§ 13 vyhláška o kybernetické bezpečnosti – Akvizice, vývoj a údržba
Vyhláška o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (vyhláška o kybernetické bezpečnosti) · 82/2018 Sb. · IT právo a ochrana dat
Stručně: Paragraf 13 vyhlášky 82/2018 stanovuje povinnosti pro subjekty, které pořizují, vyvíjejí nebo udržují informační a komunikační systémy, a to zejména v oblasti řízení rizik a zajištění bezpečnosti. Při nákupu, vývoji nebo údržbě systémů je nutné posoudit a řídit související rizika. (§ 13 zákona č. 82/2018 Sb., vyhláška o kybernetické bezpečnosti, stav k 7. 10. 2026)
Klíčová fakta
Povinná osoba v souvislosti s plánovanou akvizicí, vývojem a údržbou informačního a komunikačního systému
a) řídí rizika podle § 5,
b) řídí významné změny podle § 11,
c) stanoví bezpečnostní požadavky,
d) zahrne bezpečnostní požadavky do projektu akvizice, vývoje a údržby,
e) zajistí bezpečnost vývojového a testovacího prostředí a zajistí ochranu používaných testovacích dat,
f) provádí bezpečnostní testování významných změn před jejich zavedením do provozu a
g) plní požadavek podle § 19 odst. 3, je-li cílem provedení akvizice nebo vývoje nástroj pro správu a ověřování identity.
Srozumitelný výklad
Co to znamená v praxi
- Při nákupu, vývoji nebo údržbě systémů je nutné posoudit a řídit související rizika.
- Významné změny v systémech musí být řízeny podle stanovených pravidel, včetně testování před zavedením do provozu.
- Je třeba definovat a zahrnout bezpečnostní požadavky do všech fází projektu (akvizice, vývoj, údržba).
- Vývojové a testovací prostředí musí být zabezpečeno a testovací data chráněna.
Na co si dát pozor
- Nezapomenout na bezpečnostní testování významných změn před jejich spuštěním.
- Zajistit ochranu testovacích dat, aby nedošlo k jejich zneužití.
- Pokud je cílem akvizice nebo vývoje nástroj pro správu a ověřování identity, je nutné splnit specifické požadavky podle § 19 odst. 3.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 12 Akvizice, vývoj a údržba (Vyhláška o bezpečnostních opatřeních pos)§ 12 Akvizice, vývoj a údržba (Vyhláška o bezpečnostních opatřeních, ky)§ 5 (Zákon o kybernetické bezpečnosti a o změ)§ 14 Seznam bezpečnostních opatření (Zákon o kybernetické bezpečnosti)