226
ZÁKON
ze dne 20. července 2022,
kterým se mění zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů
(zákon o kybernetické bezpečnosti), ve znění pozdějších předpisů
Parlament se usnesl na tomto zákoně České re-
publiky:
Čl. I
Zákon č. 181/2014 Sb., o kybernetické bezpeč-
nosti a o změně souvisejících zákonů (zákon o kyber-
netické bezpečnosti), ve znění zákona č. 104/2017
Sb., zákona č. 183/2017 Sb., zákona č. 205/2017
Sb., zákona č. 35/2018 Sb., zákona č. 111/2019 Sb.,
zákona č. 12/2020 Sb. a zákona č. 261/2021 Sb., se
mění takto:
1. V § 1 odstavec 2 včetně poznámek pod čarou
č. 6 a 17 zní:
„(2) Tento zákon zapracovává příslušný před-
pis Evropské unie6), zároveň navazuje na přímo po-
užitelný předpis Evropské unie17) a upravuje zajišťo-
vání bezpečnosti sítí elektronických komunikací a in-formačních systémů.
6) Směrnice Evropského parlamentu a Rady (EU) 2016/
/1148 ze dne 6. července 2016 o opatřeních k zajištění
vysoké společné úrovně bezpečnosti sítí a informačních
systémů v Unii.
17) Nařízení Evropského parlamentu a Rady (EU) 2019/881
ze dne 17. dubna 2019 o agentuře ENISA („AgentuřeEvropské unie pro kybernetickou bezpečnost“), o certi-fikaci kybernetické bezpečnosti informačních a komuni-kačních technologií a o zrušení nařízení (EU) č. 526/
/2013 („akt o kybernetické bezpečnosti“).“.
2. V § 22 se na konci písmene x) tečka nahra-
zuje čárkou a doplňuje se písmeno y), které zní:
„y) je orgánem certifikace kybernetické bezpečnos-
ti podle čl. 58 aktu o kybernetické bezpeč-
nosti17).“.
3. Za § 22a se vkládá nový § 22b, který včetně
nadpisu zní:
„§ 22b
Autorizace subjektů posuzování shody
podle aktu o kybernetické bezpečnosti
(1) Stanoví-li přímo použitelný předpis Evrop-ské unie vydaný na základě aktu o kybernetické
bezpečnosti konkrétní nebo dodatečné požadavkyna subjekty posuzování shody s cílem zajistit jejichtechnickou způsobilost k hodnocení požadavků na
kybernetickou bezpečnost, Úřad v souladu s čl. 58
odst. 7 písm. e) aktu o kybernetické bezpečnosti
17)
rozhoduje o žádostech o autorizaci subjektu posu-
zování shody, a pokud autorizovaný subjekt posu-zování shody porušuje požadavky aktu o kyberne-tické bezpečnosti
17) nebo přímo použitelného před-
pisu Evropské unie vydaného na základě aktu o ky-
bernetické bezpečnosti, o pozastavení vykonatel-nosti, o změně nebo o zrušení rozhodnutí o autori-
zaci.
(2) Subjekt posuzování shody v žádosti o auto-
rizaci podle odstavce 1 doloží plnění konkrétníchnebo dodatečných požadavků stanovených přímo
použitelným předpisem Evropské unie vydaným nazákladě aktu o kybernetické bezpečnosti.
(3) V rozhodnutí o pozastavení vykonatelnosti
rozhodnutí o autorizaci podle odstavce 1 stanovíÚřad lhůtu pro zjednání nápravy. Zjedná-li subjektposuzování shody nápravu, sdělí tuto skutečnost bezzbytečného odkladu Úřadu. Shledá-li Úřad zjednánínápravy za dostačující, zruší rozhodnutí o pozasta-vení vykonatelnosti rozhodnutí o autorizaci. Jestližeautorizovaný subjekt posuzování shody ve sta-novené lhůtě nezjedná nápravu, rozhodne Úřad
o změně či zrušení rozhodnutí o autorizaci.
(4) Úřad rozhodne v řízení o žádosti o autori-
zaci podle odstavce 1 nejdéle do 120 dnů od zahájení
řízení, v mimořádných případech do 180 dnů.“.
4. V § 25 se za odstavec 10 vkládají nové od-
stavce 11 až 13, které znějí:
„(11) Výrobce nebo poskytovatel produktů,
služeb nebo procesů vydávající EU prohlášení
o shodě se dopustí přestupku tím, že
a) vydá EU prohlášení o shodě, ač pro jeho vydáníSbírka zákonů č. 226 / 2022 Částka 104 Strana 2631
nejsou splněny podmínky stanovené aktem
o kybernetické bezpečnosti17),
b) neuchovává dokumenty a informace podle čl. 53
odst. 3 aktu o kybernetické bezpečnosti17),
c) nepředloží vyhotovení EU prohlášení o shodě
Úřadu a agentuře ENISA podle čl. 53 odst. 3
aktu o kybernetické bezpečnosti17), nebo
d) neposkytuje informace o kybernetické bezpeč-
nosti v rozsahu a způsobem uvedeným v čl. 55
aktu o kybernetické bezpečnosti17).
(12) Držitel evropského certifikátu kybernetic-
ké bezpečnosti se dopustí přestupku tím, že neinfor-
muje příslušné subjekty posuzování shody o veške-rých později zjištěných zranitelnostech nebo nesrov-nalostech.
(13) Právnická nebo podnikající fyzická osoba
se dopustí přestupku tím, že
a) zneužije známku nebo označení evropského
systému certifikace kybernetické bezpečnosti,evropský certifikát kybernetické bezpečnosti,EU prohlášení o shodě anebo jiný dokument
podle aktu o kybernetické bezpečnosti
17),
b) padělá nebo pozmění evropský certifikát kyber-
netické bezpečnosti, EU prohlášení o shoděanebo jiný dokument podle aktu o kybernetickébezpečnosti
17),
c) provede činnost posouzení shody podle aktu
o kybernetické bezpečnosti17) na úroveň záruky
„vysoká“, přestože k tomu není oprávněna po-dlečl. 56 odst. 6 aktu o kybernetické bezpeč-
nosti
17),d) jako subjekt posuzování shody autorizovaný
podle čl. 60 odst. 3 aktu o kybernetické bezpeč-
nosti17) vydá evropský certifikát kybernetické
bezpečnosti k produktu, procesu nebo službě,které nesplňují kritéria obsažená v přímo použi-telném předpise Evropské unie vydaném na zá-kladě aktu o kybernetické bezpečnosti,
e) provede činnost posouzení shody, vyhrazenou
přímo použitelným předpisem Evropské unievydaným na základě aktu o kybernetické bez-
pečnosti autorizovanému subjektu posuzováníshody, bez autorizace, nebo
f) vystupuje jako akreditovaný subjekt posuzo-
vání shody bez akreditace podle čl. 60 odst. 1
aktu o kybernetické bezpečnosti
17) nebo mimo
rozsah této akreditace.“.
Dosavadní odstavec 11 se označuje jako odstavec 14.
5. V § 25 odst. 14 písm. a) se slovo „nebo“ na-
hrazuje čárkou a na konci textu písmene se doplňují
slova „anebo odstavce 12 nebo 13“.
6. V § 25 odst. 14 písm. b) se slova „písm. f)
nebo“ nahrazují textem „písm. f),“ a na konci textu
písmene se doplňují slova „nebo odstavce 11“.
Čl. II
Účinnost
Tento zákon nabývá účinnosti dnem následují-
cím po dni jeho vyhlášení.
Pekarová Adamová v. r.
Zeman v. r.
Fiala v. r.Sbírka zákonů č. 226 / 2022 Strana 2632 Částka 104