§ 21 vyhláška o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor – Požadavek testování bezpečnosti informačního systému
Vyhláška o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor · 523/2005 Sb. · Ostatní právní předpisy
Stručně: Paragraf 21 vyhlášky 523/2005 stanovuje, že před vydáním certifikátu musí být bezpečnost informačního systému ověřena nezávislým testováním, přičemž výsledky testů musí prokázat soulad s bezpečnostní politikou a nalezené chyby musí být odstraněny a ověřeny. Bezpečnost informačního systému, který má nakládat s utajovanými informacemi, musí být před certifikací podrobena testování, které provede nezávislá strana. (§ 21 zákona č. 523/2005 Sb., vyhláška o bezpečnosti informačních a komunikačních systémů a dalších elektronických zařízení nakládajících s utajovanými informacemi a o certifikaci stínicích komor, stav k 7. 10. 2026)
Klíčová fakta
- Předmět úpravy: Požadavek testování bezpečnosti informačního systému
- Znění: aktuální úplné znění podle Sbírky zákonů (e-Sbírka), stav databáze k
- Zdroj: e-Sbírka, 523/2005 Sb.
(1) Bezpečnost informačního systému se musí před vydáním certifikátu ověřit nezávislým testováním. K provedení testování se nesmějí používat utajované informace.
(2) Výsledky testů musí prokázat, že bezpečnostní funkce jsou plně v souladu s bezpečnostní politikou informačního systému. Výsledky testů musí být zadokumentovány. Chyby nalezené během testování musí být odstraněny a jejich odstranění musí být ověřeno následnými testy.
Srozumitelný výklad
Co to znamená v praxi
- Bezpečnost informačního systému, který má nakládat s utajovanými informacemi, musí být před certifikací podrobena testování, které provede nezávislá strana.
- Při tomto testování se nesmí pracovat s reálnými utajovanými informacemi.
- Výsledky testů musí potvrdit, že všechny bezpečnostní funkce systému fungují přesně podle stanovené bezpečnostní politiky.
- Veškeré zjištěné nedostatky nebo chyby musí být opraveny a jejich odstranění musí být následně znovu ověřeno testy.
Na co si dát pozor
- Testování musí být provedeno nezávisle, což znamená, že ho nesmí provádět stejná entita, která systém vyvíjela nebo provozuje.
- Dokumentace výsledků testů je povinná a slouží jako důkaz splnění požadavků.
- Pro testování se nesmí používat skutečné utajované informace, což vyžaduje použití simulovaných dat nebo jiných vhodných metod.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 21 Požadavek testování bezpečnosti informačního (Vyhláška Národního bezpečnostního úřadu )§ 237 Účinnost (Vyhláška o pravidlech obezřetného podnik)