Source: http://www.sagit.cz/_texty/sb14181.htm
Timestamp: 2019-11-14 12:37:06+00:00
Document Index: 13362924

Matched Legal Cases: ['§ 3', '§ 3', '§ 3', '§ 3', '§ 3', '§ 3', '§ 3', '§ 20', '§ 3', '§ 3', '§ 3', '§ 3', '§ 3', '§ 3', '§ 3', '§ 3', '§ 3', '§ 3', '§ 3', '§ 3', '§ 3', '§ 17', '§ 3', '§ 3', '§ 3', '§ 3', '§ 9', '§ 3', '§ 3', '§ 13', '§ 3', '§ 4', '§ 8', '§ 16', '§ 13', '§ 3', '§ 13', '§ 24', '§ 3', '§ 13', '§ 16', '§ 24', '§ 6', '§ 8', '§ 13', '§ 16', '§ 8', '§ 8', '§ 12', '§ 4', 'zákona č. 119', 'zákona č. 177', 'zákona č. 296', 'zákona č. 32', 'zákona č. 124', 'zákona č. 126', 'zákona č. 250', 'zákona č. 41', 'zákona č. 227', 'zákona č. 281', 'zákona č. 255', 'zákona č. 420', 'zákona č. 458', 'zákona č. 167', 'zákona č. 303', '§ 145', '§ 146', '§ 146', '§ 11', 'zákona č. 106', 'zákona č. 61']

Zákon 181/2014 Sb.
rozeslána dne 29.8.2014
c) bezpečností informací zajištění důvěrnosti, integrity a dostupnosti informací,
d) významným informačním systémem informační systém spravovaný orgánem veřejné moci, který není kritickou informační infrastrukturou a u kterého narušení bezpečnosti informací může omezit nebo výrazně ohrozit výkon působnosti orgánu veřejné moci,
f) správcem komunikačního systému orgán nebo osoba, které určují účel komunikačního systému a podmínky jeho provozování, a
g) významnou sítí síť elektronických komunikací1) zajišťující přímé zahraniční propojení do veřejných komunikačních sítí nebo zajišťující přímé připojení ke kritické informační infrastruktuře.
(2) Orgány a osoby uvedené v § 3 písm. c) až e) jsou povinny v rozsahu nezbytném pro zajištění kybernetické bezpečnosti zavést a provádět bezpečnostní opatření pro informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury nebo významný informační systém a vést o nich bezpečnostní dokumentaci.
(3) Orgány a osoby uvedené v § 3 písm. c) až e) jsou povinny zohlednit požadavky vyplývající z bezpečnostních opatření při výběru dodavatelů pro informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury nebo významný informační systém. Zohlednění požadavků vyplývajících z bezpečnostních opatření podle věty první v míře nezbytné pro splnění povinností podle tohoto zákona nelze považovat za nezákonné omezení hospodářské soutěže nebo neodůvodněnou překážku hospodářské soutěži.
c) rozsah bezpečnostních opatření pro orgány a osoby uvedené v § 3 písm. c) až e) a
d) významné informační systémy a jejich určující kritéria.
(3) Orgány a osoby uvedené v § 3 písm. b) až e) jsou povinny detekovat kybernetické bezpečnostní události v jejich významné síti, informačním systému kritické informační infrastruktury, komunikačním systému kritické informační infrastruktury nebo významném informačním systému.
(1) Orgány a osoby uvedené v § 3 písm. b) až e) jsou povinny hlásit kybernetické bezpečnostní incidenty v jejich významné síti, informačním systému kritické informační infrastruktury, komunikačním systému kritické informační infrastruktury nebo významném informačním systému, a to bezodkladně po jejich detekci; tím není dotčena informační povinnost podle jiného právního předpisu3).
(2) Orgány a osoby uvedené v § 3 písm. b) hlásí kybernetické bezpečnostní incidenty provozovateli národního CERT.
(3) Orgány a osoby uvedené v § 3 písm. c) až e) hlásí kybernetické bezpečnostní incidenty Národnímu bezpečnostnímu úřadu (dále jen „Úřad“).
a) typy a kategorie kybernetických bezpečnostních incidentů a
(2) Součástí evidence incidentů jsou údaje podle § 20 písm. f) až h).
b) orgány a osoby uvedené v § 3 písm. c) až e).
(4) Ochranné opatření jsou povinny provádět orgány a osoby uvedené v § 3 písm. c) až e).
(4) Orgány a osoby uvedené v § 3 jsou povinny bez zbytečného odkladu oznámit Úřadu provedení reaktivního opatření a jeho výsledek. Náležitosti oznámení stanoví prováděcí právní předpis.
(1) Úřad uloží za účelem zvýšení ochrany informačních systémů nebo služeb a sítí elektronických komunikací1), na základě analýzy již vyřešeného kybernetického bezpečnostního incidentu, provést ochranné opatření formou opatření obecné povahy.
(2) Opatřením obecné povahy Úřad orgánům a osobám uvedeným v § 3 písm. c) až e) stanoví způsob zvýšení ochrany informačních systémů nebo služeb a sítí elektronických komunikací1) a lhůtu k jeho provedení.
a) orgány a osoby uvedené v § 3 písm. a) a b) provozovateli národního CERT a
b) orgány a osoby uvedené v § 3 písm. c) až e) Úřadu.
(3) Orgány a osoby uvedené v § 3 písm. c) až e) oznamují změny pouze těch údajů podle odstavce 1, které nejsou referenčními údaji vedenými v základních registrech, a to neprodleně.
(6) Vzor oznámení kontaktních údajů a jeho formu stanoví prováděcí právní předpis.
a) přijímá oznámení kontaktních údajů od orgánů a osob uvedených v § 3 písm. a) a b) a tyto údaje eviduje a uchovává,
b) přijímá hlášení o kybernetických bezpečnostních incidentech od orgánů a osob uvedených v § 3 písm. b) a tyto údaje eviduje, uchovává a chrání,
c) vyhodnocuje kybernetické bezpečnostní incidenty u orgánů a osob uvedených v § 3 písm. b),
d) poskytuje orgánům a osobám uvedeným v § 3 písm. a) a b) metodickou podporu, pomoc a součinnost při výskytu kybernetického bezpečnostního incidentu,
e) působí jako kontaktní místo pro orgány a osoby uvedené v § 3 písm. a) a b),
g) předává Úřadu údaje o kybernetických bezpečnostních incidentech bez uvedení ohlašovatele kybernetického bezpečnostního incidentu a
h) předává na vyžádání Úřadu za stavu kybernetického nebezpečí kontaktní údaje orgánů a osob uvedených v § 3 písm. a) a b).
(5) Provozovatel národního CERT vykonává činnosti podle § 17 odst. 2 písm. a), b), c), e), g) a h) bezúplatně.
a) přijímá oznámení kontaktních údajů od orgánů a osob uvedených v § 3 písm. c) až e),
b) přijímá hlášení o kybernetických bezpečnostních incidentech od orgánů a osob uvedených v § 3 písm. c) až e),
c) vyhodnocuje údaje o kybernetických bezpečnostních událostech a kybernetických bezpečnostních incidentech z kritické informační infrastruktury, z významných informačních systémů a dalších informačních systémů veřejné správy,
d) poskytuje orgánům a osobám uvedeným v § 3 písm. c) až e) metodickou podporu a pomoc,
e) poskytuje součinnost orgánům a osobám uvedeným v § 3 písm. c) až e) při výskytu kybernetického bezpečnostního incidentu a kybernetické bezpečnostní události,
i) poskytuje podle § 9 odst. 4 provozovateli národního CERT, orgánům vykonávajícím působnost v oblasti kybernetické bezpečnosti v zahraničí a jiným osobám působícím v oblasti kybernetické bezpečnosti údaje z evidence incidentů a
j) provádí hodnocení zranitelností v oblasti kybernetické bezpečnosti.
(1) Stavem kybernetického nebezpečí se rozumí stav, ve kterém je ve velkém rozsahu ohrožena bezpečnost informací v informačních systémech nebo bezpečnost a integrita služeb nebo sítí elektronických komunikací1), a tím by mohlo dojít k porušení nebo došlo k ohrožení zájmu České republiky ve smyslu zákona upravujícího ochranu utajovaných informací.
(1) Státní správu v oblasti kybernetické bezpečnosti vykonává Úřad, nestanoví-li zákon jinak.
c) zajišťuje činnost Národního centra kybernetické bezpečnosti,
d) vede evidence podle tohoto zákona,
e) ukládá pokuty za správní delikty podle tohoto zákona,
g) spolupracuje s orgány a osobami, které působí v oblasti kybernetické bezpečnosti, zejména s veřejnoprávními korporacemi, výzkumnými a vývojovými pracovišti a s ostatními pracovišti typu CERT,
h) zajišťuje mezinárodní spolupráci,
i) sjednává a uzavírá smlouvy o mezinárodní spolupráci,
j) zajišťuje prevenci, vzdělávání a metodickou podporu v oblasti kybernetické bezpečnosti,
k) zajišťuje výzkum a vývoj v oblasti kybernetické bezpečnosti,
n) určuje podle krizového zákona prvky kritické infrastruktury v odvětví komunikační a informační systémy v oblasti kybernetické bezpečnosti, pokud nejde o prvky uvedené v písmeni m), a
o) plní další úkoly v oblasti kybernetické bezpečnosti stanovené tímto zákonem.
Kontrola, nápravná opatření a správní delikty
(1) Úřad vykonává kontrolu v oblasti kybernetické bezpečnosti. Při výkonu kontroly Úřad zjišťuje, jak orgány a osoby uvedené v § 3 plní povinnosti stanovené tímto zákonem a rozhodnutími a opatřeními obecné povahy vydanými Úřadem, a dodržují prováděcí právní předpisy v oblasti kybernetické bezpečnosti.
(2) Úřad kontroluje, jak
a) orgány a osoby uvedené v § 3 písm. a) a b) plní povinnosti uložené Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13 za stavu kybernetického nebezpečí,
b) orgány a osoby uvedené v § 3 písm. c) až e) plní povinnosti stanovené v § 4 odst. 2, § 8 odst. 3 a § 16 odst. 2 písm. b) a povinnosti uložené Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13 nebo 14.
(2) Pokud je informační systém kritické informační infrastruktury, komunikační systém kritické informační infrastruktury nebo významný informační systém pro zjištěné nedostatky bezprostředně ohrožen kybernetickým bezpečnostním incidentem, který jej může významně poškodit nebo zničit, může kontrolní orgán zakázat kontrolovanému orgánu nebo osobě používání tohoto systému anebo jeho části do doby, než bude zjištěný nedostatek odstraněn.
(1) Právnická osoba nebo podnikající fyzická osoba uvedené v § 3 písm. a) nebo b) se dopustí správního deliktu tím, že
a) nesplní za stavu kybernetického nebezpečí povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13, nebo
b) nesplní některou z povinností uloženou nápravným opatřením podle § 24.
(2) Právnická osoba nebo podnikající fyzická osoba uvedené v § 3 písm. c) až e) se dopustí správního deliktu tím, že
c) nesplní povinnost uloženou Úřadem v rozhodnutí nebo v opatření obecné povahy podle § 13 nebo 14,
d) neoznámí kontaktní údaje nebo jejich změnu Úřadu podle § 16 odst. 2 písm. b) nebo
e) nesplní některou z povinností uloženou nápravným opatřením podle § 24.
a) 100 000 Kč, jde-li o správní delikt podle odstavce 1 písm. a) nebo b) anebo odstavce 2 písm. a) až c) nebo e),
b) 10 000 Kč, jde-li o správní delikt podle odstavce 2 písm. d).
(2) Za přestupek podle odstavce 1 se uloží pokuta do 50 000 Kč.
(2) Odpovědnost právnické osoby za správní delikt zaniká, jestliže Úřad o něm nezahájil řízení do 1 roku ode dne, kdy se o něm dozvěděl, nejpozději však do 3 let ode dne, kdy byl správní delikt spáchán.
(3) Při určení výměry pokuty právnické osobě se přihlédne k závažnosti správního deliktu, zejména ke způsobu jeho spáchání a jeho následkům a k okolnostem, za nichž byl spáchán.
(4) Správní delikty podle tohoto zákona projednává Úřad.
(6) Pokuty vybírá Úřad. Příjem z pokut je příjmem státního rozpočtu.
(7) Pokuta je splatná do 30 dnů ode dne nabytí právní moci rozhodnutí o jejím uložení.
a) obsah a strukturu bezpečnostní dokumentace, obsah bezpečnostních opatření a rozsah bezpečnostních opatření podle § 6 písm. a) až c),
b) typy a kategorie kybernetických bezpečnostních incidentů a náležitosti a způsob hlášení kybernetického bezpečnostního incidentu podle § 8 odst. 4,
c) náležitosti oznámení o provedení reaktivního opatření a jeho výsledku podle § 13 odst. 4 a
d) vzor oznámení kontaktních údajů a jeho formu podle § 16 odst. 6.
b) začnou plnit povinnost stanovenou v § 8 odst. 1 a 3 nejpozději do 1 roku ode dne určení jejich informačního systému nebo komunikačního systému kritickou informační infrastrukturou a
b) začnou plnit povinnost stanovenou v § 8 odst. 1 a 3 nejpozději do 1 roku ode dne naplnění určujících kritérií významného informačního systému a
(2) Na informační systém Policie České republiky pro analytickou činnost v trestním řízení se tento zákon vztahuje pouze v rozsahu § 12 a 16; ustanovení § 4 se na tento systém použije přiměřeně. To neplatí, pokud je tento systém kritickou informační infrastrukturou.
Zákon č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti, ve znění zákona č. 119/2007 Sb., zákona č. 177/2007 Sb., zákona č. 296/2007 Sb., zákona č. 32/2008 Sb., zákona č. 124/2008 Sb., zákona č. 126/2008 Sb., zákona č. 250/2008 Sb., zákona č. 41/2009 Sb., zákona č. 227/2009 Sb., zákona č. 281/2009 Sb., zákona č. 255/2011 Sb., zákona č. 420/2011 Sb., zákona č. 458/2011 Sb., zákona č. 167/2012 Sb. a zákona č. 303/2013 Sb., se mění takto:
1. V § 145 se na konci odstavce 5 tečka nahrazuje čárkou a doplňuje se písmeno f), které zní:
„f) na vyžádání zprávu o jednotlivých kybernetických bezpečnostních incidentech z kritické informační infrastruktury.“.
2. V § 146 odst. 1 se za slova „bezpečnostního řízení“ vkládají slova „nebo v rámci správního řízení o vydání opatření podle zákona o kybernetické bezpečnosti“.
3. V § 146 odst. 2 se za slova „podle tohoto zákona“ vkládají slova „nebo podle zákona o kybernetické bezpečnosti“.
V § 11 odst. 4 zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění zákona č. 61/2006 Sb., se na konci písmene e) tečka nahrazuje čárkou a doplňuje se písmeno f), které zní:
„f) údajích vedených v evidenci incidentů podle zákona o kybernetické bezpečnosti, ze kterých bylo možné identifikovat orgán nebo osobu, která kybernetický bezpečnostní incident ohlásila nebo jejichž poskytnutí by ohrozilo účinnost reaktivního nebo ochranného opatření podle zákona o kybernetické bezpečnosti.“.