Právní úprava, která se týká kybernetické bezpečnosti v České republice, je převážně obsažena v zákoně č. 181/2014 Sb. , o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti).[2]

Cílem tohoto článku je upozornit na aktuální legislativní vývoj v oblasti kyberbezpečnosti, tj. na dvě aktuální novely zákona o kybernetické bezpečnosti, a to zejména na širší osobní působnost zákona.

Novela v podobě zákona č.  205/2017 Sb.

Ačkoli zákon o kybernetické bezpečnosti z velké části odpovídá požadavkům plynoucím z evropského práva, proklamovaným stěžejním důvodem[3] přijetí novely č.  205/2017 Sb. je právě záměr harmonizace s evropským právem, konkrétně transpozice směrnice Evropského parlamentu a Rady (EU) 2016/1148 ze dne 6. července 2016 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii (směrnice NIS).[4] Nutno upozornit, že novela nabývá účinnosti prvním dnem prvního kalendářního měsíce po dni vyhlášení zákona (tj. účinnost nastává ke dni 1. 8. 2017.

Reklama

Nemáte ještě registraci na epravo.cz?

Registrujte se, získejte řadu výhod a jako dárek Vám zašleme aktuální online kurz na využití umělé inteligence v praxi.

REGISTROVAT ZDE

1. Rozšíření osobní působnosti:

Novela zákona o kybernetické bezpečnosti v prvé řadě rozšiřuje okruh osob, které doposud právní úpravě nebyly podřízeny (dle toho bude muset být provedena také úprava prováděcích právních předpisů zákona o kybernetické bezpečnosti). V návaznosti na shora uvedenou směrnici Evropského parlamentu a Rady novela zákona doplňuje seznam povinných osob, když v nově vymezeném ust. § 3 jsou pod následujícími písmeny doplněny tyto osoby:

f) správce a provozovatel informačního systému základní služby, pokud nejsou správcem podle písmene c) nebo d),
g) provozovatel základní služby, pokud není správcem nebo provozovatelem podle písmene f), a
h) poskytovatel digitální služby.

V případě osoby správce informačního systému základní služby je očekáváno, že bude zpravidla identický s provozovatelem základní služby (provozovatelem základní služby je odpovědný za poskytování základní služby, přičemž v rámci výkonu této odpovědnosti může být rovněž správcem informačního systému základní služby). Nová kategorie základních služeb, v návaznosti na požadavek evropského práva, fakticky představuje vnitrostátní kritickou infrastrukturu, jejíž narušení by mohlo mít významný dopad na zabezpečení společenských nebo ekonomických činností v odvětví energetiky, dopravy, bankovnictví, infrastruktury finančních trhů, zdravotnictví, vodního hospodářství, digitální infrastruktury a chemického průmyslu. Zákonem stanovené povinnosti budou v největším rozsahu dopadat na správce, resp. provozovatele informačního systému základní služby (v menším rozsahu na poskytovatele digitální služby). Provozovatelé základní služby budou určeni v souladu s ust. § 22a zákona nově zřizovaným Národním úřadem pro kybernetickou a informační bezpečnost na základě dopadových a odvětvových kritérií (tedy obdobným způsobem, jako byly doposud určovány prvky kritické infrastruktury).

Jak bylo řečeno shora, zákon o kybernetické bezpečnosti nově ukládá některé povinnosti poskytovatelům digitální služeb. Digitální službou se dle ust. § 2 písm. l) zákona o kybernetické společnosti rozumí služba informační společnosti podle zákona č. 480/2004 Sb. , o některých službách informační společnosti a o změně některých zákonů, ve znění pozdějších předpisů, která spočívá v provozování

1. on-line tržiště (marketplace), které spotřebiteli nebo prodávajícímu umožňuje on-line uzavírat s prodávajícím podnikatelem kupní smlouvu nebo smlouvu o poskytnutí služeb, a to prostřednictvím internetové stránky on-line tržiště nebo prostřednictvím internetové stránky prodávajícího, který využívá službu poskytovanou on-line tržištěm,

2. internetového vyhledávače, který umožňuje provádět vyhledávání v zásadě na všech internetových stránkách, a to na základě dotazu uživatele na jakékoliv téma v podobě klíčového slova, sousloví nebo jiného zadání, přičemž služba poskytuje odkazy, na nichž lze nalézt informace související s požadovaným obsahem (nejedná se tedy o funkcionalitu vyhledávání v rámci jedné konkrétní internetové stránky), nebo

3. cloud computingu, který umožňuje přístup k rozšířitelnému a přizpůsobitelnému úložišti nebo výpočetním zdrojům, které je možné sdílet

Podle nového ust. § 4 odst. 5 zákona orgány a osoby uvedené v § 3 písm. c) až g) zákona, které jsou orgány veřejné moci, jsou povinny si ve smlouvě, kterou uzavírají s poskytovatelem služeb cloud computingu, zajistit alespoň to, že jim budou na základě jejich žádosti bez zbytečného odkladu poskytnuty informace a data, která pro ně poskytovatel služeb cloud computingu uchovává, a bez zbytečného odkladu umožněna jejich kontrola.

Dle přechodných ustanovení platí obecná lhůta 1 roku ode dne nabytí účinnosti novely zákona k tomu, aby orgány a osoby uvedené v § 3 písm. c) až f) zákona uvedly smluvní vztah do souladu se všemi požadavky, pokud podmínky jejich smluvního vztahu uzavřeného s dodavatelem pro jejich informační nebo komunikační systém neodpovídají v plném rozsahu zákonným požadavkům.

Lhůty pro splnění nových povinností správce a provozovatele informačního sytému základní služby, resp. poskytovatele digitální služby jsou uvedeny v přechodných ustanoveních, která jsou obsažena v části první, čl. II předmětné novely.

2.  Nový institucionální model

Novela zákona o kybernetické bezpečnosti předpokládá institucionální změny, konkrétně zřízení nového správního úřadu pro oblast kybernetické bezpečnosti, tj. Národního úřadu pro kybernetickou a informační bezpečnost, který převezme dosavadní kompetence od Národního bezpečnostního úřadu (blíže viz § 21a zákona o kybernetické bezpečnosti ve znění novely).

Novela v podobě zákona č. 104/2017 Sb.

V souvislosti se shora uvedeným si dovolujeme upozornit na dříve schválenou novelu zákona o kybernetické bezpečnosti, tj. zákon č. 104/2017 Sb. , kterým se mění zákon č. 365/2000 Sb. , o informačních systémech veřejné správy a o změně některých dalších zákonů, ve znění pozdějších předpisů, zákon o kybernetické bezpečnosti a některé další zákony. Tato novela nabyla účinnosti dne 1. 7. 2017.

Obdobně jako shora uvedenou novelou došlo k rozšíření okruhu povinných osob, které podléhají působnosti zákona. Konkrétně v ust. § 3 zákon zavedl novou kategorii osob -  provozovatelů informačního systému nebo komunikačního systému a v návaznosti na uvedené v ust. § 6a nově upravil vztah mezi správcem (tj. osobou určující účel systému) a provozovatelem (např. externím dodavatelem).[5] Právní úprava tedy dopadá na dodavatelské vztahy, když nově určuje povinnosti nejen správci, ale přímo osobám v pozici provozovatele systému (např. povinnost provozovatele hlásit kybernetické bezpečnostní incidenty), přičemž nedodržení jednotlivých povinností provozovatele také stíhá nově zakotvenými pokutami za správní delikt (viz ust. § 25 zákona o kybernetické bezpečnosti).

Z pohledu úkolů provozovatele bychom upozornili zejména na novou povinnost plynoucí z ust. § 6a a § 15a zákona o kybernetické bezpečnosti. Uvedená ustanovení ukládají provozovateli informačního nebo komunikačního systému povinnost předat na vyžádání správce systému, resp. v důsledku autoritativního rozhodnutí úřadu data, provozní údaje a informace, které má provozovatel k dispozici v souvislosti s provozováním tohoto systému. Přesný rozsah předávaných dat není dle našeho názoru zřejmý zejména v případě záměru ukončení provozu systému, kdy provozovatel má správci předat provozní údaje a informace, které má k dispozici v souvislosti s provozováním systému a které jsou nezbytné pro případné další provozování tohoto informačního systému nebo pro jeho jiné využití.

Lhůty pro splnění nových povinností provozovatele jsou opět stanoveny přechodnými ustanovení, která jsou obsažena v části druhé zákona č. 104/2017 Sb. [6]

 


Mgr. David Mareš , Ph.D.,
autor



Mgr. Ing. Eva Crháková,
spoluautorka


MT Legal s.r.o., advokátní kancelář

Jugoslávská 620/29
120 00 Praha 2

Tel.:    +420 222 866 555
Fax:    +420 222 866 546
e-mail:    info@mt-legal.com

Jakubská 121/1
602 00 Brno 2

Tel.:    +420 542 210 351
e-mail:    info@mt-legal.com

Bukovanského 1345/30
710 00 Ostrava – Slezská Ostrava

Tel.:    +420 596 629 503
e-mail:    info@mt-legal.com


__________________________________
[1] Zejména pokud je o útoky vedené proti prvkům kritické infrastruktury (např. proti energetické či dopravní infrastruktuře, informačním systémům veřejné správy apod.). K uvedenému přistupuje aspekt, že kybernetický prostor není teritoriálně omezený a je nutné prevenci i reakci na útoky řešit v nadnárodním měřítku a globálně.
[2] Zvláštní právní úprava je dále vtělena např. do zákona č. 480/2004 Sb. , o některých službách informační společnosti a o změně některých zákonů, ve znění pozdějších předpisů, zákona č. 127/2005 Sb. , o elektronických komunikacích, ve znění pozdějších předpisů anebo zákona č. 412/2005 Sb. , o ochraně utajovaných informací a o bezpečnostní způsobilosti, ve znění pozdějších předpisů, pokud se jedná o zabezpečení informačních a komunikačních systémů nakládajících s utajovanými informacemi.
[3] Kromě nutnosti odstranit některé nedostatky stávající právní úpravy kybernetické bezpečnosti.
[4] Blíže viz také důvodová zpráva, dostupná na www, k dispozici >>> zde.
[5] Provozovatelem informačního nebo komunikačního systému se ve smyslu ust. § 2 písm. g) zákona o kybernetické bezpečnosti rozumí orgán nebo osoba zajišťující funkčnost technických a programových prostředků tvořících informační nebo komunikační systém.
[6] Bližší informace o změnách provedených novelou a jejich základní charakteristika jsou např. dostupné na www, k dispozici >>> zde.


© EPRAVO.CZ – Sbírka zákonů, judikatura, právo | www.epravo.cz