Vyhláška o informační bezpečnosti

(1) Žádost o certifikaci informačního systému obsahuje

a) číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li žadatelem podnikatel,

b) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení, kterým se rozumí alespoň její telefonní číslo a adresa elektronické pošty,

c) popis účelu a rozsahu informačního systému,

d) údaj o stupni utajení utajovaných informací, se kterými bude informační systém nakládat,

e) údaj o stanovení bezpečnostního provozního módu informačního systému a

f) identifikační údaje dodavatele informačního systému nebo jeho komponent ovlivňujících bezpečnost informačního systému a číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li dodavatel podnikatelem.

(2) K provedení certifikace informačního systému žadatel předloží

a) žádost o certifikaci informačního systému podle odstavce 1,

b) projektovou bezpečnostní dokumentaci podle § 36 odst. 2,

c) provozní bezpečnostní dokumentaci v rozsahu § 36 odst. 3 písm. a),

d) popis bezpečnosti vývojového prostředí a

e) další podklady obsahující informace, které by mohly mít vliv na posuzování bezpečnosti informačního systému nebo jeho provoz.

(3) K provedení certifikace informačního systému nakládajícího s utajovanými informacemi stupně utajení Důvěrné nebo vyššího žadatel předloží podklady nezbytné k ověření způsobilosti elektrických nebo elektronických zařízení, které jsou součástí informačního systému, k ochraně před únikem utajovaných informací kompromitujícím vyzařováním.

(4) K žádosti žadatel přiloží výsledky dílčích úloh v rámci ověřování způsobilosti informačního systému k nakládání s utajovanými informacemi, provedených orgánem státu, právnickou osobou podle § 60b zákona nebo podnikatelem na základě smlouvy o zajištění činnosti uzavřené s Národním úřadem pro kybernetickou a informační bezpečnost podle § 52 zákona, byly-li tyto dílčí úlohy provedeny.

(5) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen c) až f) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu. Zpravodajská služba předkládá podklady podle odstavce 2 pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

(1) V rámci certifikace informačního systému posuzuje Národní úřad pro kybernetickou a informační bezpečnost

a) vhodnost navrženého souboru bezpečnostních opatření pro dosažení informační bezpečnosti informačního systému podle § 3,

b) správnost a úplnost bezpečnostní dokumentace a

c) správnost realizace navrženého souboru bezpečnostních opatření v daném informačním systému a její soulad s bezpečnostní dokumentací.

(2) Certifikace informačního systému se provádí na základě předložených podkladů a provedených bezpečnostních testů. Bezpečnostní testy provádí žadatel o certifikaci informačního systému v provozním prostředí hodnoceného informačního systému za spoluúčasti Národního úřadu pro kybernetickou a informační bezpečnost, případně i dodavatele. Provádí-li bezpečnostní testy podle věty druhé zpravodajská služba, spoluúčast Národního úřadu pro kybernetickou a informační bezpečnosti se nevyžaduje.

(3) Certifikaci informačního systému lze provádět průběžně po ukončení jednotlivých fází výstavby informačního systému nebo až po jejím dokončení, uvede-li to žadatel v žádosti o certifikaci informačního systému podle § 45.

(4) Dojde-li v informačním systému, který byl certifikován a schválen do provozu, ke změnám uvedeným v § 51 odst. 2, provádí se pouze doplňující posouzení informačního systému v rozsahu provedených změn. Při provádění doplňujícího posouzení informačního systému se postupuje podle odstavce 1 v nezbytném rozsahu. Výsledek doplňujícího posouzení je součástí certifikační zprávy.

(5) Vzor certifikátu informačního systému je uveden v příloze č. 2 k této vyhlášce.

Národní úřad pro kybernetickou a informační bezpečnost vydává k certifikátu informačního systému certifikační zprávu, která obsahuje

a) identifikaci informačního systému obsahující jeho název, označení verze a stupeň utajení utajovaných informací, pro který byla způsobilost informačního systému ověřena,

b) popis informačního systému,

c) zásady a podmínky provozování informačního systému, včetně typů změn informačního systému, které vyžadují provedení doplňujícího posouzení informačního systému, a podmínek ukončení jeho provozu,

d) identifikaci přijatelných rizik souvisejících s provozem informačního systému a

e) typy kryptografických prostředků, jsou-li použity, a způsob, jakým bude zajištěn výkon kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku.

(1) Opakovaná žádost o certifikaci informačního systému obsahuje

a) číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li provozovatelem informačního systému podnikatel,

b) identifikaci vydaného certifikátu informačního systému obsahující identifikaci jeho držitele, evidenční číslo, datum vydání a dobu platnosti,

c) identifikaci informačního systému obsahující jeho název, označení verze a stupeň utajení utajovaných informací, pro který byla způsobilost informačního systému ověřena, a

d) jméno a příjmení kontaktní osoby provozovatele informačního systému a kontaktní spojení na ni.

(2) Opakovaná žádost o certifikaci informačního systému dále obsahuje návrh změny bezpečnostní dokumentace, pokud ji ke dni ukončení platnosti dosavadního certifikátu provozovatel informačního systému navrhuje.

(3) Pokud v opakované žádosti provozovatel informačního systému doloží, že ke dni ukončení platnosti dosavadního certifikátu informačního systému bude informační systém provozován za podmínek stanovených v certifikační zprávě a v jeho provozování nenastaly změny, je rozsah posuzování podle § 46 odst. 1 omezen pouze na písmeno c).

(4) Pokud v opakované žádosti provozovatel informačního systému navrhuje změnu bezpečnostní dokumentace, je rozsah posuzování podle § 46 odst. 1 písm. a) a b) omezen na tyto navrhované změny.

(5) Pokud navrhované změny bezpečnostní dokumentace informačního systému jsou podstatné pro celkovou bezpečnost informačního systému, bude Národní úřad pro kybernetickou a informační bezpečnost postupovat jako v případě nové certifikace.

(6) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen c) a d) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu. Zpravodajská služba předkládá podklady podle odstavce 2 pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

(1) Žádost o uzavření smlouvy s Národním úřadem pro kybernetickou a informační bezpečnost o zajištění činnosti podle § 52 zákona, jejímž předmětem je provádění dílčích úloh při ověřování způsobilosti informačního systému k nakládání s utajovanými informacemi (dále jen „smlouva o zajištění činnosti“), obsahuje

a) číslo osvědčení podnikatele s uvedením příslušného stupně utajení, je-li žadatelem podnikatel,

b) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni a

c) specifikace činností, které mají být prováděny podle smlouvy o zajištění činnosti.

(2) Žádost dle odstavce 1 obsahuje dále

a) adresu umístění pracoviště provádějícího požadované činnosti,

b) prohlášení odpovědné osoby nebo jí pověřené osoby o splnění požadavků na fyzickou a personální bezpečnost pracoviště,

c) rozsah požadovaných činností,

d) údaje o personálním zabezpečení požadovaných činností a

e) údaje o technickém a organizačním zajištění požadovaných činností.

(1) Akreditaci informačního systému cizí moci provádí Národní úřad pro kybernetickou a informační bezpečnost na žádost, která obsahuje prohlášení o naplnění bezpečnostních požadavků vyžadovaných bezpečnostní akreditační autoritou cizí moci podle příslušného předpisu Evropské unie2) a podle mezinárodní smlouvy3).

(2) Pokud Národní úřad pro kybernetickou a informační bezpečnost ověří naplnění bezpečnostních požadavků vyžadovaných bezpečnostní akreditační autoritou cizí moci, předá prohlášení podle odstavce 1 bezpečnostní akreditační autoritě cizí moci.

(3) Na základě rozhodnutí bezpečnostní akreditační autority cizí moci o akreditaci informačního systému cizí moci Národní úřad pro kybernetickou a informační bezpečnost informační systém cizí moci akredituje.

(4) Pokud má být informační systém cizí moci používán i bezprostředně po uplynutí doby platnosti jeho akreditace, požádá jeho provozovatel o opakovanou akreditaci informačního systému podle odstavce 1 obdobně nejpozději 6 měsíců před koncem platnosti akreditace informačního systému cizí moci.

(1) Podmínky bezpečného provozování informačního systému spočívají v

a) dodržování bezpečnostních opatření,

b) dodržování podmínek provozování informačního systému stanovených v certifikační zprávě a

c) informování Národního úřadu pro kybernetickou a informační bezpečnost o významné změně týkající se provozu informačního systému, která by mohla mít vliv na informační bezpečnost.

(2) Pokud v rámci provozu informačního systému dojde ke změně podle odstavce 1 písmene c) nebo ke změně podle § 47 písm. c), musí být taková změna bez zbytečného odkladu zohledněna v bezpečnostní dokumentaci, zejména v analýze rizik.

(1) Projekt bezpečnosti obsahuje bezpečnostní dokumentaci, a to alespoň v rozsahu § 36 odst. 2 písm. a) až c) a odst. 3 písm. a).

(2) Popis bezpečnosti podle § 39 obsahuje pro komunikační systém popis

a) způsobu, jakým bude zajištěn výkon kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku,

b) bezpečnostní správy kryptografické ochrany v souladu s certifikační zprávou kryptografického prostředku a

c) bezpečnostních opatření a zásad provozních postupů, jejichž naplňováním bude zajištěna informační bezpečnost.

(3) Bezpečnostní směrnice jednotlivých rolí obsahují pro komunikační systém

a) požadavky uvedené v § 41 a

b) popis konkrétních provozních postupů pro zajištění bezpečnostní správy komunikačního systému a výkonu kryptografické ochrany.

(4) Popis bezpečnosti komunikačního systému, který pro zajištění komunikace a řízení používá prvky výpočetní techniky, musí obsahovat popis komunikační infrastruktury a popis informační infrastruktury.

(1) Žádost o schválení projektu bezpečnosti obsahuje

a) jméno a příjmení kontaktní osoby žadatele a kontaktní spojení na ni,

b) číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li provozovatelem komunikačního systému podnikatel,

c) název komunikačního systému a popis jeho účelu a rozsahu včetně stanovení jeho běžných provozních funkcí,

d) údaj o stupni utajení utajovaných informací, se kterými bude komunikační systém nakládat,

e) identifikační údaje dodavatele jednotlivých komponent komunikačního systému majících vliv na bezpečnost komunikačního systému a číslo osvědčení podnikatele s uvedením příslušného stupně utajení nebo kopii platného prohlášení podnikatele, je-li dodavatel podnikatelem, a

f) projekt bezpečnosti.

(2) Ke schválení projektu bezpečnosti komunikačního systému nakládajícího s utajovanými informacemi stupně utajení Důvěrné nebo vyššího žadatel předloží podklady nezbytné k ověření způsobilosti elektrických nebo elektronických zařízení, které jsou součástí komunikačního systému, k ochraně před únikem utajovaných informací kompromitujícím vyzařováním.

(3) Pokud žadatel poskytuje jednotlivé části projektu bezpečnosti v průběhu jeho schvalování postupně, musí je předkládat v pořadí podle § 36.

(4) Zpravodajská služba uvádí v žádosti podle odstavce 1 údaje podle písmen c) až f) pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu. Zpravodajská služba předkládá podklady podle odstavce 2 pouze v rozsahu, který neohrozí plnění jejích úkolů podle jiného právního předpisu.

(1) V rámci schvalování projektu bezpečnosti posuzuje Národní úřad pro kybernetickou a informační bezpečnost

a) vhodnost navrženého souboru bezpečnostních opatření pro dosažení informační bezpečnosti komunikačního systému podle § 3,

b) správnost a úplnost bezpečnostní dokumentace a

c) správnost realizace navrženého souboru bezpečnostních opatření v daném komunikačním systému a její soulad s bezpečnostní dokumentací.

(2) Schvalování projektu bezpečnosti se provádí posouzením podkladů předložených provozovatelem komunikačního systému a posouzením správnosti realizace projektu bezpečnosti Národním úřadem pro kybernetickou a informační bezpečnost v provozním prostředí schvalovaného komunikačního systému.

(3) Schvalování projektu bezpečnosti lze provádět průběžně po ukončení jednotlivých fází výstavby komunikačního systému nebo až po jejím celkovém dokončení, podle požadavků žadatele, zažádá-li o to v žádosti o schválení projektu bezpečnosti podle § 53.

(4) Zjistí-li Národní úřad pro kybernetickou a informační bezpečnost při schvalování projektu bezpečnosti způsobilost hodnoceného komunikačního systému k nakládání s utajovanými informacemi, vydá rozhodnutí o schválení projektu bezpečnosti.

(5) Dojde-li v komunikačním systému ke změnám, které mají vliv na informační bezpečnost komunikačního systému, provádí se doplňující posouzení projektu bezpečnosti v rozsahu potřebném k posouzení provedených změn. Při provádění doplňujícího posouzení projektu bezpečnosti se postupuje obdobně jako při schvalování projektu bezpečnosti.

(1) V rámci certifikace informačního systému nebo schvalování projektu bezpečnosti lze rozdělit existující informační nebo komunikační systém na moduly, které mohou být bez dalšího posuzování obdobně použity i v jiných informačních nebo komunikačních systémech podle § 46 nebo 54 při zachování stejné úrovně informační bezpečnosti.

(2) Modul je funkční celek tvořený

a) softwarovým vybavením, zejména elektronickým systémem spisové služby, sloužícím k evidenci utajovaných informací,

b) hardwarovým vybavením, zejména zástavbou kryptografického prostředku v systému, nebo

c) kombinací softwarového a hardwarového vybavení, zejména bezpečnostním oddělovacím blokem,

jestliže má jasně definované hranice určující způsob jeho začlenění do systému.

(3) Národní úřad pro kybernetickou a informační bezpečnost při posuzování jiného systému podle § 46 odst. 3 a § 54 odst. 1 a 2 nehodnotí modul, jestliže modul

a) byl posouzen a použit v již existujícím systému podle § 46 nebo 54 a

b) má být obdobně použit v jiném systému ve stejné konfiguraci a za stejných podmínek jako v jiném již existujícím systému podle písmene a).

(1) Podmínkou bezpečného provozování samostatného elektronického zařízení podle § 36 odst. 4 zákona je zpracování bezpečnostní provozní směrnice obsahující bezpečnostní dokumentaci alespoň v rozsahu § 36 odst. 2 písm. c) a odst. 3 písm. a).

(2) Popis bezpečnosti systému podle § 36 odst. 2 písm. c) stanoví způsob bezpečného provozování s ohledem na funkci samostatného elektronického zařízení a způsob ukládání zpracovávané utajované informace a identifikuje samostatné elektronické zařízení podle funkce jako

a) zobrazovací, které zobrazuje utajované informace,

b) zaznamenávací, které zaznamenává utajované informace v různých formátech, zejména psací stroj s pamětí, fotoaparát, kamera nebo záznamník,

c) kopírovací a převodní, které kopíruje nebo převádí utajované informace z jednoho formátu do druhého, a

d) kombinované, které kombinuje funkce uvedené v písmenech a) až c).

(3) Obsahuje-li samostatné elektronické zařízení nosič informací, pak popis bezpečnosti systému obsahuje i jeho identifikaci podle způsobu zapojení do zařízení podle § 13 odst. 3.

(4) Pokud provozovatel samostatného elektronického zařízení provozuje více samostatných elektronických zařízení stejného typu podle funkce a způsobu integrace nosiče informací, pak může zpracovat jednu bezpečnostní provozní směrnici pro daný typ samostatného elektronického zařízení.

Oznámení o provozovaném samostatném elektronickém zařízení podle § 36 odst. 2 písm. b) zákona obsahuje

a) identifikační údaje provozovatele samostatného elektronického zařízení a

b) seznam provozovaných samostatných elektronických zařízení obsahující pro každé provozované samostatné elektronické zařízení

1. typ samostatného elektronického zařízení podle § 56 odst. 2 a 3 a

2. stupeň utajení utajovaných informací, pro něž je určeno.

(1) Bezpečnostní požadavky na

a) informační systémy certifikované před účinností této vyhlášky a

b) komunikační systémy, jejichž projekt bezpečnosti byl schválen přede dnem nabytí účinnosti této vyhlášky,

se posuzují podle dosavadních právních předpisů.

(2) Požadavky na ochranu utajovaných informací v elektronické podobě v samostatných elektronických zařízeních, která byla uvedena do provozu přede dnem nabytí účinnosti této vyhlášky, se řídí dosavadními právními předpisy po dobu 1 roku ode dne nabytí účinnosti této vyhlášky.

(3) Uživatelé, kteří nesplňují podmínky pro přístup fyzické osoby k utajované informaci podle § 17 odst. 2, musí tuto podmínku splnit nejpozději do 12 měsíců ode dne nabytí účinnosti této vyhlášky.

Tato vyhláška nabývá účinnosti dnem 1. ledna 2025.

Zrušují se:

1. Vyhláška č. 523/2005 Sb., o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor.

2. Vyhláška č. 453/2011 Sb., kterou se mění vyhláška č. 523/2005 Sb., o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor.

Ředitel:

Ing. Kintr v. r.

Příloha č. 1

Pro potřeby výpočtu bodových hodnot zabezpečených oblastí, v nichž se nachází části informačního systému, komunikačního systému nebo samostatného elektronického zařízení obsahující v sobě nosiče informací, které pro uchování informace nepotřebují trvalé připojení ke zdroji elektrické energie, se použijí následující hodnoty parametru S1.

Tabulka č. 1: Bezpečnostní ekvivalent parametru S1Hodnota S1Popis autentizace subjektu systému0bez autentizace*1identifikace jménem a autentizace heslem a systém ani data nejsou šifrovaná2identifikace jménem a autentizace heslem zaslaným jiným kanálem a systém ani data nejsou šifrovaná2autentizace předmětem s osobním identifikačním číslem (PIN) a systém ani data nejsou šifrovaná2autentizace pomocí biometrických charakteristik a systém ani data nejsou šifrovaná2identifikace jménem a autentizace heslem a celý systém nebo data jsou šifrovaná**3identifikace jménem a autentizace heslem zaslaným jiným kanálem a celý systém nebo data jsou šifrovaná**3autentizace předmětem s osobním identifikačním číslem (PIN) a celý systém nebo data jsou šifrovaná**3autentizace pomocí biometrických charakteristik a celý systém nebo data jsou šifrovaná**4autentizace předmětem s šifrovaným*** obsahem s osobním identifikačním číslem (PIN) a systém ani data nejsou šifrovaná4autentizace předmětem s šifrovaným*** obsahem s osobním identifikačním číslem (PIN) a přenosem a systém ani data nejsou šifrovaná5autentizace předmětem s šifrovaným*** obsahem s osobním identifikačním číslem (PIN) a celý systém nebo data jsou šifrovaná**5autentizace předmětem s šifrovaným*** obsahem s osobním identifikačním číslem (PIN) a přenosem a celý systém nebo data jsou šifrovaná*** pouze pro samostatná elektronická zařízení

** způsob a mechanismus šifrování dat vyplývá z projektové bezpečnostní dokumentace

*** kryptografické mechanismy pro šifrování předmětu vyplývají z projektové bezpečnostní dokumentace

Příloha č. 2

1) Rozhodnutí Komise (EU, Euratom) 2021/259 ze dne 10. února 2021, kterým se stanoví prováděcí pravidla pro průmyslovou bezpečnost s ohledem na utajované granty.

Rozhodnutí Rady (EU) 2013/488/EU ze dne 23. září 2013 o bezpečnostních pravidlech na ochranu utajovaných informací EU, v platném znění.

2) Rozhodnutí Rady 2013/488/EU.

3) Dohoda mezi smluvními stranami Severoatlantické smlouvy o bezpečnosti informací, vyhlášená pod č. 75/2001 Sb. m. s.