§ 16 vyhláška o kybernetické bezpečnosti – Audit kybernetické bezpečnosti
Vyhláška o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (vyhláška o kybernetické bezpečnosti) · 82/2018 Sb. · IT právo a ochrana dat
Stručně: Paragraf 16 vyhlášky 82/2018 stanovuje povinnost provádět audit kybernetické bezpečnosti, který zahrnuje kontrolu dodržování bezpečnostní politiky a souladu bezpečnostních opatření s předpisy, a určuje, kdo, kdy a jak má tento audit provádět. Povinná osoba musí pravidelně kontrolovat, zda dodržuje svou bezpečnostní politiku a zda jsou její technická opatření v souladu s právními předpisy a nejlepší praxí. (§ 16 zákona č. 82/2018 Sb., vyhláška o kybernetické bezpečnosti, stav k 7. 10. 2026)
Klíčová fakta
- Předmět úpravy: Audit kybernetické bezpečnosti
- Týká se: provozovatel
- Lhůta nebo doba (odst. 3): „V takovém případě je nutno audit v celém rozsahu provést nejpozději do 5 let.“
- Odkazuje na: § 7
- Znění: aktuální úplné znění podle Sbírky zákonů (e-Sbírka), stav databáze k
- Zdroj: e-Sbírka, 82/2018 Sb.
(1) Povinná osoba v rámci auditu kybernetické bezpečnosti
a) provádí a dokumentuje audit dodržování bezpečnostní politiky, včetně přezkoumání technické shody, a výsledky auditu zohlední v plánu rozvoje bezpečnostního povědomí a plánu zvládání rizik a
b) posuzuje soulad bezpečnostních opatření s nejlepší praxí, právními předpisy, vnitřními předpisy, jinými předpisy a smluvními závazky vztahujícími se k informačnímu a komunikačnímu systému a určí případná nápravná opatření pro zajištění souladu.
(2) Audit podle odstavce 1 je prováděn
a) při významných změnách, v rámci jejich rozsahu,
b) v pravidelných intervalech alespoň po 3 letech v případě povinné osoby uvedené v § 3 písm. e) zákona a
c) v pravidelných intervalech alespoň po 2 letech v případě povinné osoby neuvedené v písmenu b).
(3) Není-li v odůvodněných případech možné provést audit v intervalech podle odstavce 2 písm. b) a c) v celém rozsahu, je možné audit provádět průběžně po systematických celcích. V takovém případě je nutno audit v celém rozsahu provést nejpozději do 5 let.
(4) Audit kybernetické bezpečnosti musí být prováděn osobou vyhovující podmínkám stanoveným v § 7 odst. 4, která nezávisle hodnotí správnost a účinnost zavedených bezpečnostních opatření.
(5) Povinná osoba, která je současně provozovatelem, předkládá výsledky auditu kybernetické bezpečnosti správci daného informačního a komunikačního systému.
Srozumitelný výklad
Co to znamená v praxi
- Povinná osoba musí pravidelně kontrolovat, zda dodržuje svou bezpečnostní politiku a zda jsou její technická opatření v souladu s právními předpisy a nejlepší praxí.
- Výsledky auditu je nutné zohlednit při plánování rozvoje bezpečnostního povědomí zaměstnanců a při řízení rizik.
- Audit musí provádět nezávislá osoba, která splňuje určité podmínky (§ 7 odst. 4 vyhlášky), aby bylo zajištěno objektivní hodnocení.
- Frekvence auditu závisí na typu povinné osoby, přičemž se provádí buď při významných změnách, nebo v pravidelných intervalech (alespoň jednou za 2 nebo 3 roky, s možností průběžného auditu do 5 let).
Na co si dát pozor
- Je třeba zajistit, aby osoba provádějící audit byla skutečně nezávislá a splňovala podmínky stanovené v § 7 odst. 4.
- V případě průběžného auditu je nutné dbát na to, aby byl celý rozsah auditu dokončen nejpozději do 5 let.
- Povinná osoba, která je zároveň provozovatelem, musí výsledky auditu předat správci daného informačního a komunikačního systému.
Generováno z textu ustanovení, orientační – nenahrazuje radu advokáta.
Související
§ 4 Katalog prací ve veřejných službách a správě (Nařízení vlády o katalogu prací ve veřej)§ 16 Provádění auditu kybernetické bezpečnosti (Vyhláška o bezpečnostních opatřeních pos)§ 6 Organizační bezpečnost (Vyhláška o bezpečnostních opatřeních, ky)§ 15 Kontrola a audit kritické informační infrastr (Vyhláška o bezpečnostních opatřeních, ky)§ 4 Bezpečnostní opatření (Zákon o kybernetické bezpečnosti a o změ)