Source: http://www.zakony.cz/zakony/2018/1/zakon-082-2018-Sb-vyhlaska-o-bezpecnostnich-opatrenich-kybernetickych-bezpecnostnich-incidentech-reaktivnich-opatren-SB2018082
Timestamp: 2019-01-24 06:07:33+00:00

Document:
Vyhláška o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (vyhláška o kybernetické bezpečnosti) - Zákony.cz
28.5.2018 - Účinný
Tato vyhláška zapracovává příslušný předpis Evropské unie[1]a pro informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury, významný informační systém, informační systém základní služby anebo informační systém nebo síť elektronických komunikací, které využívá poskytovatel digitálních služeb, (dále jen „informační a komunikační systém“) upravuje
§ 4 (1) Povinná osoba v rámci řízení aktiv
§ 4 (2) Při hodnocení důležitosti primárních aktiv je třeba posoudit alespoň
§ 5 (1) Povinná osoba v rámci řízení rizik v návaznosti na § 4
§ 5 (2) Povinná osoba uvedená v § 3 písm. c), d) a f) zákona provádí hodnocení rizik alespoň jednou ročně a povinná osoba uvedená v § 3 písm. e) zákona alespoň jednou za tři roky.
§ 5 (3) Řízení rizik může být zajištěno i jinými způsoby, než jak je stanoveno v odstavci 1 písm. d), pokud povinná osoba zabezpečí, že použitá opatření zajistí stejnou nebo vyšší úroveň procesu řízení rizik.
§ 6 (1) Povinná osoba s ohledem na systém řízení bezpečnosti informací
§ 6 (2) Povinná osoba v rámci systému řízení bezpečnosti informací určí složení výboru pro řízení kybernetické bezpečnosti a bezpečnostní role a jejich práva a povinnosti související se systémem řízení bezpečnosti informací.
§ 6 (3) Povinná osoba uvedená v § 3 písm. c), d) a f) zákona určí osobu, která bude zastávat bezpečnostní roli
§ 6 (4) Povinná osoba uvedená v § 3 písm. e) zákona určí role manažera kybernetické bezpečnosti a garanta aktiva. Ostatní bezpečnostní role podle odstavce 3 určí přiměřeně vzhledem k rozsahu a potřebám systému řízení bezpečnosti informací.
§ 6 (5) Povinná osoba uvedená v § 3 písm. c), d) a f) zákona zajistí zastupitelnost bezpečnostních rolí uvedených v odstavci 3 písm. a) a b).
§ 6 (6) Povinná osoba uvedená v § 3 písm. e) zákona zajistí zastupitelnost bezpečnostní role manažera kybernetické bezpečnosti.
§ 6 (7) Výbor pro řízení kybernetické bezpečnosti je tvořen osobami s příslušnými pravomocemi a odbornou způsobilostí pro celkové řízení a rozvoj systému řízení bezpečnosti informací a osobami významně se podílejícími na řízení a koordinaci činností spojených s kybernetickou bezpečností, jehož členem musí být alespoň jeden zástupce vrcholového vedení nebo jím pověřená osoba a manažer kybernetické bezpečnosti. Povinná osoba u výboru pro řízení kybernetické bezpečnosti přihlédne k doporučením uvedeným v příloze č. 6 k této vyhlášce.
§ 7 (1) Manažer kybernetické bezpečnosti
§ 7 (2) Architekt kybernetické bezpečnosti je bezpečnostní role odpovědná za zajištění návrhu implementace bezpečnostních opatření tak, aby byla zajištěna bezpečná architektura informačního a komunikačního systému, přičemž výkonem této role může být pověřena osoba, která je pro tuto činnost vyškolena a prokáže odbornou způsobilost praxí s navrhováním implementace bezpečnostních opatření a zajišťováním architektury bezpečnosti
§ 7 (3) Garant aktiva je bezpečnostní role odpovědná za zajištění rozvoje, použití a bezpečnost aktiva.
§ 7 (4) Auditor kybernetické bezpečnosti
§ 7 (5) Povinná osoba při určování osob zastávajících bezpečnostní role přihlédne k doporučením uvedeným v příloze č. 6 k této vyhlášce.
§ 8 (1) Povinná osoba
§ 8 (2) Povinná osoba u významných dodavatelů dále
§ 8 (3) Náležitosti prokazatelného informování podle odstavce 1 písm. c) jsou
§ 8 (4) Povinná osoba uvedená v § 3 písm. c) až f) zákona, která je provozovatelem a byla prokazatelně informována podle odstavce 1 písm. c), hlásí kontaktní údaje formou uvedenou v § 34.
§ 9 (1) Povinná osoba v rámci řízení bezpečnosti lidských zdrojů
§ 9 (2) Povinná osoba vede o školení podle odstavce 1 přehledy, které obsahují předmět školení a seznam osob, které školení absolvovaly.
§ 10 (1) Povinná osoba v rámci řízení provozu a komunikací zajišťuje bezpečný provoz informačního a komunikačního systému a stanoví provozní pravidla a postupy, které obsahují zejména
§ 10 (2) Povinná osoba v rámci řízení provozu a komunikací dodržuje pravidla a postupy stanovené podle odstavce 1 a tato pravidla a postupy aktualizuje v souvislosti s prováděnými nebo plánovanými změnami.
§ 10 (3) Povinná osoba zajistí oddělení vývojového, testovacího a provozního prostředí.
§ 11 (1) Povinná osoba v rámci řízení změn u informačního a komunikačního systému
§ 11 (2) Povinná osoba u významných změn
§ 11 (3) Povinná osoba uvedená v § 3 písm. c), d) a f) zákona na základě výsledků analýzy rizik podle odstavce 2 písm. b) rozhoduje o provedení penetračního testování nebo testování zranitelností; pokud rozhodne o provedení penetračního testování nebo testování zranitelností, postupuje podle § 25 odst. 1 a reaguje na zjištěné nedostatky.
§ 11 (4) Povinná osoba uvedená v § 3 písm. e) zákona se řídí požadavky podle odstavce 3 přiměřeně.
§ 12 (1) Povinná osoba na základě provozních a bezpečnostních potřeb řídí přístup k informačnímu a komunikačnímu systému a přijímá opatření, která slouží k zajištění ochrany údajů, které jsou používány pro přihlášení podle § 19 a 20, a která brání ve zneužití těchto údajů neoprávněnou osobou.
§ 12 (2) Povinná osoba dále v rámci řízení přístupu k informačnímu a komunikačnímu systému
§ 14 (1) Povinná osoba v rámci zvládání kybernetických bezpečnostních událostí a incidentů
§ 14 (2) Povinná osoba uvedená v § 3 písm. c), d) a f) zákona dále při detekci kybernetických bezpečnostních událostí používá nástroj podle § 24.
§ 16 (1) Povinná osoba v rámci auditu kybernetické bezpečnosti
§ 16 (2) Audit podle odstavce 1 je prováděn
§ 16 (3) Není-li v odůvodněných případech možné provést audit v intervalech podle odstavce 2 písm. b) a c) v celém rozsahu, je možné audit provádět průběžně po systematických celcích. V takovém případě je nutno audit v celém rozsahu provést nejpozději do 5 let.
§ 16 (4) Audit kybernetické bezpečnosti musí být prováděn osobou vyhovující podmínkám stanoveným v § 7 odst. 4, která nezávisle hodnotí správnost a účinnost zavedených bezpečnostních opatření.
§ 16 (5) Povinná osoba, která je současně provozovatelem, předkládá výsledky auditu kybernetické bezpečnosti správci daného informačního a komunikačního systému.
§ 19 (1) Povinná osoba používá nástroj pro správu a ověření identity uživatelů, administrátorů a aplikací informačního a komunikačního systému.
§ 19 (2) Nástroj pro správu a ověření identity uživatelů, administrátorů a aplikací zajišťuje
§ 19 (3) Povinná osoba pro ověření identity uživatelů, administrátorů a aplikací využívá autentizační mechanizmus, který není založený pouze na použití identifikátoru účtu a hesla, nýbrž na vícefaktorové autentizaci s nejméně dvěma různými typy faktorů.
§ 19 (4) Do doby splnění požadavku podle odstavce 3 musí nástroj pro ověření identity uživatelů, administrátorů a aplikací, používat autentizaci pomocí kryptografických klíčů a zaručit obdobnou úroveň bezpečnosti.
§ 19 (5) Do doby splnění požadavků podle odstavce 3 nebo 4 musí nástroj pro ověření identity uživatelů, administrátorů a aplikací, který používá k autentizaci identifikátor účtu a heslo, vynucovat pravidla
§ 19 (6) Povinná osoba v případě používání autentizace pouze účtem a heslem dále
§ 21 (1) Povinná osoba uvedená v § 3 písm. c), d) a f) zákona v rámci ochrany před škodlivým kódem
§ 21 (2) Povinná osoba uvedená v § 3 písm. e) zákona postupuje podle odstavce 1 přiměřeně.
§ 22 (1) Povinná osoba
§ 22 (2) Povinná osoba pro zaznamenávání bezpečnostních a provozních událostí podle odstavce 1 zajišťuje
§ 22 (3) Povinná osoba uvedená v § 3 písm. c), d) a f) zákona uchovává záznamy událostí zaznamenaných podle odstavce 2 nejméně po dobu 18 měsíců.
§ 22 (4) Povinná osoba uvedená v § 3 písm. e) zákona uchovává záznamy událostí zaznamenaných podle odstavce 2 nejméně po dobu 12 měsíců.
§ 23 (1) Povinná osoba v rámci komunikační sítě, jejíž součástí je informační a komunikační systém, používá nástroj pro detekci kybernetických bezpečnostních událostí, který zajistí
§ 23 (2) Povinná osoba uvedená v § 3 písm. c), d) a f) zákona zajistí detekci kybernetických bezpečnostních událostí přiměřeně s ohledem na důležitost aktiv v rámci
§ 25 (1) Povinná osoba provádí penetrační testy informačního a komunikačního systému se zaměřením na důležitá aktiva, a to
§ 25 (2) Povinná osoba dále v rámci aplikační bezpečnosti zajistí trvalou ochranu aplikací, informací a transakcí před
§ 29 (1) Povinná osoba uvedená v § 3 písm. h) zákona zavede bezpečnostní opatření podle prováděcího nařízení Komise (EU) 2018/151 ze dne 30. ledna 2018, kterým se stanoví pravidla pro uplatňování směrnice Evropského parlamentu a Rady (EU) 2016/1148, pokud jde o bližší upřesnění prvků, které musí poskytovatelé digitálních služeb zohledňovat při řízení bezpečnostních rizik, jimiž jsou vystaveny sítě a informační systémy, a parametrů pro posuzování toho, zda je dopad incidentu významný; ustanovení § 3 až 28 se na tuto povinnou osobu nepoužijí.
§ 29 (2) Povinná osoba uvedená v § 3 písm. h) zákona hlásí kontaktní údaje podle § 34 odst. 2.
§ 29 (3) Povinná osoba uvedená v § 3 písm. h) zákona hlásí kybernetické bezpečnostní incidenty podle § 32 odst. 2 a 3.
§ 30 (1) Povinná osoba
§ 30 (2) Bezpečnostní politika a bezpečnostní dokumentace musí být
§ 31 (1) Jednotlivé kybernetické bezpečnostní incidenty se kategorizují podle významnosti při zohlednění
§ 31 (2) Pro potřeby hlášení a zvládání kybernetických bezpečnostních incidentů se na základě zohlednění podle odstavce 1 kybernetické bezpečnostní incidenty zařadí do následujících kategorií
§ 31 (3) Typy kybernetických bezpečnostních incidentů podle dopadu jsou
§ 31 (4) Toto ustanovení se nevztahuje na kybernetické bezpečnostní incidenty u povinné osoby uvedené v § 3 písm. h) zákona.
§ 32 (1) Kybernetický bezpečnostní incident se Úřadu hlásí na elektronickém formuláři zveřejněném na internetových stránkách Úřadu zaslaném
§ 32 (2) Kybernetický bezpečnostní incident se provozovateli národního CERT hlásí na elektronickém formuláři zveřejněném na internetových stránkách provozovatele národního CERT zaslaném
§ 32 (3) Hlášení kybernetického bezpečnostního incidentu je možné zaslat i v listinné podobě, avšak pouze v případech, kdy nelze využít žádný ze způsobů uvedených v odstavcích 1 a 2.
§ 32 (4) Náležitosti hlášení kybernetického bezpečnostního incidentu jsou
§ 33 (1) Povinná osoba, které Úřad uložil provést reaktivní opatření,
§ 33 (2) Povinná osoba, které Úřad uložil provést reaktivní opatření, oznámí způsob provedení reaktivního opatření a jeho výsledek ve formě uvedené na internetových stránkách Úřadu.
§ 34 (1) Kontaktní údaje se Úřadu oznamují na elektronickém formuláři zveřejněném na internetových stránkách Úřadu zaslaném
§ 34 (2) Kontaktní údaje se provozovateli národního CERT oznamují na elektronickém formuláři zveřejněném na internetových stránkách provozovatele národního CERT zaslaném
§ 34 (3) Hlášení kontaktních údajů je možné zaslat i v listinné podobě, avšak pouze v případech, kdy nelze využít žádný ze způsobů uvedených v odstavcích 1 a 2.
§ 34 (4) Vzor oznámení kontaktních údajů je uveden v příloze č. 8 k této vyhlášce.
§ 34 (5) Povinná osoba uvedená v § 3 písm. c) až f) zákona, která je provozovatelem, dále k hlášení kontaktních údajů podle odstavce 1 přikládá dokument, kterým ji správce prokazatelně informuje podle § 8 odst. 1 písm. c).
§ 35 (1) V případě informačních systémů kritické informační infrastruktury a komunikačních systémů kritické informační infrastruktury, které byly určeny přede dnem nabytí účinnosti této vyhlášky, a v případě významných informačních systémů, u kterých došlo k naplnění určujících kritérií přede dnem nabytí účinnosti této vyhlášky, se do jednoho roku ode dne nabytí účinnosti této vyhlášky pro obsah a strukturu bezpečnostní dokumentace a obsah a rozsah zavedených bezpečnostních opatření použijí ustanovení vyhlášky č. 316/2014 Sb., o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních a o stanovení náležitostí podání v oblasti kybernetické bezpečnosti (vyhláška o kybernetické bezpečnosti).
§ 35 (2) V případě informačních systémů kritické informační infrastruktury a komunikačních systémů kritické informační infrastruktury, které byly určeny přede dnem nabytí účinnosti této vyhlášky, a v případě významných informačních systémů, u kterých došlo k naplnění určujících kritérií přede dnem nabytí účinnosti této vyhlášky, se do jednoho roku ode dne nabytí účinnosti této vyhlášky pro způsob likvidace dat, provozních údajů, informací a jejich kopií tato vyhláška nepoužije.
(3) Pro hodnocení rizik lze použít například tuto funkci: Riziko = dopad x hrozba x zranitelnost.
k) možné způsoby likvidace dat (například zničením nosiče, několikanásobným přepsáním nosiče dat, znečitelněním dat jejich šifrováním a podobně), 1) použitelné způsoby likvidace dat vzhledem ke stavu nosiče informace (například při poškození zařízení nebude možné použít variantu přepisu informace, ale některý ze způsobů fyzické likvidace).
í) Pravidla a postupy testování zálohování a obnovy.
[1] Směrnice Evropského parlamentu a Rady (EU) 2016/1148 ze dne 6. července 2016 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii.
Vyhláška č. 82/2018ze dne 21. května 2018 o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likv...
[+] ČÁST DRUHÁ BEZPEČNOSTNÍ OPATŘENÍ
§ 4 Řízení aktiv
§ 5 Řízení rizik
§ 6 Organizační bezpečnost
§ 7 Bezpečnostní role
§ 8 Řízení dodavatelů
§ 9 Bezpečnost lidských zdrojů
§ 11 Řízení změn
§ 12 Řízení přístupu
§ 13 Akvizice, vývoj a údržba
[+] HLAVA II TECHNICKÁ OPATŘENÍ
§ 17 Fyzická bezpečnost
§ 25 Aplikační bezpečnost
§ 26 Kryptografické prostředky
§ 29 Digitální služby
[+] HLAVA III BEZPEČNOSTNÍ POLITIKA A BEZPEČNOSTNÍ DOKUMENTACE
[+] ČÁST TŘETÍ KYBERNETICKÝ BEZPEČNOSTNÍ INCIDENT
[+] ČÁST ČTVRTÁ REAKTIVNÍ OPATŘENÍ A KONTAKTNÍ ÚDAJE
§ 33 Reaktivní opatření
§ 34 Kontaktní údaje
§ 36 Zrušovací ustanovení
Příloha č. 1 k vyhlášce č. 82/2018 Sb. Hodnocení aktiv
Příloha č. 2 k vyhlášce č. 82/2018 Sb. Hodnocení rizik
Příloha č. 3 k vyhlášce č. 82/2018 Sb. Zranitelnosti a hrozby
Příloha č. 4 k vyhlášce č. 82/2018 Sb. Likvidace dat
Příloha č. 5 k vyhlášce č. 82/2018 Sb. Obsah bezpečnostní politiky a bezpečnostní dokumentace
Příloha č. 6 k vyhlášce č. 82/2018 Sb. Výbor pro řízení kybernetické bezpečnosti a bezpečnostní role
Příloha č. 7 k vyhlášce č. 82/2018 Sb. Řízení dodavatelů - bezpečnostní opatření pro smluvní vztahy
Příloha č. 8 k vyhlášce č. 82/2018 Sb. Vzor Formuláře pro hlášení kontaktních údajů

References: § 4

§ 4

§ 5
 § 4

§ 5
 § 3
 § 3

§ 5

§ 6

§ 6

§ 6
 § 3

§ 6
 § 3

§ 6
 § 3

§ 6
 § 3

§ 6

§ 7

§ 7

§ 7

§ 7

§ 7

§ 8

§ 8

§ 8

§ 8
 § 3
 § 34

§ 9

§ 9

§ 10

§ 10

§ 10

§ 11

§ 11

§ 11
 § 3
 § 25

§ 11
 § 3

§ 12
 § 19

§ 12

§ 14

§ 14
 § 3
 § 24

§ 16

§ 16

§ 16

§ 16
 § 7

§ 16

§ 19

§ 19

§ 19

§ 19

§ 19

§ 19

§ 21
 § 3

§ 21
 § 3

§ 22

§ 22

§ 22
 § 3

§ 22
 § 3

§ 23

§ 23
 § 3

§ 25

§ 25

§ 29
 § 3
 § 3

§ 29
 § 3
 § 34

§ 29
 § 3
 § 32

§ 30

§ 30

§ 31

§ 31

§ 31

§ 31
 § 3

§ 32

§ 32

§ 32

§ 32

§ 33

§ 33

§ 34

§ 34

§ 34

§ 34

§ 34
 § 3
 § 8

§ 35

§ 35

§ 4

§ 5

§ 6

§ 7

§ 8

§ 9

§ 11

§ 12

§ 13

§ 17

§ 25

§ 26

§ 29

§ 33

§ 34

§ 36