§ 4 vyhláška Národního bezpečnostního úřadu o zajištění bezpečnosti informačních systémů nakládajících s utajovanými skutečnostmi, provádění jejich certifikace a náležitostech certifikátu – Bezpečnostní dokumentace informačního systému
Vyhláška Národního bezpečnostního úřadu o zajištění bezpečnosti informačních systémů nakládajících s utajovanými skutečnostmi, provádění jejich certifikace a náležitostech certifikátu · 56/1999 Sb. · IT právo a ochrana dat
Stručně: Paragraf 4 vyhlášky 56/1999 stanovuje, že informační systém nakládající s utajovanými skutečnostmi musí mít bezpečnostní dokumentaci, která se dělí na projektovou a provozní část, a definuje, co musí tyto části obsahovat. Každý informační systém, který pracuje s utajovanými informacemi, musí mít detailně zpracovanou bezpečnostní dokumentaci, která se skládá ze dvou hlavních částí: projektové a provozní. (§ 4 zákona č. 56/1999 Sb., vyhláška Národního bezpečnostního úřadu o zajištění bezpečnosti informačních systémů nakládajících s utajovanými skutečnostmi, provádění jejich certifikace a náležitostech certifikátu, stav k 7. 10. 2026)
Klíčová fakta
- Předmět úpravy: Bezpečnostní dokumentace informačního systému
- Znění: aktuální úplné znění podle Sbírky zákonů (e-Sbírka), stav databáze k
- Zdroj: e-Sbírka, 56/1999 Sb.
(1) Bezpečnostní dokumentaci informačního systému tvoří:
a) projektová bezpečnostní dokumentace informačního systému,
b) provozní bezpečnostní dokumentace informačního systému.
(2) Projektová bezpečnostní dokumentace informačního systému musí obsahovat:
a) bezpečnostní politiku informačního systému a vyhodnocení analýzy rizik,
b) návrh bezpečnostních opatření pro jednotlivé fáze návrhu informačního systému,
c) dokumentaci k testům bezpečnosti informačního systému.
(3) Provozní bezpečnostní dokumentace informačního systému musí obsahovat:
a) bezpečnostní směrnici informačního systému, která popisuje činnost bezpečnostního správce v příslušném informačním systému,
b) bezpečnostní směrnice pro jednotlivé typy uživatelů informačního systému.
(4) Bezpečnostní dokumentace uvedená v odstavci 2 a odstavci 3 písm. a) se klasifikuje a označuje stupněm utajení shodným s nejvyšším stupněm utajení utajované informace, se kterou informační systém nakládá.
Srozumitelný výklad
Co to znamená v praxi
- Každý informační systém, který pracuje s utajovanými informacemi, musí mít detailně zpracovanou bezpečnostní dokumentaci, která se skládá ze dvou hlavních částí: projektové a provozní.
- Projektová dokumentace se zabývá návrhem bezpečnosti systému, včetně analýzy rizik a plánovaných bezpečnostních opatření, a musí obsahovat i dokumentaci k testům bezpečnosti.
- Provozní dokumentace se zaměřuje na každodenní provoz, popisuje činnost bezpečnostního správce a stanovuje bezpečnostní pravidla pro různé typy uživatelů.
- Nejdůležitější části bezpečnostní dokumentace (projektová dokumentace a bezpečnostní směrnice pro bezpečnostního správce) musí být samy o sobě utajovány na stejné úrovni jako nejvyšší stupeň utajení informací, se kterými systém pracuje.
Na co si dát pozor
- Je nutné zajistit, aby projektová i provozní bezpečnostní dokumentace byly vždy aktuální a odpovídaly skutečnému stavu informačního systému a jeho provozu.
- Klasifikace a označení stupněm utajení se týká nejen utajovaných informací v systému, ale i samotné bezpečnostní dokumentace, což vyžaduje zvláštní péči při jejím zpracování a uchovávání.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 26 Žádost o opakovanou certifikaci informačního (Vyhláška o bezpečnosti informačních a ko)§ 11 Požadavky na obsah provozní dokumentace (Vyhláška o požadavcích na strukturu a ob)§ 4 Bezpečnostní dokumentace informačního systému (Vyhláška o bezpečnosti informačních a ko)§ 12 Náležitosti provozní dokumentace (Vyhláška o dlouhodobém řízení informační)§ 10 PROVOZNÍ DOKUMENTACE (Vyhláška o požadavcích na strukturu a ob)