Vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu o štandardoch pre informačné technológie verejnej správy

Pri použití § 18 ods. 2 a § 31 písm. i) zákona na zabezpečenie štandardov podľa odseku 1 sa povinnou osobou rozumie poskytovateľ cloudových služieb a informačným systémom verejnej správy sa rozumie cloud computing, okrem určenia rozsahu a úrovne ochrany, vrátane hodnotenia slabých miest a ohrození a okrem určenia osoby alebo osôb zodpovedných za bezpečnosť, kde sa informačnými systémami verejnej správy rozumejú časti cloud computingu.

(3)

Súčasťou štandardu správy cloud computingu je aj bezpečnosť zdieľaného prostredia, pričom sa

a)

pri výpadku cloudových služieb v súlade s podmienkami a garantovanými parametrami dostupnosti zabezpečuje migrácia do záložného prostredia podľa vopred určeného scenára tak, že dodávka cloudových služieb nie je dlhodobo ohrozená,

b)

umožňuje oddeliť údaje jednotlivých odberateľov cloudových služieb, pričom spôsob oddelenia je obsiahnutý v dohode o poskytovanej úrovni cloudových služieb,

c)

virtuálne komponenty oddeľujú do bezpečnostných zón podľa typu použitia s cieľom zníženia rizika neautorizovaného prístupu alebo zmien.

(4)

Súčasťou štandardu správy cloud computingu je aj jeho správa zabezpečovaná tak, že je

a)

v dohode o poskytovanej úrovni cloudových služieb obsiahnuté aj podmienky a garantované parametre dostupnosti cloudových služieb a spracúvaných údajov,

b)

odberateľovi cloudových služieb na základe žiadosti umožnené úplné skopírovanie jeho údajov na ďalšie použitie, pričom podmienky, lehoty a výstupné formáty údajov sú obsahom dohody o poskytovanej úrovni cloudových služieb, pričom lehota na skopírovanie údajov sa v dohode nedohodne na dlhšie ako tri mesiace; takými údajmi sa rozumejú údaje, ktoré do cloud computingu vložil alebo si nastavil odberateľ cloudových služieb na základe dohody o poskytovanej úrovni cloudových služieb,

c)

odberateľovi cloudových služieb umožnené úplné vymazanie jeho údajov, a to vrátane všetkých kópií a záloh v cloud computingu, pričom pri ukončení zmluvného vzťahu s odberateľom cloudových služieb sa takéto vymazanie zabezpečuje bezodkladne bez nutnosti osobitnej žiadosti odberateľa cloudových služieb; takéto vymazanie sa netýka údajov, pri ktorých to podmienky podľa osobitných predpisov neumožňujú alebo pre ktoré je to v príslušnej dohode o poskytovanej úrovni cloudových služieb dohodnuté inak, pričom lehota pre úplné vymazanie údajov sa v dohode o poskytovanej úrovni cloudových služieb nedohodne na dlhšie ako tri mesiace, a

d)

súčasťou dohody o poskytovanej úrovni cloudových služieb vyhlásenie poskytovateľa cloudových služieb o súlade s príslušnými štandardmi, a to v rozpise podľa jednotlivých štandardov.

§ 44

Vytváranie a rozvoj cloud computingu

Štandardom vytvárania a rozvoj cloud computingu v správe orgánu riadenia je vytváranie a rozvoj jeho architektúry podľa prílohy č. 6.

§ 45

Používanie cloudových služieb

(1)

Štandardom používania cloudových služieb je používanie

a)

cloudových služieb informačnými systémami verejnej správy len z takého cloud computingu, ktorý preukázateľne dodržiava požiadavky štandardu správy cloud computingu, a to aj ak správa nie je zabezpečovaná orgánom riadenia,

b)

len takej dohody o poskytovanej úrovni cloudových služieb, ktorá je dohodou o poskytovanej úrovni cloudových služieb podľa § 41 písm. d),

c)

cloudových služieb informačnými systémami verejnej správy, len ak

1.

má poskytovateľ cloudových služieb sídlo alebo miesto podnikania v členskom štáte Európskej únie, v zmluvnej strane Dohody o Európskom hospodárskom priestore alebo v krajine s primeranou ochranou osobných údajov podľa osobitného predpisu,25)

2.

má sprostredkovateľ cloudových služieb sídlo alebo miesto podnikania v členskom štáte Európskej únie, v zmluvnej strane Dohody o Európskom hospodárskom priestore alebo v krajine s primeranou ochranou osobných údajov podľa osobitného predpisu,25) ak sa predpokladá alebo existuje zmluvný vzťah so sprostredkovateľom cloudových služieb,

3.

sa spracúvanie a uloženie údajov uskutočňuje na území členských štátov Európskej únie, zmluvných strán Dohody o Európskom hospodárskom priestore a krajín s primeranou ochranou osobných údajov podľa osobitného predpisu25) a

4.

je pre takýto informačný systém verejnej správy vypracovaná a udržiavaná aktuálna klasifikácia údajov, ktoré obsahuje.

(2)

Obmedzenie podľa odseku 1 písm. c) prvého až tretieho bodu sa nevzťahuje na otvorené údaje.

§ 46

Prijímanie a čítanie podpísaných elektronických dokumentov

(1)

Na účely tejto vyhlášky sa rozumie

a)

podpísaným elektronickým dokumentom externe podpísaný elektronický dokument alebo priamo podpísaný elektronický dokument,

b)

externe podpísaným elektronickým dokumentom podpísaný alebo zapečatený elektronický dokument, ku ktorému sú elektronický podpis, ktorými sa podpisuje alebo elektronická pečať, ktorou sa pečatí, pripojené prostredníctvom podpisového kontajnera prostredníctvom formátu podpisu alebo ako samostatné súbory,

c)

priamo podpísaným elektronickým dokumentom podpísaný alebo zapečatený elektronický dokument, ku ktorému sú elektronický podpis, ktorými sa podpisuje alebo elektronická pečať, ktorou sa pečatí pripojené ako jeho súčasť,

d)

validáciou formátu elektronického dokumentu overenie súladu formátu súboru s príslušnou špecifikáciou alebo normou programovými prostriedkami.

(2)

Štandardom prijímania a čítania podpísaných elektronických dokumentov je prijímanie a čítanie

a)

priamo podpísaných elektronických dokumentov vo formáte

1.

textových súborov Portable Document Format (.pdf) podľa osobitného predpisu26) vo verzii A-1 (PDF/A-1),A-2 (PDF/A-2) a A-3 (PDF/A-3) najmä podľa technickej normy,27)

2.

textových súborov podľa § 19 písm. a) druhého bodu, ak nejde o použitie na zaručenú konverziu podľa osobitného predpisu,28)

b)

externe podpísaných elektronických dokumentov vo formáte

1.

textových súborov Portable Document Format (.pdf) vo verzii A-1 (PDF/A-1), A-2 (PDF/A-2) a A-3 (PDF/A-3) najmä podľa technickej normy,27)

2.

textových súborov podľa § 19 písm. a) druhého bodu, ak nejde o použitie na zaručenú konverziu podľa osobitného predpisu,28)

3.

textových súborov podľa § 19 písm. a) tretieho bodu,

4.

grafických súborov podľa § 20 písm. a) druhého bodu,

c)

elektronických dokumentov vo formáte jazyka pre prenos dátových prvkov podľa § 12 v štruktúre podľa prílohy č. 7 (ďalej len „kontajner XML údajov“), pričom ak nejde o vyplnené údaje elektronického formulára, zároveň

1.

sa v tomto elektronickom dokumente používa znaková sada podľa § 13 písm. c),

2.

schéma tohto elektronického dokumentu je vytvorená podľa § 13 písm. a),

3.

transformácia tohto elektronického dokumentu je vytváraná podľa § 13 písm. d) a zabezpečuje vytvorenie podpisovej prezentácie vo formáte podľa prílohy č. 1 bodu 2.6.7,

d)

iných formátov elektronických dokumentov ako uvedených v písmenách a) až c), ak sa na tom zasielateľ a prijímateľ dohodnú,

e)

formátov elektronických dokumentov podľa písmen a) až d) validovaných spôsobom podľa § 50,

f)

podpísaných elektronických dokumentov podľa písmena a) podpísaných viacerými osobami, len ak tieto osoby podpísali rovnaký informačný obsah elektronického dokumentu,

g)

podpísaných elektronických dokumentov podľa písmena a) podpísaných viacerými osobami, ak niektorá z týchto osôb podpísala iný informačný obsah tohto elektronického dokumentu ako ostatné osoby, ak sa o tom zasielateľ a prijímateľ dohodnú,

h)

podpísaných elektronických dokumentov podľa písmen a) a b), ak neobsahujú vnorené súbory.

§ 47

Prijímanie a čítanie podpisových kontajnerov

Štandardom prijímania a čítania podpisových kontajnerov je prijímanie a čítanie

a)

podpisového kontajneru vo formáte Associated Signature Containers (.asics, .scs, .asice, .sce) podľa osobitného predpisu26) a podľa európskych normalizačných produktov,29) a to^aj viacnásobne vnoreného, pričom vnorený kontajner môže byť aj formát ZIP podľa európskej normy30) alebo formát podľa § 25 ods. 1 písm. a) prvého bodu,

b)

iných formátov podpisových kontajnerov ako uvedených v písmenách a) a c), ak sa na tom zasielateľ a prijímateľ dohodnú,

c)

modulom centrálnej elektronickej podateľne externe podpísaných elektronických dokumentov alebo v ZEPf transportnom kontajneri obsahujúcom podpísaný dokument a jeho podpis CMS AdES alebo XML AdES podľa zverejnenej osobitnej špecifikácie,31) pričom modul centrálnej elektronickej podateľne zabezpečuje aj overenie elektronického podpisu vyhotoveného podľa pravidiel platných do 30. júna 2016, ak takýto podpis strana spoliehajúca sa na podpis akceptuje; na overenie podpisov sa obsah transportného kontajnera ZEPf alebo samostatné podpisy a nimi podpísané dokumenty môžu uložiť do formátu ASiC podľa písmena a),

d)

priamo podpísaných elektronických dokumentov podľa § 46 ods. 2 písm. a), ktoré sú zároveň externe podpísanými elektronickými dokumentmi podľa § 46 ods. 2 písm. b) prvého bodu alebo druhého bodu v podpisových kontajneroch podľa písmena a),

e)

viacnásobne vnorených podpisových kontajnerov podľa písmena a), ak počet viacnásobných vnorení podpisových kontajnerov nepresiahne počet určený podľa § 50.

§ 48

Vytváranie podpisových kontajnerov a podpísaných elektronických dokumentov

Štandardom vytvárania podpisových kontajnerov a podpísaných elektronických dokumentov je

a)

pri úkonoch súvisiacich s poskytovaním elektronických služieb verejnej správy, povinným poskytovaním informácií podľa osobitných predpisov,5) alebo ak je podpísaním vykonaná autorizácia podľa osobitného predpisu,32) používanie formátov podľa § 46 ods. 2 písm. a) prvého bodu, písm. b) prvého, tretieho a štvrtého bodu, písm. c), e) a h) a § 47 písm. a),

b)

používanie iných formátov ako uvedených v písmene a), napríklad ostatných formátov podľa § 19 až 24, ak sa na tom všetky strany príslušnej komunikácie dohodnú, s vedomím možných škôd a nezrovnalostí v ďalšom konaní vyplývajúcich z takého postupu,

c)

spravidla nevytváranie viacnásobne vnorených podpisových kontajnerov, s výnimkou uchovávania elektronických podpisov, elektronických pečatí alebo certifikátov, ktoré s týmito vnorenými podpismi alebo pečaťami súvisia,

d)

vytváranie formátov podľa písmena a) v súlade s validáciami podľa § 50, ak je to preukázateľne a objektívne možné,

e)

používanie paralelných podpisov v podpisovom kontajneri podľa § 47 písm. a) pri spoločnej autorizácii podľa osobitného predpisu,33)

f)

vykonanie zaručenej konverzie pre formáty elektronických podpisov vyhotovených podľa pravidiel platných do 30. júna 2016 v iných formátoch než sú uvedené v § 46 ods. 2 písm. a) a § 47 písm. a), ak takýto podpis strana spoliehajúca sa na podpis akceptuje, pre vytváranie opakovanej autorizácie alebo spoločnej autorizácie podľa osobitného predpisu,33)

g)

pri autorizácii podľa osobitného predpisu34) zahrnutie kvalifikovanej časovej pečiatky do autorizácie v podpise XML AdES v prvkoch AllDataObjectsTimeStamp alebo IndividualDataObjectsTimeStamp a v podpise CMS AdES v prvku contentTimestamp,

h)

používanie elektronických podpisov bez použitia odkazov na element typu „http://www.w3.org/2000/09/xmldsig#Manifest“.

§ 49

Identifikovanie formátu podpísaného elektronického dokumentu, identifikovanie formátu podpisového kontajneru a identifikovanie podpísaného elektronického dokumentu

(1)

Štandardom identifikovania formátu podpísaného elektronického dokumentu sú hodnoty identifikátorov podľa prílohy č. 8 prvého bodu.

(2)

Štandardom identifikovania formátu podpisového kontajneru sú hodnoty identifikátorov podľa prílohy č. 8 druhého bodu.

(3)

Štandardom identifikovania podpísaného elektronického dokumentu je identifikátor35) obsahujúci hash hodnotu z podpísaného elektronického dokumentu. Štandardom identifikovania podpísaného elektronického dokumentu pri viacerých podpisoch podľa § 46 ods. 2 písm. f) a g) alebo vo formáte podľa § 47 písm. a) je identifikátor36) obsahujúci hash hodnotu z digitálneho podpisu, DER kódovaného výsledku asymetrickej funkcie, podpísaného elektronického dokumentu.

§ 50

Validácia formátov podpísaných elektronických dokumentov

(1)

Štandardom použitia validácie formátu dokumentu pri prijímaní alebo vytváraní elektronicky podpísaných dokumentov orgánom riadenia je validácia určená orgánom vedenia a zverejnená v centrálnom metainformačnom systéme.

(2)

Ak orgán vedenia danému formát neurčil validáciu orgán riadenia môže použiť validáciu, ktorú vydá podľa § 24 ods. 5 zákona; orgán riadenia úplnú funkčnosť validácie verejne zdokumentuje v centrálnom metainformačnom systéme.

(3)

Ak je na validáciu určený referenčný softvér, referenčný softvér musí spĺňať požiadavky na klientske aplikácie podľa § 36 písm. b) a c), musí byť voľne dostupný, jeho zdrojové kódy musia byť zverejnené a musí ho byť možné na ľubovoľný účel upravovať, šíriť a používať.

§ 51

Základné číselníky

(1)

Štandardom základných číselníkov zverejňovaných alebo sprístupňovaných na použitie inými informačnými systémami verejnej správy je

a)

používanie dátovej štruktúry základného číselníka podľa prílohy č. 9,

b)

vytváranie názvu základného číselníka tak, že stručne a zrozumiteľne opisuje obsah tohto číselníka,

c)

vytváranie položiek základného číselníka najmenej v slovenskej jazykovej verzii,

d)

vytváranie jazykových verzií položky základného číselníka prostredníctvom príslušných dátových prvkov ako súčasti príslušnej položky základného číselníka,

e)

poskytovanie jazykovej verzie, len ak sú hodnoty dátového prvku „Názov položky“ všetkých položiek základného číselníka vyplnené v príslušnej jazykovej verzii,

f)

vytváranie dátových prvkov položky základného číselníka typov „Lokalizovaný dátový prvok“ a „Lokalizovaný dátový prvok s históriou“ v jednom jazyku jedenkrát,

g)

nevytváranie súčasne účinných dátových prvkov položky základného číselníka typov „Dátový prvok s históriou“ a „Lokalizovaný dátový prvok s históriou“,

h)

upravovanie alebo pridávanie hodnôt dátových prvkov položky základného číselníka typov „Dátový prvok s históriou“ alebo „Lokalizovaný dátový prvok s históriou“, ktorá nadobudla účinnosť ukončením účinnosti príslušného pôvodného dátového prvku, ak existuje, a vznikom nového dátového prvku s upravenou alebo pridanou hodnotou a s účinnosťou nasledujúcou bezprostredne po ukončenej účinnosti pôvodného dátového prvku na úrovni sekúnd; ak ide o nový dátový prvok, ktorý položka dovtedy neupravovala alebo ktorý nemal hodnotu, účinnosť sa určuje na základe vlastného uváženia,

i)

upravovanie alebo pridávanie hodnôt dátových prvkov položky základného číselníka iného typu ako uvedeného v písmene h) priamym prepísaním existujúcich hodnôt alebo pridaním nových hodnôt,

j)

nemožnosť vymazania položky základného číselníka, ktorá nadobudla účinnosť, a to ani po jej ukončení,

k)

vytváranie položky základného číselníka s obnovenou účinnosťou zmenou dátového prvku „Účinný od“ tejto položky postupom podľa písmena h); iné dátové prvky tejto položky sa vtedy neupravujú,

l)

poskytovanie všetkých povinných dátových prvkov položky základného číselníka podľa prílohy č. 9 s vyplnenými hodnotami, a to pre všetky položky základného číselníka,

m)

vytváranie identifikátorov položiek základného číselníka ako jednotných referencovateľných identifikátorov, a to podľa zoznamu referencovateľných identifikátorov zverejňovaného prostredníctvom centrálneho metainformačného systému.

(2)

Štruktúru základného číselníka podľa odseku 1 písm. a) je možné na vnútorné účely použitia iným informačným systémom verejnej správy v tomto informačnom systéme rozšíriť o nové atribúty alebo položky; takto upravený číselník sa označuje ako rozšírený číselník, pričom tento číselník nie je základným číselníkom.

(3)

Základné číselníky sa v elektronických formulároch používajú spravidla so všetkými položkami, ktoré sú v období účinnosti príslušného elektronického formulára legislatívne uznateľné.

(4)

Pri prenose dátových prvkov alebo ich atribútov, ktorých hodnoty sú založené na základných číselníkoch, sa používa najmenej hodnota dátového prvku základného číselníka „kód položky“ alebo identifikátor položky základného číselníka.

§ 52

Federácia identít

Štandardom federácie identít je používanie protokolu Security Assertion Markup Language (SAML) vo verzii 2.0 podľa Organization for the Advancement of Structured Information Standards (OASIS) pri federácii identít informačných systémov verejnej správy, pričom ak je poskytovateľom identít správca ústredného portálu verejnej správy

a)

pre protokol Security Assertion Markup Language (SAML) sa používa

1.

profil Web Browser Single Sign-On Profile s technickým spôsobom jeho vykonania prostredníctvom HTTP-POST alebo HTTP-Redirect, alebo

2.

profil Single Logout Profile s technickým spôsobom jeho vykonania prostredníctvom HTTP-POST, HTTP-Redirect alebo Simple Object Access Protocol (SOAP) najmenej vo verzii 1.2,

b)

dátová štruktúra Security Assertion Markup Language (SAML) Assertion pre prenos autentifikačných informácií medzi poskytovateľom služby a poskytovateľom identity má atribúty podľa prílohy č. 10.

§ 53

Spoločné ustanovenie

Ak sa v tejto vyhláške ustanovuje použitie postupu podľa technickej normy, slovenskej technickej normy, európskeho normalizačného produktu alebo európskej normy, je možné postupovať aj podľa ich ekvivalentu, ak sa takýmto postupom dosiahne rovnaký výsledok a dodržia sa ustanovenia tejto vyhlášky. Pri pochybnostiach o vhodnosti použitia ekvivalentnej normy alebo špecifikácie podľa prvej vety je rozhodujúce vyjadrenie orgánu vedenia k možnosti ich použitia.

§ 54

Prechodné ustanovenia

(1)

Textové súbory a grafické súbory vo formáte Shockwave Flash (.swf) zverejnené vo formáte podľa štandardov informačných systémov verejnej správy účinných do 14. marca 2014 je možné takto zverejňovať aj po účinnosti tejto vyhlášky.

(2)

Súbory obsahujúce tabuľky, audio a video súbory a audio a video streaming zverejnené vo formáte podľa štandardov pre informačné systémy verejnej správy účinných do 14. marca 2015 je možné takto zverejňovať aj po účinnosti tejto vyhlášky.

(3)

Súbory obsahujúce tabuľky vytvorené informačnými systémami verejnej správy do 14. marca 2016 je možné ponechať v pôvodnom formáte aj po účinnosti tejto vyhlášky.

(4)

Pri webových sídlach, ktoré sú uverejnené do 14. novembra 2018, sa pri uplatňovaní štandardov podľa § 14, § 15 a § 17 postupuje do 15. novembra 2020 podľa štandardov pre informačné systémy verejnej správy účinných do 15. novembra 2018.

(5)

Pri webových sídlach, ktoré sú uverejnené od 14. novembra 2018 do 28. februára 2019, sa pri uplatňovaní štandardov podľa § 15 ods. 1 písm. a) postupuje do 15. novembra 2020 podľa štandardov pre informačné systémy verejnej správy účinných do 28. februára 2019.

(6)

Schéma správ Sk-Talk najmenej vo verzii 3.0 pre asynchrónnu komunikáciu s ústredným portálom verejnej správy je štandardom najneskôr od 1. mája 2021 a do 30. apríla 2021 je možné na tento účel používať schému správ Sk-Talk najmenej vo verzii 2.0.

(7)

Ak ide o služby zverejnené pred dňom účinnosti tejto vyhlášky, podľa štandardu pre tvorbu názvoslovia podľa § 26 sa postupuje od 1. januára 2022.

(8)

Pri vytváraní podpisových kontajnerov a podpísaných elektronických dokumentov podľa § 48 písm. h) sa postupuje najneskôr od 1. mája 2021.

(9)

Pri uplatňovaní štandardov pre elektronické formuláre sa podľa prílohy č. 1

a)

bodu 2.3.9 postupuje najneskôr od 1. januára 2021,

b)

bodu 2.3.10 postupuje najneskôr od 1. januára 2021 a táto povinnosť sa vzťahuje aj na elektronické formuláre zverejnené do dátumu účinnosti tejto vyhlášky,

c)

bodu 7.2.1 písm. m) postupuje najneskôr od 1. januára 2021 a ak ide o elektronické formuláre zverejnené do 31. decembra 2020, postupuje sa podľa štandardov pre informačné systémy verejnej správy účinných do dňa účinnosti tejto vyhlášky.

§ 55

Touto vyhláškou sa preberajú právne záväzné akty Európskej únie uvedené v prílohe č. 11.

§ 56

Zrušovacie ustanovenie

Zrušujú sa § 1 písm. a) až d) a f) až l), § 3 až 28, § 45 až 61b, prílohy č. 1 až 7 a 9 až 14 výnosu Ministerstva financií Slovenskej republiky č. 55/2014 Z. z. o štandardoch pre informačné systémy verejnej správy v znení výnosu č. 276/2014 Z. z., výnosu č. 137/2015 Z. z., opatrenia č. 1521/2018/oLG-5 (oznámenie č. 78/2018 Z. z.), opatrenia č. 311/2018 Z. z. a opatrenia č. 56/2019 Z. z.

§ 57

Účinnosť

Táto vyhláška nadobúda účinnosť 1. mája 2020 okrem § 14 ods. 2, ktorý nadobúda účinnosť 23. júna 2021.

Patrik Krauspe v. r.