Zákon o ochraně utajovaných informací a o bezpečnostní způsobilosti

(1) Komunikačním systémem nakládajícím s utajovanými informacemi (dále jen „komunikační systém“) se pro účely tohoto zákona rozumí systém zajišťující přenos těchto informací mezi koncovými uživateli a zahrnující koncové komunikační zařízení, periferní zařízení, přenosové prostředí, kryptografické prostředky, obsluhu a provozní podmínky a postupy.

(2) Komunikační systém nelze provozovat bez projektu bezpečnosti komunikačního systému schváleného Národním úřadem pro kybernetickou a informační bezpečnost. O schválení projektu bezpečnosti komunikačního systému písemně žádá u Národního úřadu pro kybernetickou a informační bezpečnost orgán státu, právnická osoba podle § 60b nebo podnikatel, který jej bude provozovat.

(3) Nakládat s utajovanou informací lze pouze v komunikačním systému splňujícím podmínky podle odstavce 2.

(4) Komunikační systém musí být písemně schválen do provozu odpovědnou osobou nebo jí pověřenou osobou.

(5) Komunikační systém podnikatele, který má přístup k utajovaným informacím stupně utajení Vyhrazené, může být schválen do provozu jen v době platnosti prohlášení podnikatele; zánikem platnosti prohlášení podnikatele zaniká též schválení komunikačního systému do provozu.

(6) Prováděcí právní předpis stanoví

a) obsah žádosti o schválení projektu bezpečnosti komunikačního systému a

b) náležitosti projektu bezpečnosti komunikačního systému a způsob a podmínky jeho schvalování.

(1) Taktickou informací se pro účely tohoto zákona rozumí utajovaná informace s krátkou dobou trvání důvodu utajení. Taktická informace se zpracovává v informačním nebo komunikačním systému a při přenosu se chrání kryptografickou ochranou.

(2) Ochrana taktické informace do stupně utajení Tajné může být zabezpečena též souborem opatření stanovených na základě vyhodnocení rizik. Podmínky odlišné manipulace s taktickou informací upravuje bezpečnostní standard.

Státní správu v oblasti ochrany utajovaných informací podle této hlavy vykonává Národní úřad pro kybernetickou a informační bezpečnost, pokud tento zákon nestanoví jinak.

(1) Při zpracování utajované informace v elektronické podobě v zařízení, které není součástí informačního nebo komunikačního systému, zejména v psacím stroji s pamětí a v zařízení umožňujícím kopírování, záznam nebo zobrazení utajované informace anebo její převod do jiného datového formátu, musí být zajištěna ochrana této utajované informace.

(2) Orgán státu, právnická osoba podle § 60b a podnikatel jsou povinni

a) pro jimi provozované zařízení uvedené v odstavci 1 vydat bezpečnostní provozní směrnici; pouze v souladu s ní lze zpracovávat utajovanou informaci a

b) zaslat o provozovaném zařízení uvedeném v odstavci 1 Národnímu úřadu pro kybernetickou a informační bezpečnost informace platné k 31. prosinci kalendářního roku nejpozději do 1. února následujícího kalendářního roku.

(3) V bezpečnostní provozní směrnici podle odstavce 2 písm. a) se uvedou pro zařízení podle odstavce 1

a) způsob jeho bezpečného provozování,

b) provozní směrnice pro jeho uživatele.

(4) Podmínky bezpečného provozování zařízení uvedeného v odstavci 1 v závislosti na stupni utajení v něm zpracovávaných utajovaných informací a rozsah požadovaných informací podle odstavce 2 písm. b) stanoví prováděcí právní předpis.

Státní správu v oblasti ochrany utajovaných informací podle této hlavy vykonává Národní úřad pro kybernetickou a informační bezpečnost, pokud tento zákon nestanoví jinak.

(1) Kryptografickým materiálem je kryptografický prostředek, materiál k zajištění jeho funkce nebo kryptografický dokument.

(2) Kryptografické prostředky používané pro kryptografickou ochranu utajovaných informací musí být certifikovány Národním úřadem pro kybernetickou a informační bezpečnost [§ 46 odst. 1 písm. c)]; v případě utajované informace poskytované cizí moci zpracovávané v akreditovaném nebo certifikovaném informačním systému lze použít i kryptografický prostředek schválený příslušným orgánem cizí moci, který je součástí akreditovaného nebo certifikovaného informačního systému.

(3) Kryptografické pracoviště je pracoviště určené k zajištění výkonu kryptografické ochrany vždy nejméně v rozsahu bezpečnostní správy kryptografického materiálu nebo výroby a servisu kryptografického prostředku nebo materiálu k zajištění jeho funkce. Kryptografické pracoviště musí splňovat bezpečnostní standardy a musí být do provozu schváleno odpovědnou osobou nebo bezpečnostním ředitelem.

(4) Kryptografické pracoviště určené k výrobě nebo testování materiálu k zajištění funkce kryptografického prostředku nebo které je centrálním distribučním a evidenčním místem kryptografického materiálu orgánu státu, právnické osoby podle § 60b nebo podnikatele, musí být před schválením do provozu odpovědnou osobou nebo bezpečnostním ředitelem certifikováno Národním úřadem pro kybernetickou a informační bezpečnost [§ 46 odst. 1 písm. d)].

(5) Orgán státu, právnická osoba podle § 60b a podnikatel, kteří vykonávají kryptografickou ochranu, musí vést evidence kryptografického materiálu, pracovníků kryptografické ochrany, provozní obsluhy kryptografických prostředků, kurýrů kryptografického materiálu a osob, které nakládají s kryptografickým materiálem podle § 42a.

(1) Kontrolovanou kryptografickou položkou se rozumí neutajované zařízení nebo jeho součást, zařazené do seznamu podle odstavce 3, sloužící k ochraně informací při jejich zpracování nebo přenosu a využívající kryptografických metod.

(2) Kontrolovanou kryptografickou položku lze použít pouze v souladu s bezpečnostním standardem.

(3) Zařízení uvedené v odstavci 1 nebo jeho součást na základě písemné žádosti jeho výrobce, dovozce, distributora nebo uživatele Národní úřad pro kybernetickou a informační bezpečnost schválí a zařadí do jím vedeného seznamu kontrolovaných kryptografických položek v případě, že je to v souladu se záměry České republiky v oblasti zajišťování ochrany utajovaných informací.

(1) Kontrolovanou položkou se rozumí neutajované zařízení nebo jeho součást, které není kontrolovanou kryptografickou položkou.

(2) Pro kontrolovanou položku se uplatní užívání obdobných metod k ochraně informací jako u kontrolované kryptografické položky.

(3) Kontrolovanou položku lze použít pouze v souladu s bezpečnostním standardem.

(4) Zařízení uvedené v odstavci 1 nebo jeho součást na základě písemné žádosti jeho výrobce, dovozce, distributora nebo uživatele Národní úřad pro kybernetickou a informační bezpečnost schválí a zařadí do jím vedeného seznamu kontrolovaných položek v případě, že je to v souladu se záměry České republiky v oblasti zajišťování ochrany utajovaných informací.

(1) Výkonem kryptografické ochrany se rozumí

a) její bezpečnostní správa,

b) speciální obsluha kryptografického prostředku, nebo

c) výroba nebo servis kryptografického prostředku nebo materiálu k zajištění jeho funkce.

(2) Výkon kryptografické ochrany provádí pracovník kryptografické ochrany, který je

a) k výkonu kryptografické ochrany pověřen odpovědnou osobou nebo jí pověřenou osobou,

b) držitelem platného osvědčení fyzické osoby a poučení a

c) držitelem osvědčení o zvláštní odborné způsobilosti pracovníka kryptografické ochrany (dále jen „osvědčení o zvláštní odborné způsobilosti“).

(1) Zvláštní odborná způsobilost pracovníka kryptografické ochrany (dále jen „zvláštní odborná způsobilost“) zahrnuje znalost předpisů z oblasti kryptografické ochrany utajovaných informací, schopnost jejich aplikace a další schopnosti podle § 38 odst. 1. Tyto znalosti a schopnosti ověřuje Národní úřad pro kybernetickou a informační bezpečnost zkouškou zvláštní odborné způsobilosti (dále jen „odborná zkouška“). Odborná zkouška probíhá před zkušební komisí; to není podmínkou pro její část prováděnou podle odstavce 3 písm. b). Členy zkušební komise jmenuje odpovědná osoba nebo jí pověřená osoba Národního úřadu pro kybernetickou a informační bezpečnost nebo orgánu státu podle odstavce 3 písm. a). Tomu, kdo složil odbornou zkoušku, vydá Národní úřad pro kybernetickou a informační bezpečnost nebo orgán státu podle odstavce 3 písm. a) osvědčení o zvláštní odborné způsobilosti a vede o tom evidenci. Osvědčení o zvláštní odborné způsobilosti se vydává nejdéle na 5 let.

(2) Přihlášku k odborné zkoušce podává písemně odpovědná osoba orgánu státu, právnické osoby podle § 60b nebo podnikatele u Národního úřadu pro kybernetickou a informační bezpečnost nebo u jím pověřeného orgánu státu. Odborná zkouška se musí konat do 6 měsíců od podání přihlášky. Národní úřad pro kybernetickou a informační bezpečnost nebo jím pověřený orgán státu písemně oznámí tomu, kdo o odbornou zkoušku požádal, termín a místo konání odborné zkoušky; oznámení musí být odesláno nejpozději 20 dnů přede dnem konání odborné zkoušky. Ten, kdo při odborné zkoušce nevyhověl, ji může vykonat opakovaně. Opakovaná zkouška může být vykonána nejdříve po uplynutí 5 pracovních dnů ode dne neúspěšně vykonané zkoušky.

(3) Národní úřad pro kybernetickou a informační bezpečnost může uzavřít s orgánem státu smlouvu o zajištění činnosti podle § 52, jejímž předmětem je provedení

a) odborné zkoušky a vydání osvědčení o zvláštní odborné způsobilosti, nebo

b) části odborné zkoušky, týkající se § 38 odst. 1 písm. b) nebo c) a příslušné návaznosti na § 38 odst. 1 písm. a).

Smlouvu podle písmene b) může Národní úřad pro kybernetickou a informační bezpečnost uzavřít též s právnickou osobou podle § 60b nebo podnikatelem.

(1) Provozní obsluhou kryptografického prostředku se rozumí výkon uživatelských funkcí kryptografického prostředku.

(2) Osoba, která provádí provozní obsluhu kryptografického prostředku podle odstavce 1, musí

a) být k této obsluze pověřena odpovědnou osobou nebo jí pověřenou osobou,

b) splňovat podmínky přístupu k utajované informaci podle § 6 odst. 1 nebo § 11 odst. 1 a

c) být k této obsluze zaškolena.

(1) Manipulací s kryptografickým materiálem se rozumí způsob přenášení, přepravy, zapůjčování, ukládání nebo jiného nakládání s ním, včetně jeho vyřazování.

(2) Kryptografický materiál lze evidovat a manipulovat s ním jen způsobem a prostředky, které zajistí ochranu kryptografického materiálu a splňují požadavky, které stanoví prováděcí právní předpis.

(3) Fyzické osobě, která neprovádí činnosti podle § 38 odst. 1, lze umožnit přístup ke kryptografickému dokumentu, jestliže jej nezbytně potřebuje k výkonu své funkce, pracovní nebo jiné činnosti, splňuje podmínky podle § 38 odst. 2 písm. b) a je prokazatelným způsobem řádně poučena v oblasti kryptografické ochrany.

(4) Ochranu kryptografického prostředku a materiálu k zajištění jeho funkce do stupně utajení Důvěrné, bez nutnosti jejich ukládání, lze zajistit způsobem, při kterém je tento kryptografický prostředek a materiál trvale pod dohledem jejich oprávněného uživatele.

(5) Kontrolovanou kryptografickou položku a kontrolovanou položku lze evidovat, provozovat, ukládat, přepravovat, vyvážet, kontrolovat a distribuovat způsobem, který zajistí její ochranu a splní požadavky bezpečnostního standardu.

(1) Přepravu kryptografického materiálu provádí kurýr kryptografického materiálu. Kurýrem kryptografického materiálu je osoba, která

a) byla k přepravě pověřena odpovědnou osobou nebo jí pověřenou osobou,

b) splňuje podmínky přístupu k utajované informaci podle § 6 odst. 1 nebo § 11 odst. 1, nejméně pro stupeň utajení přepravovaného kryptografického materiálu a

c) byla k přepravě zaškolena.

(2) Z území České republiky lze vyvážet certifikovaný kryptografický prostředek [§ 46 odst. 1 písm. c)] pouze na základě povolení Národního úřadu pro kybernetickou a informační bezpečnost. Za vývoz se nepovažuje používání certifikovaného kryptografického prostředku mimo území České republiky orgánem státu.

(3) Povolení podle odstavce 2 lze udělit na základě písemné žádosti. Povolení se vydává na vývoz konkrétního kryptografického prostředku a obsahuje též účel vývozu. Národní úřad pro kybernetickou a informační bezpečnost povolení nevydá, jestliže by vývozem byla ohrožena utajovaná informace České republiky nebo utajovaná informace, k jejíž ochraně se Česká republika zavázala; tuto skutečnost písemně oznámí žadateli o povolení. Na udělení povolení není právní nárok.

(4) Národní úřad pro kybernetickou a informační bezpečnost vede evidenci povolení udělených podle odstavce 2.

Pokud fyzická osoba nakládá s kryptografickým materiálem jiným způsobem, než je uvedeno v § 38 odst. 1, § 40, § 41 odst. 3 nebo § 42, musí být k nakládání pověřena odpovědnou osobou nebo jí pověřenou osobou a splňovat podmínky uvedené v § 38 odst. 2 písm. b) a c).

(1) Kompromitací kryptografického materiálu se rozumí nakládání s kryptografickým materiálem, které způsobilo nebo by mohlo způsobit porušení ochrany utajované informace.

(2) Kompromitaci kryptografického materiálu jsou orgán státu, právnická osoba podle § 60b nebo podnikatel povinni neprodleně oznámit Národnímu úřadu pro kybernetickou a informační bezpečnost.

(1) Distribuci a evidenci kryptografického materiálu České republiky, kryptografického materiálu Evropské unie a kryptografického materiálu distribuovaného na základě mezinárodní smlouvy, s výjimkou kryptografického materiálu pro vojenské účely, zajišťuje Národní úřad pro kybernetickou a informační bezpečnost. Distribuci a evidenci kryptografického materiálu Organizace Severoatlantické smlouvy a kryptografického materiálu pro vojenské účely zajišťuje Ministerstvo obrany.

(2) Podmínky evidence, manipulace a kontroly kryptografického materiálu v České republice, zahrnující zejména možnost zřízení účtů pro kryptografický materiál v orgánech státu, u právnické osoby podle § 60b nebo podnikatele, vedení evidencí, kontrolní funkce, povinnosti držitelů kryptografického materiálu vůči Národnímu úřadu pro kybernetickou a informační bezpečnost nebo Ministerstvu obrany a zajištění kurýrní služby pro kryptografický materiál Evropské unie upraví bezpečnostní standard.

Prováděcí právní předpis stanoví

a) náležitosti přihlášky k odborné zkoušce,

b) organizaci, obsah a způsob provádění odborné zkoušky,

c) náležitosti osvědčení o zvláštní odborné způsobilosti,

d) minimální požadavky na zajištění bezpečnostní správy kryptografické ochrany,

e) podrobnosti zajišťování provozu kryptografického prostředku,

f) způsob zaškolování provozní obsluhy kryptografického prostředku a kurýra kryptografického materiálu a vzor potvrzení o zaškolení provozní obsluhy kryptografického prostředku a kurýra kryptografického materiálu,

g) podrobnosti způsobu vyznačování náležitostí na utajované informaci z oblasti kryptografické ochrany, zejména podle druhu kryptografického materiálu,

h) druhy a náležitosti administrativních pomůcek kryptografické ochrany a požadavky na vedení těchto pomůcek,

i) bližší požadavky na způsob a prostředky manipulace s kryptografickým materiálem,

j) obsah žádosti pro udělení povolení pro vývoz certifikovaného kryptografického prostředku z území České republiky a náležitosti povolení,

k) způsob vedení evidencí uvedených v § 37 odst. 5,

l) kategorie kryptografických pracovišť, typy činností na kryptografickém pracovišti a minimální požadavky na jejich zabezpečení,

m) podmínky ochrany kryptografického prostředku a materiálu k zajištění jeho funkce podle § 41 odst. 4.

(1) Ochranou utajovaných informací stupně utajení Přísně tajné, Tajné nebo Důvěrné před jejich únikem kompromitujícím vyzařováním je zabezpečení elektrických a elektronických zařízení, zabezpečené oblasti, jednací oblasti nebo objektu.

(2) Je-li ochrana utajované informace před únikem kompromitujícím vyzařováním zabezpečena stínicí komorou, musí být tato komora certifikována Národním úřadem pro kybernetickou a informační bezpečnost [§ 46 odst. 1 písm. e)].

(3) Ověřování způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti, jednací oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím vyzařováním zajišťuje Národní úřad pro kybernetickou a informační bezpečnost při certifikaci informačního systému nebo kryptografického prostředku, při schvalování projektu bezpečnosti komunikačního systému nebo na základě odůvodněné písemné žádosti orgánu státu, právnické osoby podle § 60b nebo podnikatele v souvislosti s ochranou utajovaných informací.

(4) K provádění měření možného úniku utajovaných informací podle odstavce 3 může Národní úřad pro kybernetickou a informační bezpečnost uzavřít s orgánem státu, právnickou osobou podle § 60b nebo podnikatelem smlouvu podle § 52 o zajištění této činnosti.

(5) K provádění měření zařízení, zabezpečené oblasti, jednací oblasti nebo objektu podle odstavce 3, které jsou provozovány nebo užívány zpravodajskými službami, jsou oprávněny zpravodajské služby. V těchto případech se smlouva podle § 52 neuzavírá. Zprávy o provedeném měření a protokoly měření podle odstavce 3 se ukládají u zpravodajské služby a předkládají se Národnímu úřadu pro kybernetickou a informační bezpečnost na jeho žádost.

(6) Při provádění měření podle odstavce 5 jsou zpravodajské služby povinny dodržovat ustanovení tohoto zákona, prováděcích právních předpisů a bezpečnostních standardů Národního úřadu pro kybernetickou a informační bezpečnost.

Státní správu v oblasti ochrany utajovaných informací podle této hlavy vykonává Národní úřad pro kybernetickou a informační bezpečnost, pokud tento zákon nestanoví jinak.

(1) Certifikace je postup, jímž Úřad nebo Národní úřad pro kybernetickou a informační bezpečnost

a) ověřuje způsobilost technického prostředku k ochraně utajovaných informací,

b) ověřuje způsobilost informačního systému k nakládání s utajovanými informacemi,

c) ověřuje způsobilost kryptografického prostředku k ochraně utajovaných informací,

d) ověřuje způsobilost kryptografického pracoviště pro vykonávání činností podle § 37 odst. 4, nebo

e) ověřuje způsobilost stínicí komory k ochraně utajovaných informací.

(2) Zjistí-li Úřad nebo Národní úřad pro kybernetickou a informační bezpečnost způsobilost podle odstavce 1, certifikát technického prostředku, certifikát informačního systému, certifikát kryptografického prostředku, certifikát kryptografického pracoviště nebo certifikát stínicí komory vydá.

(3) Certifikáty podle odstavce 2 jsou veřejnými listinami.

(4) Certifikát technického prostředku obsahuje

a) evidenční číslo certifikátu,

b) název a typové označení technického prostředku,

c) identifikaci výrobce technického prostředku obchodní firmou (dále jen „firma“) nebo názvem, identifikačním číslem osoby (dále jen „identifikační číslo“) a sídlem, jde-li o právnickou osobu, nebo jménem, příjmením a místem trvalého pobytu, jde-li o osobu fyzickou,

d) identifikaci držitele certifikátu technického prostředku podle písmene c),

e) hodnocení technického prostředku,

f) datum vydání a dobu platnosti certifikátu a

g) otisk úředního razítka a podpis oprávněného zástupce Úřadu; otisk úředního razítka se nevyžaduje, byl-li certifikát vydán v elektronické podobě.

(5) Certifikát informačního systému, certifikát kryptografického prostředku, certifikát kryptografického pracoviště a certifikát stínicí komory obsahuje

a) evidenční číslo certifikátu,

b) identifikaci držitele certifikátu podle odstavce 4 písm. c),

c) datum vydání a dobu platnosti certifikátu a

d) otisk úředního razítka Národního úřadu pro kybernetickou a informační bezpečnost a podpis oprávněného zástupce Národního úřadu pro kybernetickou a informační bezpečnost; otisk úředního razítka se nevyžaduje, byl-li certifikát vydán v elektronické podobě.

(6) Certifikát informačního systému vedle náležitostí podle odstavce 5 obsahuje identifikaci informačního systému a stupeň utajení utajovaných informací, pro který byla způsobilost informačního systému ověřena.

(7) Certifikát kryptografického prostředku vedle náležitostí podle odstavce 5 obsahuje

a) identifikaci kryptografického prostředku,

b) identifikaci výrobce kryptografického prostředku podle odstavce 4 písm. c) a

c) stupeň utajení utajovaných informací, pro který byla způsobilost kryptografického prostředku schválena.

(8) Certifikát kryptografického pracoviště vedle náležitostí podle odstavce 5 obsahuje

a) identifikaci kryptografického pracoviště,

b) rozsah způsobilosti kryptografického pracoviště a

c) kategorii kryptografického pracoviště.

(9) Certifikát stínicí komory vedle náležitostí podle odstavce 5 obsahuje

a) identifikaci stínicí komory, pro kterou je vydáván,

b) identifikaci výrobce stínicí komory podle odstavce 4 písm. c) a

c) stupeň utajení utajovaných informací, pro který byla způsobilost stínicí komory schválena.

(10) Není-li Úřadem nebo Národním úřadem pro kybernetickou a informační bezpečnost zjištěna způsobilost podle odstavce 1, rozhodne o nevydání certifikátu. Proti rozhodnutí o nevydání certifikátu podle odstavce 1 písm. b) a c) není odvolání přípustné.

(11) Úřad rozhoduje o zániku platnosti certifikátu v případech uvedených v § 47 odst. 4 písm. b). Národní úřad pro kybernetickou a informační bezpečnost rozhoduje o zániku platnosti certifikátu v případech uvedených v § 48 odst. 4 písm. d), § 49 odst. 5 písm. b), § 50 odst. 4 písm. d) a § 51 odst. 4 písm. d). Odvolání podané proti rozhodnutí Úřadu nebo Národního úřadu pro kybernetickou a informační bezpečnost o zániku platnosti certifikátu nemá odkladný účinek. Proti rozhodnutí Národního úřadu pro kybernetickou a informační bezpečnost o zániku platnosti certifikátu informačního systému a certifikátu kryptografického prostředku není odvolání přípustné.

(12) Jestliže platnost certifikátu, který nebyl vydán v elektronické podobě, zanikla podle § 48 odst. 4 písm. b) a d), § 49 odst. 5 písm. b), § 50 odst. 4 písm. b) a d) nebo § 51 odst. 4 písm. b) a d), je držitel certifikátu povinen do 5 dnů ode dne doručení oznámení Národního úřadu pro kybernetickou a informační bezpečnost odevzdat certifikát Národnímu úřadu pro kybernetickou a informační bezpečnost. Jestliže platnost certifikátu, který nebyl vydán v elektronické podobě, zanikla podle § 47 odst. 4 písm. b), je držitel certifikátu povinen do 5 dnů ode dne doručení oznámení Úřadu odevzdat certifikát Úřadu.

(13) Přílohou certifikátu informačního systému, kryptografického prostředku, kryptografického pracoviště nebo stínicí komory je certifikační zpráva, která obsahuje zásady a podmínky jejich provozování. V příloze certifikátu technického prostředku mohou být stanoveny podmínky jeho používání.

(14) Úřad ověřuje způsobilost technického prostředku podle odstavce 1 písm. a) na základě posudku vlastností technického prostředku (dále jen „posudek“). K vydávání posudku podle věty první může Úřad uzavřít s orgánem státu, právnickou osobou podle § 60b nebo podnikatelem smlouvu podle § 52 o zajištění činnosti.

(15) K provádění dílčích úloh při ověřování způsobilosti podle odstavce 1 písm. b) až e) může Národní úřad pro kybernetickou a informační bezpečnost uzavřít s orgánem státu, právnickou osobou podle § 60b nebo podnikatelem smlouvu podle § 52 o zajištění těchto činností; to neplatí, jde-li o ověřování způsobilosti informačního systému, kryptografického prostředku nebo pracoviště anebo stínící komory, které mají být provozovány zpravodajskými službami.

(16) Seznam orgánů státu, právnických osob podle § 60b a podnikatelů, s nimiž je uzavřena smlouva podle § 52, s výjimkou zpravodajských služeb, zveřejňuje Úřad a Národní úřad pro kybernetickou a informační bezpečnost v příslušném věstníku nebo na svých internetových stránkách.

(17) K provádění dílčích úloh při ověřování způsobilosti podle odstavce 1 písm. b) až e), které z důvodu utajení nelze provést Národním úřadem pro kybernetickou a informační bezpečnost, jde-li o informační systém, kryptografický prostředek, kryptografické pracoviště nebo stínicí komoru, které mají být provozovány zpravodajskými službami, jsou oprávněny tyto zpravodajské služby. V těchto případech zpravodajské služby předloží Národnímu úřadu pro kybernetickou a informační bezpečnost výsledky provedení dílčích úloh a na žádost Národního úřadu pro kybernetickou a informační bezpečnost k nahlédnutí též protokoly o provedení dílčích úloh.

(18) Při provádění dílčích úloh podle odstavce 17 jsou zpravodajské služby povinny dodržovat ustanovení tohoto zákona, prováděcích právních předpisů a bezpečnostních standardů Národního úřadu pro kybernetickou a informační bezpečnost.

(19) Účastníkem řízení o certifikaci nebo o zrušení platnosti certifikátu je žadatel podle § 47 odst. 1, § 48 odst. 1, § 49 odst. 1, § 50 odst. 1 a § 51 odst. 1.

(1) O certifikaci technického prostředku písemně žádá u Úřadu výrobce, dovozce, distributor nebo uživatel technického prostředku. K žádosti se přiloží posudek podle § 46 odst. 14 a dokumentace nezbytná pro provedení certifikace technického prostředku.

(2) Dobu platnosti certifikátu technického prostředku stanoví Úřad nejdéle na dobu 5 let.

(3) Seznam certifikovaných technických prostředků, kromě technických prostředků certifikovaných na žádost uživatele technického prostředku, je zveřejňován na internetových stránkách Úřadu.

(4) Platnost certifikátu technického prostředku zaniká

a) uplynutím doby jeho platnosti, nebo

b) rozhodnutím Úřadu o zániku platnosti certifikátu v případě, že vyráběný technický prostředek nesplňuje požadavky tohoto zákona a prováděcích právních předpisů nebo není ve shodě s posuzovaným technickým prostředkem.

(5) Zanikla-li platnost certifikátu technického prostředku podle odstavce 4, Úřad tento technický prostředek vyřadí ze seznamu zveřejňovaného podle odstavce 3.

(6) Technický prostředek používaný k ochraně utajovaných informací lze nadále používat i po uplynutí doby platnosti jeho certifikátu.

(7) Úřad může při certifikaci technického prostředku přihlédnout k certifikátu nebo obdobnému dokumentu technického prostředku vydanému oprávněným pracovištěm cizí moci.

(1) O certifikaci informačního systému písemně žádá u Národního úřadu pro kybernetickou a informační bezpečnost orgán státu, právnická osoba podle § 60b nebo podnikatel, který bude informační systém provozovat.

(2) Ten, kdo o certifikaci informačního systému podle odstavce 1 požádal, předkládá v průběhu certifikace na žádost Národního úřadu pro kybernetickou a informační bezpečnost dokumentaci nezbytnou pro provedení certifikace.

(3) Dobu platnosti certifikátu informačního systému stanoví Národní úřad pro kybernetickou a informační bezpečnost. Platnost certifikátu informačního systému je pro stupeň utajení

a) Přísně tajné, Tajné a Důvěrné nejdéle 3 roky a

b) Vyhrazené nejdéle 5 let.

(4) Platnost certifikátu informačního systému zaniká

a) uplynutím doby jeho platnosti,

b) v případě informačního systému pro nakládání s utajovanými informacemi stupně utajení Důvěrné nebo vyššího zánikem platnosti osvědčení podnikatele,

c) zrušením orgánu státu nebo zánikem právnické osoby podle § 60b,

d) rozhodnutím Národního úřadu pro kybernetickou a informační bezpečnost o zániku platnosti certifikátu, přestal-li být informační systém způsobilý k nakládání s utajovanými informacemi, nebo

e) oznámením orgánu státu, právnické osoby podle § 60b nebo podnikatele, který je držitelem certifikátu, o zrušení informačního systému.

(5) Má-li být informační systém používán i bezprostředně po uplynutí doby platnosti jeho certifikátu, je žadatel podle odstavce 1 povinen požádat Národní úřad pro kybernetickou a informační bezpečnost o certifikaci informačního systému. Opakovaná žádost musí být Národnímu úřadu pro kybernetickou a informační bezpečnost doručena nejméně 6 měsíců před uplynutím doby platnosti původního certifikátu informačního systému.

(6) Národní úřad pro kybernetickou a informační bezpečnost je povinen rozhodnout o certifikaci informačního systému do 1 roku od zahájení řízení o certifikaci, ve zvlášť složitých případech do 2 let; nelze-li vzhledem k povaze věci rozhodnout v této lhůtě, může ji přiměřeně prodloužit ředitel Národního úřadu pro kybernetickou a informační bezpečnost, nejvýše však o 6 měsíců.

(1) O certifikaci kryptografického prostředku písemně žádá u Národního úřadu pro kybernetickou a informační bezpečnost výrobce, dovozce, distributor nebo uživatel kryptografického prostředku. Žádá-li o certifikaci kryptografického prostředku podnikatel, musí být držitelem platného osvědčení podnikatele pro přístup k utajované informaci podle § 20 odst. 1 písm. a).

(2) Národní úřad pro kybernetickou a informační bezpečnost žádost podle odstavce 1 rozhodnutím odmítne, není-li v souladu se záměry České republiky v oblasti zajišťování ochrany utajovaných informací kryptografickou ochranou. Proti rozhodnutí podle věty první není odvolání přípustné a nelze jej ani přezkoumat soudem.

(3) Ten, kdo o certifikaci kryptografického prostředku podle odstavce 1 požádal, předkládá v průběhu certifikace na žádost Národního úřadu pro kybernetickou a informační bezpečnost kryptografický prostředek v potřebném počtu a dokumentaci nezbytnou pro provedení certifikace.

(4) Dobu platnosti certifikátu kryptografického prostředku stanoví Národní úřad pro kybernetickou a informační bezpečnost na dobu nejdéle 5 let.

(5) Platnost certifikátu kryptografického prostředku zaniká

a) uplynutím doby jeho platnosti, nebo

b) rozhodnutím Národního úřadu pro kybernetickou a informační bezpečnost o zániku platnosti certifikátu, přestal-li být kryptografický prostředek způsobilý k ochraně utajovaných informací.

(6) Má-li být kryptografický prostředek používán i bezprostředně po uplynutí doby platnosti jeho certifikátu, je žadatel podle odstavce 1 povinen požádat Národní úřad pro kybernetickou a informační bezpečnost o certifikaci kryptografického prostředku. Opakovaná žádost musí být Národnímu úřadu pro kybernetickou a informační bezpečnost doručena nejméně 6 měsíců před uplynutím doby platnosti původního certifikátu kryptografického prostředku.

(7) Národní úřad pro kybernetickou a informační bezpečnost může při certifikaci kryptografického prostředku přihlédnout k certifikátu nebo obdobnému dokumentu kryptografického prostředku vydanému oprávněným pracovištěm cizí moci.

(8) Řízení o certifikaci kryptografického prostředku lze též přerušit současně s odesláním žádosti adresované zahraničnímu subjektu o informaci nezbytnou pro spolehlivé zjištění stavu věci.

(9) Národní úřad pro kybernetickou a informační bezpečnost může stanovit při certifikaci kryptografického prostředku jeho způsobilost k ochraně taktické informace.

(10) Pro lhůty pro vydání rozhodnutí platí § 48 odst. 6.

(1) O certifikaci kryptografického pracoviště písemně žádá u Národního úřadu pro kybernetickou a informační bezpečnost orgán státu, právnická osoba podle § 60b nebo podnikatel, u kterého má být kryptografické pracoviště provozováno. Žádá-li o certifikaci kryptografického pracoviště podnikatel, musí být držitelem platného osvědčení podnikatele.

(2) Ten, kdo o certifikaci kryptografického pracoviště podle odstavce 1 požádal, předkládá v průběhu certifikace na žádost Národního úřadu pro kybernetickou a informační bezpečnost dokumentaci nezbytnou pro provedení certifikace.

(3) Dobu platnosti certifikátu kryptografického pracoviště stanoví Národní úřad pro kybernetickou a informační bezpečnost na dobu nejdéle 3 let.

(4) Platnost certifikátu kryptografického pracoviště zaniká

a) uplynutím doby jeho platnosti,

b) zánikem platnosti osvědčení podnikatele,

c) zrušením orgánu státu nebo zánikem právnické osoby podle § 60b,

d) rozhodnutím Národního úřadu pro kybernetickou a informační bezpečnost o zániku platnosti certifikátu, přestalo-li být kryptografické pracoviště způsobilé pro vykonávání určených činností, nebo

e) oznámením orgánu státu, právnické osoby podle § 60b nebo podnikatele, který je držitelem certifikátu, o zrušení kryptografického pracoviště.

(5) Má-li být kryptografické pracoviště využíváno i bezprostředně po uplynutí doby platnosti jeho certifikátu, je žadatel podle odstavce 1 povinen požádat Národní úřad pro kybernetickou a informační bezpečnost o certifikaci kryptografického pracoviště. Opakovaná žádost musí být Národnímu úřadu pro kybernetickou a informační bezpečnost doručena nejméně 6 měsíců před uplynutím doby platnosti původního certifikátu kryptografického pracoviště.

(6) Národní úřad pro kybernetickou a informační bezpečnost je povinen rozhodnout o certifikaci kryptografického pracoviště do 6 měsíců od zahájení řízení o certifikaci, ve zvlášť složitých případech do 1 roku; nelze-li vzhledem k povaze věci rozhodnout v této lhůtě, může ji přiměřeně prodloužit ředitel Národního úřadu pro kybernetickou a informační bezpečnost, nejvýše však o 3 měsíce.

(1) O certifikaci stínicí komory písemně žádá u Národního úřadu pro kybernetickou a informační bezpečnost orgán státu, právnická osoba podle § 60b nebo podnikatel, u kterého je stínicí komora používána.

(2) Ten, kdo o certifikaci stínicí komory podle odstavce 1 požádal, předkládá v průběhu certifikace na žádost Národního úřadu pro kybernetickou a informační bezpečnost dokumentaci nezbytnou pro provedení certifikace.

(3) Dobu platnosti certifikátu stínicí komory stanoví Národní úřad pro kybernetickou a informační bezpečnost na dobu nejdéle 5 let.

(4) Platnost certifikátu stínicí komory zaniká

a) uplynutím doby jeho platnosti,

b) zánikem platnosti osvědčení podnikatele,

c) zrušením orgánu státu nebo zánikem právnické osoby podle § 60b, nebo

d) rozhodnutím Národního úřadu pro kybernetickou a informační bezpečnost o zániku platnosti certifikátu, přestala-li být stínicí komora způsobilá k ochraně utajovaných informací.

(5) Má-li být stínicí komora používána i bezprostředně po uplynutí doby platnosti jejího certifikátu, je žadatel podle odstavce 1 povinen požádat Národní úřad pro kybernetickou a informační bezpečnost o certifikaci stínicí komory. Opakovaná žádost musí být Národnímu úřadu pro kybernetickou a informační bezpečnost doručena nejméně 12 měsíců před uplynutím doby platnosti původního certifikátu stínicí komory.

(6) Pro lhůty pro vydání rozhodnutí platí § 50 odst. 6.

(1) Smlouva o zajištění činnosti (dále jen „smlouva“) uvedená v § 39 odst. 3, § 45 odst. 4 a § 46 odst. 14 a 15 se uzavírá na dobu určitou nebo neurčitou. Smlouva musí mít písemnou formu. Projev vůle účastníků smlouvy musí být na téže listině.

(2) Smlouvu lze uzavřít s orgánem státu, právnickou osobou podle § 60b nebo podnikatelem na základě jejich písemné žádosti, a to pouze tehdy, budou-li činnosti, jež jsou předmětem smlouvy,

a) prováděny odborně způsobilými zaměstnanci státu, právnické osoby podle § 60b nebo podnikatele,

b) zajištěny u orgánu státu, právnické osoby podle § 60b nebo podnikatele organizačně, technicky a materiálně.

(3) Smlouvu s podnikatelem lze dále uzavřít pouze tehdy, je-li

a) jeho sídlo na území České republiky,

b) držitelem platného osvědčení podnikatele příslušného stupně utajení; tato podmínka neplatí, má-li být uzavřena smlouva k vydávání posudku uvedená v § 46 odst. 14 a 15.

(4) Smlouva musí obsahovat

a) označení účastníků smlouvy,

b) vymezení předmětu smlouvy a jeho rozsahu,

c) práva a povinnosti účastníků smlouvy,

d) způsob kontroly prováděné Úřadem nebo Národním úřadem pro kybernetickou a informační bezpečnost podle odstavce 6,

e) způsob a podmínky odstoupení účastníků od smlouvy,

f) souhlas se zveřejněním technického prostředku na internetových stránkách Úřadu, jde-li o smlouvu k vydávání posudku uvedenou v § 46 odst. 14.

(5) V podmínkách podle odstavce 4 písm. e) musí být též stanoveno, že Úřad nebo Národní úřad pro kybernetickou a informační bezpečnost odstoupí od smlouvy v případě, že druhý účastník smlouvy poruší povinnost stanovenou tímto zákonem, prováděcími právními předpisy nebo uzavřenou smlouvou.

(6) Úřad nebo Národní úřad pro kybernetickou a informační bezpečnost kontroluje, zda druhý účastník smlouvy dodržuje ustanovení tohoto zákona, prováděcích právních předpisů a uzavřené smlouvy.

(7) Změnit obsah smlouvy lze pouze písemnou dohodou účastníků smlouvy.

(8) Smlouvu lze vypovědět pouze písemnou formou.

(9) Nestanoví-li tento zákon jinak, použijí se v ostatním přiměřeně ustanovení občanského zákoníku.

Prováděcí právní předpis stanoví

a) náležitosti žádosti o certifikaci technického prostředku, dokumentaci nezbytnou k provedení certifikace technického prostředku, pravidla pro stanovení doby platnosti certifikátu technického prostředku, pravidla a způsob používání technického prostředku po uplynutí doby platnosti jeho certifikátu a vzor certifikátu technického prostředku,

b) náležitosti žádosti a opakované žádosti o certifikaci informačního systému, certifikaci kryptografického prostředku, certifikaci kryptografického pracoviště a certifikaci stínící komory, a dokumentaci nezbytnou k provedení certifikace informačního systému, certifikace kryptografického prostředku, certifikace kryptografického pracoviště a certifikace stínící komory,

c) způsob a podmínky provádění certifikace nebo akreditace informačního systému, certifikace kryptografického prostředku, certifikace kryptografického pracoviště a certifikace stínící komory a jejich opakování a obsah certifikační zprávy podle § 46 odst. 13,

d) vzory certifikátu informačního systému, certifikátu kryptografického prostředku, certifikátu kryptografického pracoviště a certifikátu stínící komory,

e) náležitosti žádosti o ověření způsobilosti elektrických a elektronických zařízení, zabezpečené oblasti nebo objektu k ochraně před únikem utajované informace kompromitujícím vyzařováním a způsob hodnocení jejich způsobilosti a

f) náležitosti žádosti orgánu státu, právnické osoby podle § 60b nebo podnikatele o uzavření smlouvy podle § 52.

(1) Osvědčení fyzické osoby a osvědčení podnikatele jsou veřejnými listinami.

(2) Osvědčení fyzické osoby obsahuje

a) jméno, příjmení, rodné příjmení,

b) den, měsíc, rok a místo narození,

c) státní občanství,

d) uvedení nejvyššího stupně utajení utajované informace, pro přístup k níž osvědčení fyzické osoby opravňuje,

e) datum vydání a dobu platnosti a

f) otisk úředního razítka a podpis oprávněného zástupce Úřadu.

(3) Osvědčení podnikatele obsahuje

a) identifikaci podnikatele firmou nebo názvem a identifikačním číslem, jde-li o právnickou osobu, a jménem a příjmením nebo firmou a identifikačním číslem, jde-li o fyzickou osobu,

b) uvedení nejvyššího stupně utajení utajované informace, pro přístup k níž osvědčení podnikatele opravňuje,

c) formu přístupu podle § 20,

d) datum vydání a dobu platnosti a

e) otisk úředního razítka a podpis oprávněného zástupce Úřadu.

(4) V případě změny některého údaje obsaženého v osvědčení fyzické osoby nebo v osvědčení podnikatele vydá Úřad bezodkladně nové osvědčení fyzické osoby nebo nové osvědčení podnikatele. Přístup k utajované informaci není do doby doručení nového osvědčení dotčen.

Platnost osvědčení fyzické osoby a osvědčení podnikatele je pro stupeň utajení

a) Přísně tajné 5 let a

b) Tajné a Důvěrné 10 let.

(1) Platnost osvědčení fyzické osoby nebo osvědčení podnikatele zaniká

a) uplynutím doby jeho platnosti,

b) dnem vykonatelnosti rozhodnutí Úřadu (§ 123 odst. 3, § 126 odst. 4) o zrušení jeho platnosti,

c) úmrtím fyzické osoby, nebo byla-li prohlášena za mrtvou,

d) zrušením nebo zánikem podnikatele,

e) ohlášením jeho odcizení nebo ztráty,

f) ohlášením takového poškození, že zápisy v něm uvedené jsou nečitelné nebo je porušena jeho celistvost,

g) jde-li o osvědčení fyzické osoby vydané Úřadem

1. vznikem služebního poměru příslušníka zpravodajské služby,

2. převedením příslušníka bezpečnostního sboru na služební místo v Bezpečnostní informační službě nebo Úřadu pro zahraniční styky a informace,

3. služebním zařazením vojáka na služební místo ve Vojenském zpravodajství,

4. vznikem pracovního poměru zaměstnance zařazeného do zpravodajské služby, nebo

5. dnem, kdy začne být fyzická osoba osobou uvedenou v § 141 odst. 1,

h) jde-li o osvědčení fyzické osoby vydané příslušnou zpravodajskou službou

1. skončením služebního poměru příslušníka zpravodajské služby,

2. převedením příslušníka Bezpečnostní informační služby nebo Úřadu pro zahraniční styky a informace na služební místo v jiném bezpečnostním sboru,

3. služebním zařazením příslušníka Vojenského zpravodajství na služební místo mimo tuto zpravodajskou službu, nebo

4. skončením základního pracovněprávního vztahu zaměstnance zařazeného do zpravodajské služby,

i) jde-li o osvědčení fyzické osoby vydané Ministerstvem vnitra, dnem, kdy přestane být fyzická osoba osobou uvedenou v § 141 odst. 1,

j) vrácením jeho držitelem tomu, kdo jej vydal,

k) dnem doručení nového osvědčení fyzické osoby, nebo

l) dnem doručení nového osvědčení podnikatele pro stejnou formu přístupu podnikatele k utajované informaci.

(2) Při zániku platnosti osvědčení podnikatele podle odstavce 1 písm. a), b), d) nebo j) je podnikatel povinen utajovanou informaci, která mu byla poskytnuta, odevzdat tomu, kdo mu ji poskytl nebo do jehož oblasti věcné působnosti náleží; nelze-li tak učinit, je povinen odevzdat ji Úřadu. Utajované informace, které u podnikatele vznikly, je povinen předat orgánu státu, do jehož působnosti utajované informace náleží, není-li jej, Úřadu. Odevzdání a předání utajované informace podle tohoto odstavce je podnikatel povinen provést neprodleně po zániku platnosti osvědčení podnikatele.

(3) Při zániku platnosti osvědčení fyzické osoby podle odstavce 1 písm. a), b) nebo j) je odpovědná osoba nebo ten, kdo provedl poučení, povinen zajistit, aby tato fyzická osoba neměla přístup k utajované informaci. V případě zániku platnosti osvědčení fyzické osoby podle odstavce 1 písm. j) Úřad písemně vyrozumí její odpovědnou osobu o zániku platnosti osvědčení fyzické osoby; Úřad postupuje stejně i v případě zániku platnosti osvědčení fyzické osoby podle odstavce 1 písm. k), pokud jde o osvědčení fyzické osoby vydané pro nižší stupeň utajení.

(4) Pokud držitel osvědčení fyzické osoby nebo podnikatele do 15 dnů ode dne zániku jeho platnosti podle odstavce 1 písm. e) nebo f) požádá písemně Úřad o vydání osvědčení nového, přístup fyzické osoby nebo podnikatele k utajované informaci není zánikem platnosti původního osvědčení dotčen; Úřad vydá do 5 dnů od doručení žádosti osvědčení nové, které nahrazuje původní. Pokud nebude podána žádost podle věty první, postupuje Úřad podle odstavce 3 věty druhé.

(5) V případě zániku platnosti osvědčení fyzické osoby podle odstavce 1 písm. k) není přístup k utajované informaci dotčen, pokud bude fyzická osoba poučena do 15 dnů ode dne tohoto zániku.

(1) V případě zániku platnosti osvědčení fyzické osoby podle § 56 odst. 1 písm. g) vydá příslušná zpravodajská služba nebo Ministerstvo vnitra této fyzické osobě nové osvědčení, které nahrazuje osvědčení původní, a to ke dni vzniku jejího služebního nebo pracovního poměru nebo ke dni, kdy se tato fyzická osoba stala osobou uvedenou v § 141 odst. 1.

(2) V případě zániku platnosti osvědčení fyzické osoby podle § 56 odst. 1 písm. h) a i) vydá této fyzické osobě nové osvědčení, jež nahrazuje osvědčení původní,

a) příslušná zpravodajská služba, a to ke dni, kdy této fyzické osobě vznikl služební poměr příslušníka zpravodajské služby nebo základní pracovněprávní vztah zaměstnance zařazeného do zpravodajské služby,

b) Ministerstvo vnitra, a to ke dni, kdy se tato fyzická osoba stala osobou uvedenou v § 141 odst. 1, nebo

c) Úřad v ostatních případech, a to ke dni následujícímu po dni zániku platnosti původního osvědčení. Nové osvědčení fyzické osoby Úřad vydá na základě písemné žádosti této fyzické osoby, a to do 5 dnů ode dne doručení žádosti. Žádost o vydání nového osvědčení fyzické osoby lze podat do 30 dnů ode dne zániku platnosti původního osvědčení; přílohou žádosti musí být potvrzení příslušné zpravodajské služby nebo Ministerstva vnitra podle odstavce 3.

(3) Příslušná zpravodajská služba nebo Ministerstvo vnitra potvrdí v případě postupu podle odstavce 2 písm. c) zánik platnosti osvědčení fyzické osoby na základě žádosti této fyzické osoby, a to do 5 dnů ode dne doručení žádosti. V potvrzení se uvede označení orgánu státu, který původní osvědčení fyzické osoby vydal, údaje uvedené v § 54 odst. 2 písm. a) až e) a den zániku platnosti tohoto osvědčení.

(4) Orgán státu, který vydal nové osvědčení fyzické osoby, si písemně vyžádá bezpečnostní svazek této osoby od orgánu státu, který vydal původní osvědčení; bezpečnostní svazek se předá do 5 dnů ode dne doručení této žádosti.

(1) Má-li mít fyzická osoba nebo podnikatel přístup k utajované informaci cizí moci, musí splňovat podmínky podle § 11 nebo § 15 písm. b), a požaduje-li tak cizí moc, být též držitelem osvědčení pro cizí moc.

(2) Je-li to v souladu s bezpečnostními a ekonomickými zájmy České republiky a se závazky vyplývajícími pro Českou republiku z mezinárodní smlouvy a neprobíhá-li s danou osobou řízení o zrušení platnosti osvědčení fyzické osoby nebo osvědčení podnikatele, Úřad na základě písemné odůvodněné žádosti držitele platného osvědčení fyzické osoby nebo platného osvědčení podnikatele vydává

a) osvědčení fyzické osoby pro cizí moc, nebo

b) osvědčení podnikatele pro cizí moc.

(3) Pokud je žádost podle odstavce 2 podána současně s žádostí podle § 94 nebo 96 nebo v průběhu řízení podle části čtvrté o této žádosti, Úřad postupuje podle odstavce 2 neprodleně po vydání osvědčení fyzické osoby nebo osvědčení podnikatele.

(4) Osvědčení podle odstavce 2 je veřejnou listinou.

(5) Osvědčení podle odstavce 2 obsahuje náležitosti uvedené v § 54 s tím, že označení nejvyššího stupně utajení utajované informace, pro přístup k níž toto osvědčení opravňuje, se uvádí včetně zkratky ve smyslu § 21 odst. 2.

(6) Osvědčení podle odstavce 2 potvrzuje, že u jeho držitele bylo provedeno bezpečnostní řízení podle části čtvrté a je držitelem platného osvědčení fyzické osoby nebo osvědčení podnikatele daného stupně utajení; v případě osvědčení podnikatele potvrzuje též formy přístupu podnikatele k utajované informaci podle § 20.

(7) Osvědčení podle odstavce 2 se vydává na dobu nezbytně nutnou, nejdéle však na dobu, na kterou je vydáno osvědčení fyzické osoby nebo osvědčení podnikatele.

(8) Platnost osvědčení uvedeného v odstavci 2 zaniká

a) zánikem platnosti osvědčení fyzické osoby nebo osvědčení podnikatele, nejde-li o zánik podle § 56 odst. 1 písm. e) nebo f) a fyzická osoba nebo podnikatel ve lhůtě 15 dnů požádal o vydání osvědčení nového (§ 56 odst. 4), nebo

b) z důvodů stanovených v § 56 odst. 1 písm. a), e), f) nebo j).

(9) Platnost osvědčení podle odstavce 2 nezaniká z důvodu uvedeného v § 56 odst. 1 písm. a) do doby rozhodnutí o žádosti podle § 94 odst. 3 nebo § 96 odst. 3, nejdéle však po dobu 12 měsíců od uplynutí doby platnosti osvědčení, pokud byla žádost podána v době, kdy byl vyhlášen válečný stav nebo pro celé území České republiky nouzový stav nebo stav ohrožení státu (dále jen „krizový stav“), nebo byl-li krizový stav vyhlášen v průběhu řízení o této žádosti.

(10) V případě změny některého údaje obsaženého v osvědčení podle odstavce 2 vydá Úřad bezodkladně nové osvědčení podle odstavce 2. Úřad do 5 dnů vydá též osvědčení podle odstavce 2, pokud držitel tohoto osvědčení do 15 dnů ode dne zániku jeho platnosti podle § 56 odst. 1 písm. e) nebo f) požádá o vydání osvědčení nového. Přístup k utajované informaci cizí moci není do doby doručení nového osvědčení podle odstavce 2 dotčen.

(11) Držitel osvědčení podle odstavce 2 je povinen odevzdat je do 15 dnů Úřadu, zanikla-li

a) platnost osvědčení fyzické osoby nebo osvědčení podnikatele podle § 56 odst. 1 písm. b) nebo g) až l),

b) platnost osvědčení fyzické osoby nebo osvědčení podnikatele podle § 56 odst. 1 písm. e) a f) a v důsledku toho zanikl přístup k utajované informaci,

c) jeho platnost z důvodů stanovených v § 56 odst. 1 písm. f), nebo

d) jeho platnost doručením nového osvědčení podle odstavce 2 v souvislosti s postupem podle odstavce 8.

(12) Na základě odůvodněné písemné žádosti právnické osoby podle § 60b Úřad vydá, je-li to požadavek jejího zahraničního partnera nebo cizí moci, časově omezené potvrzení o rozsahu ochrany utajovaných informací, zajištěné podle § 5 u právnické osoby podle § 60b. Před vydáním potvrzení Úřad v nezbytné míře ověří splnění podmínek tohoto zákona.

(1) Osobami, které mají přístup k utajované informaci všech stupňů utajení bez platného osvědčení fyzické osoby a poučení, jsou

a) prezident republiky,

b) poslanci a senátoři Parlamentu,

c) členové vlády,

d) veřejný ochránce práv, ochránce práv dětí a jejich zástupce,

e) soudci a

f) prezident, viceprezident a členové Nejvyššího kontrolního úřadu.

(2) Osoby uvedené v odstavci 1 mají přístup k utajované informaci ode dne zvolení nebo jmenování do funkce po dobu jejího výkonu a v rozsahu nezbytném pro její výkon.

(3) Přístup k utajovaným informacím bez platného osvědčení fyzické osoby lze umožnit fyzické osobě jednající ve prospěch zpravodajské služby24), informátorovi25) nebo fyzické osobě, které je poskytována zvláštní nebo krátkodobá ochrana podle zvláštního právního předpisu26), nebo příslušníku zpravodajské služby, který je zařazen v záloze zvláštní27) nebo určen do zvláštní dispozice58). Poučení této osoby provede ten, kdo jí přístup k utajované informaci umožní. Této osobě lze umožnit přístup k utajované informaci cizí moci pouze v souladu s požadavky této cizí moci.

(4) Zvláštní právní předpis28) stanoví, které fyzické osoby a za jakých podmínek mají přístup k utajované informaci bez platného osvědčení fyzické osoby v trestním řízení, v občanském soudním řízení, ve správním řízení a v soudním řízení správním, a to v rozsahu nezbytném pro uplatnění jejich práv a plnění povinností v těchto řízeních. Přístup k utajovaným informacím lze v těchto případech umožnit pouze na základě poučení podle odstavce 5.

(5) Poučení podle § 2 písm. i) u osob uvedených v odstavci 4 provede ten, o němž to stanoví zvláštní právní předpis28). Poučení se provede přiměřeně způsobem uvedeným v § 9 odst. 1; poučení musí dále obsahovat spisové označení věci, která je předmětem řízení, a poučení o tom, že údaje o osobách, které mají přístup k utajované informaci podle odstavce 4, jsou Úřadem evidovány a mohou být využity způsobem stanoveným tímto zákonem.

(6) Osoby uvedené v odstavcích 1 a 4 nemají přístup k utajované informaci cizí moci, nejde-li o prezidenta republiky, poslance a senátora Parlamentu, člena vlády a soudce rozhodujícího ve věcech, kde se nakládá s utajovanou informací cizí moci, kteří musí být před prvním přístupem k utajované informaci cizí moci informováni o právech a povinnostech v oblasti ochrany utajovaných informací cizí moci. V trestním řízení mají přístup k utajované informaci cizí moci po předchozím souhlasu cizí moci též přísedící rozhodující ve věcech, kde se nakládá s utajovanou informací cizí moci, obviněný, zúčastněná osoba, poškozený, jejich zákonný zástupce, opatrovník, zmocněnec, důvěrník, obhájce, znalec a tlumočník, a to v rozsahu nezbytném pro uplatnění jejich práv a plnění povinností v takovém řízení. Před prvním přístupem k utajované informaci cizí moci v řízení musí být osoby podle věty druhé poučeny postupem podle odstavce 5 o právech a povinnostech v oblasti ochrany utajovaných informací cizí moci. Poučení provede v přípravném řízení policejní orgán nebo státní zástupce a v řízení před soudem předseda senátu. Poučení podepisuje fyzická osoba a ten, kdo poučení provedl; ten, kdo poučení provedl, jeden výtisk poučení předá fyzické osobě, jeden výtisk založí do spisu a kopii zašle Úřadu; kopii poučení lze Úřadu zaslat i elektronicky.

(1) Osobami, které mají přístup k utajované informaci stupně utajení Vyhrazené bez platného oznámení po dobu trvání služebního nebo pracovního poměru a v rozsahu nezbytném pro jeho výkon, jsou

a) příslušníci bezpečnostních sborů,

b) státní zaměstnanci,

c) vojáci v činné službě a

d) státní zástupci,

pokud jsou poučené a zařazené na místě nebo vykonávají funkci, na kterých je nezbytné mít přístup k utajovaným informacím, a které jsou uvedené v přehledu podle § 69 odst. 1 písm. b).

(2) Pro poučení osob uvedených v odstavci 1 se použije § 9 odst. 1 obdobně.

(3) V případě skončení služebního nebo pracovního poměru nebo při změně služebního úřadu fyzických osob uvedených v odstavci 1 se má za to, že fyzická osoba poučena není, a v případě, že měla přístup k utajované informaci, se dále postupuje podle § 11a.

(1) Zpravodajská služba může umožnit přístup k utajované informaci fyzické osobě, která není držitelem osvědčení fyzické osoby nebo nemá přístup k utajovaným informacím stupně utajení Vyhrazené, nebo podnikateli, který není držitelem osvědčení podnikatele nebo nemá přístup k utajovaným informacím stupně utajení Vyhrazené, je-li to nezbytné

a) pro plnění povinnosti uložené této fyzické osobě nebo podnikateli jiným právním předpisem, nebo

b) v rámci zpravodajských operací.

(2) V případě přístupu k utajované informaci podle odstavce 1 se postup podle § 60 odst. 2 až 6 použije obdobně.

(1) Policie může umožnit přístup k utajované informaci fyzické osobě, která není držitelem osvědčení fyzické osoby nebo nemá přístup k utajovaným informacím stupně utajení Vyhrazené, je-li to nezbytné pro plnění povinnosti uložené této fyzické osobě jiným právním předpisem v souvislosti s plněním úkolů policie v oblasti poskytování zvláštní ochrany a pomoci59), krátkodobé ochrany, zajišťování bezpečnosti chráněných objektů a prostorů a určených osob60) a provádění sledování osob a věcí61). Postup podle věty první se nepoužije v případě přístupu k utajované informaci cizí moci a utajované informaci stupně utajení Přísně tajné.

(2) V případě přístupu k utajované informaci podle odstavce 1 se postup podle § 60 odst. 2 až 5 použije obdobně s tím, že písemný záznam ani poučení se Úřadu nezasílají, ale ukládají se u policie.

(1) Na základě písemné žádosti odpovědné osoby může Úřad ve výjimečných a odůvodněných případech vydat souhlas s jednorázovým přístupem k utajované informaci se stupněm utajení o jeden vyšším, než na který je vydáno platné osvědčení fyzické osoby nebo osvědčení podnikatele, a to na dobu nezbytně nutnou, nejdéle však na dobu 6 měsíců.

(2) Souhlas podle odstavce 1 lze podnikateli vydat pouze pro přístup k utajované informaci podle § 20 odst. 1 písm. b).

(3) Souhlas s jednorázovým přístupem podle odstavce 1 může u příslušníků zpravodajských služeb vydat ředitel příslušné zpravodajské služby a v případech příslušníků policie podle § 141 odst. 1 ministr vnitra, a to na základě písemné žádosti příslušného služebního funkcionáře.

(4) Žádost podle odstavce 1 obsahuje

a) zdůvodnění jednorázového přístupu,

b) označení oblasti utajovaných informací, ke kterým má být jednorázový přístup umožněn,

c) kopii osvědčení fyzické osoby nebo osvědčení podnikatele,

d) požadovanou dobu jednorázového přístupu a

e) v případě podnikatele písemný souhlas poskytovatele utajované informace s vydáním souhlasu podle odstavce 1.

(5) Úřad vydá souhlas podle odstavce 1 neprodleně, nejpozději do 5 dnů ode dne doručení žádosti. Odpovědná osoba nebo jí pověřená osoba, která po vydání souhlasu Úřadu umožní přístup fyzické osoby k utajované informaci podle odstavce 1 nebo 3, provede její poučení.

(6) Na udělení souhlasu k jednorázovému přístupu k utajované informaci není právní nárok a lze jej téže osobě udělit jen jednou.

(7) K utajované informaci cizí moci lze jednorázový přístup umožnit pouze v souladu s požadavky této cizí moci.

(1) Na základě písemné žádosti odpovědné osoby může Úřad ve výjimečných a odůvodněných případech vydat souhlas s přístupem k utajované informaci se stupněm utajení až o dva vyšším, než na který je vydáno platné osvědčení fyzické osoby, a to osobě služebně činné v policejním orgánu, státnímu zástupci jako orgánu činnému v trestním řízení nebo státnímu zástupci plnícímu v trestním řízení úkoly podle jiného právního předpisu62), neprobíhá-li s danou osobou řízení o zrušení platnosti osvědčení fyzické osoby.

(2) Žádost podle odstavce 1 pro osobu služebně činnou v policejním orgánu musí být doplněna souhlasným stanoviskem státního zástupce, který vykonává dozor nad zachováváním zákonnosti v přípravném řízení, a v případě utajované informace stupně utajení Přísně tajné musí být doplněna též souhlasným stanoviskem vedoucího státního zástupce nejblíže vyššího státního zastupitelství.

(3) Žádost podle odstavce 1 pro státního zástupce v případě utajované informace stupně utajení Přísně tajné musí být doplněna souhlasným stanoviskem vedoucího státního zástupce nejblíže vyššího státního zastupitelství, s výjimkou státního zástupce činného u Nejvyššího státního zastupitelství.

(4) Žádost podle odstavce 1 obsahuje

a) zdůvodnění přístupu,

b) označení utajované informace, ke které má být souhlas s přístupem vydán,

c) spisové označení věci, která je předmětem trestního řízení, a

d) kopii osvědčení fyzické osoby, které má být souhlas podle odstavce 1 vydán.

(5) Úřad vydá souhlas podle odstavce 1 neprodleně, nejpozději do 5 dnů ode dne doručení žádosti, a jen na dobu nezbytnou pro účast fyzické osoby v trestním řízení.

(6) Odpovědná osoba nebo jí pověřená osoba provede poučení fyzické osoby a zajistí založení písemného záznamu o jejím poučení do trestního spisu a zaslání kopie poučení do 30 dnů ode dne poučení Úřadu; kopii poučení lze Úřadu zaslat i elektronicky.

(7) Souhlas podle odstavce 1 zaniká dnem následujícím po dni, kdy skončila účast fyzické osoby v trestním řízení, nejpozději však dnem zániku platnosti osvědčení fyzické osoby podle § 56 odst. 1.

(8) K utajované informaci cizí moci lze souhlas podle odstavce 1 vydat pouze v souladu s požadavky této cizí moci.

(1) Fyzické osobě, která nemá přístup k utajovaným informacím stupně utajení Vyhrazené nebo není držitelem osvědčení fyzické osoby potřebného stupně utajení, nebo podnikateli, který nemá přístup k utajovaným informacím stupně utajení Vyhrazené nebo není držitelem osvědčení podnikatele potřebného stupně utajení, lze umožnit přístup k utajované informaci, pokud plní úkoly v období rostoucího mezinárodního napětí nebo v rámci účasti České republiky v ozbrojeném konfliktu v zahraničí, v záchranné nebo humanitární akci v zahraničí nebo v rámci vyhlášeného válečného stavu, stavu ohrožení státu, nouzového stavu, stavu nebezpečí20) nebo stavu kybernetického nebezpečí.

(2) Přístup fyzické osoby podle odstavce 1 lze umožnit pouze v případě, že neexistují pochybnosti o důvěryhodnosti fyzické osoby a o její schopnosti utajovat informace.

(3) V případě přístupu podle odstavce 1 je odpovědná osoba povinna zajistit poučení fyzické osoby. Hrozí-li nebezpečí z prodlení nebo z důvodu jiné naléhavosti a významu konkrétního úkolu, lze poučení nahradit ústním seznámením fyzické osoby s jejími povinnostmi v oblasti ochrany utajovaných informací a s následky jejich porušení.

(4) O přístupu podle odstavce 1 je odpovědná osoba nebo jí pověřená osoba povinna zpracovat písemný záznam. Tento písemný záznam spolu s poučením zašle odpovědná osoba nebo jí pověřená osoba neprodleně Úřadu; bylo-li poučení nahrazeno ústním seznámením podle odstavce 3 věty druhé, uvede se tato skutečnost v písemném záznamu. Je-li přístup podle odstavce 1 umožněn zpravodajskou službou, písemný záznam podle věty první a části věty druhé za středníkem ani poučení se Úřadu nezasílají, ale ukládají se u příslušné zpravodajské služby.

(5) Je-li podnikateli umožněn přístup k utajované informaci podle odstavce 1, je jeho odpovědná osoba povinna o přístupu zpracovat písemný záznam, který neprodleně zašle Úřadu.

(6) V mimořádných situacích lze přístup k utajované informaci cizí moci umožnit pouze v souladu s požadavky této cizí moci.

Držitel osvědčení fyzické osoby nebo podnikatele je oprávněn v případě, že mu zanikla platnost osvědčení z důvodu uvedeného v § 56 odst. 1 písm. a), mít do doby vydání rozhodnutí o žádosti podle § 94 odst. 3 nebo § 96 odst. 3, nejdéle však po dobu 12 měsíců od uplynutí doby platnosti osvědčení, přístup k utajované informaci do stupně utajení a v případě podnikatele i ve formě přístupu odpovídajícím dosavadnímu osvědčení, pokud byla žádost podána v době, kdy byl vyhlášen krizový stav, nebo byl-li krizový stav vyhlášen v průběhu řízení o této žádosti.