Vyhláška o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (vyhláška o kybernetické bezpečnosti)

• 1. určení stupnice pro hodnocení úrovní dopadu,

• 1. určení stupnice pro hodnocení úrovní hrozby,

• 1. určení stupnice pro hodnocení úrovní zranitelnosti,

• 1. určení stupnice pro hodnocení úrovní rizik.

• c) Metody a přístupy pro zvládání rizik.

• d) Způsoby schvalování akceptovatelných rizik.

• 2.4. Zpráva o hodnocení aktiv a rizik

• a) Přehled primárních aktiv

• 1. identifikace a popis primárních aktiv,

• 1. určení garantů primárních aktiv,

• 1. hodnocení primárních aktiv z hlediska důvěrnosti, integrity a dostupnosti.

• b) Přehled podpůrných aktiv

• 1. identifikace a popis podpůrných aktiv,

• 1. určení garantů podpůrných aktiv,

• 1. určení vazeb mezi primárními a podpůrnými aktivy.

• c) Hodnocení rizik

• 1. posouzení možných dopadů na aktiva,

• 1. hodnocení existujících hrozeb,

• 1. hodnocení existujících zranitelností, hodnocení existujících opatření,

• 1. stanovení úrovně rizika, porovnání této úrovně s kritérii pro akceptovatelnost rizik,

• 1. určení a schválení akceptovatelných rizik.

• d) Zvládání rizik

• 1. návrh způsobu zvládání rizik,

• 1. návrh opatření a jejich realizace.

• 2.5. Prohlášení o aplikovatelnosti

• a) Přehled vyloučených bezpečnostních opatření požadovaných touto vyhláškou včetně zdůvodnění, proč nebyla aplikována.

• b) Přehled zavedených bezpečnostních opatření včetně způsobu jejich implementace.

• 2.6. Plán zvládání rizik

• a) Obsah a cíle vybraných bezpečnostních opatření pro zvládání rizik včetně vazby na konkrétní rizika.

• b) Potřebné zdroje pro jednotlivá bezpečnostní opatření pro zvládání rizik.

• c) Osoby zajišťující jednotlivá bezpečnostní opatření pro zvládání rizik.

• d) Termíny zavedení jednotlivých bezpečnostních opatření pro zvládání rizik.

• e) Způsob realizace bezpečnostních opatření.

• f) Způsoby hodnocení úspěšnosti zavedení jednotlivých bezpečnostních opatření pro zvládání rizik.

• 2.7. Plán rozvoje bezpečnostního povědomí

• a) Obsah a termíny poučení uživatelů, administrátorů a osob zastávajících bezpečnostní role.

• b) Obsah a termíny poučení nových zaměstnanců.

• c) Přehledy, které obsahují předmět jednotlivých školení a seznam osob, které školení absolvovaly.

• d) Formy a způsoby hodnocení plánu.

• 2.8. Evidence změn

• a) Evidence životního cyklu významných změn.

• b) Záznamy o změnách konfigurace podpůrných aktiv.

• 2.9. Hlášené kontaktní údaje

Přehled hlášených kontaktních údajů.

• 2.10. Přehled obecně závazných právních předpisů, vnitřních předpisů a jiných předpisů a smluvních závazků

• a) Přehled obecně závazných právních předpisů.

• b) Přehled vnitřních předpisů a jiných předpisů.

• c) Přehled smluvních závazků.

• 2.11. Další doporučená dokumentace

• a) Topologie infrastruktury.

• b) Přehled síťových zařízení.

Příloha č. 6 k vyhlášce č. 82/2018 Sb.

Výbor pro řízení kybernetické bezpečnosti a bezpečnostní role

Tato příloha obsahuje popis doporučených požadavků pro výbor pro řízení kybernetické bezpečnosti a bezpečnostní role uvedené v § 6 a 7.

Tab. 1: Výbor pro řízení kybernetické bezpečnosti

Tab. 2: Manažer kybernetické bezpečnosti

Tab. 3: Architekt kybernetické bezpečnosti

Tab. 4: Auditor kybernetické bezpečnosti

Tab. 5: Garant aktiva

• Certifikace může být i jiná než uvedená, jestliže certifikace dokládající odbornou způsobilost bezpečnostních rolí splňuje požadavky ISO 17 024.

Příloha č. 7 k vyhlášce č. 82/2018 Sb.

Řízení dodavatelů - bezpečnostní opatření pro smluvní vztahy

Obsah smlouvy uzavírané s významnými dodavateli:

• a) ustanovení o bezpečnosti informací (z pohledu důvěrnosti, dostupnosti a integrity),

• b) ustanovení o oprávnění užívat data,

• c) ustanovení o autorství programového kódu, popřípadě o programových licencích,

• d) ustanovení o kontrole a auditu dodavatele (pravidla zákaznického auditu),

• e) ustanovení upravující řetězení dodavatelů, přičemž musí být zajištěno, že poddodavatelé se zaváží dodržovat v plném rozsahu ujednání mezi povinnou osobou a dodavatelem a nebudou v rozporu s požadavky povinné osoby na dodavatele,

• f) ustanovení o povinnosti dodavatele dodržovat bezpečnostní politiky povinné osoby nebo ustanovení o odsouhlasení bezpečnostních politik dodavatele povinnou osobou,

• g) ustanovení o řízení změn,

• h) ustanovení o souladu smluv s obecně závaznými právními předpisy,

• i) ustanovení o povinnosti dodavatele informovat povinnou osobu o

• 1. kybernetických bezpečnostních incidentech souvisejících s plněním smlouvy,

• 1. způsobu řízení rizik na straně dodavatele a o zbytkových rizicích souvisejících s plněním smlouvy,

• 1. významné změně ovládání tohoto dodavatele podle zákona o obchodních korporacích nebo změně vlastnictví zásadních aktiv, popřípadě změně oprávnění nakládat s těmito aktivy, využívaných tímto dodavatelem k plnění podle smlouvy se správcem,

• j) specifikace podmínek z pohledu bezpečnosti při ukončení smlouvy (například přechodné období při ukončení spolupráce, kdy je třeba ještě udržovat službu před nasazením nového řešení, migrace dat a podobně),

• k) specifikace podmínek pro řízení kontinuity činností v souvislosti s dodavateli (například zahrnutí dodavatelů do havarijních plánů, úkoly dodavatelů při aktivaci řízení kontinuity činností),

• l) specifikace podmínek pro formát předání dat, provozních údajů a informací po vyžádání správcem,

• m) pravidla pro likvidaci dat,

• n) ustanovení o právu jednostranně odstoupit od smlouvy v případě významné změny kontroly nad dodavatelem nebo změny kontroly nad zásadními aktivy využívanými dodavatelem k plnění podle smlouvy a

• o) ustanovení o sankcích za porušení povinností.

Příloha č. 8 k vyhlášce č. 82/2018 Sb.

Vzor Formuláře pro hlášení kontaktních údajů

[image omitted]

^1) Směrnice Evropského parlamentu a Rady (EU) 2016/1148 ze dne 6. července 2016 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii.