočasná správa anebo na něj v posledních 3 letech bylo uplatněno opatření k řešení krize podle zákona upravujícího ozdravné postupy a řešení krize na finančním trhu, nebo

d) který na základě řádných účetních závěrek v posledních 5 po sobě jdoucích účetních obdobích vykazuje záporný vlastní kapitál.

(2) Za ekonomicky nestabilního lze též považovat podnikatele,

a) který má evidován nedoplatek na pojistném na sociální zabezpečení, na příspěvku na státní politiku zaměstnanosti nebo na pojistném na veřejné zdravotní pojištění, včetně penále,

b) který má evidován nedoplatek na dani z příjmů, na dani z přidané hodnoty nebo na jiné dani, nedoplatek na cle nebo nedoplatek na příslušenství daně nebo cla,

c) který trvale či opakovaně neplní finanční povinnosti vůči státu, fyzickým nebo právnickým osobám,

d) u něhož bylo rozhodnuto o exekuci na jeho majetek,

e) u kterého je po dobu nejméně 5 posledních po sobě jdoucích zdaňovacích období výsledkem podnikatelské činnosti ztráta, nebo

f) který na základě řádné účetní závěrky vykazuje záporný vlastní kapitál.

(1) Podmínku bezpečnostní spolehlivosti nesplňuje podnikatel, u něhož bylo zjištěno bezpečnostní riziko.

(2) Bezpečnostním rizikem je

a) skutečnost, že podnikatel, člen jeho statutárního nebo kontrolního orgánu, prokurista nebo fyzická osoba s rozhodujícím vlivem na podnikatele vyvíjela nebo vyvíjí činnost proti zájmu České republiky,

b) činnost podnikatele, člena jeho statutárního nebo kontrolního orgánu, prokuristy nebo fyzické osoby s rozhodujícím vlivem na podnikatele spočívající v potlačování základních práv a svobod nebo podpora takové činnosti,

c) skutečnost, že práva společníka nebo člena obchodní korporace s nejméně 10% podílem na základním kapitálu nebo na hlasovacích právech, a to i prostřednictvím jiných právnických osob, vykonává svěřenský správce a že zakladatel svěřenského fondu, správce svěřenského fondu nebo osoba obmyšlená, jež má být příjemcem plnění z tohoto svěřenského fondu, vyvíjí nebo vyvíjela činnost proti zájmu České republiky nebo činnost spočívající v potlačování základních práv a svobod nebo takovou činnost podporovala, nebo

d) opakované neposkytnutí nezbytné součinnosti nebo neudělení souhlasu podle § 108 odst. 7 v probíhajícím řízení o zrušení platnosti osvědčení podnikatele, pokud bez poskytnutí součinnosti nelze ve věci rozhodnout.

(3) Za bezpečnostní riziko lze též považovat

a) kapitálové, finanční nebo obchodní vztahy k jiným fyzickým nebo právnickým osobám anebo k cizí moci, které vyvíjejí nebo vyvíjely činnost proti zájmu České republiky,

b) personální nestabilitu ve statutárním nebo v kontrolním orgánu nebo v osobách prokuristů,

c) chování nebo činnost podnikatele, člena jeho statutárního nebo kontrolního orgánu nebo prokuristy, které má negativní vliv na podnikatele nebo může negativně ovlivňovat důvěryhodnost podnikatele,

d) porušení povinnosti při ochraně utajovaných informací,

e) pravomocné odsouzení společníka nebo člena obchodní korporace s rozhodujícím vlivem na podnikatele pro úmyslný trestný čin,

f) úmyslné porušení právních předpisů společníkem nebo členem obchodní korporace nebo jinou osobou, která má rozhodující vliv na podnikatele,

g) úmyslné porušení právních předpisů osobami oprávněnými jménem podnikatele nebo za podnikatele jednat, na jehož základě může nastat újma zájmu České republiky,

h) vztah osoby, která má vliv na jednání podnikatele, k fyzickým osobám nebo právnickým osobám nebo k cizí moci, které vyvíjely nebo vyvíjejí činnost proti zájmu České republiky,

i) skutečnost, že členem statutárního nebo kontrolního orgánu podnikatele je právnická osoba,

j) pravomocné odsouzení podnikatele pro trestný čin,

k) skutečnost, že podnikatel nehradí své peněžité dluhy, přestože mu v tom nebrání jiným právním předpisem předvídané okolnosti, pro které tyto dluhy nelze hradit,

l) skutečnost, že společníkem nebo členem obchodní korporace s rozhodujícím vlivem na podnikatele je zahraniční právnická osoba, u které nelze úkony v řízení zjistit nebo ověřit vlastnickou strukturu, nebo

m) skutečnost, že není možné ověřit bezpečnostní spolehlivost podnikatele, protože společníkem nebo členem obchodní korporace s rozhodujícím vlivem na podnikatele, a to i prostřednictvím jiných právnických osob, je zahraniční osoba.

(4) Rozhodujícím vlivem podle odstavce 2 písm. a) a b) a odstavce 3 písm. e), f), l) a m) je možnost prosadit fakticky nebo na základě práva jmenování, odvolání nebo volbu osoby, která je členem individuálního statutárního nebo kontrolního orgánu, nebo většiny osob, které jsou členy kolektivního statutárního nebo kontrolního orgánu podnikatele, a to i prostřednictvím jiných právnických osob. Vlivem podle odstavce 3 písm. h) je schopnost ovlivnit přímo či nepřímo jednání podnikatele.

(5) Při posuzování, zda skutečnost uvedená v odstavci 3 je bezpečnostním rizikem, se přihlíží k jejímu rozsahu a charakteru, k době jejího výskytu a k tomu, do jaké míry může ovlivnit schopnost podnikatele utajovat informace.

Podmínku způsobilosti zabezpečit ochranu utajovaných informací nesplňuje podnikatel, který není schopen zajistit a dodržovat jednotlivé druhy zajištění ochrany utajovaných informací podle tohoto zákona v závislosti na příslušném stupni utajení a formě přístupu k utajované informaci.

Podmínku bezúhonnosti pro účely vydání osvědčení podnikatele splňuje podnikatel, který nebyl pravomocně odsouzen za spáchání úmyslného trestného činu nebo trestného činu vztahujícího se k ochraně utajovaných informací nebo se na něj hledí, jako by odsouzen nebyl. Jestliže trestní stíhání pro takový trestný čin bylo podmíněně zastaveno nebo bylo podmíněně odloženo podání návrhu na potrestání, je podmínka bezúhonnosti splněna až poté, co se podnikatel osvědčil podle jiného právního předpisu57). V případě rozhodnutí o schválení narovnání v trestním řízení o úmyslném trestném činu je podmínka bezúhonnosti splněna, pokud od nabytí právní moci takového rozhodnutí uplynula doba alespoň 5 let.

(1) Podnikatel má přístup k utajované informaci,

a) která u něho vzniká, nebo je mu poskytnuta, nebo

b) ke které mají přístup zaměstnanci podnikatele nebo osoby jednající jménem podnikatele nebo za podnikatele, a to v souvislosti s výkonem pracovní nebo jiné činnosti pro podnikatele na základě smlouvy, aniž by byla podnikateli poskytnuta nebo u něho vznikala.

(2) V případě přístupu podle odstavce 1 písm. b) musí podnikatel splňovat podmínku podle § 16 odst. 1 písm. c) pouze zajištěním ochrany utajované informace personální bezpečností [§ 5 písm. a)].

(1) Na utajovanou informaci je původce povinen vyznačit svůj název, stupeň jejího utajení, její evidenční označení a datum jejího vzniku, není-li dále stanoveno jinak.

(2) Na utajované informaci poskytnuté České republice cizí mocí vyznačí orgán státu, právnická osoba podle § 60b nebo podnikatel, pokud tuto utajovanou informaci evidují jako první (§ 77 až 79), stupeň utajení, který je uveden v § 4, a to v souladu s mezinárodní smlouvou, kterou je Česká republika vázána a na jejímž základě je utajovaná informace poskytována, včetně případné zkratky podle této smlouvy (například zkratka „EU“, „EURA“ nebo „NATO“), nebo v souladu s požadavkem cizí moci nebo se stupněm utajení cizí mocí na poskytnuté utajované informaci vyznačeným; název původce a datum vzniku utajované informace se nevyznačuje.

(3) Na utajované informaci, která vyžaduje zpřísněné podmínky při zajišťování jednotlivých druhů ochrany utajovaných informací (dále jen „zvláštní režim nakládání“) v oblastech stanovených zejména mezinárodní smlouvou, kterou je Česká republika vázána, nebo předpisy mezinárodní organizace, jíž je Česká republika členem, se vyznačí též příslušné doplňující označení (například označení „KRYPTO“, jde-li o utajovanou informaci z oblasti kryptografické ochrany, a označení „ATOMAL“, jde-li o utajovanou informaci z oblasti zbraní hromadného ničení).

(4) Nelze-li na informaci údaje podle odstavců 1 až 3 vyznačit, uvedou se tak, aby je bylo možné kdykoliv zjistit.

(5) Utajovaná informace se eviduje v administrativních pomůckách určených prováděcím právním předpisem a způsobem tam stanoveným; to neplatí, pokud u podkladových materiálů stupně utajení Vyhrazené k utajované informaci stupně utajení Vyhrazené odpovědná osoba stanoví, že se neevidují. V administrativních pomůckách se zaznamenává též předávání, přebírání nebo jiný pohyb utajované informace nebo seznámení se s jejím obsahem.

(6) Opis, kopie nebo překlad utajované informace stupně utajení Přísně tajné nebo výpis z ní mohou být vyhotoveny pouze na základě písemného souhlasu původce; jde-li o utajovanou informaci stupně utajení Tajné nebo Důvěrné, mohou být vyhotoveny pouze s písemným souhlasem přímo nadřízené osoby.

(7) Utajovanou informaci lze přepravovat nebo přenášet pouze v přenosných schránkách nebo v uzavřeném obalu v závislosti na jejím stupni utajení a na jejím nosiči; přepravovat ji lze pouze prostřednictvím kurýra nebo držitele poštovní licence17).

(8) Převzetí utajované informace příjemce potvrdí, nestanoví-li tento zákon jinak (§ 23 odst. 1).

(9) Uloženou utajovanou informaci lze zapůjčit pouze fyzickým osobám, které jsou k orgánu státu, právnické osobě podle § 60b nebo podnikateli ve služebním poměru nebo v pracovněprávním, členském či obdobném vztahu.

(10) Při vyřazování utajované informace ve skartačním řízení se postupuje podle zvláštního právního předpisu18).

(11) V případě, kdy hrozí bezprostřední riziko vyzrazení utajované informace Evropské unie, původce, kurýr nebo adresát utajovanou informaci zničí způsobem, který znemožní její obnovení nebo obnovení její části; adresát nebo kurýr oznámí neprodleně tuto skutečnost písemně původci a Úřadu.

(1) Stupeň utajení na utajované informaci vyznačí původce při jejím vzniku, nestanoví-li tento zákon jinak (§ 70).

(2) Vyznačení stupně utajení na utajované informaci musí být zachováno po celou dobu trvání důvodů utajení. Bez souhlasu původce nebo poskytující cizí moci nesmí být stupeň utajení změněn nebo zrušen.

(3) Vyžaduje-li to charakter utajované informace, musí původce vyznačit na utajované informaci dobu, po kterou bude informace utajována; stupeň utajení zaniká uplynutím vyznačené doby.

(4) Stupeň utajení původce neprodleně zruší nebo změní po zjištění, že pominul důvod pro utajení informace, důvody pro utajení neodpovídají stanovenému stupni utajení nebo byl-li stupeň utajení stanoven neoprávněně anebo po obdržení výzvy podle odstavce 9, a na utajované informaci toto zrušení nebo změnu jejího stupně utajení vyznačí.

(5) Původce je povinen prověřit, zda důvod pro utajení informace trvá, a to nejméně jednou za pět let ode dne jejího vzniku.

(6) Provedl-li původce zrušení nebo změnu stupně utajení podle odstavce 4, oznámí tuto skutečnost neprodleně písemně adresátům utajované informace. Adresáti utajované informace oznámí neprodleně písemně tuto skutečnost všem dalším adresátům, kterým utajovanou informaci zpřístupnili.

(7) Adresát po obdržení oznámení podle odstavce 6 na utajované informaci zrušení nebo změnu stupně utajení vyznačí.

(8) Zanikl-li původce, provede zrušení nebo změnu stupně utajení podle odstavce 4 a oznámení podle odstavce 6 jeho právní nástupce, a není-li jej, nebo nesplňuje-li právní nástupce podmínky přístupu k utajované informaci, Úřad.

(9) Úřad na žádost orgánu státu, který vede řízení, v němž se nakládá s utajovanou informací, bez zbytečného odkladu ověří, zda důvody pro utajení odpovídají stanovenému stupni utajení nebo zda byl stupeň utajení stanoven oprávněně. Pokud Úřad po konzultaci s původcem utajované informace shledá, že důvody pro utajení neodpovídají stanovenému stupni utajení nebo že byl stupeň utajení stanoven neoprávněně, vyzve původce, aby v případě posuzované utajované informace postupoval podle odstavců 4 a 5 v souladu se zjištěním Úřadu. Je-li původcem utajované informace zpravodajská služba, ověření podle věty první se v případě správního řízení neprovede; pro jiné řízení jej provede příslušná zpravodajská služba.

(1) Nejde-li o utajovanou informaci vyžadující zvláštní režim nakládání, nevztahuje se povinnost stanovená v § 21 odst. 8 na předávání utajované informace

a) do stupně utajení Tajné mezi zpravodajskými službami a obdobnými službami cizí moci, uskutečňované v rámci spolupráce podle zvláštního právního předpisu19) v případech, kdy postup podle § 21 odst. 8 nelze dodržet,

b) stupně utajení Vyhrazené, stanoví-li tak odpovědná osoba a nepožaduje-li výslovně cizí moc nebo původce utajované informace potvrzení jejího převzetí.

(2) Prováděcí právní předpis stanoví

a) způsob vyznačování náležitostí na utajované informaci podle § 21 odst. 1 až 4 a § 22 odst. 1, 3, 4 a 7, zejména ve vazbě na stupeň utajení utajované informace a nosič utajované informace,

b) druhy administrativních pomůcek uvedených v § 21 odst. 5, jejich náležitosti a organizační a technické požadavky na jejich vedení, a rozsah podkladových materiálů stupně utajení Vyhrazené k utajované informaci stupně utajení Vyhrazené,

c) náležitosti souhlasu k pořizování opisu, kopie, výpisu a překladu utajované informace (§ 21 odst. 6), způsob vyznačování náležitostí na nich a způsob pořizování výpisu,

d) podrobnosti k přepravě, přenášení, převzetí a zapůjčování utajované informace podle § 21 odst. 7 až 9 a § 77 odst. 6 a 8 a k další s tím související manipulaci s ní, včetně organizačního zajištění těchto činností, požadavků na přenosné schránky a obaly a vyznačování příslušných náležitostí na nich, a to zejména ve vazbě na stupeň utajení utajované informace a nosič utajované informace.

(3) Na zpracování a přenos utajované informace zpracovávané v elektronickém systému spisové služby, který je součástí informačního systému nakládajícího s utajovanými informacemi a splňuje požadavky stanovené národním standardem pro elektronické systémy spisové služby, s výjimkou těch požadavků, jejichž užití vylučuje splnění podmínek certifikace informačního systému pro nakládání s utajovanými informacemi nebo jejichž užití vylučuje zvláštní povaha působnosti původce55), se použijí odstavec 1, § 21 odst. 1 až 4, § 21 odst. 5, s výjimkou části věty první za středníkem, § 21 odst. 6, pokud jde o překlad, § 21 odst. 8 až 10 a § 22 obdobně. V ostatních případech se ustanovení této hlavy na zpracování a přenos utajovaných informací v informačních a komunikačních systémech, zařízeních podle § 36 a kryptografických prostředcích nepoužijí.

(4) Úřad vyhlašuje sdělením ve Sbírce zákonů a mezinárodních smluv převodní tabulky stupňů utajení podle mezinárodních smluv, kterými je Česká republika vázána.

(1) Pro zabezpečení ochrany utajovaných informací v rámci fyzické bezpečnosti se určují objekty, zabezpečené oblasti a jednací oblasti.

(2) Objektem je budova nebo jiný ohraničený prostor, ve kterém se zpravidla nachází zabezpečená oblast nebo jednací oblast.

(3) Zabezpečenou oblastí je ohraničený prostor v objektu.

(4) Jednací oblastí je ohraničený prostor v objektu. Utajovanou informaci stupně utajení Přísně tajné nebo Tajné lze pravidelně projednávat pouze v jednací oblasti.

(5) Utajovaná informace se zpracovává

a) v zabezpečené oblasti příslušné kategorie nebo vyšší,

b) v objektu příslušné kategorie nebo vyšší, pokud je zajištěno, že k utajované informaci nemá přístup neoprávněná osoba,

c) v odůvodněných případech s písemným souhlasem odpovědné osoby nebo bezpečnostního ředitele v objektu nižší kategorie, než je stupeň utajení zpracovávané utajované informace, pokud je zajištěno, že k utajované informaci nemá přístup neoprávněná osoba, nebo

d) v odůvodněných případech s písemným souhlasem odpovědné osoby nebo bezpečnostního ředitele mimo objekt, pokud je zajištěno, že k utajované informaci nemá přístup neoprávněná osoba.

(6) Utajovaná informace se ukládá v zabezpečené oblasti příslušné kategorie nebo vyšší a v ní popřípadě v trezoru, uzamykatelné skříni nebo jiné schránce za podmínek stanovených prováděcím právním předpisem.

(1) Zabezpečené oblasti se podle nejvyššího stupně utajení utajované informace, která se v nich ukládá, a objekty se podle nejvyššího stupně utajení utajované informace, která se v nich zpracovává, zařazují do kategorií

a) Přísně tajné,

b) Tajné,

c) Důvěrné, nebo

d) Vyhrazené.

(2) Zabezpečené oblasti se podle možnosti přístupu k utajované informaci zařazují do tříd

a) třída I, kdy vstupem do této oblasti dochází k seznámení s utajovanou informací,

b) třída II, kdy vstupem do této oblasti nedochází k seznámení s utajovanou informací.

(3) Vstup do zabezpečené oblasti a výstup z ní musí být kontrolovány opatřeními podle § 27. Neoprávněná osoba může vstoupit pouze do zabezpečené oblasti třídy II, a to s osobou, která má do této oblasti vstup povolen.

(4) V odůvodněných případech s písemným souhlasem odpovědné osoby nebo jí pověřené osoby lze na dobu nezbytně nutnou změnit třídu I na třídu II, pokud je zajištěno, že k utajované informaci nemá přístup neoprávněná osoba.

(1) Odpovědná osoba je povinna zajistit, aby v jednací oblasti podle § 24 odst. 4 nedocházelo k ohrožení nebo úniku projednávaných utajovaných informací.

(2) Ke splnění povinnosti podle odstavce 1 je odpovědná osoba povinna požádat Národní úřad pro kybernetickou a informační bezpečnost o prověření, zda v jednací oblasti nedochází k nedovolenému použití technických prostředků určených k získávání informací; o prověření může odpovědná osoba požádat rovněž u zabezpečené oblasti kategorie Tajné nebo Přísně tajné. O této žádosti Národní úřad pro kybernetickou a informační bezpečnost informuje Úřad. Prověření Národní úřad pro kybernetickou a informační bezpečnost zajistí v součinnosti se zpravodajskými službami a Policií České republiky (dále jen „policie“) a o provedeném prověření informuje Úřad. Pro své potřeby si zpravodajské služby a policie prověření provádějí samy.

(3) Vstup do jednací oblasti a výstup z ní musí být kontrolován opatřeními podle § 27. Neoprávněná osoba může vstoupit do jednací oblasti pouze s osobou, která má do této oblasti vstup povolen.

Opatřeními fyzické bezpečnosti jsou

a) ostraha,

b) režimová opatření,

c) technické prostředky.

(1) Ostraha se nepřetržitě zajišťuje u objektu, ve kterém se nachází zabezpečená oblast kategorie

a) Přísně tajné, nejméně 2 osobami u objektu,

b) Tajné, nejméně 1 osobou u objektu a 1 další osobou, které poplachové hlášení technických prostředků umožní rychlý zásah, je-li provádění ochrany utajovaných informací narušeno,

c) Důvěrné, nejméně 1 osobou, které poplachové hlášení technických prostředků umožní rychlý zásah, je-li provádění ochrany utajovaných informací narušeno.

(2) U objektu, ve kterém se nachází zabezpečená oblast nejvýše kategorie Vyhrazené, a u objektu bez zabezpečené oblasti nebo jednací oblasti, se ostraha zajišťuje v rozsahu stanoveném odpovědnou osobou.

(3) U objektu, ve kterém se nachází jednací oblast, v níž se pravidelně projednávají utajované informace stupně utajení Přísně tajné, se ostraha zajišťuje nejméně 2 osobami u objektu; u objektu, ve kterém se nachází jednací oblast, v níž se pravidelně projednávají utajované informace stupně utajení Tajné, nejméně 1 osobou u objektu a 1 další osobou, které poplachové hlášení technických prostředků umožní rychlý zásah, je-li provádění ochrany utajovaných informací narušeno.

(4) Ostraha se zabezpečuje zaměstnanci orgánu státu, právnické osoby podle § 60b nebo podnikatele, o jejichž objekt jde, příslušníky ozbrojených sil nebo ozbrojených bezpečnostních sborů nebo příslušníky ozbrojených sil cizí moci anebo zaměstnanci bezpečnostní ochranné služby.

Režimová opatření stanoví oprávnění osob a dopravních prostředků pro vstup a vjezd do objektu, oprávnění osob pro vstup do zabezpečené oblasti a jednací oblasti a způsob kontroly těchto oprávnění a dále způsob manipulace s klíči a identifikačními prostředky, které se používají pro systémy zabezpečení vstupů podle § 30 odst. 1 písm. b), a způsob manipulace s technickými prostředky a jejich používání. Režimová opatření stanoví též oprávnění při výstupu osob a výjezdu dopravních prostředků z objektu a pro jejich kontrolu, podmínky a způsob kontroly pohybu osob v objektu, zabezpečené oblasti a jednací oblasti a způsob kontroly a vynášení utajovaných informací z objektu, zabezpečené oblasti a jednací oblasti.

(1) Technickými prostředky jsou zejména

a) mechanické zábranné prostředky,

b) elektrická zámková zařízení a systémy pro kontrolu vstupů,

c) poplachové zabezpečovací a tísňové systémy,

d) dohledové videosystémy,

e) zařízení elektrické požární signalizace,

f) zařízení sloužící k vyhledávání nebezpečných látek nebo předmětů,

g) zařízení fyzického ničení nosičů informací,

h) zařízení proti pasivnímu a aktivnímu odposlechu utajované informace.

(2) Bodové ohodnocení (§ 31 odst. 1) se přiřazuje certifikovaným technickým prostředkům [§ 46 odst. 1 písm. a)] a odpovědnou osobou nebo jí pověřenou osobou schváleným necertifikovaným technickým prostředkům.

(3) Technické prostředky uvedené v odstavci 1 lze v případě účasti České republiky v mezinárodním ozbrojeném konfliktu, mezinárodní záchranné nebo humanitární akci, v dalších zahraničních misích, v případě vyhlášení válečného stavu, v případě stavu nebezpečí, nouzového stavu nebo stavu ohrožení státu20), v případě zpravodajských operací zpravodajských služeb a při činnostech ozbrojených sil České republiky v rámci vojenského cvičení a praktického vojenského výcviku s vojenskou technikou a vojenskou výzbrojí mimo místa stálé dislokace vojenského útvaru nahradit zvýšenou ostrahou, než jaká je uvedena v § 28, prováděnou příslušníky ozbrojených sil nebo ozbrojených bezpečnostních sborů na základě zvláštních právních předpisů21), příslušníky ozbrojených sil cizí moci nebo zaměstnanci bezpečnostní ochranné služby cizí moci.

(1) Míra zabezpečení jednací oblasti a zabezpečené oblasti opatřeními fyzické bezpečnosti se určuje pomocí bodových hodnot těchto opatření v závislosti na vyhodnocení rizik; bodové hodnoty a nejnižší míra zabezpečení jsou stanoveny prováděcím právním předpisem.

(2) Opatření fyzické bezpečnosti nebo kombinace více těchto opatření musí odpovídat alespoň nejnižší míře zabezpečení jednací oblasti nebo zabezpečené oblasti a stanoví se v závislosti na vyhodnocení rizik a na stupni utajení utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, nebo na kategorii zabezpečené oblasti.

(3) Opatření podle odstavce 2 a opatření fyzické bezpečnosti objektu bez zabezpečené oblasti nebo jednací oblasti schvaluje a stanoví odpovědná osoba nebo jí pověřená osoba v projektu fyzické bezpečnosti.

(4) Hodnocení rizik musí být prováděno průběžně a v případě potřeby musí být míra opatření fyzické bezpečnosti upravena.

(5) Orgán státu, právnická osoba podle § 60b a podnikatel jsou povinni zajistit a pravidelně ověřovat, zda použitá opatření fyzické bezpečnosti odpovídají projektu fyzické bezpečnosti a právním předpisům v oblasti ochrany utajovaných informací.

(1) Projekt fyzické bezpečnosti v případech, kdy se v objektu nacházejí zabezpečené oblasti kategorie Přísně tajné, Tajné nebo Důvěrné, obsahuje

a) určení objektu a zabezpečených oblastí, včetně jejich hranic a určení kategorií a tříd zabezpečených oblastí,

b) vyhodnocení rizik,

c) způsob použití opatření fyzické bezpečnosti,

d) provozní řád objektu a

e) plán zabezpečení objektu a zabezpečených oblastí v krizových situacích.

(2) Projekt fyzické bezpečnosti v případech, kdy se v objektu nachází zabezpečená oblast pouze kategorie Vyhrazené, obsahuje

a) určení objektu a zabezpečených oblastí, včetně jejich hranic a určení kategorií a tříd zabezpečených oblastí a

b) způsob použití opatření fyzické bezpečnosti.

(3) Projekt fyzické bezpečnosti v případech, kdy se v objektu nachází jednací oblast, obsahuje

a) určení objektu a jednací oblasti, včetně jejich hranic,

b) vyhodnocení rizik,

c) způsob použití opatření fyzické bezpečnosti,

d) provozní řád objektu a

e) plán zabezpečení objektu a jednací oblasti v krizových situacích.

(4) Projekt fyzické bezpečnosti objektu kategorie Přísně tajné, Tajné a Důvěrné bez zabezpečené oblasti nebo jednací oblasti obsahuje

a) určení objektu včetně jeho hranic,

b) způsob použití opatření fyzické bezpečnosti,

c) provozní řád objektu a

d) plán zabezpečení objektu v krizových situacích.

(5) Projekt fyzické bezpečnosti objektu kategorie Vyhrazené bez zabezpečené oblasti obsahuje určení objektu včetně jeho hranic.

(6) Na projekt fyzické bezpečnosti se v případech podle § 30 odst. 3 použijí ustanovení odstavců 1 až 5 přiměřeně; rozsah projektu schvaluje a stanoví odpovědná osoba nebo jí pověřená osoba.

(7) Projekt fyzické bezpečnosti se ukládá u odpovědné osoby nebo bezpečnostního ředitele.

Prováděcí právní předpis stanoví

a) požadavky na jednací oblasti z hlediska fyzické bezpečnosti a rizika úniku utajovaných informací formou kompromitujícího vyzařování,

b) způsob ukládání utajovaných informací v závislosti na stupni jejich utajení (§ 24 odst. 6),

c) organizační požadavky na provádění ostrahy (§ 28) a zabezpečení jednací oblasti nebo zabezpečené oblasti touto ostrahou, včetně určení kategorie osob uvedených v § 28 odst. 4, a to v závislosti na stupni utajení utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, na kategorii objektu, nebo na kategorii zabezpečené oblasti,

d) podrobnosti režimových opatření (§ 29),

e) požadavky na technické prostředky, uvedené v § 30 odst. 1, a zabezpečení objektů, jednací oblasti nebo zabezpečené oblasti těmito prostředky, v závislosti na stupni utajení utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, nebo na kategorii zabezpečené oblasti, anebo na kategorii objektu,

f) bodové ohodnocení jednotlivých opatření fyzické bezpečnosti a bodovou hodnotu nejnižší míry zabezpečení jednací oblasti nebo zabezpečené oblasti, včetně základní metody hodnocení rizik (§ 31 odst. 1 a 2),

g) četnost a způsob zápisu o ověřování, zda použitá opatření fyzické bezpečnosti odpovídají projektu fyzické bezpečnosti a právním předpisům v oblasti ochrany utajovaných informací, v závislosti na stupni utajení utajovaných informací (§ 31 odst. 5),

h) obsah provozního řádu objektu a plánu zabezpečení objektů, zabezpečených oblastí a jednacích oblastí v krizových situacích [§ 32 odst. 1 písm. d) a e) a § 32 odst. 3 písm. d) a e)].

Státní správu v oblasti ochrany utajovaných informací podle této hlavy vykonává Národní úřad pro kybernetickou a informační bezpečnost, pokud tento zákon nestanoví jinak.

(1) Informačním systémem nakládajícím s utajovanými informacemi se pro účely tohoto zákona rozumí jeden nebo více počítačů, jejich programové vybavení, k tomu patřící periferní zařízení, správa tohoto informačního systému a k tomuto systému se vztahující procesy nebo prostředky schopné provádět sběr, tvorbu, zpracování, ukládání, zobrazení nebo přenos utajovaných informací (dále jen „informační systém“).

(2) Informační systém musí být certifikován Národním úřadem pro kybernetickou a informační bezpečnost [§ 46 odst. 1 písm. b)] a písemně schválen do provozu odpovědnou osobou nebo jí pověřenou osobou. Způsobilost informačního systému cizí moci k nakládání s utajovanými informacemi ověřuje formou akreditace Národní úřad pro kybernetickou a informační bezpečnost.

(3) Informační systém podnikatele, který má přístup k utajovaným informacím stupně utajení Vyhrazené, může být schválen do provozu jen v době platnosti prohlášení podnikatele; zánikem platnosti prohlášení podnikatele zaniká též schválení informačního systému do provozu.

(4) Národní úřad pro kybernetickou a informační bezpečnost může z důvodu identifikovaných hrozeb nebo rizik stanovit provozovateli certifikovaného informačního systému zavedení dalších nutných bezpečnostních funkcí nebo opatření. Zavedení dalších nutných bezpečnostních funkcí nebo opatření oznámí provozovatel Národnímu úřadu pro kybernetickou a informační bezpečnost.

(5) Nakládat s utajovanou informací lze pouze v informačním systému splňujícím podmínky podle odstavce 2 až 4.

(6) Schválení informačního systému do provozu podle odstavce 2 musí odpovědná osoba nebo jí pověřená osoba písemně oznámit Národnímu úřadu pro kybernetickou a informační bezpečnost do 30 dnů od tohoto schválení.

(7) Prováděcí právní předpis stanoví

a) požadavky na informační systém a podmínky jeho bezpečného provozování v závislosti na stupni utajení utajovaných informací, s nimiž nakládá, a na bezpečnostním provozním módu,

b) obsah bezpečnostní dokumentace informačního systému a

c) náležitosti oznámení provozovatele certifikovaného informačního systému o zavedení dalších nutných bezpečnostních funkcí nebo opatření Národnímu úřadu pro kybernetickou a informační bezpečnost.

(1) Komunikačním systémem nakládajícím s utajovanými informacemi (dále jen „komunikační systém“) se pro účely tohoto zákona rozumí systém zajišťující přenos těchto informací mezi koncovými uživateli a zahrnující koncové komunikační zařízení, periferní zařízení, přenosové prostředí, kryptografické prostředky, obsluhu a provozní podmínky a postupy.

(2) Komunikační systém nelze provozovat bez projektu bezpečnosti komunikačního systému schváleného Národním úřadem pro kybernetickou a informační bezpečnost. O schválení projektu bezpečnosti komunikačního systému písemně žádá u Národního úřadu pro kybernetickou a informační bezpečnost orgán státu, právnická osoba podle § 60b nebo podnikatel, který jej bude provozovat.

(3) Nakládat s utajovanou informací lze pouze v komunikačním systému splňujícím podmínky podle odstavce 2.

(4) Komunikační systém musí být písemně schválen do provozu odpovědnou osobou nebo jí pověřenou osobou.

(5) Komunikační systém podnikatele, který má přístup k utajovaným informacím stupně utajení Vyhrazené, může být schválen do provozu jen v době platnosti prohlášení podnikatele; zánikem platnosti prohlášení podnikatele zaniká též schválení komunikačního systému do provozu.

(6) Prováděcí právní předpis stanoví

a) obsah žádosti o schválení projektu bezpečnosti komunikačního systému a

b) náležitosti projektu bezpečnosti komunikačního systému a způsob a podmínky jeho schvalování.

(1) Taktickou informací se pro účely tohoto zákona rozumí utajovaná informace s krátkou dobou trvání důvodu utajení. Taktická informace se zpracovává v informačním nebo komunikačním systému a při přenosu se chrání kryptografickou ochranou.

(2) Ochrana taktické informace do stupně utajení Tajné může být zabezpečena též souborem opatření stanovených na základě vyhodnocení rizik. Podmínky odlišné manipulace s taktickou informací upravuje bezpečnostní standard.

Státní správu v oblasti ochrany utajovaných informací podle této hlavy vykonává Národní úřad pro kybernetickou a informační bezpečnost, pokud tento zákon nestanoví jinak.

(1) Při zpracování utajované informace v elektronické podobě v zařízení, které není součástí informačního nebo komunikačního systému, zejména v psacím stroji s pamětí a v zařízení umožňujícím kopírování, záznam nebo zobrazení utajované informace anebo její převod do jiného datového formátu, musí být zajištěna ochrana této utajované informace.

(2) Orgán státu, právnická osoba podle § 60b a podnikatel jsou povinni

a) pro jimi provozované zařízení uvedené v odstavci 1 vydat bezpečnostní provozní směrnici; pouze v souladu s ní lze zpracovávat utajovanou informaci a

b) zaslat o provozovaném zařízení uvedeném v odstavci 1 Národnímu úřadu pro kybernetickou a informační bezpečnost informace platné k 31. prosinci kalendářního roku nejpozději do 1. února následujícího kalendářního roku.

(3) V bezpečnostní provozní směrnici podle odstavce 2 písm. a) se uvedou pro zařízení podle odstavce 1

a) způsob jeho bezpečného provozování,

b) provozní směrnice pro jeho uživatele.

(4) Podmínky bezpečného provozování zařízení uvedeného v odstavci 1 v závislosti na stupni utajení v něm zpracovávaných utajovaných informací a rozsah požadovaných informací podle odstavce 2 písm. b) stanoví prováděcí právní předpis.

Státní správu v oblasti ochrany utajovaných informací podle této hlavy vykonává Národní úřad pro kybernetickou a informační bezpečnost, pokud tento zákon nestanoví jinak.

(1) Kryptografickým materiálem je kryptografický prostředek, materiál k zajištění jeho funkce nebo kryptografický dokument.

(2) Kryptografické prostředky používané pro kryptografickou ochranu utajovaných informací musí být certifikovány Národním úřadem pro kybernetickou a informační bezpečnost [§ 46 odst. 1 písm. c)]; v případě utajované informace poskytované cizí moci zpracovávané v akreditovaném nebo certifikovaném informačním systému lze použít i kryptografický prostředek schválený příslušným orgánem cizí moci, který je součástí akreditovaného nebo certifikovaného informačního systému.

(3) Kryptografické pracoviště je pracoviště určené k zajištění výkonu kryptografické ochrany vždy nejméně v rozsahu bezpečnostní správy kryptografického materiálu nebo výroby a servisu kryptografického prostředku nebo materiálu k zajištění jeho funkce. Kryptografické pracoviště musí splňovat bezpečnostní standardy a musí být do provozu schváleno odpovědnou osobou nebo bezpečnostním ředitelem.

(4) Kryptografické pracoviště určené k výrobě nebo testování materiálu k zajištění funkce kryptografického prostředku nebo které je centrálním distribučním a evidenčním místem kryptografického materiálu orgánu státu, právnické osoby podle § 60b nebo podnikatele, musí být před schválením do provozu odpovědnou osobou nebo bezpečnostním ředitelem certifikováno Národním úřadem pro kybernetickou a informační bezpečnost [§ 46 odst. 1 písm. d)].

(5) Orgán státu, právnická osoba podle § 60b a podnikatel, kteří vykonávají kryptografickou ochranu, musí vést evidence kryptografického materiálu, pracovníků kryptografické ochrany, provozní obsluhy kryptografických prostředků, kurýrů kryptografického materiálu a osob, které nakládají s kryptografickým materiálem podle § 42a.

(1) Kontrolovanou kryptografickou položkou se rozumí neutajované zařízení nebo jeho součást, zařazené do seznamu podle odstavce 3, sloužící k ochraně informací při jejich zpracování nebo přenosu a využívající kryptografických metod.

(2) Kontrolovanou kryptografickou položku lze použít pouze v souladu s bezpečnostním standardem.

(3) Zařízení uvedené v odstavci 1 nebo jeho součást na základě písemné žádosti jeho výrobce, dovozce, distributora nebo uživatele Národní úřad pro kybernetickou a informační bezpečnost schválí a zařadí do jím vedeného seznamu kontrolovaných kryptografických položek v případě, že je to v souladu se záměry České republiky v oblasti zajišťování ochrany utajovaných informací.

(1) Kontrolovanou položkou se rozumí neutajované zařízení nebo jeho součást, které není kontrolovanou kryptografickou položkou.

(2) Pro kontrolovanou položku se uplatní užívání obdobných metod k ochraně informací jako u kontrolované kryptografické položky.

(3) Kontrolovanou položku lze použít pouze v souladu s bezpečnostním standardem.

(4) Zařízení uvedené v odstavci 1 nebo jeho součást na základě písemné žádosti jeho výrobce, dovozce, distributora nebo uživatele Národní úřad pro kybernetickou a informační bezpečnost schválí a zařadí do jím vedeného seznamu kontrolovaných položek v případě, že je to v souladu se záměry České republiky v oblasti zajišťování ochrany utajovaných informací.

(1) Výkonem kryptografické ochrany se rozumí

a) její bezpečnostní správa,

b) speciální obsluha kryptografického prostředku, nebo

c) výroba nebo servis kryptografického prostředku nebo materiálu k zajištění jeho funkce.

(2) Výkon kryptografické ochrany provádí pracovník kryptografické ochrany, který je

a) k výkonu kryptografické ochrany pověřen odpovědnou osobou nebo jí pověřenou osobou,

b) držitelem platného osvědčení fyzické osoby a poučení a

c) držitelem osvědčení o zvláštní odborné způsobilosti pracovníka kryptografické ochrany (dále jen „osvědčení o zvláštní odborné způsobilosti“).

(1) Zvláštní odborná způsobilost pracovníka kryptografické ochrany (dále jen „zvláštní odborná způsobilost“) zahrnuje znalost předpisů z oblasti kryptografické ochrany utajovaných informací, schopnost jejich aplikace a další schopnosti podle § 38 odst. 1. Tyto znalosti a schopnosti ověřuje Národní úřad pro kybernetickou a informační bezpečnost zkouškou zvláštní odborné způsobilosti (dále jen „odborná zkouška“). Odborná zkouška probíhá před zkušební komisí; to není podmínkou pro její část prováděnou podle odstavce 3 písm. b). Členy zkušební komise jmenuje odpovědná osoba nebo jí pověřená osoba Národního úřadu pro kybernetickou a informační bezpečnost nebo orgánu státu podle odstavce 3 písm. a). Tomu, kdo složil odbornou zkoušku, vydá Národní úřad pro kybernetickou a informační bezpečnost nebo orgán státu podle odstavce 3 písm. a) osvědčení o zvláštní odborné způsobilosti a vede o tom evidenci. Osvědčení o zvláštní odborné způsobilosti se vydává nejdéle na 5 let.

(2) Přihlášku k odborné zkoušce podává písemně odpovědná osoba orgánu státu, právnické osoby podle § 60b nebo podnikatele u Národního úřadu pro kybernetickou a informační bezpečnost nebo u jím pověřeného orgánu státu. Odborná zkouška se musí konat do 6 měsíců od podání přihlášky. Národní úřad pro kybernetickou a informační bezpečnost nebo jím pověřený orgán státu písemně oznámí tomu, kdo o odbornou zkoušku požádal, termín a místo konání odborné zkoušky; oznámení musí být odesláno nejpozději 20 dnů přede dnem konání odborné zkoušky. Ten, kdo při odborné zkoušce nevyhověl, ji může vykonat opakovaně. Opakovaná zkouška může být vykonána nejdříve po uplynutí 5 pracovních dnů ode dne neúspěšně vykonané zkoušky.

(3) Národní úřad pro kybernetickou a informační bezpečnost může uzavřít s orgánem státu smlouvu o zajištění činnosti podle § 52, jejímž předmětem je provedení

a) odborné zkoušky a vydání osvědčení o zvláštní odborné způsobilosti, nebo

b) části odborné zkoušky, týkající se § 38 odst. 1 písm. b) nebo c) a příslušné návaznosti na § 38 odst. 1 písm. a).

Smlouvu podle písmene b) může Národní úřad pro kybernetickou a informační bezpečnost uzavřít též s právnickou osobou podle § 60b nebo podnikatelem.

(1) Provozní obsluhou kryptografického prostředku se rozumí výkon uživatelských funkcí kryptografického prostředku.

(2) Osoba, která provádí provozní obsluhu kryptografického prostředku podle odstavce 1, musí

a) být k této obsluze pověřena odpovědnou osobou nebo jí pověřenou osobou,

b) splňovat podmínky přístupu k utajované informaci podle § 6 odst. 1 nebo § 11 odst. 1 a

c) být k této obsluze zaškolena.