Source: https://www.epravo.cz/top/zakony/sbirka-zakonu/vyhlaska-ze-dne-21-kvetna-2018-o-bezpecnostnich-opatrenich-kybernetickych-bezpecnostnich-incidentech-reaktivnich-opatrenich-nalezitostech-podani-v-oblasti-kyberneticke-bezpecnosti-a-likvidaci-dat-vyhlaska-o-kyberneticke-bezpecnosti-22118.html
Timestamp: 2020-05-27 22:33:27+00:00

Document:
VYHLÁŠKA ze dne 21. května 2018 o bezpečnostních | epravo.cz
VYHLÁŠKA ze dne 21. května 2018 o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (vyhláška o kybernetické bezpečnosti)
Sbírka: 82/2018 | Částka: 43/2018
o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních,
náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat
Národní úřad pro kybernetickou a informační bezpečnost stanoví podle § 28 odst. 2 písm. a) až d) a f) zákona č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění zákona č. 104/2017 Sb. a zákona č. 205/2017 Sb., (dále jen ˙zákon˙):
Tato vyhláška zapracovává příslušný předpis Evropské unie1) a pro informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury, významný informační systém, informační systém základní služby anebo informační systém nebo síť elektronických komunikací, které využívá poskytovatel digitálních služeb, (dále jen ˙informační a komunikační systém˙) upravuje
vzor oznámení kontaktních údajů a jeho for- mu a
administrátorem osoba zajišťující správu, provoz, použití, údržbu a bezpečnost technického aktiva,
akceptovatelným rizikem riziko, které je přijatelné pro orgán nebo osobu, které jsou povinny zavést bezpečnostní opatření podle zákona, (dále jen ˙povinná osoba˙) a není nutné jej zvládat pomocí dalších bezpečnostních opatření,
bezpečnostní politikou soubor zásad a pravidel, které určují způsob zajištění ochrany aktiv,
hodnocením rizik celkový proces identifikace, analýzy a vyhodnocení rizik,
hrozbou potenciální příčina kybernetické bezpečnostní události nebo kybernetického bezpečnostního incidentu, která může způsobit škodu,
podpůrným aktivem technické aktivum, zaměstnanci a dodavatelé podílející se na provozu, rozvoji, správě nebo bezpečnosti informačního a komunikačního systému,
primárním aktivem informace nebo služba, kterou zpracovává nebo poskytuje informační a komunikační systém,
rizikem možnost, že určitá hrozba využije zranitelnosti aktiva a způsobí škodu,
řízením rizik činnost zahrnující hodnocení rizik, výběr a zavedení opatření ke zvládání rizik, sdílení informací o riziku a sledování a přezkoumání rizik,
systémem řízení bezpečnosti informací část systému řízení povinné osoby založená na přístu-pu k rizikům informačního a komunikačního systému, která stanoví způsob ustavení, zavádění, provozování, monitorování, přezkoumání, udržování a zlepšování bezpečnosti informací a dat,
technickým aktivem takové technické vybavení, komunikační prostředky a programové vybavení informačního a komunikačního systému a objekty, ve kterých jsou tyto systémy umístěny, jejichž selhání může mít dopad na informační a komunikační systém,
uživatelem fyzická nebo právnická osoba anebo orgán veřejné moci, které využívají aktiva,
vrcholovým vedením osoba nebo skupina osob, které řídí povinnou osobu, nebo statutární orgán povinné osoby,
významným dodavatelem provozovatel informačního nebo komunikačního systému (dále jen ˙provozovatel˙) a každý, kdo s povinnou osobou vstupuje do právního vztahu, který je významný z hlediska bezpečnosti informačního a komunikačního systému,
významnou změnou změna, která má nebo může mít vliv na kybernetickou bezpečnost a představuje vysoké riziko,
zranitelností slabé místo aktiva nebo slabé místo bezpečnostního opatření, které může být zneužito jednou nebo více hrozbami.
stanoví s ohledem na požadavky dotčených stran a organizační bezpečnost rozsah systému řízení bezpečnosti informací, ve kterém určí organizační části a aktiva, jichž se systém řízení bezpečnosti informací týká,
stanoví cíle systému řízení bezpečnosti informací,
pro stanovený rozsah systému řízení bezpečnosti informací na základě cílů systému řízení bezpečnosti informací, bezpečnostních potřeb a hodnocení rizik zavede přiměřená bezpečnostní opatření,
řídí rizika podle § 5,
vytvoří a schválí bezpečnostní politiku v oblasti systému řízení bezpečnosti informací, která obsahuje hlavní zásady, cíle, bezpečnostní potřeby, práva a povinnosti ve vztahu k řízení bezpečnosti informací, a na základě bezpečnostních potřeb a výsledků hodnocení rizik stanoví bezpečnostní politiku v dalších oblastech podle § 30 a zavede přiměřená bezpečnostní opatření,
zajistí provedení auditu kybernetické bezpečnosti u informačního a komunikačního systému (dále jen ˙audit kybernetické bezpečnosti˙) podle § 16,
zajistí pravidelné vyhodnocování účinnosti systému řízení bezpečnosti informací, které obsahuje hodnocení stavu systému řízení bezpečnosti informací včetně revize hodnocení rizik, posouzení výsledků provedených auditů kybernetické bezpečnosti a dopadů kybernetických bezpečnostních incidentů na systém řízení bezpečnosti informací,
průběžně identifikuje a následně podle § 11 řídí významné změny, které patří do rozsahu systému řízení bezpečnosti informací,
aktualizuje systém řízení bezpečnosti informací a příslušnou dokumentaci na základě zjištění auditů kybernetické bezpečnosti, výsledků vyhodnocení účinnosti systému řízení bezpečnosti informací a v souvislosti s prováděnými významnými změnami a
řídí provoz a zdroje systému řízení bezpečnosti informací a zaznamenává činnosti spojené se systémem řízení bezpečnosti informací a řízením rizik.
stanoví metodiku pro identifikaci aktiv,
stanoví metodiku pro hodnocení aktiv alespoň v rozsahu uvedeném v příloze č. 1 k této vyhlášce,
identifikuje a eviduje aktiva,
určí a eviduje garanty aktiv,
hodnotí a eviduje primární aktiva z hlediska důvěrnosti, integrity a dostupnosti a zařadí je do jednotlivých úrovní podle písmene b),
určí a eviduje vazby mezi primárními a podpůrnými aktivy a hodnotí důsledky závislostí mezi primárními a podpůrnými aktivy,
hodnotí podpůrná aktiva a zohledňuje přitom zejména vzájemné závislosti podle písmene f),
na základě hodnocení aktiv stanovuje a zavádí pravidla ochrany nutná pro zabezpečení jednotlivých úrovní aktiv,
stanoví přípustné způsoby používání aktiv a pravidla pro manipulaci s aktivy s ohledem na úroveň aktiv, včetně pravidel pro bezpečné elektronické sdílení a fyzické přenášení aktiv, a
určí způsob likvidace dat, provozních údajů, informací a jejich kopií nebo likvidaci technických nosičů dat s ohledem na úroveň aktiv v souladu s přílohou č. 4 k této vyhlášce.
rozsah a důležitost osobních údajů, zvláštních kategorií osobních údajů nebo obchodního tajemství,
rozsah dotčených právních povinností nebo jiných závazků,
rozsah narušení vnitřních řídicích a kontrolních činností,
poškození veřejných, obchodních nebo ekonomických zájmů a možné finanční ztráty,
dopady na poskytování důležitých služeb,
rozsah narušení běžných činností,
dopady na zachování dobrého jména nebo ochranu dobré pověsti,
dopady na bezpečnost a zdraví osob,
dopady na mezinárodní vztahy a
dopady na uživatele informačního a komunikačního
(1) Povinná osoba v rámci řízení rizik v návaz-nosti na § 4
stanoví metodiku pro hodnocení rizik, včetně stanovení kritérií pro akceptovatelnost rizik,
s ohledem na aktiva identifikuje relevantní hrozby a zranitelnosti; přitom zvažuje zejména kategorie hrozeb a zranitelností uvedených v příloze č. 3 k této vyhlášce,
provádí hodnocení rizik v pravidelných intervalech podle odstavce 2 a při významných změnách,
při hodnocení rizik zohlední relevantní hrozby a zranitelnosti a posoudí možné dopady na aktiva; tato rizika hodnotí alespoň v rozsahu přílohy č. 2 k této vyhlášce,
zpracuje zprávu o hodnocení rizik,
zpracuje na základě bezpečnostních potřeb a výsledků hodnocení rizik prohlášení o aplikovatelnosti, které obsahuje přehled bezpečnostních opatření požadovaných touto vyhláškou, která
zpracuje a zavede plán zvládání rizik, který obsahuje cíle a přínosy bezpečnostních opatření pro zvládání jednotlivých rizik, určení osoby zajišťující prosazování bezpečnostních opatření pro zvládání rizik, potřebné finanční, technické, lidské a informační zdroje, termín jejich zavedení, popis vazeb mezi riziky a příslušnými bezpečnostními opatřeními a způsob realizace bezpečnostních opatření,
při hodnocení rizik a v plánu zvládání rizik zohlední
v souladu s plánem zvládání rizik zavádí bezpečnostní opatření.
zajistí stanovení bezpečnostní politiky a cílů systému řízení bezpečnosti informací podle § 3 slučitelných se strategickým směřováním povinné osoby,
zajistí integraci systému řízení bezpečnosti informací do procesů povinné osoby,
zajistí dostupnost zdrojů potřebných pro systém řízení bezpečnosti informací,
informuje zaměstnance o významu systému řízení bezpečnosti informací a významu dosažení shody s jeho požadavky se všemi dotčenými stranami,
zajistí podporu k dosažení zamýšlených výstupů systému řízení bezpečnosti informací,
vede zaměstnance k rozvíjení efektivity systému řízení bezpečnosti informací a podporuje je při tomto rozvíjení,
prosazuje neustálé zlepšování systému řízení bezpečnosti informací,
podporuje osoby zastávající bezpečnostní role při prosazování kybernetické bezpečnosti v oblastech jejich odpovědnosti,
zajistí stanovení pravidel pro určení administrátorů a osob, které budou zastávat bezpečnostní role,
zajistí, aby byla zachována mlčenlivost administrátorů a osob zastávajících bezpečnostní role,
pro osoby zastávající bezpečnostní role zajistí příslušné pravomoci a zdroje včetně rozpočtových prostředků k naplňování jejich rolí a plnění souvisejících úkolů a
zajistí testování plánů kontinuity činností, obnovy a procesů spojených se zvládáním kybernetických bezpečnostních
manažera kybernetické bezpečnosti,
architekta kybernetické bezpečnosti,
garanta aktiva a
auditora kybernetické bezpečnosti.
je bezpečnostní role odpovědná za systém řízení bezpečnosti informací, přičemž výkonem této role může být pověřena osoba, která je pro tuto činnost vyškolena a prokáže odbornou způsobilost praxí s řízením kybernetické bezpečnosti nebo s řízením bezpečnosti informací
odpovídá za pravidelné informování vrcholového vedení o
nesmí být pověřen výkonem rolí odpovědných za provoz informačního a komunikačního systému.
(2) Architekt kybernetické bezpečnosti je bezpečnostní role odpovědná za zajištění návrhu implementace bezpečnostních opatření tak, aby byla zajištěna bezpečná architektura informačního a komunikačního systému, přičemž výkonem této role může být pověřena osoba, která je pro tuto činnost vyškolena a prokáže odbornou způsobilost praxí s navrhováním implementace bezpečnostních opatření a zajiš-ťováním architektury bezpečnosti
po dobu nejméně tří let, nebo
po dobu jednoho roku, pokud absolvovala studium na vysoké škole.
je bezpečnostní role odpovědná za provádění auditu kybernetické bezpečnosti, přičemž výkonem této role může být pověřena osoba, která je pro tuto činnost vyškolena a proká- že odbornou způsobilost praxí s prováděním auditů kybernetické bezpečnosti nebo auditů systému řízení bezpečnosti informací
zaručuje, že provedení auditu kybernetické bezpečnosti je nestranné, a
nesmí být pověřen výkonem jiných bezpečnostních rolí.
(5) Povinná osoba při určování osob zastávajících bezpečnostní role přihlédne k doporučením uvedeným v příloze č. 6 k této
stanoví pravidla pro dodavatele, která zohledňují požadavky systému řízení bezpečnosti informací,
vede evidenci svých významných dodavatelů,
prokazatelně písemně informuje své významné dodavatele o jejich evidenci podle písmene b),
seznamuje své dodavatele s pravidly podle písmene a) a vyžaduje plnění těchto pravidel,
řídí rizika spojená s dodavateli,
v souvislosti s řízením rizik spojených s významnými dodavateli zajistí, aby smlouvy uzavírané s významnými dodavateli obsahovaly relevantní oblasti uvedené v příloze č. 7 k této vyhlášce, a
pravidelně přezkoumává plnění smluv s významnými dodavateli z hlediska systému řízení bezpečnosti informací.
v rámci výběrového řízení a před uzavřením smlouvy provádí hodnocení rizik souvisejících s plněním předmětu výběrového řízení přiměřeně podle přílohy č. 2 k této vyhlášce,
v rámci uzavíraných smluvních vztahů stanoví způsoby a úrovně realizace bezpečnostních opatření a určí obsah vzájemné smluvní odpovědnosti za zavedení a kontrolu bezpečnostních opatření,
provádí pravidelné hodnocení rizik a pravidelnou kontrolu zavedených bezpečnostních opatření u poskytovaných plnění pomocí vlastních zdrojů nebo pomocí třetí strany a
v reakci na rizika a zjištěné nedostatky zajistí jejich řešení.
identifikace správce nebo provozovatele,
identifikace informačního a komunikačního systému,
identifikace významného dodavatele,
vyrozumění o skutečnosti, že dodavatel je pro správce významným dodavatelem, a popřípadě také o tom, že významný dodavatel je zároveň provozovatelem, a
obsah pravidel podle odstavce 1 písm. a).
s ohledem na stav a potřeby systému řízení bezpečnosti informací stanoví plán rozvoje bezpečnostního povědomí, jehož cílem je zajistit odpovídající vzdělávání a zlepšování bezpečnostního povědomí a který obsahuje formu, obsah a rozsah
určí osoby odpovědné za realizaci jednotlivých činností, které jsou v plánu uvedeny,
v souladu s plánem rozvoje bezpečnostního povědomí zajistí poučení uživatelů, administrátorů, osob zastávajících bezpečnostní role a dodavatelů o jejich povinnostech a o bezpečnostní politice formou vstupních a pravidelných školení,
pro osoby zastávající bezpečnostní role v souladu s plánem rozvoje bezpečnostního povědomí zajistí pravidelná odborná školení, přičemž vychází z aktuálních potřeb povinné osoby v oblasti kybernetické bezpečnosti,
v souladu s plánem rozvoje bezpečnostního povědomí zajistí pravidelné školení a ověřování bezpečnostního povědomí zaměstnanců v souladu s jejich pracovní náplní,
zajistí kontrolu dodržování bezpečnostní politiky ze strany uživatelů, administrátorů a osob zastávajících bezpečnostní role,
v případě ukončení smluvního vztahu s administrátory a osobami zastávajícími bezpečnostní role zajistí předání odpovědností,
hodnotí účinnost plánu rozvoje bezpečnostního povědomí, provedených školení a dalších činností spojených se zlepšováním bezpečnostního povědomí a
určí pravidla a postupy pro řešení případů porušení stanovených bezpečnostních pravidel ze strany uživatelů, administrátorů a osob zastávajících bezpečnostní role.
práva a povinnosti administrátorů, uživatelů a osob zastávajících bezpečnostní role,
postupy pro spuštění a ukončení chodu systému, pro restart nebo obnovení chodu systému po selhání a pro ošetření chybových stavů nebo mimořádných jevů,
postupy pro sledování kybernetických bezpečnostních událostí a opatření pro ochranu přístupu k záznamům o těchto událostech,
pravidla a postupy pro ochranu před škodlivým kódem,
řízení technických zranitelností,
spojení na kontaktní osoby, které jsou pověřeny výkonem systémové a technické podpory,
postupy řízení a schvalování provozních změn,
postupy pro sledování, plánování a řízení kapacity lidských a technických zdrojů,
pravidla a postupy pro ochranu informací a dat v průběhu celého životního cyklu,
pravidla a postupy pro instalaci technických aktiv,
provádění pravidelného zálohování a kontroly použitelnosti provedených záloh a
pravidla a postupy pro zajištění bezpečnosti síťových
přezkoumává možné dopady změn a
určuje významné změny.
dokumentuje jejich řízení,
provádí analýzu rizik,
přijímá opatření za účelem snížení všech ne- příznivých dopadů spojených s významnými změnami,
aktualizuje bezpečnostní politiku a bezpečnostní dokumentaci,
zajistí jejich testování a
zajistí možnost navrácení do původního stavu.
řídí přístup na základě skupin a rolí,
přidělí každému uživateli a administrátorovi přistupujícímu k informačnímu a komunikačnímu systému přístupová práva a oprávnění a jedinečný identifikátor,
řídí identifikátory, přístupová práva a oprávnění aplikací a technických účtů,
zavádí bezpečnostní opatření pro řízení přístupu zařízení k prostředkům informačního a komunikačního systému,
zavádí bezpečnostní opatření potřebná pro bezpečné používání mobilních zařízení a jiných technických zařízení, popřípadě i bezpečnostní opatření spojená s využitím technických zařízení, která povinná osoba nemá ve své správě,
omezí přidělování privilegovaných oprávnění na úroveň nezbytně nutnou k výkonu náplně práce,
omezí a kontroluje používání programových prostředků, které mohou být schopné překonat systémové nebo aplikační kontroly,
přiděluje a odebírá přístupová oprávnění v souladu s politikou řízení přístupu,
provádí pravidelné přezkoumání nastavení veš-kerých přístupových oprávnění včetně rozdělení do přístupových skupin a rolí,
využívá nástroj pro správu a ověřování identity podle § 19 a nástroj pro řízení přístupových oprávnění podle § 20,
prosazuje, aby uživatelé při používání privátních autentizačních informací dodržovali stanovené postupy,
zajistí odebrání nebo změnu přístupových oprávnění při změně pozice nebo zařazení uživatelů, administrátorů nebo osob zastávajících bezpečnostní role,
zajistí odebrání nebo změnu přístupových oprávnění při ukončení nebo změně smluvního vztahu a
dokumentuje přidělování a odebírání přístupových oprávnění.
řídí významné změny podle § 11,
stanoví bezpečnostní požadavky,
zahrne bezpečnostní požadavky do projektu akvizice, vývoje a údržby,
zajistí bezpečnost vývojového a testovacího prostředí a zajistí ochranu používaných testovacích dat,
provádí bezpečnostní testování významných změn před jejich zavedením do provozu a
plní požadavek podle § 19 odst. 3, je-li cílem provedení akvizice nebo vývoje nástroj pro správu a ověřování identity.
zavede proces detekce a vyhodnocování kybernetických bezpečnostních událostí a zvládání kybernetických bezpečnostních incidentů,
přidělí odpovědnosti a stanoví postupy pro
definuje a aplikuje postupy pro identifikaci, sběr, získání a uchování věrohodných podkladů potřebných pro analýzu kybernetického bezpečnostního incidentu,
zajistí detekci kybernetických bezpečnostních událostí,
při detekci kybernetických bezpečnostních událostí se dále řídí § 22 a 23,
zajistí, že uživatelé, administrátoři, osoby zastávající bezpečnostní role, další zaměstnanci a dodavatelé budou oznamovat neobvyklé chování informačního a komunikačního systému a podezření na jakékoliv zranitelnosti,
zajistí posuzování kybernetických bezpečnostních událostí, při kterém musí být rozhodnuto, zda mají být klasifikovány jako kybernetické bezpečnostní incidenty podle § 31,
zajistí zvládání kybernetických bezpečnostních incidentů podle stanovených postupů,
přijímá opatření pro odvrácení a zmírnění dopadu kybernetického bezpečnostního incidentu,
hlásí kybernetické bezpečnostní incidenty podle § 32,
vede záznamy o kybernetických bezpečnostních incidentech a o jejich zvládání,
prošetří a určí příčiny kybernetického bezpečnostního incidentu a
vyhodnotí účinnost řešení kybernetického bezpečnostního incidentu a na základě vyhod- nocení stanoví nutná bezpečnostní opatření, popřípadě aktualizuje stávající bezpečnostní opatření k zamezení opakování řešeného kybernetického bezpečnostního incidentu.
stanoví práva a povinnosti administrátorů a osob zastávajících bezpečnostní role,
pomocí hodnocení rizik a analýzy dopadů vyhodnotí a dokumentuje možné dopady kybernetických bezpečnostních incidentů a posoudí možná rizika související s ohrožením kontinuity činností,
na základě výstupů hodnocení rizik a analýzy dopadů podle písmene b) stanoví cíle řízení kontinuity činností formou určení
stanoví politiku řízení kontinuity činností, která obsahuje naplnění cílů podle písmene c),
vypracuje, aktualizuje a pravidelně testuje plány kontinuity činností a havarijní plány související s provozováním informačního a komunikačního systému a souvisejících služeb a
realizuje opatření pro zvýšení odolnosti informačního a komunikačního systému vůči kybernetickým bezpečnostním incidentům a omezením dostupnosti a vychází při tom z požadavků podle § 27.
provádí a dokumentuje audit dodržování bezpečnostní politiky, včetně přezkoumání technické shody, a výsledky auditu zohlední v plánu rozvoje bezpečnostního povědomí a plánu zvládání rizik a
posuzuje soulad bezpečnostních opatření s nejlepší praxí, právními předpisy, vnitřními předpisy, jinými předpisy a smluvními závazky vztahujícími se k informačnímu a komunikačnímu systému a určí případná nápravná opatření pro zajištění souladu.
při významných změnách, v rámci jejich rozsahu,
v pravidelných intervalech alespoň po 3 letech v případě povinné osoby uvedené v § 3 písm. e) zákona a
v pravidelných intervalech alespoň po 2 letech v případě povinné osoby neuvedené v písme- nu b).
předchází poškození, krádeži nebo zneužití aktiv nebo přerušení poskytování služeb informačního a komunikačního systému,
stanoví fyzický bezpečnostní perimetr ohraničující oblast, ve které jsou uchovávány a zpracovávány informace a umístěna technická aktiva informačního a komunikačního systému, a
u fyzického bezpečnostního perimetru stanoveného podle písmene b) přijme nezbytná opatření a uplatňuje prostředky fyzické bezpečnosti
zajistí segmentaci komunikační sítě,
zajistí řízení komunikace v rámci komunikační sítě a perimetru komunikační sítě,
pomocí kryptografie zajistí důvěrnost a integritu dat při vzdáleném přístupu, vzdálené správě nebo při přístupu do komunikační sítě pomocí bezdrátových technologií,
aktivně blokuje nežádoucí komunikaci a
pro zajištění segmentace sítě a pro řízení komunikace mezi jejími segmenty využívá nástroj, který zajistí ochranu integrity komunikační sítě.
ověření identity před zahájením aktivit v informačním a komunikačním systému,
řízení počtu možných neúspěšných pokusů o přihlášení,
odolnost uložených nebo přenášených autentizačních údajů proti neoprávněnému odcizení a zneužití,
ukládání autentizačních údajů ve formě odolné proti offline útokům,
opětovné ověření identity po určené době nečinnosti,
dodržení důvěrnosti autentizačních údajů při obnově přístupu a
centralizovanou správu identit.
(4) Do doby splnění požadavku podle odstav-ce 3 musí nástroj pro ověření identity uživatelů, administrátorů a aplikací, používat autentizaci pomocí kryptografických klíčů a zaručit obdobnou úroveň bezpečnosti.
(5) Do doby splnění požadavků podle odstav-ce 3 nebo 4 musí nástroj pro ověření identity uživatelů, administrátorů a aplikací, který používá k autentizaci identifikátor účtu a heslo, vynucovat pravidla
délky hesla alespoň
umožňující zadat heslo o délce alespoň 64 zna-ků,
neomezující použití malých a velkých písmen, číslic a speciálních znaků,
umožňující uživatelům změnu hesla, přičemž období mezi dvěma změnami hesla nesmí být kratší než 30 minut,
neumožňující uživatelům a administrátorům
pro povinnou změnu hesla v intervalu maximálně po 18 měsících, přičemž toto pravidlo se nevztahuje na účty sloužící k obnově systému v případě havárie.
vynutí bezodkladnou změnu výchozího hesla po jeho prvním použití,
bezodkladně zneplatní heslo sloužící k obnovení přístupu po jeho prvním použití nebo uplynutím nejvýše 60 minut od jeho vytvoření a
povinně zahrne pravidla tvorby bezpečných hesel do plánu rozvoje bezpečnostního povědomí podle § 9.
pro přístup k jednotlivým aktivům informačního a komunikačního systému a
pro čtení dat, zápis dat a změnu oprávnění.
s ohledem na důležitost aktiv zajišťuje použití nástroje pro nepřetržitou automatickou ochranu
monitoruje a řídí používání výměnných zařízení a datových nosičů,
řídí automatické spouštění obsahu výměnných zařízení a datových nosičů,
řídí oprávnění ke spouštění kódu a
provádí pravidelnou a účinnou aktualizaci nástroje pro ochranu před škodlivým kódem.
zaznamenává bezpečnostní a potřebné provozní události důležitých aktiv informačního a komunikačního systému a
na základě hodnocení důležitosti aktiv aktualizuje rozsah aktiv, u kterých je zaznamenávání bezpečnostních a provozních událostí prováděno.
jednoznačnou síťovou identifikaci zařízení původce, je-li v komunikační síti použit nástroj, který mění jeho síťovou identifikaci,
sběr informací o bezpečnostních a provozních událostech; zejména zaznamenává
1. datum a čas včetně specifikace časového pás-ma,
ochranu informací získaných podle písmen a) a b) před neoprávněným čtením a jakoukoli změnou,
8. přístupů k záznamům o událostech, poku- sy o manipulaci se záznamy o událostech a změny nastavení nástrojů pro zaznamenávání událostí a
synchronizaci jednotného času technických aktiv nejméně jednou za 24 hodin.
ověření a kontrolu přenášených dat v rámci komunikační sítě a mezi komunikačními sítěmi,
ověření a kontrolu přenášených dat na peri- metru komunikační sítě a
blokování nežádoucí komunikace.
koncových stanic,
mobilních zařízení,
datových úložišť a výměnných datových nosičů,
síťových aktivních prvků a
obdobných aktiv.
sběr a vyhodnocování událostí zaznamenaných podle § 22 a 23,
vyhledávání a seskupování souvisejících zázna-mů,
poskytování informací pro určené bezpečnostní role o detekovaných kybernetických bezpečnostních událostech,
vyhodnocování kybernetických bezpečnostních událostí s cílem identifikace kybernetických bezpečnostních incidentů, včetně včasného varování určených bezpečnostních rolí,
omezení případů nesprávného vyhodnocení událostí pravidelnou aktualizací nastavení pravidel pro
využívání informací získaných nástrojem pro sběr a vyhodnocení kybernetických bezpečnostních událostí pro optimální nastavení bezpečnostních opatření informačního a komunikačního systému.
před jejich uvedením do provozu a
v souvislosti s významnou změnou podle § 11 odst. 3.
neoprávněnou činností a
popřením provedených činností.
používá aktuálně odolné kryptografické algoritmy a kryptografické klíče,
používá systém správy klíčů a certifikátů, který
1. zajistí generování, distribuci, ukládání, změ-ny, omezení platnosti, zneplatnění certifikátů a likvidaci klíčů a
prosazuje bezpečné nakládání s kryptografickými prostředky a
zohledňuje doporučení v oblasti kryptografických prostředků vydaná Úřadem, zveřejněná na jeho internetových stránkách.
dostupnost informačního a komunikačního systému pro splnění cílů podle § 15,
odolnost informačního a komunikačního systému vůči kybernetickým bezpečnostním incidentům, které by mohly snížit jeho dostupnost,
dostupnost důležitých technických aktiv informačního a komunikačního systému a
redundanci aktiv nezbytných pro zajištění dostupnosti informačního a komunikačního systému.
použití technických a programových prostředků, které jsou určeny do specifického prostředí,
omezení fyzického přístupu k zařízením těchto systémů a ke komunikační síti,
vyčlenění komunikační sítě určené pro tyto systémy od ostatní infrastruktury,
omezení a řízení vzdáleného přístupu k těmto systémům,
ochranu jednotlivých technických aktiv těchto systémů před využitím známých zranitelností a
obnovení chodu těchto systémů po kybernetickém bezpečnostním incidentu.
(1) Povinná osoba uvedená v § 3 písm. h) zákona zavede bezpečnostní opatření podle prováděcího nařízení Komise (EU) 2018/151 ze dne 30. led-na 2018, kterým se stanoví pravidla pro uplatňování směrnice Evropského parlamentu a Rady (EU) 2016/ /1148, pokud jde o bližší upřesnění prvků, které musí poskytovatelé digitálních služeb zohledňovat při řízení bezpečnostních rizik, jimiž jsou vystaveny sítě a informační systémy, a parametrů pro posuzování toho, zda je dopad incidentu významný; ustanovení § 3 až 28 se na tuto povinnou osobu nepoužijí.
stanoví bezpečnostní politiku a vede bezpečnostní dokumentaci zahrnující oblasti uvedené v příloze č. 5,
pravidelně přezkoumává bezpečnostní politiku a bezpečnostní dokumentaci a
zajistí, aby byla bezpečnostní politika a bezpečnostní dokumentace aktuální.
dostupné v listinné nebo elektronické podobě,
komunikovány v rámci povinné osoby,
přiměřeně dostupné dotčeným stranám,
řízeny,
chráněny z pohledu důvěrnosti, integrity a dostupnosti a
vedeny tak, aby informace v nich obsažené byly úplné, čitelné, snadno identifikovatelné a snadno vyhledatelné.
dopadů obsažených v dopadových určujících kritériích, podle kterých byly povinné osoby určeny,
počtu dotčených uživatelů,
způsobené nebo předpokládané škody,
důležitosti dotčených aktiv informačního a komunikačního systému,
dopadů na poskytované služby informačního a komunikačního systému,
dopadů na služby poskytované jinými informačními a komunikačními systémy,
délky trvání incidentu,
zeměpisného rozsahu dotčené oblasti a
dalších dopadů.
Kategorie III ˙ velmi významný kybernetický bezpečnostní incident, při kterém je přímo a významně narušena bezpečnost poskytovaných služeb nebo aktiv. Jeho řešení vyžaduje neprodlené zásahy obsluhy s tím, že musí být všemi dostupnými prostředky zabráněno dalšímu šíření kybernetického bezpečnostního incidentu včetně minimalizace vzniklých i potenciálních škod,
Kategorie II ˙ významný kybernetický bezpečnostní incident, při kterém je narušena bezpečnost poskytovaných služeb nebo aktiv. Jeho řešení vyžaduje neprodlené zásahy obsluhy s tím, že musí být vhodnými prostředky zabráněno dalšímu šíření kybernetického bezpečnostního incidentu včetně minimalizace vzniklých škod, nebo
Kategorie I ˙ méně významný kybernetický bezpečnostní incident, při kterém dochází k méně významnému narušení bezpečnosti poskytovaných služeb nebo aktiv. Jeho řešení vyžaduje zásahy obsluhy s tím, že musí být vhodnými prostředky omezeno další šíření kybernetického bezpečnostního incidentu včetně minimalizace vzniklých škod.
kybernetický bezpečnostní incident způsobující narušení důvěrnosti aktiv,
kybernetický bezpečnostní incident způsobující narušení integrity aktiv,
kybernetický bezpečnostní incident způsobující narušení dostupnosti aktiv, nebo
kybernetický bezpečnostní incident způsobující kombinaci dopadů uvedených v písmenech a) až c).
(1) Kybernetický bezpečnostní incident se Úřa-du hlásí na elektronickém formuláři zveřejněném na internetových stránkách Úřadu zaslaném
na adresu elektronické pošty Úřadu určenou pro příjem hlášení kybernetických bezpečnostních incidentů, zveřejněnou na internetových stránkách
do datové schránky Úřadu, nebo
prostřednictvím datového rozhraní, pokud je používáno, jehož popis je zveřejněn na internetových stránkách Úřadu.
na adresu elektronické pošty provozovatele národního CERT určenou pro příjem hlášení kybernetických bezpečnostních incidentů, zveřejněnou na jeho internetových stránkách,
do datové schránky provozovatele národního CERT, nebo
prostřednictvím internetových stránek provozovatele národního CERT.
identifikace odesilatele,
datum a čas zjištění incidentu a
popis incidentu.
posoudí očekávané dopady reaktivního opatření na informační a komunikační systém a na zavedená bezpečnostní opatření a vyhodnotí možné negativní účinky a
stanoví způsob rychlého provedení tohoto opatření, který minimalizuje jeho možné negativní účinky, a určí časový plán jeho
na adresu elektronické pošty Úřadu určenou pro příjem oznámení kontaktních údajů, zveřejněnou na internetových stránkách Úřadu,
na adresu elektronické pošty provozovatele národního CERT určenou pro příjem oznámení kontaktních údajů, zveřejněnou na jeho internetových stránkách,
(5) Povinná osoba uvedená v § 3 písm. c) až f) zákona, která je provozovatelem, dále k hlášení kontaktních údajů podle odstavce 1 přikládá dokument, kterým ji správce prokazatelně informuje podle § 8 odst. 1 písm.
(1) V případě informačních systémů kritické informační infrastruktury a komunikačních systémů kritické informační infrastruktury, které byly určeny přede dnem nabytí účinnosti této vyhlášky, a v případě významných informačních systémů, u kterých došlo k naplnění určujících kritérií přede dnem nabytí účinnosti této vyhlášky, se do jednoho roku ode dne nabytí účinnosti této vyhlášky pro obsah a strukturu bezpečnostní dokumentace a obsah a rozsah zavedených bezpečnostních opatření použijí usta-novení vyhlášky č. 316/2014 Sb., o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních a o stanovení náležitostí podání v oblasti kybernetické bezpečnosti (vyhláška o kybernetické bezpečnosti).
Ing. Navrátil v.
Příloha č. 1 k vyhlášce č. 82/2018
Příloha č. 2 k vyhlášce č. 82/2018
Příloha č. 3 k vyhlášce č. 82/2018
Příloha č. 4 k vyhlášce č. 82/2018
Příloha č. 5 k vyhlášce č. 82/2018
Příloha č. 6 k vyhlášce č. 82/2018
Příloha č. 7 k vyhlášce č. 82/2018

References: § 28
 zákona č. 181
 zákona č. 104
 zákona č. 205
 § 5
 § 30
 § 16
 § 11
 § 4
 § 3
 § 19
 § 20
 § 11
 § 19
 § 22
 § 31
 § 32
 § 27
 § 3
 § 9
 § 22
 § 11
 § 15
 § 3
 § 3
 § 3
 § 8