Vyhláška o informační bezpečnosti

(1) V rámci certifikace informačního systému nebo schvalování projektu bezpečnosti lze rozdělit existující informační nebo komunikační systém na moduly, které mohou být bez dalšího posuzování obdobně použity i v jiných informačních nebo komunikačních systémech podle § 46 nebo 54 při zachování stejné úrovně informační bezpečnosti.

(2) Modul je funkční celek tvořený

a) softwarovým vybavením, zejména elektronickým systémem spisové služby, sloužícím k evidenci utajovaných informací,

b) hardwarovým vybavením, zejména zástavbou kryptografického prostředku v systému, nebo

c) kombinací softwarového a hardwarového vybavení, zejména bezpečnostním oddělovacím blokem,

jestliže má jasně definované hranice určující způsob jeho začlenění do systému.

(3) Národní úřad pro kybernetickou a informační bezpečnost při posuzování jiného systému podle § 46 odst. 3 a § 54 odst. 1 a 2 nehodnotí modul, jestliže modul

a) byl posouzen a použit v již existujícím systému podle § 46 nebo 54 a

b) má být obdobně použit v jiném systému ve stejné konfiguraci a za stejných podmínek jako v jiném již existujícím systému podle písmene a).

(1) Podmínkou bezpečného provozování samostatného elektronického zařízení podle § 36 odst. 4 zákona je zpracování bezpečnostní provozní směrnice obsahující bezpečnostní dokumentaci alespoň v rozsahu § 36 odst. 2 písm. c) a odst. 3 písm. a).

(2) Popis bezpečnosti systému podle § 36 odst. 2 písm. c) stanoví způsob bezpečného provozování s ohledem na funkci samostatného elektronického zařízení a způsob ukládání zpracovávané utajované informace a identifikuje samostatné elektronické zařízení podle funkce jako

a) zobrazovací, které zobrazuje utajované informace,

b) zaznamenávací, které zaznamenává utajované informace v různých formátech, zejména psací stroj s pamětí, fotoaparát, kamera nebo záznamník,

c) kopírovací a převodní, které kopíruje nebo převádí utajované informace z jednoho formátu do druhého, a

d) kombinované, které kombinuje funkce uvedené v písmenech a) až c).

(3) Obsahuje-li samostatné elektronické zařízení nosič informací, pak popis bezpečnosti systému obsahuje i jeho identifikaci podle způsobu zapojení do zařízení podle § 13 odst. 3.

(4) Pokud provozovatel samostatného elektronického zařízení provozuje více samostatných elektronických zařízení stejného typu podle funkce a způsobu integrace nosiče informací, pak může zpracovat jednu bezpečnostní provozní směrnici pro daný typ samostatného elektronického zařízení.

Oznámení o provozovaném samostatném elektronickém zařízení podle § 36 odst. 2 písm. b) zákona obsahuje

a) identifikační údaje provozovatele samostatného elektronického zařízení a

b) seznam provozovaných samostatných elektronických zařízení obsahující pro každé provozované samostatné elektronické zařízení

1. typ samostatného elektronického zařízení podle § 56 odst. 2 a 3 a

2. stupeň utajení utajovaných informací, pro něž je určeno.

(1) Bezpečnostní požadavky na

a) informační systémy certifikované před účinností této vyhlášky a

b) komunikační systémy, jejichž projekt bezpečnosti byl schválen přede dnem nabytí účinnosti této vyhlášky,

se posuzují podle dosavadních právních předpisů.

(2) Požadavky na ochranu utajovaných informací v elektronické podobě v samostatných elektronických zařízeních, která byla uvedena do provozu přede dnem nabytí účinnosti této vyhlášky, se řídí dosavadními právními předpisy po dobu 1 roku ode dne nabytí účinnosti této vyhlášky.

(3) Uživatelé, kteří nesplňují podmínky pro přístup fyzické osoby k utajované informaci podle § 17 odst. 2, musí tuto podmínku splnit nejpozději do 12 měsíců ode dne nabytí účinnosti této vyhlášky.

Tato vyhláška nabývá účinnosti dnem 1. ledna 2025.

Zrušují se:

1. Vyhláška č. 523/2005 Sb., o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor.

2. Vyhláška č. 453/2011 Sb., kterou se mění vyhláška č. 523/2005 Sb., o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor.

Ředitel:

Ing. Kintr v. r.

Příloha č. 1

Pro potřeby výpočtu bodových hodnot zabezpečených oblastí, v nichž se nachází části informačního systému, komunikačního systému nebo samostatného elektronického zařízení obsahující v sobě nosiče informací, které pro uchování informace nepotřebují trvalé připojení ke zdroji elektrické energie, se použijí následující hodnoty parametru S1.

Tabulka č. 1: Bezpečnostní ekvivalent parametru S1Hodnota S1Popis autentizace subjektu systému0bez autentizace*1identifikace jménem a autentizace heslem a systém ani data nejsou šifrovaná2identifikace jménem a autentizace heslem zaslaným jiným kanálem a systém ani data nejsou šifrovaná2autentizace předmětem s osobním identifikačním číslem (PIN) a systém ani data nejsou šifrovaná2autentizace pomocí biometrických charakteristik a systém ani data nejsou šifrovaná2identifikace jménem a autentizace heslem a celý systém nebo data jsou šifrovaná**3identifikace jménem a autentizace heslem zaslaným jiným kanálem a celý systém nebo data jsou šifrovaná**3autentizace předmětem s osobním identifikačním číslem (PIN) a celý systém nebo data jsou šifrovaná**3autentizace pomocí biometrických charakteristik a celý systém nebo data jsou šifrovaná**4autentizace předmětem s šifrovaným*** obsahem s osobním identifikačním číslem (PIN) a systém ani data nejsou šifrovaná4autentizace předmětem s šifrovaným*** obsahem s osobním identifikačním číslem (PIN) a přenosem a systém ani data nejsou šifrovaná5autentizace předmětem s šifrovaným*** obsahem s osobním identifikačním číslem (PIN) a celý systém nebo data jsou šifrovaná**5autentizace předmětem s šifrovaným*** obsahem s osobním identifikačním číslem (PIN) a přenosem a celý systém nebo data jsou šifrovaná*** pouze pro samostatná elektronická zařízení

** způsob a mechanismus šifrování dat vyplývá z projektové bezpečnostní dokumentace

*** kryptografické mechanismy pro šifrování předmětu vyplývají z projektové bezpečnostní dokumentace

Příloha č. 2

1) Rozhodnutí Komise (EU, Euratom) 2021/259 ze dne 10. února 2021, kterým se stanoví prováděcí pravidla pro průmyslovou bezpečnost s ohledem na utajované granty.

Rozhodnutí Rady (EU) 2013/488/EU ze dne 23. září 2013 o bezpečnostních pravidlech na ochranu utajovaných informací EU, v platném znění.

2) Rozhodnutí Rady 2013/488/EU.

3) Dohoda mezi smluvními stranami Severoatlantické smlouvy o bezpečnosti informací, vyhlášená pod č. 75/2001 Sb. m. s.