§ 8 Vyhláška o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (vyhláška o kybernetické bezpečnosti) – Řízení dodavatelů

§ 8 Řízení dodavatelů (1) Povinná osoba a) stanoví pravidla pro dodavatele, která zohledňují požadavky systému řízení bezpečnosti informací, b) vede evidenci svých významných dodavatelů, c) prokazatelně písemně informuje své významné dodavatele o jejich evidenci podle písmene b), d) seznamuje své dodavatele s pravidly podle písmene a) a vyžaduje plnění těchto pravidel, e) řídí rizika spojená s dodavateli, f) v souvislosti s řízením rizik spojených s významnými dodavateli zajistí, aby smlouvy uzavírané s významnými dodavateli obsahovaly relevantní oblasti uvedené v příloze č. 7 k této vyhlášce, a g) pravidelně přezkoumává plnění smluv s významnými dodavateli z hlediska systému řízení bezpečnosti informací. (2) Povinná osoba u významných dodavatelů dále a) v rámci výběrového řízení a před uzavřením smlouvy provádí hodnocení rizik souvisejících s plněním předmětu výběrového řízení přiměřeně podle přílohy č. 2 k této vyhlášce, b) v rámci uzavíraných smluvních vztahů stanoví způsoby a úrovně realizace bezpečnostních opatření a určí obsah vzájemné smluvní odpovědnosti za zavedení a kontrolu bezpečnostních opatření, c) provádí pravidelné hodnocení rizik a pravidelnou kontrolu zavedených bezpečnostních opatření u poskytovaných plnění pomocí vlastních zdrojů nebo pomocí třetí strany a d) v reakci na rizika a zjištěné nedostatky zajistí jejich řešení. (3) Náležitosti prokazatelného informování podle odstavce 1 písm. c) jsou a) identifikace správce nebo provozovatele, b) identifikace informačního a komunikačního systému, c) identifikace významného dodavatele, d) vyrozumění o skutečnosti, že dodavatel je pro správce významným dodavatelem, a popřípadě také o tom, že významný dodavatel je zároveň provozovatelem, a e) obsah pravidel podle odstavce 1 písm. a). (4) Povinná osoba uvedená v § 3 písm. c) až f) zákona, která je provozovatelem a byla prokazatelně informována podle odstavce 1 písm. c), hlásí kontaktní údaje formou uvedenou v § 34.