Vyhláška o informační bezpečnosti

(1) Servisní činnost musí provozovatel systému organizovat tak, aby nebyla ohrožena bezpečnost a nedošlo k porušení povinností ochrany utajovaných informací.

(2) V případech, kdy hrozí možnost neoprávněného seznámení s utajovanou informací, musí být z nosičů informací přístupných při servisní činnosti bezpečně vymazány utajované informace a dálková diagnostika musí být zabezpečena před zneužitím.

(3) Servis zařízení nebo komponent zajišťujících bezpečnostní funkce musí zajišťovat osoby splňující podmínky pro přístup fyzické osoby k utajované informaci nejvyššího stupně utajení, s níž je systém určen nakládat. Údržba ostatních zařízení nebo komponent může být prováděna i osobami nesplňujícími podmínky pro přístup k utajované informaci podle věty první, pokud jsou tyto osoby pod neustálým osobním dohledem příslušného pracovníka správy a jestliže byly schváleny odpovědnou osobou provozovatele systému, jí pověřenou osobou nebo bezpečnostním ředitelem.

(1) V rámci provozu systému musí provozovatel systému provádět hodnocení auditních záznamů v termínech stanovených v popisu bezpečnosti systému a při vzniku krizové situace bez zbytečného odkladu.

(2) Auditní záznamy musí být chráněny před změnou nebo zničením a uchovávány po dobu stanovenou v popisu bezpečnosti systému, nejméně však po dobu 5 let od vzniku.

(3) V popisu bezpečnosti systému musí být uvedena základní klasifikace krizových situací a pro každou z nich musí být specifikována činnost

a) následující bezprostředně po vzniku krizové situace zaměřená na minimalizaci škod a zajištění informací potřebných pro zjištění příčin a mechanismu vzniku krizové situace a

b) zaměřená na likvidaci následků krizové situace včetně vymezení osobní odpovědnosti za jednotlivé úkoly.

(4) Pro řešení krizových situací musí být v popisu bezpečnosti systému stanovena bezpečnostní opatření zaměřená na uvedení systému do stavu odpovídajícího bezpečnostní dokumentaci.

(5) Při zvládání bezpečnostních událostí a bezpečnostních incidentů musí být

a) přijata nezbytná bezpečnostní opatření pro zajištění oznamování bezpečnostních událostí ze strany uživatelů a zajištění vedení záznamů o těchto oznámeních,

b) zajištěno prostředí pro provádění vyhodnocování oznámených bezpečnostních událostí a bezpečnostních událostí detekovaných technickými nástroji a pro identifikaci případných bezpečnostních incidentů,

c) provedena klasifikace bezpečnostních incidentů a přijata vhodná bezpečnostní opatření pro odvrácení a zmírnění dopadu bezpečnostních incidentů,

d) prošetřeny a určeny příčiny bezpečnostního incidentu, vyhodnocena účinnost řešení bezpečnostního incidentu a na základě vyhodnocení stanovena nutná bezpečnostní opatření k zamezení opakování daného bezpečnostního incidentu a

e) dokumentováno zvládání bezpečnostních incidentů.

(6) Pro případ havárie softwarového nebo hardwarového vybavení systému musí být uveden v popisu bezpečnosti systému způsob

a) zálohování a uložení záložních nosičů informací,

b) zajištění servisní činnosti,

c) zajištění nouzového provozu s vyjmenováním základních funkcí systému, které musí být zachovány, a

d) obnovy funkčnosti systému a uvedení do bezpečného stavu uvedeného v bezpečnostní dokumentaci.

Pokud se na provozu, rozvoji nebo zajištění informační bezpečnosti podílí dodavatel, analýza rizik stanoví

a) zásady hodnocení rizik dodavatele,

b) náležitosti smlouvy s dodavatelem, kterými jsou smluvní ujednání o úrovni dodávaných služeb, o realizaci bezpečnostních opatření a o určení vzájemné smluvní odpovědnosti, a

c) pravidla pro ověření bezpečnostních opatření zavedených dodavatelem.

Popis bezpečnosti systému stanoví bezpečnostní opatření zaváděná za účelem ochrany utajovaných informací po ukončení provozu systému, zejména způsob naložení s nosiči informací a uložení kryptografických prostředků, jsou-li použity.

(1) Popis bezpečnosti systému stanoví bezpečnostní funkce pro zajištění ochrany utajovaných informací zpracovávaných použitým softwarovým vybavením.

(2) Je-li v rámci provozu použito virtualizační prostředí, musí splňovat stejné bezpečnostní požadavky jako systémy provozované na jeho platformě.

(1) Vyžaduje-li to činnost, pro kterou je informační systém zřízen, je v systému zajišťována nepopiratelnost provozovatelem informačního systému stanovených jednání či událostí, kterou se rozumí zajištění toho, že lze subjektu systému přičíst jím provedené předání informace nebo provedená změna stavu systému.

(2) Má-li být součástí informačního systému elektronický systém spisové služby sloužící k evidenci utajovaných informací, musí být hodnocení bezpečnosti softwarového vybavení, kterým je realizován, součástí procesu certifikace informačního systému.

(1) Součástí analýzy rizik a popisu bezpečnosti informačního systému je i rozhodnutí Národního úřadu pro kybernetickou a informační bezpečnost o stanovení dalších nutných bezpečnostních funkcí nebo opatření podle § 34 odst. 4 zákona, bylo-li vydáno.

(2) Náležitosti oznámení provozovatele certifikovaného informačního systému o zavedení dalších nutných bezpečnostních funkcí nebo opatření podle § 34 odst. 4 zákona jsou

a) identifikační údaje provozovatele certifikovaného informačního systému,

b) jednoznačný identifikátor rozhodnutí podle § 34 odst. 4 zákona a

c) podrobnosti o zavedení bezpečnostní funkce nebo opatření, kterými jsou

1. datum a čas zavedení,

2. výsledek zavedení bezpečnostní funkce nebo opatření a

3. popis problémů nebo negativních dopadů při zavádění bezpečnostní funkce nebo opatření.

(1) Bezpečnostní dokumentaci systému tvoří

a) projektová bezpečnostní dokumentace a

b) provozní bezpečnostní dokumentace.

(2) Projektová bezpečnostní dokumentace obsahuje

a) bezpečnostní politiku,

b) analýzu rizik,

c) popis bezpečnosti systému a

d) dokumentaci k bezpečnostním testům.

(3) Provozní bezpečnostní dokumentace obsahuje

a) provozní bezpečnostní směrnice pro každou zavedenou roli,

b) evidence aktiv systému, zejména nosičů informací,

c) evidenci uživatelů,

d) provozní deníky a

e) další provozní bezpečnostní dokumentaci definovanou v projektové bezpečnostní dokumentaci.

(1) Bezpečnostní politika

a) je tvořena souborem obecných pravidel a postupů, který vymezuje způsob, jakým má být zajištěna informační bezpečnost a odpovědnost uživatele za jeho činnost v systému, který je konkretizován jako bezpečnostní opatření v popisu bezpečnosti systému,

b) obsahuje prohlášení odpovědné osoby nebo bezpečnostního ředitele o naplnění požadavků právních předpisů z oblasti ochrany utajovaných informací a

c) stanoví způsob zajištění pravosti a nepopiratelnosti informací, je-li to nutné.

(2) U informačního systému musí být bezpečnostní politika průběžně přezkoumávána, vyhodnocována a aktualizována, nejpozději však bezprostředně před podáním opakované žádosti o certifikaci podle § 48.

(1) Pro účely analýzy rizik se rozumí

a) hrozbou potenciální příčina bezpečnostního incidentu,

b) zranitelností slabé místo aktiva systému, které může být využito hrozbou,

c) rizikem kombinace pravděpodobnosti události a jejího následku jako souhrnu možností, že hrozba využije zranitelnost a způsobí škodu.

(2) Analýza rizik vychází z bezpečnostní politiky a u informačního systému i ze stanoveného bezpečnostního provozního módu.

(3) Analýza rizik obsahuje

a) provozovatelem systému stanovenou metodiku pro identifikaci a hodnocení aktiv systému a pro identifikaci a hodnocení rizik včetně stanovených kritérií pro přijatelnost rizik,

b) identifikaci a hodnocení aktiv systému z hlediska hrozeb, zranitelností a dopadů,

c) kvantifikaci rizik, která zohledňuje hrozby, zranitelnosti a dopady,

d) určenou a akceptovatelnou míru rizika a

e) přehled navržených bezpečnostních opatření.

(4) U informačního systému musí být analýza rizik přezkoumávána, vyhodnocována a aktualizována, nejpozději však bezprostředně před podáním opakované žádosti o certifikaci podle § 48.

(1) Popis bezpečnosti systému popisuje aplikaci bezpečnostních opatření navržených v analýze rizik pro splnění požadavků definovaných v bezpečnostní politice, včetně řešení kryptografické ochrany, pokud je aplikována. Popis bezpečnosti systému musí být konkrétní a přesný.

(2) U rozsáhlých systémů lze popis bezpečnosti systému rozdělit do několika samostatných dokumentů, které popisují konkrétní řešení jednotlivých částí systému, zpravidla na úrovni poskytovaných služeb.

Dokumentace k bezpečnostním testům obsahuje souhrn bezpečnostních testů a jejich výsledků z oblasti plnění bezpečnostních opatření navržených v analýze rizik a popsaných v popisu bezpečnosti systému.

(1) Pro každou definovanou roli v systému musí být zpracována provozní bezpečnostní směrnice.

(2) Provozní bezpečnostní směrnice pro každou roli stanoví

a) práva uživatele v roli,

b) povinnosti uživatele v roli,

c) zakázané činnosti uživatele v roli a

d) postupy spojené s povinnostmi, právy a zakázanými činnostmi podle písmen a) až c).

(3) Provozní bezpečnostní směrnice pro roli koncového uživatele obsahuje také

a) stručný a zjednodušený popis systému včetně jeho rozsahu a případného umístění,

b) definici a klasifikaci krizových situací včetně základního popisu toho, jak se koncový uživatel podílí na jejich řešení,

c) definici a klasifikaci bezpečnostních událostí a incidentů včetně základního popisu toho, jak se koncový uživatel podílí na jejich řešení,

d) definici kompromitace utajované informace při použití kryptografického prostředku včetně základního popisu toho, jak se uživatel podílí na řešení,

e) způsob manipulace s nosiči informací a způsob jejich používání,

f) pravidla provádění tisku a

g) způsob používání specifického softwarového vybavení.

(1) Veškerá aktiva systému musí být evidována v evidenci aktiv.

(2) Záznam v evidenci aktiv musí obsahovat přesný název, typ, sériové nebo výrobní číslo aktiva a další informace, které umožní jednoznačnou identifikaci evidovaného aktiva.

(3) Evidovaná hmotná aktiva musí být, kromě výjimek uvedených v bezpečnostní dokumentaci, označena tak, aby byla jednoznačně určena jejich příslušnost k systému.

(4) Evidence nosičů informací obsahuje položky:

a) pořadové číslo,

b) stupeň utajení nebo informaci o tom, že nosič informací je neutajovaný,

c) evidenční označení, které tvoří zkratka stupně utajení, je-li nosič informací utajovaný, nebo zkratka informace o tom, že nosič informací je neutajovaný, pořadové číslo, rok zavedení do evidence a identifikaci provozovatele systému,

d) datum zavedení do evidence,

e) typ nosiče informací,

f) jednoznačný identifikátor nosiče informací, kterým je zpravidla sériové číslo, a

g) jméno, příjmení a podpis uživatele, kterému byl nosič informací přidělen, datum převzetí, datum vrácení nosiče informací a jméno, příjmení a podpis uživatele, kterému byl nosič informací vrácen.

(5) Evidence nosičů informací může být vedena i samostatně mimo provozní bezpečnostní dokumentaci. Způsob vedení evidence nosičů informací podle věty první je uveden v bezpečnostní dokumentaci.

(1) Každý uživatel musí být evidován v evidenci uživatelů.

(2) Evidence uživatelů obsahuje

a) jméno a příjmení uživatele,

b) údaje o oznámení o splnění podmínek pro přístup k utajované informaci stupně utajení Vyhrazené, zejména datum jeho vydání; to neplatí, má-li uživatel přístup k utajované informaci stupně utajení Vyhrazené podle § 58a zákona,

c) údaje o osvědčení fyzické osoby, bylo-li uživateli vydáno, kterými se rozumí číslo osvědčení, datum vydání, doba platnosti osvědčení a nejvyšší stupeň utajení utajovaných informací, ke kterým osvědčení umožňuje přístup,

d) údaje o osvědčení fyzické osoby pro cizí moc, bylo-li uživateli vydáno, kterými se rozumí číslo osvědčení, datum vydání, doba platnosti osvědčení a nejvyšší stupeň utajení utajovaných informací, ke kterým osvědčení umožňuje přístup, a

e) údaje o roli, kterou byl uživatel pověřen, zejména o rozsahu jeho oprávnění, datu pověření a datu zrušení pověření a datu proškolení podle § 19 odst. 5.

(3) V případě, že má uživatel přístup k utajované informaci podle § 58 zákona, nebo k utajované informaci stupně utajení Vyhrazené podle § 58a zákona, jsou tyto údaje uvedeny v evidenci uživatelů.

(1) Provozní deník slouží k řízení změn v systému a jejich zadokumentování. Do provozního deníku se zaznamenávají zejména změny prováděné v systému pracovníky správy.

(2) Provozní deník lze vést i v elektronické podobě, je-li zabezpečen proti neoprávněnému přístupu nebo zásahu a prokazatelným způsobem zaznamenává všechny v něm prováděné změny.

(1) Žádost o certifikaci informačního systému obsahuje

a) číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li žadatelem podnikatel,

b) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení, kterým se rozumí alespoň její telefonní číslo a adresa elektronické pošty,

c) popis účelu a rozsahu informačního systému,

d) údaj o stupni utajení utajovaných informací, se kterými bude informační systém nakládat,

e) údaj o stanovení bezpečnostního provozního módu informačního systému a

f) identifikační údaje dodavatele informačního systému nebo jeho komponent ovlivňujících bezpečnost informačního systému a číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li dodavatel podnikatelem.

(2) K provedení certifikace informačního systému žadatel předloží

a) žádost o certifikaci informačního systému podle odstavce 1,

b) projektovou bezpečnostní dokumentaci podle § 36 odst. 2,

c) provozní bezpečnostní dokumentaci v rozsahu § 36 odst. 3 písm. a),

d) popis bezpečnosti vývojového prostředí a

e) další podklady obsahující informace, které by mohly mít vliv na posuzování bezpečnosti informačního systému nebo jeho provoz.

(3) K provedení certifikace informačního systému nakládajícího s utajovanými informacemi stupně utajení Důvěrné nebo vyššího žadatel předloží podklady nezbytné k ověření způsobilosti elektrických nebo elektronických zařízení, které jsou součástí informačního systému, k ochraně před únikem utajovaných informací kompromitujícím vyzařováním.

(4) K žádosti žadatel přiloží výsledky dílčích úloh v rámci ověřování způsobilosti informačního systému k nakládání s utajovanými informacemi, provedených orgánem státu, právnickou osobou podle § 60b zákona nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Národním úřadem pro kybernetickou a informační bezpečnost podle § 52 zákona, byly-li tyto dílčí úlohy provedeny.

(5) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen c) až f) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu. Zpravodajská služba předkládá podklady podle odstavce 2 pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

(1) V rámci certifikace informačního systému posuzuje Národní úřad pro kybernetickou a informační bezpečnost

a) vhodnost navrženého souboru bezpečnostních opatření pro dosažení informační bezpečnosti informačního systému podle § 3,

b) správnost a úplnost bezpečnostní dokumentace a

c) správnost realizace navrženého souboru bezpečnostních opatření v daném informačním systému a její soulad s bezpečnostní dokumentací.

(2) Certifikace informačního systému se provádí na základě předložených podkladů a provedených bezpečnostních testů. Bezpečnostní testy provádí žadatel o certifikaci informačního systému v provozním prostředí hodnoceného informačního systému za spoluúčasti Národního úřadu pro kybernetickou a informační bezpečnost, případně i dodavatele. Provádí-li bezpečnostní testy podle věty druhé zpravodajská služba, spoluúčast Národního úřadu pro kybernetickou a informační bezpečnosti se nevyžaduje.

(3) Certifikaci informačního systému lze provádět průběžně po ukončení jednotlivých fází výstavby informačního systému nebo až po jejím dokončení, uvede-li to žadatel v žádosti o certifikaci informačního systému podle § 45.

(4) Dojde-li v informačním systému, který byl certifikován a schválen do provozu, ke změnám uvedeným v § 51 odst. 2, provádí se pouze doplňující posouzení informačního systému v rozsahu provedených změn. Při provádění doplňujícího posouzení informačního systému se postupuje podle odstavce 1 v nezbytném rozsahu. Výsledek doplňujícího posouzení je součástí certifikační zprávy.

(5) Vzor certifikátu informačního systému je uveden v příloze č. 2 k této vyhlášce.

Národní úřad pro kybernetickou a informační bezpečnost vydává k certifikátu informačního systému certifikační zprávu, která obsahuje

a) identifikaci informačního systému obsahující jeho název, označení verze a stupeň utajení utajovaných informací, pro který byla způsobilost informačního systému ověřena,

b) popis informačního systému,

c) zásady a podmínky provozování informačního systému, včetně typů změn informačního systému, které vyžadují provedení doplňujícího posouzení informačního systému, a podmínek ukončení jeho provozu,

d) identifikaci přijatelných rizik souvisejících s provozem informačního systému a

e) typy kryptografických prostředků, jsou-li použity, a způsob, jakým bude zajištěn výkon kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku.

(1) Opakovaná žádost o certifikaci informačního systému obsahuje

a) číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li provozovatelem informačního systému podnikatel,

b) identifikaci vydaného certifikátu informačního systému obsahující identifikaci jeho držitele, evidenční číslo, datum vydání a dobu platnosti,

c) identifikaci informačního systému obsahující jeho název, označení verze a stupeň utajení utajovaných informací, pro který byla způsobilost informačního systému ověřena, a

d) jméno a příjmení kontaktní osoby provozovatele informačního systému a kontaktní spojení na ni.

(2) Opakovaná žádost o certifikaci informačního systému dále obsahuje návrh změny bezpečnostní dokumentace, pokud ji ke dni ukončení platnosti dosavadního certifikátu provozovatel informačního systému navrhuje.

(3) Pokud v opakované žádosti provozovatel informačního systému doloží, že ke dni ukončení platnosti dosavadního certifikátu informačního systému bude informační systém provozován za podmínek stanovených v certifikační zprávě a v jeho provozování nenastaly změny, je rozsah posuzování podle § 46 odst. 1 omezen pouze na písmeno c).

(4) Pokud v opakované žádosti provozovatel informačního systému navrhuje změnu bezpečnostní dokumentace, je rozsah posuzování podle § 46 odst. 1 písm. a) a b) omezen na tyto navrhované změny.

(5) Pokud navrhované změny bezpečnostní dokumentace informačního systému jsou podstatné pro celkovou bezpečnost informačního systému, bude Národní úřad pro kybernetickou a informační bezpečnost postupovat jako v případě nové certifikace.

(6) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen c) a d) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu. Zpravodajská služba předkládá podklady podle odstavce 2 pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

(1) Žádost o uzavření smlouvy s Národním úřadem pro kybernetickou a informační bezpečnost o zajištění činnosti podle § 52 zákona, jejímž předmětem je provádění dílčích úloh při ověřování způsobilosti informačního systému k nakládání s utajovanými informacemi (dále jen „smlouva o zajištění činnosti“), obsahuje

a) číslo osvědčení podnikatele s uvedením příslušného stupně utajení, je-li žadatelem podnikatel,

b) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni a

c) specifikace činností, které mají být prováděny podle smlouvy o zajištění činnosti.

(2) Žádost dle odstavce 1 obsahuje dále

a) adresu umístění pracoviště provádějícího požadované činnosti,

b) prohlášení odpovědné osoby nebo jí pověřené osoby o splnění požadavků na fyzickou a personální bezpečnost pracoviště,

c) rozsah požadovaných činností,

d) údaje o personálním zabezpečení požadovaných činností a

e) údaje o technickém a organizačním zajištění požadovaných činností.

(1) Akreditaci informačního systému cizí moci provádí Národní úřad pro kybernetickou a informační bezpečnost na žádost, která obsahuje prohlášení o naplnění bezpečnostních požadavků vyžadovaných bezpečnostní akreditační autoritou cizí moci podle příslušného předpisu Evropské unie2) a podle mezinárodní smlouvy3).

(2) Pokud Národní úřad pro kybernetickou a informační bezpečnost ověří naplnění bezpečnostních požadavků vyžadovaných bezpečnostní akreditační autoritou cizí moci, předá prohlášení podle odstavce 1 bezpečnostní akreditační autoritě cizí moci.

(3) Na základě rozhodnutí bezpečnostní akreditační autority cizí moci o akreditaci informačního systému cizí moci Národní úřad pro kybernetickou a informační bezpečnost informační systém cizí moci akredituje.

(4) Pokud má být informační systém cizí moci používán i bezprostředně po uplynutí doby platnosti jeho akreditace, požádá jeho provozovatel o opakovanou akreditaci informačního systému podle odstavce 1 obdobně nejpozději 6 měsíců před koncem platnosti akreditace informačního systému cizí moci.

(1) Podmínky bezpečného provozování informačního systému spočívají v

a) dodržování bezpečnostních opatření,

b) dodržování podmínek provozování informačního systému stanovených v certifikační zprávě a

c) informování Národního úřadu pro kybernetickou a informační bezpečnost o významné změně týkající se provozu informačního systému, která by mohla mít vliv na informační bezpečnost.

(2) Pokud v rámci provozu informačního systému dojde ke změně podle odstavce 1 písmene c) nebo ke změně podle § 47 písm. c), musí být taková změna bez zbytečného odkladu zohledněna v bezpečnostní dokumentaci, zejména v analýze rizik.

(1) Projekt bezpečnosti obsahuje bezpečnostní dokumentaci, a to alespoň v rozsahu § 36 odst. 2 písm. a) až c) a odst. 3 písm. a).

(2) Popis bezpečnosti podle § 39 obsahuje pro komunikační systém popis

a) způsobu, jakým bude zajištěn výkon kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku,

b) bezpečnostní správy kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku a

c) bezpečnostních opatření a zásad provozních postupů, jejichž naplňováním bude zajištěna informační bezpečnost.

(3) Bezpečnostní směrnice jednotlivých rolí obsahují pro komunikační systém

a) požadavky uvedené v § 41 a

b) popis konkrétních provozních postupů pro zajištění bezpečnostní správy komunikačního systému a výkonu kryptografické ochrany.

(4) Popis bezpečnosti komunikačního systému, který pro zajištění komunikace a řízení používá prvky výpočetní techniky, musí obsahovat popis komunikační infrastruktury a popis informační infrastruktury.

(1) Žádost o schválení projektu bezpečnosti obsahuje

a) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni,

b) číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li provozovatelem komunikačního systému podnikatel,

c) název komunikačního systému a popis jeho účelu a rozsahu včetně stanovení jeho běžných provozních funkcí,

d) údaj o stupni utajení utajovaných informací, se kterými bude komunikační systém nakládat,

e) identifikační údaje dodavatele jednotlivých komponent komunikačního systému majících vliv na bezpečnost komunikačního systému a číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li dodavatel podnikatelem, a

f) projekt bezpečnosti.

(2) Ke schválení projektu bezpečnosti komunikačního systému nakládajícího s utajovanými informacemi stupně utajení Důvěrné nebo vyššího žadatel předloží podklady nezbytné k ověření způsobilosti elektrických nebo elektronických zařízení, které jsou součástí komunikačního systému, k ochraně před únikem utajovaných informací kompromitujícím vyzařováním.

(3) Pokud žadatel poskytuje jednotlivé části projektu bezpečnosti v průběhu jeho schvalování postupně, musí je předkládat v pořadí podle § 36.

(4) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen c) až f) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu. Zpravodajská služba předkládá podklady podle odstavce 2 pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

(1) V rámci schvalování projektu bezpečnosti posuzuje Národní úřad pro kybernetickou a informační bezpečnost

a) vhodnost navrženého souboru bezpečnostních opatření pro dosažení informační bezpečnosti komunikačního systému podle § 3,

b) správnost a úplnost bezpečnostní dokumentace a

c) správnost realizace navrženého souboru bezpečnostních opatření v daném komunikačním systému a její soulad s bezpečnostní dokumentací.

(2) Schvalování projektu bezpečnosti se provádí posouzením podkladů předložených provozovatelem komunikačního systému a posouzením správnosti realizace projektu bezpečnosti Národním úřadem pro kybernetickou a informační bezpečnost v provozním prostředí schvalovaného komunikačního systému.

(3) Schvalování projektu bezpečnosti lze provádět průběžně po ukončení jednotlivých fází výstavby komunikačního systému nebo až po jejím celkovém dokončení, podle požadavků žadatele, zažádá-li o to v žádosti o schválení projektu bezpečnosti podle § 53.

(4) Zjistí-li Národní úřad pro kybernetickou a informační bezpečnost při schvalování projektu bezpečnosti způsobilost hodnoceného komunikačního systému k nakládání s utajovanými informacemi, vydá rozhodnutí o schválení projektu bezpečnosti.

(5) Dojde-li v komunikačním systému ke změnám, které mají vliv na informační bezpečnost komunikačního systému, provádí se doplňující posouzení projektu bezpečnosti v rozsahu potřebném k posouzení provedených změn. Při provádění doplňujícího posouzení projektu bezpečnosti se postupuje obdobně jako při schvalování projektu bezpečnosti.

(1) V rámci certifikace informačního systému nebo schvalování projektu bezpečnosti lze rozdělit existující informační nebo komunikační systém na moduly, které mohou být bez dalšího posuzování obdobně použity i v jiných informačních nebo komunikačních systémech podle § 46 nebo 54 při zachování stejné úrovně informační bezpečnosti.

(2) Modul je funkční celek tvořený

a) softwarovým vybavením, zejména elektronickým systémem spisové služby, sloužícím k evidenci utajovaných informací,

b) hardwarovým vybavením, zejména zástavbou kryptografického prostředku v systému, nebo

c) kombinací softwarového a hardwarového vybavení, zejména bezpečnostním oddělovacím blokem,

jestliže má jasně definované hranice určující způsob jeho začlenění do systému.

(3) Národní úřad pro kybernetickou a informační bezpečnost při posuzování jiného systému podle § 46 odst. 3 a § 54 odst. 1 a 2 nehodnotí modul, jestliže modul

a) byl posouzen a použit v již existujícím systému podle § 46 nebo 54 a

b) má být obdobně použit v jiném systému ve stejné konfiguraci a za stejných podmínek jako v jiném již existujícím systému podle písmene a).

(1) Podmínkou bezpečného provozování samostatného elektronického zařízení podle § 36 odst. 4 zákona je zpracování bezpečnostní provozní směrnice obsahující bezpečnostní dokumentaci alespoň v rozsahu § 36 odst. 2 písm. c) a odst. 3 písm. a).

(2) Popis bezpečnosti systému podle § 36 odst. 2 písm. c) stanoví způsob bezpečného provozování s ohledem na funkci samostatného elektronického zařízení a způsob ukládání zpracovávané utajované informace a identifikuje samostatné elektronické zařízení podle funkce jako

a) zobrazovací, které zobrazuje utajované informace,

b) zaznamenávací, které zaznamenává utajované informace v různých formátech, zejména psací stroj s pamětí, fotoaparát, kamera nebo záznamník,

c) kopírovací a převodní, které kopíruje nebo převádí utajované informace z jednoho formátu do druhého, a

d) kombinované, které kombinuje funkce uvedené v písmenech a) až c).

(3) Obsahuje-li samostatné elektronické zařízení nosič informací, pak popis bezpečnosti systému obsahuje i jeho identifikaci podle způsobu zapojení do zařízení podle § 13 odst. 3.

(4) Pokud provozovatel samostatného elektronického zařízení provozuje více samostatných elektronických zařízení stejného typu podle funkce a způsobu integrace nosiče informací, pak může zpracovat jednu bezpečnostní provozní směrnici pro daný typ samostatného elektronického zařízení.

Oznámení o provozovaném samostatném elektronickém zařízení podle § 36 odst. 2 písm. b) zákona obsahuje

a) identifikační údaje provozovatele samostatného elektronického zařízení a

b) seznam provozovaných samostatných elektronických zařízení obsahující pro každé provozované samostatné elektronické zařízení

1. typ samostatného elektronického zařízení podle § 56 odst. 2 a 3 a

2. stupeň utajení utajovaných informací, pro něž je určeno.

(1) Bezpečnostní požadavky na

a) informační systémy certifikované před účinností této vyhlášky a

b) komunikační systémy, jejichž projekt bezpečnosti byl schválen přede dnem nabytí účinnosti této vyhlášky,

se posuzují podle dosavadních právních předpisů.

(2) Požadavky na ochranu utajovaných informací v elektronické podobě v samostatných elektronických zařízeních, která byla uvedena do provozu přede dnem nabytí účinnosti této vyhlášky, se řídí dosavadními právními předpisy po dobu 1 roku ode dne nabytí účinnosti této vyhlášky.

(3) Uživatelé, kteří nesplňují podmínky pro přístup fyzické osoby k utajované informaci podle § 17 odst. 2, musí tuto podmínku splnit nejpozději do 12 měsíců ode dne nabytí účinnosti této vyhlášky.

Tato vyhláška nabývá účinnosti dnem 1. ledna 2025.

Zrušují se:

1. Vyhláška č. 523/2005 Sb., o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor.

2. Vyhláška č. 453/2011 Sb., kterou se mění vyhláška č. 523/2005 Sb., o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor.

Ředitel:

Ing. Kintr v. r.

Příloha č. 1

Pro potřeby výpočtu bodových hodnot zabezpečených oblastí, v nichž se nachází části informačního systému, komunikačního systému nebo samostatného elektronického zařízení obsahující v sobě nosiče informací, které pro uchování informace nepotřebují trvalé připojení ke zdroji elektrické energie, se použijí následující hodnoty parametru S1.

Tabulka č. 1: Bezpečnostní ekvivalent parametru S1Hodnota S1Popis autentizace subjektu systému0bez autentizace*1identifikace jménem a autentizace heslem a systém ani data nejsou šifrovaná2identifikace jménem a autentizace heslem zaslaným jiným kanálem a systém ani data nejsou šifrovaná2autentizace předmětem s osobním identifikačním číslem (PIN) a systém ani data nejsou šifrovaná2autentizace pomocí biometrických charakteristik a systém ani data nejsou šifrovaná2identifikace jménem a autentizace heslem a celý systém nebo data jsou šifrovaná**3identifikace jménem a autentizace heslem zaslaným jiným kanálem a celý systém nebo data jsou šifrovaná**3autentizace předmětem s osobním identifikačním číslem (PIN) a celý systém nebo data jsou šifrovaná**3autentizace pomocí biometrických charakteristik a celý systém nebo data jsou šifrovaná**4autentizace předmětem s šifrovaným*** obsahem s osobním identifikačním číslem (PIN) a systém ani data nejsou šifrovaná4autentizace předmětem s šifrovaným*** obsahem s osobním identifikačním číslem (PIN) a přenosem a systém ani data nejsou šifrovaná5autentizace předmětem s šifrovaným*** obsahem s osobním identifikačním číslem (PIN) a celý systém nebo data jsou šifrovaná**5autentizace předmětem s šifrovaným*** obsahem s osobním identifikačním číslem (PIN) a přenosem a celý systém nebo data jsou šifrovaná*** pouze pro samostatná elektronická zařízení

** způsob a mechanismus šifrování dat vyplývá z projektové bezpečnostní dokumentace

*** kryptografické mechanismy pro šifrování předmětu vyplývají z projektové bezpečnostní dokumentace

Příloha č. 2

1) Rozhodnutí Komise (EU, Euratom) 2021/259 ze dne 10. února 2021, kterým se stanoví prováděcí pravidla pro průmyslovou bezpečnost s ohledem na utajované granty.

Rozhodnutí Rady (EU) 2013/488/EU ze dne 23. září 2013 o bezpečnostních pravidlech na ochranu utajovaných informací EU, v platném znění.

2) Rozhodnutí Rady 2013/488/EU.

3) Dohoda mezi smluvními stranami Severoatlantické smlouvy o bezpečnosti informací, vyhlášená pod č. 75/2001 Sb. m. s.