Vyhláška Národního bezpečnostního úřadu o zajištění bezpečnosti informačních systémů nakládajících s utajovanými skutečnostmi, provádění jejich certifikace a náležitostech certifikátu

(1) Certifikát informačního systému, jehož vzor je uveden v příloze, obsahuje:

a) identifikaci informačního systému včetně označení verze, pro který je vydáván,

b) identifikaci certifikátu přidělenou Úřadem,

c) identifikaci žadatele,

d) identifikaci dodavatele informačního systému,

e) stupeň utajení utajovaných informací, pro který byla schválena jeho způsobilost,

f) dobu platnosti certifikátu.

(2) Součástí certifikátu je certifikační zpráva, která tvoří jeho přílohu. Certifikační zpráva obsahuje:

a) orientační popis informačního systému,

b) bezpečnostní politiku informačního systému,

c) hlavní závěry z hodnocení,

d) případná omezení podmiňující platnost certifikátu a

e) typy změn informačního systému, které vyžadují provedení doplňujícího hodnocení informačního systému.

(1) Úřad vede přehled certifikovaných informačních systémů. K certifikovanému informačnímu systému se vede certifikační spis, do kterého se zakládá žádost o provedení certifikace, podklady poskytnuté žadatelem, technické zprávy a certifikační zpráva hodnoceného informačního systému a kopie vydaného certifikátu.

(2) Skartační lhůta certifikačního spisu začíná běžet dnem skončení platnosti certifikátu a činí nejméně 5 let.

(1) Informační systém orgánu státu, ve kterém ke dni účinnosti zákona byla zpracovávána skutečnost tvořící předmět státního, hospodářského nebo služebního tajemství pomocí výpočetní techniky podle dosavadní právní úpravy,2) a informační systém orgánu státu, který ode dne účinnosti zákona do dne účinnosti této vyhlášky nakládal s utajovanou skutečností, lze v případě potřeby považovat za certifikovaný informační systém podle této vyhlášky, nejpozději do 18 měsíců ode dne nabytí účinnosti této vyhlášky.

(2) Informační systém organizace, ve kterém ke dni účinnosti zákona byla zpracovávána skutečnost tvořící předmět státního, hospodářského nebo služebního tajemství pomocí výpočetní techniky podle dosavadní právní úpravy,2) a informační systém organizace, který ode dne účinnosti zákona do dne účinnosti této vyhlášky nakládal s utajovanou skutečností, lze v případě potřeby považovat za certifikovaný informační systém podle této vyhlášky, nejpozději do 12 měsíců ode dne nabytí účinnosti této vyhlášky.

(3) Statutární orgán stanoví, které informační systémy uvedené v odstavci 1 nebo odstavci 2 považuje za certifikované informační systémy podle této vyhlášky.

(4) Žádost o certifikaci informačního systému uvedeného v odstavci 1 nebo odstavci 2, u kterého statutární orgán stanovil, že jej považuje za certifikovaný informační systém podle této vyhlášky, je nutno předložit nejpozději 6 měsíců před uplynutím lhůty, po kterou je považován za certifikovaný.

Tato vyhláška nabývá účinnosti dnem vyhlášení.

Ředitel:

Ing. Kadlec v. r.

Příloha k vyhlášce č. 56/1999 Sb.

1) Např. kritéria bezpečnosti Trusted computer system evaluation criteria (TCSEC), Information technology security evaluation criteria (ITSEC), Common criteria (CC) nebo Canadian trusted computer product evaluation criteria (CTCPEC).

2) Směrnice Federálního ministerstva vnitra ze dne 6. června 1973 pro zabezpečení ochrany skutečností tvořících předmět státního, hospodářského a služebního tajemství při jejich zpracování pomocí výpočetní techniky.