Source: http://www.zakonycr.eu/clanek.asp?cl=10834
Timestamp: 2019-10-15 21:02:47+00:00

Document:
VYHLÁŠKA ze dne 15. prosince 2014 o bezpeènostních opatøeních, kybernetických bezpeènostních incidentech - zakonycr.eu
VYHLÁŠKA ze dne 15. prosince 2014 o bezpeènostních opatøeních, kybernetických bezpeènostních incidentech, reaktivních opatøeních a o stanovení náležitostí podání v oblasti kybernetické bezpeènosti (vyhláška o kybernetické bezpeènosti)
reaktivních opatøeních a o stanovení náležitostí podání v oblasti kybernetické bezpeènosti
(vyhláška o kybernetické bezpeènosti)
Národní bezpeènostní úøad stanoví podle § 28 odst. 2 zákona è. 181/2014 Sb., o kybernetické bezpeènosti a o zmìnì souvisejících zákonù (zákon o kybernetické bezpeènosti), (dále jen ÿzákonÿ) k provedení § 6 písm. a) až c), § 8 odst. 4, § 13 odst. 4 a § 16 odst. 6 zákona.
Touto vyhláškou se stanoví obsah a struktura bezpeènostní dokumentace pro informaèní systém kritické informaèní infrastruktury, komunikaèní systém kritické informaèní infrastruktury nebo významný informaèní systém, obsah bezpeènostních opatøení, rozsah jejich zavedení, typy a kategorie kybernetických bezpeènostních incidentù, náležitosti a zpùsob hlášení kybernetického bezpeènostního incidentu, náležitosti oznámení o provedení reaktivního opatøení a jeho výsledku a vzor oznámení kontaktních údajù a jeho formu.
a) systémem øízení bezpeènosti informací èást systému øízení orgánu a osoby uvedené v § 3 písm. c) až e) zákona založená na pøístupu k rizikùm informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního systému, která stanoví zpùsob ustavení, zavádìní, provoz, monitorování, pøezkoumání, udržování a zlepšování bezpeènosti informací,
b) aktivem primární aktivum a podpùrné aktivum,
c) primárním aktivem informace nebo služba, kterou zpracovává nebo poskytuje informaèní systém kritické informaèní infrastruktury, komunikaèní systém kritické informaèní infrastruktury nebo významný informaèní systém,
d) podpùrným aktivem technické aktivum, zamìstnanci a dodavatelé podílející se na provozu, rozvoji, správì nebo bezpeènosti informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního sy-stému,
e) technickým aktivem technické vybavení, komunikaèní prostøedky a programové vybavení informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního systému a objekty, ve kterých jsou tyto systémy umístìny,
f) rizikem možnost, že urèitá hrozba využije zranitelnosti informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního systému a zpùsobí poškození aktiva,
g) hodnocením rizik proces, pøi nìmž je urèována významnost rizik a jejich pøijatelná úroveò,
h) øízením rizik èinnost zahrnující hodnocení rizik, výbìr a zavedení opatøení ke zvládání rizik, sdílení informací o riziku a sledování a pøezkoumání rizik,
i) hrozbou potencionální pøíèina kybernetické bezpeènostní události nebo kybernetického bezpeènostního incidentu, jejímž výsledkem mùže být poškození aktiva,
j) zranitelností slabé místo aktiva nebo bezpeènostního opatøení, které mùže být zneužito jednou nebo více hrozbami,
k) pøijatelným rizikem riziko zbývající po uplatnìní bezpeènostních opatøení, jehož úroveò odpovídá kritériím pro pøijatelnost rizik,
l) bezpeènostní politikou soubor zásad a pravidel, které urèují zpùsob zajištìní ochrany aktiv orgánem a osobou uvedenou v § 3 písm. c) až e) zákona,
m) garantem aktiva fyzická osoba povìøená orgánem nebo osobou uvedenou v § 3 písm. c) až e) zákona k zajištìní rozvoje, použití a bezpeènosti aktiva,
n) uživatelem fyzická nebo právnická osoba anebo orgán veøejné moci, která využívá primární aktiva,
o) administrátorem fyzická osoba povìøená garantem aktiva zajiš�ující správu, provoz, použití, údržbu a bezpeènost technického aktiva.
ORGANIZAÈNÍ OPATØENÍ
Systém øízení bezpeènosti informací
(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona v rámci systému øízení bezpeènosti informací
a) stanoví s ohledem na aktiva a organizaèní bezpeènost rozsah a hranice systému øízení bezpeènosti informací, ve kterém urèí, kterých organizaèních èástí a technických prvkù se systém øízení bezpeènosti informací týká,
b) øídí rizika podle § 4 odst. 1,
c) vytvoøí a schválí bezpeènostní politiku v oblasti systému øízení bezpeènosti informací, která obsahuje hlavní zásady, cíle, bezpeènostní potøeby, práva a povinnosti ve vztahu k øízení bezpeènosti informací a na základì bezpeènostních potøeb a výsledkù hodnocení rizik stanoví bezpeènostní politiku v dalších oblastech podle § 5 a zavede pøíslušná bezpeènostní opatøení,
d) monitoruje úèinnost bezpeènostních opatøení,
e) vyhodnocuje vhodnost a úèinnost bezpeènostní politiky podle § 5,
f) zajistí provedení auditu kybernetické bezpeènosti podle § 15, a to nejménì jednou roènì,
g) zajistí vyhodnocení úèinnosti systému øízení bezpeènosti informací, které obsahuje hodnocení stavu systému øízení bezpeènosti informací vèetnì revize hodnocení rizik, posouzení výsledkù provedených kontrol a auditù kybernetické bezpeènosti a dopadù kybernetických bezpeènostních incidentù na systém øízení bezpeènosti informací, a to nejménì jednou roènì,
h) aktualizuje systém øízení bezpeènosti informací a pøíslušnou dokumentaci na základì zjištìní auditù kybernetické bezpeènosti, výsledkù vyhodnocení úèinnosti systému øízení bezpeènosti informací a v souvislosti s provádìnými nebo plánovanými zmìnami a
i) øídí provoz a zdroje systému øízení bezpeènosti informací, zaznamenává èinnosti spojené se systémem øízení bezpeènosti informací a øízením rizik.
(2) Orgán a osoba uvedená v § 3 písm. e) zákona v rámci systému øízení bezpeènosti informací
a) øídí rizika podle § 4 odst. 2,
b) vytvoøí a schválí bezpeènostní politiku v oblasti systému øízení bezpeènosti informací, která obsahuje hlavní zásady, cíle, bezpeènostní potøeby, práva a povinnosti ve vztahu k øízení bezpeènosti informací a na základì bezpeènostních potøeb a výsledkù hodnocení rizik stanoví bezpeènostní politiku v dalších oblastech podle § 5, a zavede pøíslušná bezpeènostní opatøení a
c) provádí aktualizaci zprávy o hodnocení aktiv a rizik, bezpeènostní politiky, plánu zvládání rizik a plánu rozvoje bezpeènostního povìdomí, a to nejménì jednou za tøi roky nebo v souvislosti s provádìnými nebo plánovanými zmìnami.
(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona v rámci øízení rizik
a) stanoví metodiku pro identifikaci a hodnocení aktiv a pro identifikaci a hodnocení rizik vèetnì stanovení kritérií pro pøijatelnost rizik,
b) identifikuje a hodnotí dùležitost aktiv, která patøí do rozsahu systému øízení bezpeènosti informací, podle § 8 v rozsahu pøílohy è. 1 k této vyhlášce a výstupy zapracuje do zprávy o hodnocení aktiv a rizik,
c) identifikuje rizika, pøi kterých zohlední hrozby a zranitelnosti, posoudí možné dopady na aktiva, hodnotí tato rizika minimálnì v rozsahu podle pøílohy è. 2 k této vyhlášce, urèí a schválí pøijatelná rizika a zpracuje zprávu o hodnocení aktiv a rizik,
d) zpracuje na základì bezpeènostních potøeb a výsledkù hodnocení rizik prohlášení o aplikovatelnosti, které obsahuje pøehled vybraných a zavedených bezpeènostních opatøení,
e) zpracuje a zavede plán zvládání rizik, který obsahuje cíle a pøínosy bezpeènostních opatøení pro zvládání rizik, urèení osoby zajiš�ující prosazování bezpeènostních opatøení pro zvládání rizik, potøebné finanèní, technické, lidské a informaèní zdroje, termín jejich zavedení a popis vazeb mezi riziky a pøíslušnými bezpeènostními opatøeními a
f) zohlední bez zbyteèného odkladu reaktivní a ochranná opatøení vydaná Národním bezpeènostním úøadem (dále jen ÿÚøadÿ) v hodnocení rizik a v pøípadì, že hodnocení rizik aktualizované o nové zranitelnosti spojené s realizací reaktivního nebo ochranného opatøení pøekroèí stanovená kritéria pro pøijatelnost rizik, doplní plán zvládání rizik.
(2) Orgán a osoba uvedená v § 3 písm. e) zákona v rámci øízení rizik
b) identifikuje a hodnotí dùležitost primárních aktiv, která patøí do rozsahu systému øízení bezpeènosti informací, podle § 8 minimálnì v rozsahu pøílohy è. 1 k této vyhlášce a výstupy zapracuje do zprávy o hodnocení aktiv a rizik,
c) identifikuje rizika, pøi kterých zohlední hrozby a zranitelnosti, posoudí možné dopady na primární aktiva, hodnotí tato rizika minimálnì v rozsahu podle pøílohy è. 2 k této vyhlášce a zpracuje zprávu o hodnocení aktiv a rizik,
e) zpracuje a zavede plán zvládání rizik, který obsahuje cíle a pøínosy bezpeènostních opatøení pro zvládání rizik, urèení osoby zajiš�ující prosazování bezpeènostních opatøení pro zvládání rizik, potøebné finanèní, technické, lidské a informaèní zdroje, termíny jejich zavedení a popis vazeb mezi identifikovanými riziky a pøíslušnými bezpeènostními opatøeními a
f) zohlední bez zbyteèného odkladu reaktivní a ochranná opatøení vydaná Úøadem v hodnocení rizik a v pøípadì, že hodnocení rizik aktualizované o nové zranitelnosti spojené s realizací reaktivního nebo ochranného opatøení pøekroèí stanovená kritéria pro pøijatelnost rizik, doplní plán zvládání rizik.
(3) Øízení rizik mùže být zajištìno i jinými zpùsoby, než jak je stanoveno v odstavcích 1 a 2, pokud orgán a osoba uvedená v § 3 písm. c) až e) zákona zabezpeèí, že používá opatøení zajiš�ující stejnou nebo vyšší úroveò øízení rizik.
(4) Orgán a osoba uvedená v § 3 písm. c) až e) zákona pøi hodnocení rizik zvažuje zejména tyto hrozby
a) porušení bezpeènostní politiky, provedení neoprávnìných èinností, zneužití oprávnìní ze strany uživatelù a administrátorù,
b) poškození nebo selhání technického anebo programového vybavení,
c) zneužití identity fyzické osoby,
d) užívání programového vybavení v rozporu s licenèními podmínkami,
e) kybernetický útok z komunikaèní sítì,
f) škodlivý kód (napøíklad viry, spyware, trojské konì),
g) nedostatky pøi poskytování služeb informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního systému,
h) narušení fyzické bezpeènosti,
i) pøerušení poskytování služeb elektronických komunikací nebo dodávek elektrické energie,
j) zneužití nebo neoprávnìná modifikace údajù,
k) trvale pùsobící hrozby a
l) odcizení nebo poškození aktiva.
(5) Orgán a osoba uvedená v § 3 písm. c) až e) zákona pøi hodnocení rizik zvažuje zejména tyto zranitelnosti
a) nedostateèná ochrana vnìjšího perimetru,
b) nedostateèné bezpeènostní povìdomí uživatelù a administrátorù,
c) nedostateèná údržba informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního systému,
d) nevhodné nastavení pøístupových oprávnìní,
e) nedostateèné postupy pøi identifikování a odhalení negativních bezpeènostních jevù, kybernetických bezpeènostních událostí a kybernetických bezpeènostních incidentù,
f) nedostateèné monitorování èinnosti uživatelù a administrátorù a neschopnost odhalit jejich nevhodné nebo závadné zpùsoby chování a
g) nedostateèné stanovení bezpeènostních pravidel, nepøesné nebo nejednoznaèné vymezení práv a povinností uživatelù, administrátorù a bezpeènostních rolí.
(6) Orgán a osoba uvedená v § 3 písm. c) a d) zákona pøi hodnocení rizik dále zvažuje tyto hrozby
a) porušení bezpeènostní politiky, provedení neoprávnìných èinností, zneužití oprávnìní ze strany administrátorù kritické informaèní infrastruktury,
b) pochybení ze strany zamìstnancù,
c) zneužití vnitøních prostøedkù, sabotáž,
d) dlouhodobé pøerušení poskytování služeb elektronických komunikací, dodávky elektrické energie nebo jiných dùležitých služeb,
e) nedostatek zamìstnancù s potøebnou odbornou úrovní,
f) cílený kybernetický útok pomocí sociálního inženýrství, použití špionážních technik a
g) zneužití vymìnitelných technických nosièù dat.
(7) Orgán a osoba uvedená v § 3 písm. c) a d) zákona pøi hodnocení rizik dále zvažuje tyto zranitelnosti
a) nedostateèná ochrana prostøedkù kritické informaèní infrastruktury,
b) nevhodná bezpeènostní architektura,
c) nedostateèná míra nezávislé kontroly a
d) neschopnost vèasného odhalení pochybení ze strany zamìstnancù.
Bezpeènostní politika
(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona stanoví bezpeènostní politiku v oblastech
a) systém øízení bezpeènosti informací,
b) organizaèní bezpeènost,
c) øízení vztahù s dodavateli,
e) bezpeènost lidských zdrojù,
f) øízení provozu a komunikací,
g) øízení pøístupu,
h) bezpeèné chování uživatelù,
j) bezpeèné pøedávání a výmìna informací,
k) øízení technických zranitelností,
l) bezpeèné používání mobilních zaøízení,
o) ochrana osobních údajù,
p) fyzická bezpeènost,
q) bezpeènost komunikaèní sítì,
r) ochrana pøed škodlivým kódem,
s) nasazení a používání nástroje pro detekci kybernetických bezpeènostních událostí,
t) využití a údržba nástroje pro sbìr a vyhodnocení kybernetických bezpeènostních událostí a
(2) Orgán a osoba uvedená v § 3 písm. e) zákona stanoví bezpeènostní politiku v oblastech
c) øízení dodavatelù,
j) poskytování a nabývání licencí programového vybavení a informací,
k) ochrana osobních údajù,
l) používání kryptografické ochrany,
m) ochrana pøed škodlivým kódem a
n) nasazení a používání nástroje pro detekci kybernetických bezpeènostních událostí.
(3) Orgán a osoba uvedená v § 3 písm. c) až e) zákona pravidelnì hodnotí úèinnost bezpeènostní politiky a aktualizuje ji.
Organizaèní bezpeènost
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona zavede organizaci øízení bezpeènosti informací, v rámci které urèí výbor pro øízení kybernetické bezpeènosti a bezpeènostní role a jejich práva a povinnosti související s informaèním systémem kritické informaèní infrastruktury, komunikaèním systémem kritické informaèní infrastruktury nebo významným informaèním systémem.
(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona urèí bezpeènostní role
a) manažer kybernetické bezpeènosti,
b) architekt kybernetické bezpeènosti,
c) auditor kybernetické bezpeènosti a
d) garant aktiva podle § 2 písm. m).
(3) Orgán a osoba uvedená v § 3 písm. e) urèí bezpeènostní role pøimìøenì podle odstavce 2.
(4) Manažer kybernetické bezpeènosti je osoba, odpovìdná za systém øízení bezpeènosti informací, která je pro tuto èinnost vyškolena a prokáže odbornou zpùsobilost praxí s øízením bezpeènosti informací po dobu nejménì tøí let.
(5) Architekt kybernetické bezpeènosti je osoba zajiš�ující návrh a implementaci bezpeènostních opatøení, která je pro tuto èinnost vyškolena a prokáže odbornou zpùsobilost praxí s navrhováním bezpeènostní architektury po dobu nejménì tøí let.
(6) Auditor kybernetické bezpeènosti je osoba provádìjící audit kybernetické bezpeènosti, která je pro tuto èinnost vyškolena a prokáže odbornou zpùsobilost praxí s provádìním auditù kybernetické bezpeènosti po dobu nejménì tøí let. Auditor kybernetické bezpeènosti vykonává svoji roli nestrannì a výkon jeho role je oddìlen od výkonu rolí uvedených v odstavci 2 písm. a), b) nebo d).
(7) Výbor pro øízení kybernetické bezpeènosti je organizovaná skupina tvoøená osobami, které jsou povìøeny celkovým øízením a rozvojem informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního systému, anebo se významnì podílejí na øízení a koordinaci èinností spojených s kybernetickou bezpeèností tìchto systémù.
(8) Orgán a osoba uvedená v § 3 písm. c) až e) zákona zajistí odborné školení osob, které zastávají bezpeènostní role v souladu s plánem rozvoje bezpeènostního povìdomí podle § 9 odst. 1 písm. b).
Stanovení bezpeènostních požadavkù pro dodavatele
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona zavede pravidla pro dodavatele, která zohledòují potøeby øízení bezpeènosti informací, a zohlední je u dodavatelù nebo jiných osob, které se podílejí na rozvoji, provozu nebo zajištìní bezpeènosti informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního systému. Rozsah zapojení dodavatelù na rozvoji, provozu nebo zajištìní bezpeènosti informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního systému prokazatelnì dokumentuje orgán a osoba uvedená v § 3 písm. c) až e) zákona smlouvou, jejíž souèástí je ustanovení o bezpeènosti informací.
(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona u dodavatelù uvedených v odstavci 1 dále
a) pøed uzavøením smlouvy provádí hodnocení rizik podle pøílohy è. 2 k této vyhlášce, která jsou spojena s podstatnými dodávkami,
b) uzavírá smlouvu o úrovni služeb, která stanoví zpùsoby a úrovnì realizace bezpeènostních opatøení a urèí vztah vzájemné smluvní odpovìdnosti za zavedení a kontrolu bezpeènostních opatøení, a
c) provádí pravidelné hodnocení rizik a pravidelnou kontrolu zavedených bezpeènostních opatøení u poskytovaných služeb a zjištìné ne- dostatky odstraòuje nebo po dohodì s dodavatelem zajistí jejich odstranìní.
Øízení aktiv
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v rámci øízení aktiv
a) identifikuje a eviduje primární aktiva,
b) urèí garanty aktiv, kteøí jsou odpovìdní za primární aktiva, a
c) hodnotí dùležitost primárních aktiv z hlediska dùvìrnosti, integrity a dostupnosti a zaøadí je do jednotlivých úrovní minimálnì v rozsahu podle pøílohy è. 1 k této vyhlášce.
(2) Pøi hodnocení dùležitosti primárních aktiv je tøeba pøedevším posoudit
a) rozsah a dùležitost osobních údajù nebo obchodního tajemství,
b) rozsah dotèených právních povinností nebo jiných závazkù,
c) rozsah narušení vnitøních øídících a kontrolních èinností,
d) poškození veøejných, obchodních nebo ekonomických zájmù,
e) možné finanèní ztráty,
f) rozsah narušení bìžných èinností orgánu a osoby uvedené v § 3 písm. c) až e) zákona,
g) dopady spojené s narušením dùvìrnosti, integrity a dostupnosti a
h) dopady na zachování dobrého jména nebo ochranu dobré povìsti.
(3) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále
a) identifikuje a eviduje podpùrná aktiva,
b) urèí garanty aktiv, kteøí jsou odpovìdní za podpùrná aktiva, a
c) urèí vazby mezi primárními a podpùrnými aktivy a hodnotí dùsledky závislostí mezi primárními a podpùrnými aktivy.
(4) Orgán a osoba uvedená v § 3 písm. c) až e) zákona dále
a) stanoví pravidla ochrany, nutná pro zabezpeèení jednotlivých úrovní aktiv tím, že
1. urèí zpùsoby rozlišování jednotlivých úrovní aktiv,
2. stanoví pravidla pro manipulaci a evidenci s aktivy podle úrovní aktiv, vèetnì pravidel pro bezpeèné elektronické sdílení a fyzické pøenášení aktiv a
3. stanoví pøípustné zpùsoby používání aktiv,
b) zavede pravidla ochrany odpovídající úrovni aktiv a
c) urèí zpùsoby pro spolehlivé smazání nebo nièení technických nosièù dat s ohledem na úroveò aktiv.
Bezpeènost lidských zdrojù
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v rámci øízení bezpeènosti lidských zdrojù
a) stanoví plán rozvoje bezpeènostního povìdomí, který obsahuje formu, obsah a rozsah potøebných školení a urèí osoby provádìjící realizaci jednotlivých èinností, které jsou v plánu uvedeny,
b) v souladu s plánem rozvoje bezpeènostního povìdomí zajistí pouèení uživatelù, administrátorù a osob zastávajících bezpeènostní role o jejich povinnostech a o bezpeènostní politice formou vstupních a pravidelných školení,
c) zajistí kontrolu dodržování bezpeènostní politiky ze strany uživatelù, administrátorù a osob zastávajících bezpeènostní role a
d) zajistí vrácení svìøených aktiv a odebrání pøístupových oprávnìní pøi ukonèení smluvního vztahu s uživateli, administrátory nebo osobami zastávajícími bezpeènostní role.
(2) Orgán a osoba uvedená v § 3 písm. c) až e) zákona vede o školení podle odstavce 1 pøehledy, které obsahují pøedmìt školení a seznam osob, které školení absolvovaly.
a) stanoví pravidla pro urèení osob, které budou zastávat bezpeènostní role, role administrátorù nebo uživatelù,
b) hodnotí úèinnost plánu rozvoje bezpeènostního povìdomí, provedených školení a dalších èinností spojených s prohlubováním bezpeènostního povìdomí,
c) urèí pravidla a postupy pro øešení pøípadù porušení stanovených bezpeènostních pravidel ze strany uživatelù, administrátorù a osob zastávajících bezpeènostní role a
d) zajistí zmìnu pøístupových oprávnìní pøi zmìnì postavení uživatelù, administrátorù nebo osob zastávajících bezpeènostní role.
Øízení provozu a komunikací
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v rámci øízení provozu a komunikací pomocí technických nástrojù uvedených v § 21 až 23 detekuje kybernetické bezpeènostní události, pravidelnì vyhodnocuje získané informace a na zjištìné nedos-tatky reaguje v souladu s § 13.
(2) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v rámci øízení provozu a komunikací dále zajiš�uje bezpeèný provoz informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury a významného informaèního systému. Za tímto úèelem stanoví provozní pravidla a postupy.
(3) Provozní pravidla a postupy orgánu a osoby uvedené v § 3 písm. c) a d) zákona obsahují
a) práva a povinnosti osob zastávajících bezpeènostní role, administrátorù a uživatelù,
b) postupy pro spuštìní a ukonèení chodu systému, pro restart nebo obnovení chodu systému po selhání a pro ošetøení chybových stavù nebo mimoøádných jevù,
c) postupy pro sledování kybernetických bezpeènostních událostí a pro ochranu pøístupu k záznamùm o tìchto èinnostech,
d) spojení na kontaktní osoby, které jsou urèeny jako podpora pøi øešení neoèekávaných systémových nebo technických potíží,
e) postupy øízení a schvalování provozních zmìn a
f) postupy pro sledování, plánování a øízení kapacity lidských a technických zdrojù.
(4) Øízení provozu orgánu a osoby uvedené v § 3 písm. c) až e) zákona spoèívá v provádìní pravidelného zálohování a provìøování použitelnosti provedených záloh.
(5) Øízení provozu orgánu a osoby uvedené v § 3 písm. c) a d) zákona spoèívá v
a) zajištìní oddìlení vývojového, testovacího a produkèního prostøedí,
b) øešení reaktivních opatøení vydaných Úøadem tím, že orgán a osoba uvedená v § 3 písm. c) a d) zákona
1. posoudí oèekávané dopady reaktivního opatøení na informaèní systém kritické informaèní infrastruktury nebo komunikaèní systém kritické informaèní infrastruktury a na zavedená bezpeènostní opatøení, vyhodnotí možné negativní úèinky a bez zbyteèného odkladu je oznámí Úøadu a
2. stanoví zpùsob rychlého provedení reaktivního opatøení, který minimalizuje možné negativní úèinky, a urèí èasový plán jeho provedení.
(6) Orgán a osoba uvedená v § 3 písm. c) a d) zákona v rámci øízení komunikací
a) zajiš�uje bezpeènost a integritu komunikaèních sítí a bezpeènost komunikaèních služeb podle § 17,
b) urèí pravidla a postupy pro ochranu informací, které jsou pøenášeny komunikaèními sítìmi,
c) provádí výmìnu a pøedávání informací na základì pravidel stanovených právními pøedpisy za souèasného zajištìní bezpeènosti informací a tato pravidla dokumentuje a
d) s ohledem na klasifikaci aktiv provádí výmìnu a pøedávání informací na základì písemných smluv, jejíchž souèástí je ustanovení o bezpeènosti informací.
Øízení pøístupu a bezpeèné chování uživatelù
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona na základì provozních a bezpeènostních potøeb øídí pøístup k informaènímu systému kritické informaèní infrastruktury, komunikaènímu systému kritické informaèní infrastruktury a významnému informaènímu systému a pøidìlí každému uživateli jednoznaèný identifikátor.
(2) Orgán a osoba uvedená v § 3 písm. c) až e) zákona pøijme opatøení, která slouží k zajištìní ochrany údajù, které jsou používány pro pøihlášení uživatelù a administrátorù informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury a významného informaèního systému podle § 18 a 19, a která brání ve zneužití tìchto údajù neoprávnìnou osobou.
(3) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále v rámci øízení pøístupu
a) pøidìlí pøistupujícím aplikacím samostatný identifikátor,
b) omezí pøidìlování administrátorských oprávnìní,
c) pøidìluje a odebírá pøístupová oprávnìní v souladu s politikou øízení pøístupu,
d) provádí pravidelné pøezkoumání nastavení pøístupových oprávnìní vèetnì rozdìlení jednotlivých uživatelù v pøístupových skupinách nebo rolích,
e) využívá nástroj pro ovìøování identity uživatelù podle § 18 a nástroj pro øízení pøístupových oprávnìní podle § 19 a
f) zavede bezpeènostní opatøení potøebná pro bezpeèné používání mobilních zaøízení, pøípadnì i bezpeènostní opatøení spojená s využitím technických zaøízení, kterými orgán a osoba uvedená v § 3 písm. c) a d) zákona nedisponuje.
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona stanoví bezpeènostní požadavky na zmìny informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního systému spojené s jejich akvizicí, vývojem a údržbou a zahrne je do projektu akvizice, vývoje a údržby systému.
(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále
a) identifikuje, hodnotí a øídí rizika související s akvizicí, vývojem a údržbou informaèního systému kritické informaèní infrastruktury nebo komunikaèního systému kritické informaèní infrastruktury; pro postupy hodnocení a øízení rizik se metodiky podle § 4 odst. 1 písm. a) použijí obdobnì,
b) zajistí bezpeènost vývojového prostøedí a zajistí ochranu používaných testovacích dat a
c) provádí bezpeènostní testování zmìn informaèního systému kritické informaèní infrastruktury nebo komunikaèního systému kritické informaèní infrastruktury pøed jejich zavedením do provozu.
Zvládání kybernetických bezpeènostních událostí a incidentù
Orgán a osoba uvedená v § 3 písm. c) až e) zákona pøi zvládání kybernetických událostí a incidentù
a) pøijme nezbytná opatøení, která zajistí oznamování kybernetických bezpeènostních událostí u informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury a významného informaèního systému ze strany uživatelù, administrátorù a osob zastávajících bezpeènostní role a o oznámeních vede záznamy,
b) pøipraví prostøedí pro vyhodnocení oznámených kybernetických bezpeènostních událostí a kybernetických bezpeènostních událostí detekovaných technickými nástroji podle § 21 až 23, provádí jejich vyhodnocení a identifikuje kybernetické bezpeènostní incidenty,
c) provádí klasifikaci kybernetických bezpeènostních incidentù, pøijímá opatøení pro odvrácení a zmírnìní dopadu kybernetického bezpeènostního incidentu, provádí hlášení kybernetického bezpeènostního incidentu podle § 32 a zajistí sbìr vìrohodných podkladù potøebných pro analýzu kybernetického bezpeènostního incidentu,
d) prošetøí a urèí pøíèiny kybernetického bezpeènostního incidentu, vyhodnotí úèinnost øešení kybernetického bezpeènostního incidentu a na základì vyhodnocení stanoví nutná bezpeènostní opatøení k zamezení opakování øešeného kybernetického bezpeènostního incidentu a
e) dokumentuje zvládání kybernetických bezpeènostních incidentù.
Øízení kontinuity èinností
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v rámci øízení kontinuity èinností stanoví
a) práva a povinnosti garantù aktiv, administrátorù a osob zastávajících bezpeènostní role,
b) cíle øízení kontinuity èinností formou urèení
1. minimální úrovnì poskytovaných služeb, která je pøijatelná pro užívání, provoz a správu informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního systému,
2. doby obnovení chodu, bìhem které bude po kybernetickém bezpeènostním incidentu obnovena minimální úroveò poskytovaných služeb informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního systému, a
3. dobu obnovení dat jako termínu, ke kterému budou obnovena data po kybernetickém bezpeènostním incidentu, a
c) strategii øízení kontinuity èinností, která obsahuje naplnìní cílù podle písmene b).
a) vyhodnotí a dokumentuje možné dopady kybernetických bezpeènostních incidentù a posoudí možná rizika související s ohrožením kontinuity èinností,
b) stanoví, aktualizuje a pravidelnì testuje plány kontinuity èinností informaèního systému kritické informaèní infrastruktury a komunikaèního systému kritické informaèní infrastruktury,
c) realizuje opatøení pro zvýšení odolnosti informaèního systému kritické informaèní infrastruktury a komunikaèního systému kritické informaèní infrastruktury vùèi kybernetickému bezpeènostnímu incidentu a využívá nástroj pro zajiš�ování úrovnì dostupnosti podle § 26 a
d) stanoví a aktualizuje postupy pro provedení opatøení vydaných Úøadem podle § 13 a 14 zákona, ve kterých zohlední
1. výsledky hodnocení rizik provedení opatøení,
2. stav dotèených bezpeènostních opatøení a
3. vyhodnocení pøípadných negativních dopadù na provoz a bezpeènost informaèního systému kritické informaèní infrastruktury nebo komunikaèního systému kritické informaèní infrastruktury.
Kontrola a audit kritické informaèní infrastruktury a významných informaèních systémù
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v rámci kontroly a auditu kritické informaèní infrastruktury a významných informaèních systémù (dále jen ÿaudit kybernetické bezpeènostiÿ)
a) posuzuje soulad bezpeènostních opatøení s právními pøedpisy, vnitøními pøedpisy, jinými pøedpisy a smluvními závazky vztahujícími se k informaènímu systému kritické informaèní infrastruktury, komunikaènímu systému kritické informaèní infrastruktury a významnému informaènímu systému a urèí opatøení pro jeho prosazování a
b) provádí a dokumentuje pravidelné kontroly dodržování bezpeènostní politiky a výsledky tìchto kontrol zohlední v plánu rozvoje bezpeènostního povìdomí a plánu zvládání rizik.
(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona zajiš�uje provedení auditu kybernetické bezpeènosti osobou s odbornou kvalifikací podle § 6 odst. 6, která hodnotí správnost a úèinnost zavedených bezpeènostních opatøení.
(3) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále pro informaèní systém kritické informaèní infrastruktury a komunikaèní systém kritické informaèní infrastruktury provádí kontrolu zranitelnosti technických prostøedkù pomocí automatizovaných nástrojù a jejich odborné vyhodnocení a reaguje na zjištìné zranitelnosti.
TECHNICKÁ OPATØENÍ
Fyzická bezpeènost
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v rámci fyzické bezpeènosti
a) pøijme nezbytná opatøení k zamezení neoprávnìnému vstupu do vymezených prostor, kde jsou zpracovávány informace a umístìna technická aktiva informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního systému,
b) pøijme nezbytná opatøení k zamezení poškození a zásahùm do vymezených prostor, kde jsou uchovány informace a umístìna technická aktiva informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního systému, a
c) pøedchází poškození, krádeži nebo zneužití aktiv nebo pøerušení poskytování služeb informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního systému.
(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále uplatòuje prostøedky fyzické bezpeènosti
a) pro zajištìní ochrany na úrovni objektù a
b) pro zajištìní ochrany v rámci objektù zajištìním zvýšené bezpeènosti vymezených prostor, ve kterých jsou umístìna technická aktiva informaèního systému kritické informaèní infrastruktury nebo komunikaèního systému kritické informaèní infrastruktury.
(3) Prostøedky fyzické bezpeènosti jsou zejména
a) mechanické zábranné prostøedky,
b) zaøízení elektrické zabezpeèovací signalizace,
c) prostøedky omezující pùsobení požárù,
d) prostøedky omezující pùsobení projevù živelních událostí,
g) zaøízení pro zajištìní ochrany pøed selháním dodávky elektrického napájení a
h) zaøízení pro zajištìní optimálních provozních podmínek.
Nástroj pro ochranu integrity komunikaèních sítí
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona pro ochranu integrity rozhraní vnìjší komunikaèní sítì, která není pod správou orgánu nebo osoby, a vnitøní komunikaèní sítì, která je pod správou orgánu nebo osoby, zavede
a) øízení bezpeèného pøístupu mezi vnìjší a vnitøní sítí,
b) segmentaci zejména použitím demilitarizovaných zón jako speciálního typu sítì používaného ke zvýšení bezpeènosti aplikací dostupných z vnìjší sítì a k zamezení pøímé komunikace vnitøní sítì s vnìjší sítí,
c) kryptografické prostøedky (§ 25) pro vzdálený pøístup, vzdálenou správu nebo pro pøístup pomocí bezdrátových technologií a
d) opatøení pro odstranìní nebo blokování pøenášených dat, které neodpovídají požadavkùm na ochranu integrity komunikaèní sítì.
(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále využívá nástroje pro ochranu integrity vnitøní komunikaèní sítì, které zajistí její segmentaci.
Nástroj pro ovìøování identity uživatelù
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona používá nástroje pro ovìøení identity uživatelù a administrátorù informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury a významného informaèního systému.
(2) Nástroj pro ovìøování identity uživatelù a administrátorù zajiš�uje ovìøení identity uživatelù a administrátorù pøed zahájením jejich aktivit v informaèním systému kritické informaèní infrastruktury, komunikaèním systému kritické informaèní infrastruktury a významném informaèním systému.
(3) Nástroj pro ovìøování identity uživatelù, který používá autentizaci pouze heslem, zajiš�uje
a) minimální délku hesla osm znakù,
b) minimální složitost hesla tak, že heslo bude obsahovat alespoò 3 z následujících ètyø požadavkù
1. nejménì jedno velké písmeno,
2. nejménì jedno malé písmeno,
3. nejménì jednu èíslici, nebo
4. nejménì jeden speciální znak odlišný od požadavkù uvedených v bodech 1 až 3,
c)maximální dobu pro povinnou výmìnu hesla nepøesahující sto dnù; tento požadavek není vyžadován pro samostatné identifikátory aplikací.
(4) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále
a) používá nástroj pro ovìøení identity, který
1. zamezí opìtovnému používání døíve používaných hesel a neumožní více zmìn hesla jednoho uživatele bìhem stanoveného období, které musí být nejménì 24 hodin, a
2. provádí opìtovné ovìøení identity po urèené dobì neèinnosti a
b)využívá nástroj pro ovìøování identity administrátorù. V pøípadì, že tento nástroj využívá autentizaci heslem, zajistí prosazení minimální délky hesla patnáct znakù pøi dodržení požadavkù podle odstavce 3 písm. b) a c).
(5) Nástroj pro ovìøování identity uživatelù mùže být zajištìn i jinými zpùsoby, než jaké jsou stanoveny v odstavcích 3 až 5, pokud orgán a osoba uvedená v § 3 písm. c) až e) zákona zabezpeèí, že používá opatøení zajiš�ující stejnou nebo vyšší úroveò odolnosti hesla.
Nástroj pro øízení pøístupových oprávnìní
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona používá nástroj pro øízení pøístupových oprávnìní, kterým zajistí øízení oprávnìní
a) pro pøístup k jednotlivým aplikacím a datùm a
b) pro ètení dat, pro zápis dat a pro zmìnu oprávnìní.
(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále používá nástroj pro øízení pøístupových oprávnìní, který zaznamenává použití pøístupových oprávnìní v souladu s bezpeènostními potøebami a výsledky hodnocení rizik.
Nástroj pro ochranu pøed škodlivým kódem
Orgán a osoba uvedená v § 3 písm. c) až e) zákona pro øízení rizik spojených s pùsobením škodlivého kódu používá nástroj pro ochranu informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury a významného informaèního systému pøed škodlivým kódem, který zajistí ovìøení a stálou kontrolu
a) komunikace mezi vnitøní sítí a vnìjší sítí,
b) serverù a sdílených datových úložiš� a
c) pracovních stanic,
pøièemž provádí pravidelnou a úèinnou aktualizaci nástroje pro ochranu pøed škodlivým kódem, jeho definic a signatur.
Nástroj pro zaznamenávání èinností kritické informaèní infrastruktury a významných informaèních systémù, jejich uživatelù a administrátorù
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona používá nástroj pro zaznamenávání èinností informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury a významného informaèního systému, který zajistí
a) sbìr informací o provozních a bezpeènostních èinnostech, zejména typ èinnosti, datum a èas, identifikaci technického aktiva, které èinnost zaznamenalo, identifikaci pùvodce a místa èinnosti a úspìšnost nebo neúspìšnost èinnosti a
b) ochranu získaných informací pøed neoprávnìným ètením nebo zmìnou.
(2) Orgán a osoba uvedená v § 3 písm. c) až e) zákona dále pomocí nástroje pro zaznamenávání èinnosti informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury a významného informaèního systému zaznamenává
a) pøihlášení a odhlášení uživatelù a administrátorù,
b) èinnosti provedené administrátory,
c) èinnosti vedoucí ke zmìnì pøístupových oprávnìní,
d) neprovedení èinností v dùsledku nedostatku pøístupových oprávnìní a další neúspìšné èinnosti uživatelù,
e) zahájení a ukonèení èinností technických aktiv informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury a významného informaèního systému,
f) automatická varovná nebo chybová hlášení technických aktiv,
g) pøístupy k záznamùm o èinnostech, pokusy o manipulaci se záznamy o èinnostech a zmìny nastavení nástroje pro zaznamenávání èinností a
h) použití mechanismù identifikace a autentizace vèetnì zmìny údajù, které slouží k pøihlášení.
(3) Orgán a osoba uvedená v § 3 písm. c) a d) zákona záznamy èinností zaznamenané podle odstavce 2 uchovává nejménì po dobu 3 mìsícù.
(4) Orgán a osoba uvedená v § 3 písm. c) až e) zákona zajiš�uje nejménì jednou za 24 hodin syn-chronizaci jednotného systémového èasu technických aktiv patøících do informaèního systému kritické informaèní infrastruktury, komunikaèního systému kritické informaèní infrastruktury nebo významného informaèního systému.
Nástroj pro detekci kybernetických bezpeènostních událostí
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona používá nástroj pro detekci kybernetických bezpeènostních událostí, který vychází ze stanovených bezpeènostních potøeb a výsledkù hodnocení rizik a který zajistí ovìøení, kontrolu a pøípadnì zablokování komunikace mezi vnitøní komunikaèní sítí a vnìjší sítí.
(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále používá nástroj pro detekci kybernetických bezpeènostních událostí, které zajistí ovìøení, kontrolu a pøípadnì zablokování komunikace
a) v rámci vnitøní komunikaèní sítì a
b) serverù patøících do informaèního systému kritické informaèní infrastruktury a komunikaèního systému kritické informaèní infrastruktury.
Nástroj pro sbìr a vyhodnocení kybernetických bezpeènostních událostí
(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona používá nástroj pro sbìr a prùbìžné vyhodnocení kybernetických bezpeènostních událostí, který v souladu s bezpeènostními potøebami a výsledky hodnocení rizik zajistí
a) integrovaný sbìr a vyhodnocení kybernetických bezpeènostních událostí z informaèního systému kritické informaèní infrastruktury a komunikaèního systému kritické informaèní infrastruktury,
b) poskytování informací pro urèené bezpeènostní role o detekovaných kybernetických bezpeènostních událostech v informaèním systému kritické informaèní infrastruktury nebo komunikaèním systému kritické informaèní infrastruktury a
c) nepøetržité vyhodnocování kybernetických bezpeènostních událostí s cílem identifikace kybernetických bezpeènostních incidentù, vèetnì vèasného varování urèených bezpeènostních rolí.
(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále zajistí
a) pravidelnou aktualizaci nastavení pravidel pro vyhodnocování kybernetických bezpeènostních událostí a vèasné varování, aby byly omezovány pøípady nesprávného vyhodnocení událostí nebo pøípady falešných varování, a
b) využívání informací, které jsou pøipraveny nástrojem pro sbìr a vyhodnocení kybernetických bezpeènostních událostí, pro optimální nastavení bezpeènostních opatøení informaèního sy-stému kritické informaèní infrastruktury a komunikaèního systému kritické informaèní infrastruktury.
Aplikaèní bezpeènost
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona provádí bezpeènostní testy zranitelnosti aplikací, které jsou pøístupné z vnìjší sítì, a to pøed jejich uvedením do provozu a po každé zásadní zmìnì bezpeènostních mechanismù.
(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona dále v rámci aplikaèní bezpeènosti zajistí trvalou ochranu
a) aplikací a informací dostupných z vnìjší sítì pøed neoprávnìnou èinností, popøením provedených èinností, kompromitací nebo neautorizovanou zmìnou a
b) transakcí pøed jejich nedokonèením, nesprávným smìrováním, neautorizovanou zmìnou pøedávaného datového obsahu, kompromitací, neautorizovaným duplikováním nebo opakováním.
Kryptografické prostøedky
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona
a) pro používání kryptografické ochrany stanoví
1. úroveò ochrany s ohledem na typ a sílu kryptografického algoritmu a
2. pravidla kryptografické ochrany informací pøi pøenosu po komunikaèních sítích nebo pøi uložení na mobilní zaøízení nebo vymìnitelné technické nosièe dat a
b) v souladu s bezpeènostními potøebami a výsledky hodnocení rizik používá kryptografické prostøedky, které zajistí ochranu dùvìrnosti a integrity pøedávaných nebo ukládaných dat a prùkaznou identifikaci osoby za provedené èinnosti.
a) stanoví pro používání kryptografických prostøedkù systém správy klíèù, který zajistí generování, distribuci, ukládání, archivaci, zmìny, nièení, kontrolu a audit klíèù, a
b) používá odolné kryptografické algoritmy a kryptografické klíèe; v pøípadì nesouladu s minimálními požadavky na kryptografické algoritmy uvedenými v pøíloze è. 3 k této vyhlášce øídí rizika spojená s tímto nesouladem.
Nástroj pro zajiš�ování úrovnì dostupnosti
(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona v souladu s bezpeènostními potøebami a výsledky hodnocení rizik používá nástroj pro zajiš�ování úrovnì dostupnosti informací.
(2) Orgán a osoba uvedená v § 3 písm. c) a d) zákona používá nástroj pro zajiš�ování úrovnì dostupnosti informací, který zajistí
a) dostupnost informaèního systému kritické informaèní infrastruktury a komunikaèního sy-stému kritické informaèní infrastruktury pro splnìní cílù øízení kontinuity èinností,
b) odolnost informaèního systému kritické informaèní infrastruktury a komunikaèního systému kritické informaèní infrastruktury vùèi kybernetickým bezpeènostním incidentùm, které by mohly snížit dostupnost, a
c) zálohování dùležitých technických aktiv informaèního systému kritické informaèní infrastruktury a komunikaèního systému kritické informaèní infrastruktury
1. využitím redundance v návrhu øešení a
2. zajištìním náhradních technických aktiv v urèeném èase.
Bezpeènost prùmyslových a øídicích systémù
Orgán a osoba uvedená v § 3 písm. c) a d) zákona pro bezpeènost prùmyslových a øídicích systémù, které jsou informaèním systémem kritické informaèní infrastruktury nebo komunikaèním systémem kritické informaèní infrastruktury anebo jsou jejich souèástí, používá nástroje, které zajistí
a) omezení fyzického pøístupu k síti a zaøízením prùmyslových a øídicích systémù,
b) omezení propojení a vzdáleného pøístupu k síti prùmyslových a øídicích systémù,
c) ochranu jednotlivých technických aktiv prùmyslových a øídicích systémù pøed využitím známých zranitelností a
d) obnovení chodu prùmyslových a øídicích systémù po kybernetickém bezpeènostním incidentu.
BEZPEÈNOSTNÍ DOKUMENTACE
(1) Orgán a osoba uvedená v § 3 písm. c) a d) zákona vede a aktualizuje bezpeènostní dokumentaci, která obsahuje
a) bezpeènostní politiku podle § 5 odst. 1,
b) zprávy z auditu kybernetické bezpeènosti podle § 3 odst. 1 písm. f),
c) zprávy z pøezkoumání systému øízení bezpeènosti informací podle § 3 odst. 1 písm. g),
d) metodiku pro identifikaci a hodnocení aktiv a pro identifikaci a hodnocení rizik,
e) zprávu o hodnocení aktiv a rizik,
f) prohlášení o aplikovatelnosti,
g) plán zvládání rizik,
h) plán rozvoje bezpeènostního povìdomí podle § 9 odst. 1 písm. a),
i) zvládání kybernetických bezpeènostních incidentù podle § 13 písm. e),
j) strategii øízení kontinuity èinností podle § 14 odst. 1 písm. c) a
k) pøehled právních pøedpisù, vnitøních pøedpisù a jiných pøedpisù a smluvních závazkù podle § 15 odst. 1 písm. a).
(2) Orgán a osoba uvedená v § 3 písm. e) zákona vede a aktualizuje bezpeènostní dokumentaci, která obsahuje
a) bezpeènostní politiku podle § 5 odst. 2,
b) metodiku pro identifikaci a hodnocení aktiv a pro identifikaci a hodnocení rizik podle § 4 odst. 2 písm. a),
c) zprávu o hodnocení aktiv a rizik podle § 4 odst. 2 písm. b) a c),
d) prohlášení o aplikovatelnosti podle § 4 odst. 2 písm. d),
e) plán zvládání rizik podle § 4 odst. 2 písm. e),
f) plán rozvoje bezpeènostního povìdomí podle § 9 odst. 1 písm. a),
g) zvládání kybernetických bezpeènostních incidentù podle § 13 písm. e),
h) strategii øízení kontinuity èinností podle § 14 odst. 1 písm. c) a
i) pøehled právních pøedpisù, vnitøních pøedpisù a jiných pøedpisù a smluvních závazkù podle § 15 odst. 1 písm. a).
(3) Orgán a osoba uvedená v § 3 písm. c) až e) zákona vede bezpeènostní dokumentaci tak, aby záznamy o provedených èinnostech byly úplné, èitelné, snadno identifikovatelné a aby se daly snadno vyhledat. Opatøení potøebná k identifikaci, uložení, ochranì, vyhledání, dobì platnosti a uspoøádání záznamù o provedených èinnostech dokumentuje.
(4) Doporuèená struktura bezpeènostní dokumentace je stanovena v pøíloze è. 4 k této vyhlášce.
Prokázání certifikace
Orgán a osoba uvedená v § 3 písm. c) až e) zákona, jejíž informaèní systém kritické informaèní infrastruktury, komunikaèní systém kritické informaèní infrastruktury nebo významný informaèní systém je zcela zahrnut do rozsahu systému øízení bezpeènosti informací, který byl certifikován podle pøíslušné technické normy1) akreditovaným certifikaèním orgánem, a která vede dokumenty obsahující
a) popis rozsahu systému øízení bezpeènosti informací,
b) prohlášení politiky a cílù systému øízení bezpeènosti informací,
c) popis použité metody hodnocení rizik a zprávu o hodnocení rizik,
d) prohlášení o aplikovatelnosti,
e) certifikát systému øízení bezpeènosti informací splòující požadavky pøíslušné technické normy zabývající se bezpeèností informací1),
f) záznam o pøezkoumání systému øízení bezpeènosti informací vèetnì souvisejících vstupù a výstupù pøezkoumání a
g) zprávu z auditù provedených certifikaèním orgánem vèetnì pøíslušných záznamù o nápravì zjištìných neshod s pøíslušnou normou,
splòuje požadavky na zavedení bezpeènostních opatøení podle zákona a této vyhlášky.
a) kybernetický bezpeènostní incident zpùsobený kybernetickým útokem nebo jinou událostí vedoucí k prùniku do systému nebo k omezení dostupnosti služeb,
b) kybernetický bezpeènostní incident zpùsobený škodlivým kódem,
c) kybernetický bezpeènostní incident zpùsobený pøekonáním technických opatøení,
d) kybernetický bezpeènostní incident zpùsobený porušením organizaèních opatøení,
e) kybernetický bezpeènostní incident spojený s projevem trvale pùsobících hrozeb a
1997 © 2019 [367] www.zakonycr.eu xml | xFON | xProject | FaNET | FakturaceNET | xFa | Shop

References: § 28
 § 6
 § 8
 § 13
 § 16
 § 3
 § 3
 § 3
 § 3
 § 4
 § 5
 § 5
 § 15
 § 3
 § 4
 § 5
 § 3
 § 8
 § 3
 § 8
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 2
 § 3
 § 3
 § 9
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 21
 § 13
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 17
 § 3
 § 3
 § 18
 § 3
 § 18
 § 19
 § 3
 § 3
 § 3
 § 4
 § 3
 § 21
 § 32
 § 3
 § 26
 § 13
 § 3
 § 3
 § 6
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 3
 § 5
 § 3
 § 3
 § 9
 § 13
 § 14
 § 15
 § 3
 § 5
 § 4
 § 4
 § 4
 § 4
 § 9
 § 13
 § 14
 § 15
 § 3
 § 3