Elektronická knihovna legislativního procesu - textová podoba dokumentu

                N á v r h
VYHLÁŠKA
ze dne …… 2022
o bezpečnostních pravidlech pro využívání služeb cloud computingu                  orgány veřejné moci
Národní úřad pro kybernetickou a informační bezpečnost (dále jen „Úřad“) stanoví podle § 28 odst. 2 písm. a) zákona č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění zákona č. 205/2017 Sb., (dále jen „zákon“): 
§ 1
Předmět úpravy
Tato vyhláška stanoví bezpečnostní pravidla pro využívání služeb cloud computingu orgány veřejné moci podle § 6 písm. e) zákona, jejichž cílem je zajištění bezpečnosti informací[footnoteRef:1]) při využívání služeb cloud computingu orgány veřejné moci. [1: ) § 2 písm. c) zákona.] 

§ 2
Základní pojmy
Pro účely této vyhlášky se rozumí
a) uživatelem ten, kdo služby cloud computingu prostřednictvím orgánu veřejné moci využívá, nebo administrátor na straně orgánu veřejné moci,
b) administrátorem ten, kdo zajišťuje správu, provoz, použití, údržbu a bezpečnost technického aktiva,
c) zákaznickými daty všechna data, která jsou uživatelem vložena do služby cloud computingu nebo jsou výsledkem využití služby cloud computingu uživatelem v průběhu využívání služby cloud computingu,
d) zákaznickým obsahem textová, zvuková, audiovizuální, obrazová nebo jiná data, která byla uživatelem do služby cloud computingu vložena, a to bez jejich metadat, a indexy k těmto datům, 
e) provozními údaji data vygenerovaná nebo odvozená poskytovatelem v souvislosti s poskytováním služby cloud computingu,  
f) specifickými provozními údaji takové provozní údaje, které obsahují informace o identifikovaném nebo identifikovatelném uživateli, 
g) zpracováním jakákoliv operace nebo soubor operací se zákaznickými daty nebo provozními údaji v elektronické podobě, prováděné pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení,
h) provozním incidentem jakékoliv narušení poskytování služby cloud computingu, které není kybernetickým bezpečnostním incidentem,
i) subdodavatelem dodavatel poskytovatele služeb cloud computingu s vlivem na bezpečnost informací služby cloud computingu, 
j) technickým aktivem takové technické vybavení, komunikační prostředky a programové vybavení služby cloud computingu, jejichž selhání může mít dopad na službu cloud computingu.
§ 3
Požadavky na způsobilost zajistit základní úroveň ochrany důvěrnosti, integrity a dostupnosti informací orgánu veřejné moci
(1) Bezpečnostní pravidla stanovují minimální požadavky pro využívání služby cloud computingu orgánem veřejné moci v příslušné třídě[footnoteRef:2]) a bezpečnostní úrovni[footnoteRef:3]) cloud computingu. [2: ) Vyhláška č. 433/2020 Sb., o údajích vedených v katalogu cloud computingu.]  [3: ) Vyhláška č. 315/2021 Sb., o bezpečnostních úrovních pro využívání cloud computingu orgány veřejné moci.] 

(2) Bezpečnostní pravidla pro orgány veřejné moci jsou stanovena v přílohách č. 1 a 2 k této vyhlášce.
(3) U bezpečnostních pravidel odpovídajících bezpečnostní úrovni poptávaného cloud computingu a poptávané třídě cloud computingu uvedených v příloze č. 1 k této vyhlášce zajistí orgán veřejné moci jejich splnění vždy, a to způsobem vyplývajícím ze znění samotného pravidla.
(4) Bezpečnostní pravidla uvedená v příloze č. 2 k této vyhlášce se uplatní v rozsahu, v jakém jsou aplikovatelná a nezbytná pro zajištění bezpečnosti informací. Orgán veřejné moci vyhodnotí jejich aplikovatelnost, s ohledem na způsob a účel využití dané služby cloud computingu, a jejich nezbytnost pro zajištění bezpečnosti informací v dané službě cloud computingu, s ohledem na požadavky orgánu veřejné moci na zajištění bezpečnosti informací v dané službě cloud computingu a hodnocení rizik, je-li k jeho provedení orgán veřejné moci povinen.
(5) V případě, že orgán veřejné moci vyhodnotí, že pravidla obsažená v příloze č. 2 k této vyhlášce jsou aplikovatelná a nezbytná pro zajištění bezpečnosti informací v dané službě cloud computingu, zajistí jejich splnění. 
(6) Každé z bezpečnostních pravidel uvedených v příloze č. 2 k této vyhlášce lze splnit způsobem vyplývajícím ze znění samotného pravidla nebo jiným doložitelným způsobem, který zajistí stejnou nebo vyšší úroveň bezpečnosti informací.
§ 4
Postup orgánu veřejné moci při vyhodnocování aplikovatelnosti a nezbytnosti a definování požadavků na zajištění bezpečnosti informací
(1) O vyhodnocení aplikovatelnosti a nezbytnosti pro zajištění bezpečnosti informací podle § 3 odst. 3 u jednotlivých bezpečnostních pravidel uvedených v příloze č. 2 k této vyhlášce provede orgán veřejné moci písemný záznam, ve kterém ke každému z neaplikovatelných bezpečnostních pravidel uvede důvod jeho neaplikovatelnosti. 
(2) V případě, že bezpečnostní pravidlo uvedené v příloze č. 2 k této vyhlášce je aplikovatelné a není nezbytné pro zajištění bezpečnosti informací, uvede orgán veřejné moci, proč toto bezpečnostní pravidlo není nezbytné pro zajištění bezpečnosti informací v dané službě cloud computingu. 
(3) V případě, že bezpečnostní pravidlo uvedené v příloze č. 2 k této vyhlášce je aplikovatelné a nezbytné pro zajištění bezpečnosti informací, uvede orgán veřejné moci způsob jeho splnění. 
(4) Písemný záznam podle odstavce 1 orgán veřejné moci archivuje po celou dobu využívání služby cloud computingu, nejméně však po dobu 10 let od započetí využívání dané služby cloud computingu. 
(5) Při definování požadavků pro posouzení nezbytnosti podle § 3 odst. 3 na zajištění bezpečnosti informací v dané službě cloud computingu orgán veřejné moci zohlední zejména 
a) způsob, účel využití a typ služby cloud computingu,
b) jaké informace a data bude vkládat do služby cloud computingu,
c) jaký význam pro orgán veřejné moci mají informace a data vkládané do služby cloud computingu, 
d) že informace a data uložené ve službě cloud computingu mohou být předmětem přístupu a správy ze strany poskytovatele,
e) že informace a data mohou být ve službě cloud computingu dlouhodobě uložené, 
f) že informace a data mohou být zpracovávané v rámci služby cloud computingu s vícenásobným pronájmem,
g) bezpečnostní povědomí uživatelů služby cloud computingu, a kontext, ve kterém využívají službu cloud computingu,
h) bezpečnostní povědomí a vzdělání administrátorů na straně orgánu veřejné moci,  
i) geografickou polohu organizace poskytovatele a země, ve kterých může poskytovatel ukládat data orgánu veřejné moci.
§ 5
Přechodná ustanovení
(1) Orgán veřejné moci může využívat službu cloud computingu, u níž nezajištuje dodržování bezpečnostních pravidel stanovených touto vyhláškou a již využívá na základě smlouvy s poskytovatelem uzavřené přede dnem nabytí účinnosti této vyhlášky nebo smlouvy uzavřené na základě této smlouvy, do 31. prosince 2023.
(2) Orgán veřejné moci může využívat službu cloud computingu obsaženou v nabídce cloud computingu zapsanou do katalogu cloud computingu podle § 6k zákona č. 365/2000 Sb., o informačních systémech veřejné správy a o změně některých dalších zákonů, ve znění zákona č. 12/2020 Sb. a zákona č. 261/2021 Sb. přede dnem nabytí účinnosti této vyhlášky, u níž nezajišťuje dodržování bezpečnostních pravidel stanovených touto vyhláškou a již využívá na základě smlouvy s poskytovatelem uzavřené po dni nabytí účinnosti této vyhlášky nebo smlouvy uzavřené na základě této smlouvy, do 31. prosince 2023. 
(3) Orgán veřejné moci může využívat službu cloud computingu obsaženou v nabídce cloud computingu zapsané do katalogu cloud computingu na základě řízení zahájeného přede dnem nabytí účinnosti této vyhlášky podle části první hlavy VI zákona č. 365/2000 Sb., u níž nezajišťuje dodržování bezpečnostních pravidel stanovených touto vyhláškou a již využívá na základě smlouvy s poskytovatelem uzavřené po dni nabytí účinnosti této vyhlášky nebo smlouvy uzavřené na základě této smlouvy, do 31. prosince 2023. 
§ 6
Účinnost
Tato vyhláška nabývá účinnosti dnem následujícím po dni jejího vyhlášení.

II.

2

	Příloha č. 1 k vyhlášce č. …/2022 Sb.


	Řádek
	Bezpečnostní pravidlo 
	Bezpečnostní úroveň
	Třída cloud computingu

	1. Obecné podmínky pro službu cloud computingu

	1.1
	Orgán veřejné moci má k dispozici dostatek jasných a srozumitelných informací o provozu služby cloud computingu, poloze zpracování zákaznických dat a rizicích souvisejících se zpracováním zákaznických dat v dané poloze pro vyhodnocení rizik pro bezpečnost informací.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	1.2
	Posouzení rizika předání nebo zpřístupnění dat cizozemským orgánům
Orgán veřejné moci vyhodnocuje rizika pro bezpečnost informací vyplývající z polohy zpracování zákaznických dat a specifických provozních údajů, zejména z možných žádostí cizozemských orgánů o zpřístupnění nebo předání zákaznických dat a specifických provozních údajů, a s tím souvisejícím předáním, nebo zpřístupněním zákaznických dat nebo specifických provozních údajů. Orgán veřejné moci může využívat službu cloud computingu, u které vyhodnotil rizika pro bezpečnost informací jako přijatelná. Vyhodnocení rizik je písemně zaznamenáno.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	1.3
	Trvalé uložení dat na území členských států Evropské unie a členských států Evropského sdružení volného obchodu (dále jen „EU/ESVO")
Zákaznická data ve stavu neaktivních dat jsou uložena nepřetržitě a výlučně na území členských států EU/ESVO. V případě, že služba cloud computingu daný požadavek nesplňuje, poskytovatel takovou službu jasně označuje a uvádí, zda taková služba cloud computingu ukládá zákaznická data ve stavu neaktivních dat v pseudonymizované podobě nebo nepseudonymizované podobě. Poskytovatel uvádí místo uložení zákaznických dat ve stavu neaktivních dat. Na základě označení služby cloud computingu jako služby cloud computingu, která nesplňuje požadavek na uložení zákaznických dat ve stavu neaktivních dat nepřetržitě a výlučně na území členských států EU/ESVO, bude tato služba cloud computingu uvedena na internetových stránkách Úřadu a daný požadavek se na ni neuplatní.  
	3
	IaaS, PaaS, SaaS

	1.4
	Trvalé uložení specifických provozních údajů na území EU/ESVO
Specifické provozní údaje jsou uloženy nepřetržitě a výlučně na území členských států EU/ESVO. V případě, že služba cloud computingu daný požadavek nesplňuje, poskytovatel takovou službu jasně označuje a uvádí, zda taková služba cloud computingu ukládá specifické provozní údaje ve stavu neaktivních dat v pseudonymizované podobě nebo nepseudonymizované podobě. Poskytovatel uvádí místo uložení specifických provozních údajů ve stavu neaktivních dat. Na základě označení služby cloud computingu jako služby cloud computingu, která nesplňuje požadavek na uložení specifických provozních údajů ve stavu neaktivních dat nepřetržitě a výlučně na území členských států EU/ESVO, bude tato služba cloud computingu uvedena na internetových stránkách Úřadu a daný požadavek se na ni neuplatní.
	3
	IaaS, PaaS, SaaS

	1.5
	Omezení zpracování dat mimo území členských států EU/ESVO
Zákaznická data jsou zpracovávána pouze na území členských států EU/ESVO. Aniž jsou dotčeny požadavky stanovené pravidlem upraveným na řádku 1.3 této přílohy, v odůvodněných případech, po nezbytně nutnou dobu a v nezbytném rozsahu mohou být zákaznická data zpracovávána i na území jiných států, pokud v popisu služby cloud computingu bude popsán způsob ochrany zákaznických dat před narušením bezpečnosti informací.
	3
	IaaS, PaaS, SaaS

	1.6
	Omezení zpracování specifických provozních údajů mimo území členských států EU/ESVO
Specifické provozní údaje jsou zpracovávány na území členských států EU/ESVO. Aniž jsou dotčeny požadavky stanovené pravidlem upraveným na řádku 1.4 této přílohy, v odůvodněných případech, po nezbytně nutnou dobu a v nezbytném rozsahu mohou být specifické provozní údaje zpracovávány i na území jiných států, pokud v popisu služby cloud computingu bude popsán způsob ochrany specifických provozních údajů před narušením bezpečnosti informací.
	3
	IaaS, PaaS, SaaS

	1.7
	Omezení zpracování dat mimo území České republiky
Zákaznická data a specifické provozní údaje jsou zpracovávány na území České republiky. Mimo území České republiky mohou být zákaznická data a specifické provozní údaje zpracovávány pouze s výslovným písemným souhlasem orgánu veřejné moci.
	4
	IaaS, PaaS, SaaS

	1.8
	Smluvní ujednání o dostupnosti během běžného provozu
Smlouva o poskytování služby cloud computingu jasně a srozumitelně vymezuje rozsah dostupnosti služby cloud computingu, včetně právních následků porušení sjednaného rozsahu dostupnosti služby cloud computingu. 
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	1.9
	Soulad s certifikací systému řízení bezpečnosti
Služba cloud computingu je provozována v rozsahu systému řízení bezpečnosti informací, který je v souladu s požadavky vyhlášky o kybernetické bezpečnosti[footnoteRef:4]) nebo s požadavky ČSN EN ISO/IEC 27001, EN ISO/IEC 27001 nebo ISO/IEC 27001. [4: ) Vyhláška č. 82/2018 Sb., o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (vyhláška o kybernetické bezpečnosti), ve znění pozdějších předpisů).] 

	1
	IaaS, PaaS, SaaS

	1.10
	Certifikace systému řízení bezpečnosti informací
Služba cloud computingu je provozována v rozsahu systému řízení bezpečnosti informací, který byl certifikován podle ČSN EN ISO/IEC 27001, EN ISO/IEC 27001, nebo ISO/IEC 27001 certifikačním orgánem, který byl akreditován pro ověřování shody s normami ČSN EN ISO/IEC 27001, EN ISO/IEC 27001 nebo ISO/IEC 27001 některým z členů Mezinárodního akreditačního fóra (IAF).
	2, 3, 4
	IaaS, PaaS, SaaS

	1.11
	Certifikace systému řízení bezpečnosti informací s ohledem na opatření bezpečnosti informací pro služby cloud computingu
Služba cloud computingu je provozovaná v souladu s normou ČSN ISO/IEC 27017 nebo ISO/IEC 27017, o čemž vystavil certifikát certifikační orgán, který byl akreditován pro ověřování shody s normami ČSN EN ISO/IEC 27001, EN ISO/IEC 27001 nebo ISO/IEC 27001 některým z členů Mezinárodního akreditačního fóra (IAF). V případě, že rozsah certifikace uvedený na certifikátu nezahrnuje jmenovitě poskytovanou službu cloud computingu, poskytovaná služba cloud computingu musí spadat do rozsahu systému řízení bezpečnosti informací, pro nějž byl daný certifikát vystaven.
	2, 3, 4
	IaaS, PaaS, SaaS

	1.12
	Certifikace služby cloud computingu podle ISO/IEC 27018 
Služba cloud computingu je provozována v souladu s normou ČSN EN ISO/IEC 27018 nebo ISO/IEC 27018, o čemž vystavil certifikát certifikační orgán, který byl akreditován pro ověřování shody s normami ČSN EN ISO/IEC 27001, EN ISO/IEC 27001 nebo ISO/IEC 27001 některým z členů Mezinárodního akreditačního fóra (IAF). V případě, že rozsah certifikace uvedený na certifikátu nezahrnuje jmenovitě poskytovanou službu cloud computingu, poskytovaná služba cloud computingu musí spadat do rozsahu systému řízení bezpečnosti informací, pro nějž byl daný certifikát vystaven.
	2, 3, 4
	IaaS, PaaS, SaaS

	2. Organizace bezpečnosti informací

	2.1
	Systém řízení bezpečnosti informací[footnoteRef:5]) [5: ) § 3 vyhlášky č. 82/2018 Sb.] 

Poskytovatel má zaveden systém řízení bezpečnosti informací. Rozsah systému řízení bezpečnosti informací zahrnuje organizační jednotky poskytovatele, lokality a procesy využívané k poskytování služby cloud computingu. Poskytovatel dokumentuje zavedená opatření pro nastavení, implementaci, údržbu a neustálé zlepšování systému řízení bezpečnosti informací. Dokumentace obsahuje rozsah systému řízení bezpečnosti informací a prohlášení o aplikovatelnosti[footnoteRef:6]), ve kterém je uvedeno, jaká bezpečnostní opatření byla vybrána pro potlačení rizik, a výsledky posledního auditu systému řízení bezpečnosti informací poskytovatele. [6: ) § 5 odst. 1 písm. f) vyhlášky č. 82/2018 Sb.] 

	1, 2, 3, 4
	IaaS, PaaS, SaaS

	2.2
	Politika bezpečnosti informací
Služba cloud computingu se řídí politikou bezpečnosti informací sdílenou, dokumentovanou, verzovanou, kontrolovanou a schválenou   obdobným postupem podle pravidla upraveného na řádku 3.2 této přílohy. Politika bezpečnosti informací popisuje význam bezpečnosti informací, bezpečnostní cíle, úroveň zabezpečení služby cloud computingu, nejvýznamnější aspekty bezpečnostní strategie k dosažení stanovených cílů a organizační strukturu poskytovatele služby cloud computingu v rozsahu systému řízení bezpečnosti informací.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	2.3
	Bezpečnostní opatření
Na základě politiky bezpečnosti informací podle pravidla upraveného na řádku 2.2 této přílohy jsou zavedena přiměřená bezpečnostní opatření.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	3. Politiky

	3.1
	Politika bezpečnosti informací, kterou se řídí poskytování služby cloud computingu, je v souladu s požadavky orgánu veřejné moci na bezpečnost informací.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	3.2 
	Náležitosti politik
Politiky, kterými se řídí poskytování služby cloud computingu, jsou v souladu s politikou bezpečnosti informací zavedenou podle pravidla upraveného na řádku 2.2 této přílohy. Politiky jsou vhodným způsobem sdíleny a sdělovány všem zaměstnancům, externím pracovníkům a subdodavatelům poskytovatele. Politiky jsou schvalovány vrcholovým vedením poskytovatele, dokumentovány v jednotné struktuře, verzovány, kontrolovány a zahrnují zejména:
a) cíle, 
b) rozsah,
c) bezpečnostní role a vymezení odpovědnosti, včetně kvalifikačních požadavků na zaměstnance poskytovatele a pravidel zastupitelnosti,
d) roli jiných organizací a závislost poskytovatele na nich, 
e) postupy pro implementaci politik v rámci bezpečnostní strategie poskytovatele a 
f) platné právní a regulatorní požadavky.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	4. Fyzická bezpečnost

	4.1
	Požadavky na fyzickou bezpečnost a ochranu prostředí před environmentálními vlivy 
Bezpečnostní požadavky na budovy a prostory vztahující se k poskytování služby cloud computingu jsou v souladu s cíli politiky bezpečnosti informací, posouzením rizik fyzické a environmentální bezpečnosti a identifikovanými požadavky na ochranu budov a prostor vztahujících se k poskytování služby cloud computingu. Bezpečnostní požadavky na budovy a prostory vztahující se k poskytování služby cloud computingu jsou součástí politiky fyzické bezpečnosti zavedené podle pravidla upraveného na řádku v 3.2 této přílohy.
	1, 2, 3, 4
	IaaS, PaaS, SaaS


	4.2
	Modely redundance
Služba cloud computingu je poskytována alespoň ze dvou datových center, která jsou od sebe oddělena dostatečnou vzdáleností, k zajištění vzájemné provozní zastupitelnosti a odolnosti v poskytování služby cloud computingu.
	1, 2, 3, 4
	IaaS, PaaS, SaaS


	4.3
	Primární a alespoň jedno záložní datové centrum, které je kapacitně dostatečné k převzetí služby cloud computingu poskytované z primárního datového centra, jsou v dostatečné vzdálenosti od přírodních zdrojů rizik a zdrojů rizik vyvolaných činností člověka vedoucích k narušení nebo omezení poskytování služby cloud computingu nebo bezpečnosti informací nebo je přijato adekvátní bezpečnostní opatření, nebo se primární a alespoň jedno záložní datové centrum, které je kapacitně dostatečné k převzetí služby cloud computingu poskytované z primárního datového centra, nacházejí ve vzájemné vzdálenosti nejméně 50 km a u obou datových center je navržena a aplikována fyzická ochrana proti přírodním katastrofám, úmyslnému útoku nebo haváriím.
	3, 4
	IaaS, PaaS, SaaS

	4.4
	Vstup osob do prostor a budov sloužících k poskytování služby cloud computingu je kontrolován v souladu s pravidlem upraveným na řádku 4.1 této přílohy tak, aby bylo zabráněno neautorizovanému přístupu.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	5. Zajištění provozu služby cloud computingu

	5.1
	Bezpečné nakládání se zákaznickým obsahem
Zákaznický obsah je zpracováván pouze způsobem sjednaným ve smlouvě o poskytování služby cloud computingu 
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	5.2
	Orgán veřejné moci vyhodnocuje informace a podklady týkající se zranitelností a hrozeb využívané služby cloud computingu a přijímá odpovídající opatření.
	2, 3, 4
	IaaS, PaaS, SaaS

	5.3
	Rozdělení prostředí v cloudu
Zákaznická data jsou bezpečně a striktně oddělována od jiných dat, která jsou uložená a zpracovávaná na sdílených virtuálních a fyzických zdrojích využívaných k poskytování služby cloud computingu tak, aby byla zajištěna důvěrnost a integrita těchto dat.
	2, 3, 4
	IaaS, PaaS, SaaS

	6. Správa identit a řízení přístupu

	6.1
	Přístup orgánu veřejné moci do správy služby cloud computingu je zabezpečen vícefaktorovou autentizací. 
	2, 3, 4
	IaaS, PaaS, SaaS

	6.2
	Orgán veřejné moci řídí přístupy uživatelů do služby cloud computingu, zejména:
a) přiřazuje jedinečná uživatelská jména,
b) uděluje a upravuje uživatelské účty a přístupová oprávnění na základě principu nejnižšího oprávnění (least-privilege principle) a principu nutnosti vědět (need-to-know principle),
c) pravidelně alespoň jednou ročně kontroluje přidělené uživatelské účty a přístupová oprávnění,
d) blokuje a odebírá přístupové účty v případě nečinnosti a
e) odebírá nebo mění přístupová oprávnění při ukončení nebo změně smluvního vztahu.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	6.3
	Poskytovatel v rámci své organizace řídí přístupy k informačnímu systému využívanému k poskytování služby cloud computingu orgánu veřejné moci.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	7. Správa klíčů a šifrování

	7.1
	Politika pro používání kryptografických procedur a správu klíčů
Technické a organizační opatření pro kryptografické procedury a správu kryptografických klíčů se řídí politikou zavedenou podle pravidla upraveného na řádku 3.2 této přílohy, která upravuje zejména:
a) používání aktuálně odolných kryptografických postupů a bezpečných síťových protokolů zohledňujících nejnovější poznatky a postupy v dané oblasti,
b) šifrování, které je na základě hodnocení rizik přizpůsobeno povaze dat, komunikačním kanálům, typu, síle a kvalitě šifrování,
c) požadavky na zabezpečení generování, uchovávání, vyzvednutí, distribuci, stažení a výmaz šifrovacích klíčů a
d) zvážení relevantních právních a regulatorních závazků a požadavků.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	7.2
	Šifrování zákaznického obsahu při přenosu 
Poskytovatel má zavedené procesy a technická opatření s aktuálně odolným šifrováním a ověřením identity pro zabezpečení přenosu zákaznického obsahu po sítích mimo kontrolu poskytovatele.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	7.3
	Šifrování zákaznického obsahu při uchovávání
Poskytovatel má zavedené procesy a technická opatření pro šifrování zákaznického obsahu během uchovávání.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	7.4
	Správa bezpečnostních klíčů
Postupy a technická opatření pro bezpečné řízení klíčů a certifikátů v oblasti odpovědnosti poskytovatele zahrnují zejména:
a) generování klíčů pro různé kryptografické systémy a aplikace,
b) vydávání a získávání certifikátů veřejného klíče,
c) poskytování a aktivaci klíčů,
d) bezpečné ukládání klíčů (oddělení systému správy klíčů od úrovně aplikací nebo jejich částí) včetně popisu toho, jak oprávnění uživatelé získávají přístup,
e) změnu nebo aktualizaci kryptografických klíčů včetně politik definujících, za jakých podmínek a jakým způsobem mají být změny nebo aktualizace provedeny,
f) zacházení s klíči podezřelými z kompromitace a
g) zneplatnění a vymazání klíčů.
Toto pravidlo se nevztahuje na používání předsdílených klíčů.
	3, 4
	IaaS, PaaS, SaaS

	8. Zabezpečení komunikace

	8.1
	Technické prostředky
Poskytovatel má zavedené vhodné technické záruky k rychlému odhalení a reakci na síťové útoky na základě nepravidelných vzorců příchozího nebo odchozího provozu nebo distribuované útoky typu odepření služby (DDoS).
	3, 4
	IaaS, PaaS, SaaS

	8.2
	Ochrana datových přenosů
Zákaznická data přenášená do služby cloud computingu jsou chráněna proti neoprávněnému zásahu, kopírování, úpravě, přesměrování nebo vymazání v souladu s požadavky orgánu veřejné moci na zajištění bezpečnosti informací.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	8.3
	Zákaznická data přenášená ze služby cloud computingu jsou chráněna proti neoprávněnému zásahu, kopírování, úpravě, přesměrování nebo vymazání v souladu se zavedenou politikou bezpečnosti informací poskytovatele.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	8.4
	Poskytovatel má zajištěno připojení do výměnného uzlu internetu (IXP) v České republice.
	3, 4
	IaaS, PaaS, SaaS

	9. Přenositelnost, propojení a exit strategie

	9.1
	Při ukončení využívání služby cloud computingu vydá poskytovatel v předem sjednaném formátu a rozsahu zákaznická data a provozní údaje, které souvisí s provozem služby cloud computingu, orgánu veřejné moci nebo je orgánu veřejné moci zpřístupní přes předem definovaná rozhraní.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	9.2
	Plán pro ukončení využívání služby cloud computingu (dále jen „exit strategie“)
Orgán veřejné moci vytvoří exit strategii, která zahrnuje zejména:
a) cíle, kterých má exit strategie dosáhnout,
b) definici kritérií pro spuštění exit strategie, 
c) definici situací pro spuštění exit strategie, například:
· insolvence, rozpad nebo ukončení činnosti poskytovatele,
· výmaz poskytovatele nebo výmaz poskytované služby cloud computingu z katalogu cloud computingu,
· nesoulad smlouvy s právními či regulatorními požadavky,
· uplynutí doby, na kterou byla smlouva uzavřena
· hrubé porušení smluvních podmínek o úrovni služby cloud computingu ze strany poskytovatele, 
· neshoda s poskytovatelem při jednáních o změně smlouvy,
· významná změna[footnoteRef:7]) kontroly nad poskytovatelem, [7: ) § 2 písm. o) vyhlášky č. 82/2018 Sb. ] 

· významná změna7) kontroly nad technickými aktivy využívanými poskytovatelem k poskytování služby cloud computingu,
· významná změna7) u subdodavatelů, 
· jiná významná změna7) na straně poskytovatele relevantní pro poskytování služby cloud computingu,
· podstatná nemožnost orgánu veřejné moci využívat službu cloud computingu,
d) definici možných variant řešení migrace,
e) analýzu dopadů zaměřenou na náklady a lidské zdroje nutné k úspěšnému provedení exit strategie, 
f) rozdělení rolí a zodpovědností v průběhu exit strategie a transferu systémů k jiným poskytovatelům,
g) určení dat nutných pro úspěšné zvládnutí exit strategie včetně určení formátu těchto dat, 
h) definici opatření k zajištění součinnosti poskytovatele při předání dat, 
i) určení doby pro provedení exit strategie,
j) definici parametrů úspěchu při provádění exit strategie a 
k) opatření pro zajištění úspěšného provedení exit strategie.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	9.3
	Smlouva o poskytování služby cloud computingu zohledňuje požadavky orgánu veřejné moci na exit strategii podle pravidla upraveného na řádku 9.2 této přílohy. 
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	9.4
	V případě, že orgán veřejné moci aktivoval exit strategii v důsledku hrubého porušení smluvních podmínek ze strany poskytovatele, má poskytovatel povinnost uhradit orgánu veřejné moci náklady spojené s přenosem dat od poskytovatele do systému určeného orgánem veřejné moci.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	9.5
	Dokumentace bezpečnosti vstupů a výstupů
Služba cloud computingu je přístupná pro jiné služby cloud computingu nebo IT systémy orgánu veřejné moci skrze zdokumentované rozhraní příchozích a odchozích zákaznických dat, tak aby z nich orgán veřejné moci mohl v případě potřeby získat zákaznická data. Poskytovatel na vyžádání orgánu veřejné moci zpřístupní příslušnou dokumentaci. 
	2, 3, 4
	IaaS, PaaS, SaaS

	9.6
	Smluvní podmínky o poskytování zákaznických dat
Smlouva o poskytování služby cloud computingu ve vztahu k jejímu ukončení upravuje zejména:
a) typ, rozsah, strukturu a formát dat, které poskytovatel předá orgánu veřejné moci; nedohodne-li se orgán veřejné moci s poskytovatelem jinak, zajistí orgán veřejné moci, že zákaznická data budou poskytovatelem předána ve strukturovaném, běžně používaném, strojově čitelném a interoperabilním formátu,
b) určení lhůty k předání nebo zpřístupnění zákaznických dat ze strany poskytovatele orgánu veřejné moci,
c) určení doby, po kterou budou data uchované poskytovatelem po ukončení smlouvy o poskytování služby cloud computingu, 
d) určení lhůty k vymazání zákaznických dat poskytovatelem a
e) povinnost poskytovatele poskytnout součinnost orgánu veřejné moci při předání nebo zpřístupnění zákaznických dat.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	9.7
	Bezpečný výmaz dat
Zákaznická data jsou po ukončení smluvního vztahu vymazána způsobem, který je v souladu s relevantními právními a regulatorními požadavky.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	10. Nákup, vývoj a úprava informačních systémů

	10.1
	Poskytovatel má zavedený proces řízení změn technických aktiv.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	10.2
	Oddělení prostředí
Provozní prostředí služby cloud computingu je fyzicky nebo logicky odděleno od testovacího nebo vývojového prostředí, aby se zabránilo neautorizovanému přístupu k zákaznickým datům, šíření škodlivého kódu nebo změnám technických aktiv. Z důvodu ochrany důvěrnosti dat, data obsažená v provozním prostředí nejsou používaná v testovacím nebo vývojovém prostředí.
	2, 3, 4
	IaaS, PaaS, SaaS

	11. Řízení dodavatelů

	11.1
	Informování o subdodavatelích
Orgán veřejné moci je informován o subdodavatelích poskytovatele, a to jak před uzavřením smlouvy o poskytování služby cloud computingu, tak vždy s dostatečným předstihem před změnou subdodavatele.
	2, 3, 4
	IaaS, PaaS, SaaS

	11.2
	Odstoupení od smlouvy při nesouhlasu se změnou
V případě nesouhlasu orgánu veřejné moci se změnou subdodavatele poskytovatele poskytovatel tuto změnu neprovede. V opačném případě orgán veřejné moci může jednostranně ukončit smluvní vztah s poskytovatelem bez sankcí ze strany poskytovatele.
	2, 3, 4
	IaaS, PaaS, SaaS

	12. Správa kybernetických bezpečnostních událostí a incidentů

	12.1
	Informování o kybernetickém bezpečnostním incidentu
Poskytovatel informuje orgán veřejné moci v případě narušení bezpečnosti informací zákaznických dat a specifických provozních údajů bez zbytečného odkladu, ale nejpozději do 72 hodin od okamžiku, kdy se o narušení bezpečnosti zákaznických dat dozvěděl. Jakmile je řešení kybernetického bezpečnostního incidentu uzavřeno, informuje poskytovatel orgán veřejné moci o přijatých opatřeních.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	12.2
	Vyhodnocování kybernetických bezpečnostních událostí
Poskytovatel má zavedeny a využívá nástroje pro detekci, sběr a vyhodnocování kybernetických bezpečnostních událostí.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	13. Řízení kontinuity činností

	13.1
	Orgán veřejné moci má zdokumentované postupy pro případ neočekávaného ukončení činnosti poskytovatele, případ omezení přístupu k zákaznickým datům a přesun zákaznických dat (včetně nezbytných provozních údajů) zpět nebo k jinému poskytovateli.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	14. Soulad s předpisy a audit

	14.1
	Identifikace požadavků
Poskytovatel jednoznačně identifikuje, dokumentuje a udržuje aktuální veškeré relevantní povinnosti vyplývající z právních předpisů a smluvní požadavky kladené na poskytovatele a týkající se bezpečnosti informací služby cloud computingu. Poskytovatel dokumentuje způsob, jakým tyto povinnosti dodržuje. 
	2, 3, 4
	IaaS, PaaS, SaaS

	14.2
	Právo auditu Úřadem
Ve vztahu k dané službě cloud computingu je poskytovatelem jednou ročně nebo na základě opakujících se kybernetických bezpečnostních incidentů nebo v případě rozporu vůči deklarovaným parametrům, umožněno Úřadu zdarma provedení kontroly splnění požadavků podle kontrolního řádu[footnoteRef:8]) na všech místech a zařízeních souvisejících s poskytováním služby cloud computingu a zároveň poskytne veškerou  součinnost, kterou si tento orgán vyžádá, vyjma zpřístupnění či předání zákaznických dat bez souhlasu dotčeného orgánu veřejné moci. [8: ) Zákon č. 255/2012 Sb., o kontrole (kontrolní řád), ve znění pozdějších předpisů.
] 

	1, 2, 3, 4
	IaaS, PaaS, SaaS

	14.3
	Zákaznický audit
Orgán veřejné moci je oprávněn provést audit souladu systému řízení bezpečnosti informací poskytovatele s právem České republiky nebo smluvními podmínkami a dodržování politik poskytovatele.
	3, 4
	IaaS, PaaS, SaaS

	15. Žádosti cizozemských orgánu o zpřístupnění nebo předání dat

	15.1
	Popis povinností poskytovatele předávat a zpřístupňovat informace
Poskytovatel jasně a srozumitelně uvádí své povinnosti vyplývající z právních předpisů odlišných od právní úpravy členských států EU/ESVO, v nichž poskytovatel předpokládá zpracování zákaznických dat týkající se zpřístupnění a předávání zákaznických dat a specifických provozních údajů cizozemským orgánům včetně zdůvodnění, proč uvedené povinnosti na poskytovatele dopadají.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	15.2
	Seznámení se s povinnostmi poskytovatele předávat a zpřístupňovat informace
Orgán veřejné moci se seznámí s povinnostmi poskytovatele vyplývajícími z právních předpisů odlišných od právní úpravy členských států EU/ESVO, týkajících se zpřístupnění a předávání zákaznických dat a specifických provozních údajů cizozemským orgánům včetně zdůvodnění, proč uvedené povinnosti na poskytovatele dopadají.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	15.3
	Vyrozumění orgánu veřejné moci o žádosti o předání nebo zpřístupnění
V případě, že poskytovatel obdrží právně závaznou žádost cizozemského orgánu o zpřístupnění nebo předání zákaznických dat a provozních údajů, odkáže tohoto žadatele na orgán veřejné moci nebo o takové žádosti bezodkladně informuje orgán veřejné moci, pokud to právní řád, jemuž poskytovatel podléhá, nezakazuje.
	1, 2
	IaaS, PaaS, SaaS

	15.4
	Vyrozumění orgánu veřejné moci o žádosti o předání nebo zpřístupnění
V případě, že poskytovatel obdrží právně závaznou žádost cizozemského orgánu o zpřístupnění nebo předání zákaznických dat a specifických provozních údajů, odkáže tohoto žadatele na orgán veřejné moci nebo o takové žádosti orgán veřejné moci bezodkladně informuje. Pokud právní řád, jemuž poskytovatel podléhá, poskytovateli zakazuje informovat orgán veřejné moci, vyvine veškeré možné zákonné úsilí, aby dosáhl zrušení tohoto zákazu a využije všech dostupných opravných prostředků s cílem zpochybnit takový zákaz, popřípadě pozastavit účinky zákazu, dokud soud nerozhodne ve věci samé. Pokud nedosáhne zrušení povinnosti zákazu informování orgánu veřejné moci, pak poskytovatel orgán veřejné moci informuje poté, co vyprší platnost právního zákazu, např. po vypršení období mlčenlivosti nařízeného zákonem nebo soudem.
	3, 4
	IaaS, PaaS, SaaS

	15.5
	Právní posouzení žádostí o předání nebo zpřístupnění
V případě, že poskytovatel obdrží žádost cizozemského orgánu o zpřístupnění nebo předání zákaznických dat nebo specifických provozních údajů bez souhlasu orgánu veřejné moci, zajistí poskytovatel její odpovídající právní posouzení. Posouzení zohlední, zda má žádost cizozemského orgánu proveditelný a platný právní základ, zda rozsah zákaznického obsahu, který má poskytovatel zpřístupnit nebo předat, je přiměřený účelu žádosti a jaké další kroky je třeba podniknout. Poskytovatel uchová právní posouzení žádosti alespoň 5 let od jeho vyhotovení pro účely kontroly nebo ho prokazatelně předá orgánu veřejné moci.
	1, 2
	IaaS, PaaS, SaaS

	15.6
	Právní posouzení žádostí o předání nebo zpřístupnění
V případě, že poskytovatel obdrží žádost cizozemského orgánu o zpřístupnění nebo předání zákaznických dat nebo specifických provozních údajů bez souhlasu orgánu veřejné moci, zajistí poskytovatel její odpovídající právní posouzení. Posouzení zohlední, zda má žádost cizozemského orgánu proveditelný a platný právní základ, zda rozsah zákaznického obsahu, který má poskytovatel zpřístupnit nebo předat, je přiměřený účelu žádosti a jaké další kroky je třeba podniknout Poskytovatel uchová právní posouzení žádosti alespoň 10 let od jeho vyhotovení pro účely kontroly nebo ho prokazatelně předá orgánu veřejné moci.
	3, 4
	IaaS, PaaS, SaaS

	15.7
	Závazek k vynaložení úsilí
V případě, že poskytovatel obdrží žádost cizozemského orgánu o zpřístupnění nebo předání zákaznických dat nebo specifických provozních údajů bez souhlasu orgánu veřejné moci, vyvine poskytovatel veškeré možné úsilí, aby zabránil zpřístupnění nebo předání zákaznických dat a specifických provozních údajů na základě této žádosti, zejména zohlední povinnosti vyplývající z právních předpisů České republiky a Evropské unie a bude usilovat o zrušení povinnosti zpřístupnění nebo předání zákaznických dat a specifických provozních údajů.
	3, 4
	IaaS, PaaS, SaaS

	15.8
	Předání nebo zpřístupnění po kladném vyhodnocení
V případě, že poskytovatel obdrží žádost cizozemského orgánu o zpřístupnění nebo předání zákaznických dat nebo specifických provozních, poskytovatel zpřístupní nebo předá zákaznický obsah na základě této žádosti, pokud právní posouzení poskytovatele provedené podle pravidla upraveného na řádku 15.5 nebo 15.6 této přílohy ukázalo, že žádost má proveditelný a platný právní základ a na tomto základě musí být žádosti vyhověno.
	1,2,3
	IaaS, PaaS, SaaS

	15.9
	V případě, že poskytovatel obdrží žádost cizozemského orgánu o zpřístupnění nebo předání zákaznických dat a specifických provozních údajů, tuto žádost odmítne a data nevydá a nezpřístupní.
	4
	IaaS, PaaS, SaaS

	Příloha č. 2 k vyhlášce č. …/2022 Sb.


	Řádek
	Bezpečnostní pravidlo
	Bezpečnostní úroveň
	Třída cloud computingu

	1. Obecné podmínky pro službu cloud computingu

	1.1
	Informace o soudní příslušnosti
Ve smlouvě o poskytování služby cloud computingu je uvedena jasná a srozumitelná informace o právu země, kterým se řídí smlouva, a příslušnost soudů, které rozhodují případné spory ze smlouvy.
	2, 3, 4
	IaaS, PaaS, SaaS

	1.2
	Smlouva o poskytování služby cloud computingu se řídí právem České republiky. Pro spory vyplývající ze smlouvy o poskytování služby cloud computingu je zvolena příslušnost soudů České republiky.
	2, 3, 4
	IaaS, PaaS, SaaS

	1.3
	Informace o poloze technického aktiva
V popisu služby cloud computingu je jasně a srozumitelně uvedená informace o poloze technického aktiva, které je významné z hlediska zajištění bezpečnosti informací, a ve kterém jsou zákaznická data a specifické provozní údaje zpracovávány, včetně technického aktiva zajišťovaného subdodavatelem.
	2, 3, 4
	IaaS, PaaS, SaaS

	1.4
	Informace o poloze zpracování dat
Orgán veřejné moci je po celou dobu trvání smlouvy o poskytování služby cloud computingu schopen určit polohu zpracování zákaznických dat a specifických provozních údajů včetně záloh zákaznických dat a specifických provozních údajů.
	2, 3, 4
	IaaS, PaaS, SaaS

	1.5
	Informace o zpracování dat mimo EU/ESVO 
Orgán veřejné moci má po celou dobu trvání smlouvy o poskytování služby cloud computingu k dispozici srozumitelné a průběžně aktualizované informace:
a) na území kterého státu mimo území členského státu EU/ESVO došlo, dochází nebo může dojít ke zpracování zákaznických dat a specifických provozních údajů,
b) o důvodech, pro něž došlo, dochází nebo může docházet ke zpracování zákaznických dat a specifických provozních údajů mimo území členského státu EU/ESVO,
c) o době po kterou byly, jsou nebo mohou být zákaznická data a specifické provozní údaje zpracovávány mimo území členského státu EU/ESVO a
d) o rozsahu zákaznických dat a specifických provozních údajů, které byly, jsou nebo mohou být zpracovávány mimo území členského státu EU/ESVO.
	2, 3, 4
	IaaS, PaaS, SaaS

	1.6
	Zpracovávaní zákaznických dat a specifických provozních údajů poskytovatele nebo subdodavatelem poskytovatelem mimo území členského státu EU/ESVO probíhá v souladu s kapitolou V. Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů).
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	1.7
	Každý jednotlivý případ zpracování zákaznických dat mimo území členských států EU/ESVO podléhá předchozímu souhlasu orgánu veřejné moci. 
	2, 3
	IaaS, PaaS, SaaS

	1.8
	Informace o zvládání provozních incidentů během běžného provozu
Smlouva o poskytování služby cloud computingu jasně a srozumitelně upravuje zejména:
a) kategorie provozních incidentů a prioritizace jejich řešení, 
b) doba mezi oznámením provozního incidentu a zahájením jeho řešení poskytovatelem, 
c) doba od zahájení řešení provozního incidentu do vyřešení provozního incidentu a
d) právní následky při nedodržení cílového času odezvy a cílového času vyřešení. 
	2, 3, 4
	IaaS, PaaS, SaaS

	1.9
	Informace o údajích o obnově v případě nouzového provozu
Orgán veřejné moci má ve vztahu k dané službě cloud computingu informace o:
a) maximálně přípustném čase pro obnovu (RTO) služby cloud computingu, 
b) maximální přípustné době ztráty dat (RPO), 
c) nezbytném čase pro spuštění nouzového provozu, 
d) nouzové kapacitě ve vztahu k běžnému provozu a 
e) čase obnovy do běžného provozu.
	2, 3, 4
	IaaS, PaaS, SaaS

	1.10
	Maximálně přípustný čas pro obnovu služby cloud computingu (RTO) a maximálně tolerovatelná doba ztráty dat (RPO) na straně poskytovatele odpovídá požadavkům orgánu veřejné moci na zajištění kontinuity jeho činnosti.
	2, 3, 4
	IaaS, PaaS, SaaS

	1.11
	Prohlášení o aplikovatelnosti
Orgán veřejné moci má vzdálený přístup k prohlášením o aplikovatelnosti, vydaná v souvislosti s certifikacemi podle ČSN ISO/IEC 27001 nebo ISO/IEC 27001, ČSN ISO/IEC 27017 nebo ISO/IEC 27017 a ČSN EN ISO/IEC 27018 nebo ISO/IEC 27018 podle pravidel upravených na řádcích 1.10 až 1.12 přílohy č. 1 k této vyhlášce. 
	3, 4
	IaaS, PaaS, SaaS

	1.12
	Dokládání ISO
Orgán veřejné moci má pravidelně každých 15 kalendářních měsíců vzdáleně přístupnou aktuální auditní zprávu k certifikaci podle pravidel upravených na řádcích 1.10 až 1.12 přílohy č. 1 k této vyhlášce, ne starší než 3 měsíce v době jejího zpřístupnění.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	1.13
	Informace o plánovaných odstávkách
Orgán veřejné moci je informován o plánovaných odstávkách poskytované služby cloud computingu s dostatečným předstihem.
	2, 3, 4
	IaaS, PaaS, SaaS

	1.14
	Vlastnictví zákaznických dat
Orgán veřejné moci má v plném rozsahu po celou dobu využívání služby cloud computingu zachována vlastnická práva k zákaznickým datům a definuje přípustné způsoby využití zákaznických dat poskytovatelem.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	1.15
	Komerční využití zákaznických dat
Zákaznická data nejsou poskytovatelem komerčně využívána.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	1.16
	Vlastnictví softwaru
Vlastnictví programového kódu a programových licencí spojených s využíváním služby cloud computingu je jednoznačně určeno. 
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	1.17
	Jednostranné ukončení smlouvy
Orgán veřejné moci má v případě hrubého porušení smluvních podmínek ze strany poskytovatele právo bez sankcí jednostranně ukončit smluvní vztah s poskytovatelem.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	1.18
	Informace o změně skutečného majitele
Orgán veřejné moci je informován o každé změně skutečného majitele poskytovatele podle zákona o evidenci skutečných majitelů[footnoteRef:9]) nebo o změně kontroly nad zásadními podpůrnými aktivy[footnoteRef:10]) využívanými poskytovatelem k poskytování služby cloud computingu. [9: ) Zákon č. 37/2021 Sb., o evidenci skutečných majitelů.]  [10: ) § 2 písm. f) vyhlášky č. 82/2018 Sb.] 

	3, 4
	IaaS, PaaS, SaaS

	1.19
	Právo odstoupit při změně skutečného majitele
Orgán veřejné moci má právo, v případě jeho nesouhlasu se změnou skutečného majitele poskytovatele podle zákona o evidenci skutečných majitelů9) nebo v případě změny kontroly nad zásadními podpůrnými aktivy10) využívanými poskytovatelem k poskytování služby cloud computingu, bez sankcí odstoupit od smlouvy s poskytovatelem. 
	3, 4
	IaaS, PaaS, SaaS

	2. Organizace bezpečnosti informací

	2.1
	Vazby mezi činností poskytovatele a činností třetích stran
Vazby a závislosti mezi poskytováním služby cloud computingu ze strany poskytovatele a činnostmi třetích stran jsou dokumentovány a sdělovány třetím stranám za účelem řešení: 
a) zranitelností, 
b) kybernetických bezpečnostních incidentů a  
c) poruch poskytované služby cloud computingu.
	2, 3, 4
	IaaS, PaaS, SaaS

	2.2
	Oddělení funkcí 
Poskytovatel rozděluje úkoly a určuje osoby odpovědné za jejich splnění na základě posouzení rizik tak, aby se předešlo neautorizované a nechtěné změně nebo zneužití zpracovávaných zákaznických dat v rámci poskytování služby cloud computingu. Posouzení rizik ve vztahu k poskytování služby cloud computingu zahrnuje zejména:
a) správu oprávnění, 
b) schvalování a přidělování přístupových práv a
c) vývoj, testování změn a provoz technických aktiv. 
Pokud rozdělení úkolů a odpovědností v souladu s tímto pravidlem není možné z organizačních nebo technických důvodů, jsou zavedena opatření k monitorování aktivit tak, aby byly detekovány neautorizované a nechtěné změny a zneužití zpracovávaných zákaznických dat v rámci poskytování služby cloud computingu a následně přijata odpovídající opatření.
	2, 3, 4
	IaaS, PaaS, SaaS

	2.3
	Informovanost o hrozbách a zranitelnostech
Poskytovatel aktivně zjišťuje informace o aktuálních hrozbách a zranitelnostech a tato zjištění zohlední v rámci zvládání rizik podle pravidla upraveného na řádku 2.4 této přílohy a zvládání zranitelností podle pravidla upraveného na řádku 7.26 této přílohy.
	2, 3, 4
	IaaS, PaaS, SaaS

	2.4
	Politika řízení rizik
Poskytovatel má zavedenou politiku řízení rizik podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce, která upravuje zejména: 
a) identifikaci rizik spojených se ztrátou důvěrnosti, integrity a dostupnosti informací v rámci řízení systému bezpečnosti informací a přiřazení osob odpovědných za konkrétní rizika,
b) analýzu rizik, včetně hodnocení úrovně hrozby a zranitelnosti,
c) vyhodnocení analýzy rizik na základě definovaných kritérií pro akceptování rizik a stanovení priorit jejich zmírnění,
d) zvládání rizik prostřednictvím bezpečnostních opatření, včetně schválení přijetí zbytkových rizik ze strany osob odpovědných za rizika a 
e) dokumentaci realizovaných činností, které umožňují konzistentní, platné a srovnatelné výsledky.
	2, 3, 4
	IaaS, PaaS, SaaS

	2.5
	Hodnocení rizik
Poskytovatel provádí proces hodnocení rizik podle potřeby, alespoň jednou ročně. Při identifikaci rizik jsou brány v úvahu následující oblasti a činnosti, pokud se vztahují na poskytovanou službu cloud computingu a jsou v oblasti odpovědnosti poskytovatele, zejména:
a) zpracování zákaznických dat s různými požadavky na bezpečnost informací,
b) výskyt zranitelností a poruch v technických ochranných opatřeních pro oddělení sdílených zdrojů,
c) útoky prostřednictvím přístupových bodů, včetně rozhraní přístupných z veřejných sítí,
d) úkoly a odpovědnosti podle pravidla upraveného na řádku 2.2 této přílohy, které nelze oddělit z organizačních nebo technických důvodů a 
e) závislosti na dodavatelích.
	2, 3, 4
	IaaS, PaaS, SaaS

	3. Politiky

	3.1
	Přezkum politik
Politiky poskytovatele včetně jejich dokumentace jsou přezkoumávané alespoň jednou ročně kvalifikovanými experty. Přezkum politik zahrnuje zejména:
a) organizační a technické změny v procedurách poskytování služby cloud computingu a 
b) zhodnocení změn v právních a regulatorních požadavcích dopadajících na poskytovatele a poskytování služby cloud computingu.
Změny politik, na základě provedeného přezkumu politik, schválí vrcholové vedení poskytovatele před jejich uvedením v platnost.
	2, 3, 4
	IaaS, PaaS, SaaS

	3.2
	Výjimky z politik
Výjimky z politik poskytovatele nebo příslušných bezpečnostních opatření projdou procesem řízení rizik u poskytovatele podle pravidla upraveného na řádku 2.4 této přílohy, včetně schválení těchto výjimek a přijetí souvisejících rizik osobami za tato rizika odpovědnými. Schválené výjimky z politik nebo příslušných bezpečnostních opatření poskytovatele jsou dokumentovány, časově omezeny a přezkoumávány alespoň jednou ročně osobami odpovědnými za tato rizika.
	2, 3, 4
	IaaS, PaaS, SaaS

	4. Personál

	4.1
	Ověření kvalifikace a důvěryhodnosti
Poskytovatel před uzavřením pracovního poměru, nebo jiného smluvního vztahu u osob, které budou mít přístup k zákaznickým datům, provozním údajům a technickým aktivům a které se budou podílet na zajišťování poskytování služby cloud computingu v provozním prostředí, ověřuje jejich kvalifikaci a důvěryhodnost, zejména:
a) ověřuje osobní identitu podle občanského průkazu (nebo jeho ekvivalentu),
b) ověřuje údaje uvedené v životopisu,
c) ověřuje dosažené vzdělání a akademické tituly a 
d) vyžaduje předložení aktuálního výpisu z rejstříku trestů (nebo jeho ekvivalentu).
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	4.2
	Pravidla a podmínky zaměstnávání
Zaměstnanci a externí pracovníci poskytovatele jsou zavázáni dodržovat aplikovatelné politiky poskytovatele týkající se bezpečnosti informací.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	4.3
	Zaměstnanci a externí pracovníci poskytovatele jsou prokazatelně seznámeni s politikami poskytovatele týkajícími se bezpečnosti informací a povinnostmi z nich vyplývajícími před tím, než je jim umožněn přístup k zákaznickým datům, provozním údajům nebo k technickým aktivům, které poskytovatel využívá k poskytování služby cloud computingu v provozním prostředí.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	4.4
	Bezpečnostní školení a program zvyšování bezpečnostního povědomí
Zaměstnanci a externí pracovníci poskytovatele pravidelně absolvují školení v souladu se školícím programem poskytovatele týkající se bezpečnosti a zvyšování bezpečnostního povědomí. Školící program je aktualizovaný na základě změn v bezpečnostních politikách poskytovatele a informacích o aktuálních hrozbách. 
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	4.5
	Školící program poskytovatele podle pravidla upraveného na řádku 4.4 této přílohy zahrnuje zejména:
a) zacházení s technickými aktivy používanými k poskytování služby cloud computingu v provozním prostředí v souladu s aplikovatelnými politikami,
b) zacházení se zákaznickými daty nebo s provozními údaji v souladu s aplikovatelnými politikami a povinnostmi vyplývajícími z právních předpisů a regulatorními požadavky,
c) informace o současných hrozbách a 
d) zásady správného chování v případě kybernetického bezpečnostního incidentu.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	4.6
	Disciplinární opatření
Zaměstnanci a externí pracovníci poskytovatele jsou informováni o případných disciplinárních opatřeních v případě porušení politik a aplikovatelných právních a regulatorních požadavků. V případě porušení politik a aplikovatelných právních a regulatorních požadavků přijme poskytovatel odpovídající opatření, zejména s ohledem na povahu a závažnost porušení a jeho dopad.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	4.7
	Odpovědnosti v případě změny či ukončení zaměstnaneckého či jiného vztahu
Zaměstnanci a externí pracovníci jsou prokazatelně informováni o povinnostech vyplývajících z politik poskytovatele vztahujících se k informační bezpečnosti, které přetrvají i v případě změny či ukončení pracovního poměru se zaměstnancem, či jiného obdobného smluvního vztahu s externím pracovníkem, a po jak dlouhou dobu.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	4.8
	Dohody o mlčenlivosti a důvěrnosti
Na základě požadavků identifikovaných poskytovatelem, za účelem ochrany důvěrných informací způsobilých ovlivnit poskytování služby cloud computingu, jsou mezi poskytovatelem a jeho zaměstnanci, externími pracovníky a subdodavateli uzavřeny dohody o mlčenlivosti a důvěrnosti. 
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	4.9
	Dohody o mlčenlivosti a důvěrnosti mezi poskytovatelem a jeho zaměstnanci, externími pracovníky a subdodavateli jsou uzavřeny předtím, než je zaměstnancům, externím pracovníkům a subdodavatelům udělen přístup k zákaznickým datům a specifickým provozním údajům.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	4.10
	Požadavky na ochranu důvěrných informací způsobilých ovlivnit poskytování služby cloud computingu jsou poskytovatelem identifikované, zdokumentované a revidované nejméně jednou ročně. Na základě výsledků provedené revize jsou požadavky na ochranu důvěrných informací aktualizovány.  
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	4.11
	Dohody o mlčenlivosti a důvěrnosti uzavřené podle pravidla upraveného na řádku 4.8 této přílohy jsou aktualizovány na základě aktualizovaných požadavků na ochranu důvěrných informací způsobilých ovlivnit poskytování služby cloud computingu podle pravidla upraveného na řádku 4.10 této přílohy. 
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	5. Řízení aktiv

	5.1
	Evidence aktiv
Poskytovatel má zavedené postupy pro identifikaci, hodnocení a evidenci technických aktiv, včetně jejich garantů. Technická aktiva jsou evidována spolu s informacemi potřebnými pro proces řízení rizik, včetně opatření přijatých ke zvládání rizik, během celého jejich životního cyklu. Změny těchto informací jsou dokumentovány.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	5.2
	Politiky pro používání a nakládání s technickými aktivy
Používání a nakládání s technickými aktivy se řídí politikou zavedenou podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce, která upravuje zejména:
a) schvalovací procesy pro akvizici, údržbu a vyřazení technických aktiv,
b) náležitosti inventarizace,
c) hodnocení technických aktiv na základě potřeby ochrany informací a opatření pro konkrétní úrovně ochrany,
d) bezpečné konfigurace mechanismů pro zpracování chyb, provozních údajů, šifrování, ověřování a autorizaci,
e) požadavky pro verzování programových prostředků, diskového obrazu a aplikace bezpečnostních záplat,
f) pravidla pro manipulaci s technickými aktivy, pro které již nejsou k dispozici opravné a bezpečnostní záplaty,
g) regulaci instalace technických aktiv,
h) ochranu před škodlivým kódem,
i) dálkovou deaktivaci, mazání nebo blokování technických aktiv,
j) zvládání zranitelností a kybernetických bezpečnostních incidentů a 
k) mazání dat po vyřazení technického aktiva z provozu bez možnosti jejich obnovy.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	5.3
	Používání a implementace technických aktiv
Uvedení technických aktiv do provozu k poskytování služby cloud computingu v provozním prostředí podléhá schvalovacímu procesu, ve kterém jsou rizika vyplývající z uvedení technických aktiv do provozu identifikována, analyzována a zmírněna. Použití technického aktiva v provozním prostředí je schváleno po ověření bezpečné konfigurace mechanismu pro zpracování chyb, provozních údajů, šifrování, ověřování a autorizaci podle zamýšleného používání a na základě příslušných politik poskytovatele.
	2, 3, 4
	IaaS, PaaS, SaaS

	5.4
	Vyřazení technických aktiv
Vyřazení technických aktiv cloud computingu v oblasti odpovědnosti poskytovatele vyžaduje schválení poskytovatele udělené v souladu s jeho příslušnými politikami. Vyřazení technického aktiva z provozu zahrnuje úplné a trvalé vymazání dat nebo řádné zničení technického aktiva.
	2, 3, 4
	IaaS, PaaS, SaaS

	5.5
	Dodržování politik pro manipulaci s technickými aktivy
Zaměstnanci a externí pracovníci poskytovatele jsou prokazatelně zavázáni dodržovat politiky poskytovatele pro přijatelné používání a nakládání s technickými aktivy poskytovatele, a to před započetím jejich používání.
	2, 3, 4
	IaaS, PaaS, SaaS

	5.6
	Hodnocení technických aktiv
Technická aktiva v oblasti odpovědnosti poskytovatele jsou poskytovatelem hodnocena na základě potřeby ochrany informací, které technická aktiva zpracovávají. Potřebu ochrany stanoví poskytovatel podle jednotného schématu, určujícího cíle ochrany podle důvěrnosti, integrity a dostupnosti informací. 
	2, 3, 4
	IaaS, PaaS, SaaS

	6. Fyzická bezpečnost

	6.1
	Bezpečnostní požadavky uvedené v pravidle upraveném na řádku 4.1 v příloze č. 1 k této vyhlášce reagují zejména na následující rizika:
a) neoprávněný nebo neautorizovaný vstup,
b) působení vyšší moci, včetně epidemiologických rizik,
c) selhání dohledu,
d) nedostatečná klimatizace,
e) oheň a kouř,
f) působení vody,
g) selhání dodávek energií a 
h) nedostatečná vzduchová ventilace a filtrace.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	6.2
	Jsou-li k poskytování služby cloud computingu využívány prostory nebo budovy provozované třetí stranou, mají poskytovatel a třetí strana zdokumentované, které bezpečnostní požadavky na budovy a prostory vztahující se k poskytování služby cloud computingu zajišťuje třetí strana. Ověření řádné implementace bezpečnostních pravidel třetí stranou je prováděno v souladu s pravidlem upraveným na řádku 13.2 této přílohy.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	6.3
	Technická aktiva poskytující služby cloud computingu mají zajištěn řádný soběstačný provoz pro případ výpadku dodávky energií, a to alespoň po dobu 48 hodin.
	3, 4
	IaaS, PaaS, SaaS

	6.4
	Zákaznická data a provozní údaje jsou synchronně replikovány alespoň do jednoho záložního datového centra, které je kapacitně dostatečné k převzetí služby poskytované z primárního datového centra.
	3, 4
	PaaS, SaaS

	6.5
	Model redundance datových center používaný poskytovatelem odpovídá požadavkům orgánu veřejné moci na spolehlivost a dostupnost služby cloud computingu.
	3, 4
	IaaS, PaaS, SaaS

	6.6
	Ochrana perimetru
Struktura prostor a budov sloužících k poskytování služby cloud computingu je fyzicky pevná, ucelená a chráněná způsobem adekvátním k tomu, aby vyhovovala bezpečnostním požadavkům kladeným na poskytovatele podle pravidla upraveného na řádku 4.1 přílohy č. 1 k této vyhlášce.
	3, 4
	IaaS, PaaS, SaaS

	6.7
	V prostorách a budovách sloužících k poskytování služby cloud computingu jsou prokazatelně zavedena bezpečnostní opatření vhodná k včasné detekci a zabránění neoprávněnému či neautorizovanému přístupu k technickým aktivům, nebo k zákaznickým datům a provozním údajům, nebo poškození a neoprávněným zásahům do technických aktiv, zákaznických dat nebo provozních údajů tak, aby nedošlo k narušení informační bezpečnosti.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	6.8
	Vstup do prostor a budov sloužících k poskytování služby cloud computingu je zabezpečen bezpečnostními opatřeními, která zahrnují zejména: 
a) nepřetržitě přítomný bezpečnostní personál, 
b) kamerový dohled a 
c) systém ochrany proti vloupání.
	3, 4
	IaaS, PaaS, SaaS

	6.9
	Kontrola fyzického přístupu do prostor a budov sloužících k poskytování služby cloud computingu
Na přístupových místech do prostor a budov využívaných k poskytování služby cloud computingu je nastavená kontrola fyzického přístupu v souladu s bezpečnostními požadavky poskytovatele zabraňující neoprávněnému přístupu. Kontrola fyzického přístupu je podporována systémem kontroly fyzického přístupu. Bezpečnostní požadavky na systém kontroly fyzického přístupu jsou zahrnuty v politice fyzické bezpečnosti zavedené podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce a upravují zejména:
a) specifikaci procedury pro udělení a odejmutí přístupových práv založené na principu nejnižšího oprávnění (least-privilege principle) a principu nutnosti vědět (need-to-know principle),
b) automatickou deaktivaci přístupových práv, pokud nebyla využita po dobu alespoň dvou měsíců,
c) automatické odejmutí přístupových práv, pokud nebyla využita po dobu alespoň šesti měsíců,
d) vícefaktorovou autentizaci pro přístup do oblastí s technickými aktivy, která zpracovávají data orgánu veřejné moci,
e) vizuální označení návštěvníků a externích pracovníků a individuální dohledí a během jejich pohybu po prostorách a budovách, sloužících k poskytování služby cloud computingu,
f) řádnou evidenci fyzických přístupů včetně uvedení účelu vstupu, která umožní poskytovateli efektivní dohled a kontrolu nad tím, jestli pouze určený personál vstupuje do prostor a budov sloužících k poskytování služby cloud computingu a 
g) revizi přístupových práv alespoň 1x ročně.
	3, 4
	IaaS, PaaS, SaaS

	6.10
	Ochrana před požárem a kouřem
Prostory a budovy sloužící k poskytování služby cloud computingu jsou chráněny před požárem a kouřem opatřeními, které splňují bezpečnostní požadavky podle pravidla upraveného na řádku 4.1 přílohy č. 1 k této vyhlášce a zahrnují zejména:
a) zřízení požárních sekcí s odolností proti požárům alespoň 90 minut ve všech strukturálních částech, 
b) systém včasného hlášení požárů s funkcí automatického vypnutí elektrického proudu; monitorované oblasti jsou dostatečně rozdělené tak, aby se proporčně vyvážilo bránění šíření požáru a současně zůstala zachována dostupnost poskytované služby cloud computingu,
c) automatický hasící systém, případně systém pro omezení přísunu kyslíku,
d) požární alarm s napojením na místní hasičskou stanici,
e) pravidelné kontroly zkoumající soulad skutečného stavu s požadavky na požární bezpečnost a 
f) pravidelná požární cvičení.
	2, 3, 4
	IaaS, PaaS, SaaS

	6.11
	Ochrana před přerušením technických dodávek nezbytných pro provoz technických aktiv
V souladu s bezpečnostními požadavky podle pravidla upraveného na řádku 4.1 přílohy č. 1 k této vyhlášce jsou zavedena opatření k zamezení přerušení technických dodávek pro technická aktiva sloužící k poskytování služby cloud computingu a k ochraně zařízení zajišťujících tyto technické dodávky, zejména: 
a) provozní redundancí zdrojů energií a chlazení,
b) používáním kapacitně odpovídajících zdrojů nepřerušovaného napájení (UPS) a nouzového elektrického napájení tak, aby bylo zajištěno, že všechna data zůstanou nepoškozena v případě přerušení dodávky elektrické energie, přičemž jejich schopnost dodávat elektrickou energii je pravidelně, alespoň jednou ročně testována, 
c) prováděním údržby zařízení zajišťujících technické dodávky (servisní zásahy, inspekce, opravy) v souladu s doporučeními výrobce zařízení a
d) ochranou zdrojů energie a komunikačních zdrojů proti přerušení, rušení, poškození a odposlouchávání; ochrana zdrojů energie a komunikačních zdrojů je pravidelně alespoň jednou za dva roky preventivně kontrolována, jakož i tehdy, když má kvalifikovaný personál podezření na neautorizovanou manipulaci.
	3, 4
	IaaS, PaaS, SaaS

	6.12
	Dohled nad provozními parametry technických prostředků a vnitřním prostředím prostor a budov
Provozní parametry technického vybavení technických aktiv sloužících k poskytování služby computingu a kvalita vnitřního prostředí prostor a budov spojených s poskytováním služby cloud computingu jsou monitorovány a kontrolovány v souladu s bezpečnostními požadavky podle pravidla upraveného na řádku 4.1 přílohy č. 1 k této vyhlášce. V případě překročení přípustného rozsahu sledovaných hodnot, poskytovatel bez prodlení zahájí nezbytné kroky k návratu hodnot do přípustného rozsahu.
	3, 4
	IaaS, PaaS, SaaS

	7. Zajištění provozu služby cloud computingu

	7.1
	Plánování kapacit
Plánování kapacit a zdrojů potřebných k řádnému zajištění poskytování služby cloud computingu (personální a technické zdroje) se řídí zavedeným postupem tak, aby se zamezilo možným omezením poskytované služby cloud computingu. Stanovený postup zahrnuje prognózu budoucích požadavků na kapacity a zdroje za účelem identifikace trendů využití zdrojů a správy vytížení systému.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.2
	Poskytování služby cloud computingu ve smluveném rozsahu je zjištěno přijetím vhodných opatření i v případě kapacitních překážek nebo výpadků týkajících se personálních a technických zdrojů na straně poskytovatele zejména těch, které se týkají využití technických aktiv smluvně vyhrazených pro orgán veřejné moci.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.3
	Monitorování kapacit
Pro monitorování a poskytování služby cloud computingu jsou definována technická a organizační opatření, tak aby bylo zajištěno, že výpočetní zdroje jsou poskytovány v souladu se smluvními podmínkami a sjednanou kvalitou služby cloud computingu (SLA). 
	2, 3, 4
	IaaS, PaaS, SaaS

	7.5
	Koncept ochrany proti škodlivému kódu
Ochrana před škodlivým kódem se řídí politikou zavedenou podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce, která upravuje zejména:
a) používání nástrojů pro ochranu před škodlivým kódem specifických pro daná technická aktiva,
b) provozování ochranných programů na technických aktivech v oblasti odpovědnosti poskytovatele, a které se používají k poskytování služby cloud computingu v provozním prostředí a
c) provozování programů ochrany na koncových zařízeních zaměstnanců a externích pracovníků poskytovatele. 
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	7.6
	Implementace nástroje pro ochranu před škodlivým kódem
Technická aktiva v oblasti odpovědnosti poskytovatele, která se používají k nasazení služby cloud computingu v provozním prostředí, jsou nakonfigurována s ochranou proti škodlivému kódu. Nástroje pro ochranu před škodlivým kódem nastavené na detekci podezřelého chování a odstranění škodlivého kódu, jsou pravidelně aktualizovány.
	3, 4
	IaaS, PaaS, SaaS

	7.7
	Politika pro zálohování a obnovu dat
Zálohování a obnova dat se řídí politikou zavedenou podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce, která upravuje zejména:
a) rozsah a četnost zálohování dat a dobu uchovávání dat v souladu se smluvními podmínkami a s požadavky poskytovatele na maximálně přípustný čas pro obnovu (RTO) služby cloud computingu a maximálně přípustnou dobu ztráty dat (RPO) stanovenými na základě pravidla upraveného na řádku 15.2 této přílohy,
b) šifrování dat metodami, které jsou v souladu s doporučením Úřadu v oblasti kryptografických prostředků zveřejněným na internetových stránkách Úřadu,
c) přístup k zálohovaným datům a k provádění obnov pouze oprávněnými osobami a 
d) testování procesů obnovy.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	7.8
	Monitoring záloh a obnovy dat
Zálohování dat je monitorováno pomocí technických a organizačních opatření. Podezření na možné poruchy je prověřované kvalifikovaným personálem poskytovatele a v případě zjištění poruch je neprodleně odstraněno, aby bylo zajištěno řádné zálohování dat v souladu se smluvními podmínkami.  
	2, 3, 4
	IaaS, PaaS, SaaS

	7.9
	Pravidelná kontrola procesu obnovy a zálohování dat
Proces obnovy a zálohování dat se pravidelně se testuje v rámci rozsahu poskytované služby cloud computingu, alespoň jednou ročně. Testy jsou prováděny za účelem ověření, zda proces obnovy a zálohování dat je prováděn v souladu se smluvními podmínkami a požadavky poskytovatele na maximálně přípustný čas pro obnovu (RTO) služby cloud computingu a maximálně přípustnou dobu ztráty dat (RPO) stanovenými podle pravidla upraveného na řádku 15.2 této přílohy. Případný nesoulad se smluvními podmínkami a požadavky poskytovatele na poskytovatele na maximálně přípustný čas pro obnovu (RTO) služby cloud computingu a maximálně přípustnou dobu ztráty dat (RPO) zjištěný na základě provedeného testování je neprodleně odstraněn.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.10
	Přenos a zálohování dat
Zákaznická data a data nezbytná pro poskytování služby jsou zálohována do lokality v dostatečné vzdálenosti a při přenosu do této lokality jsou šifrována v souladu s uznávanými nejmodernějšími požadavky v oblasti kryptografických prostředků nebo alespoň v souladu s doporučením Úřadu v oblasti kryptografických prostředků zveřejněným na internetových stránkách Úřadu.
	3, 4
	IaaS, PaaS, SaaS

	7.11
	Politika pro sběr provozních údajů a monitoring událostí
Sběr provozních údajů a monitoring událostí na technických aktivech v oblasti odpovědnosti poskytovatele se řídí politikou zavedenou podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce, která upravuje zejména: 
a) identifikaci a vyhodnocení kybernetických bezpečnostních událostí,
b) nastavení podmínek pro aktivaci, zastavení a pozastavení sběru provozních údajů,
c) informace týkající se účelu a doby uchovávání provozních údajů,
d) rozdělení úkolů a určení konkrétních osob odpovědných za nastavení a monitorování provozních údajů,
e) synchronizaci jednotného času na technických aktivech a
f) shodu s právními a regulatorními požadavky.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	7.12
	Provozní údaje se vztahem ke službě cloud computingu se shromažďují zejména o událostech:
a) přihlašování a odhlašování u všech účtů, a to včetně neúspěšných pokusů,
b) činnostech provedených administrátory na straně poskytovatele,
c) úspěšných i neúspěšných manipulacích s účty, oprávněními a přístupovými právy,
d) neprovedení činností v důsledku nedostatku přístupových práv a oprávnění,
e) činnostech uživatelů, které mohou mít vliv na bezpečnost informací ve službě cloud computingu,
f) zahájení a ukončení činností technických aktiv,
g) kritických i chybových hlášeních technických aktiv a
h) přístupech k záznamům o událostech, pokusech o manipulaci se záznamy o událostech a změnách nastavení nástrojů pro zaznamenávání událostí.
Provozní údaje zaznamenané podle tohoto pravidla obsahují zejména:
a) datum a čas, včetně specifikace časového pásma,
b) typ činnosti,
c) identifikaci technického aktiva, které činnost zaznamenalo,
d) jednoznačnou identifikaci účtu, pod kterým byla činnost provedena,
e) jednoznačnou síťovou identifikaci zařízení původce a
f) úspěšnost nebo neúspěšnost činnosti.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.13
	Služba cloud computingu zahrnuje nástroj pro monitorování a zaznamenávání událostí k zajištění přístupu orgánu veřejné moci k informacím o stavu zabezpečení, zejména k informacím vyplývajícím z provozních údajů shromážděných podle pravidla upraveného na řádku 7.12 této přílohy.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.14
	Provozní údaje shromážděné podle pravidla upraveného na řádku 7.12 této přílohy jsou uchovány po dobu alespoň 12 měsíců od jejich vytvoření. 
	2, 3
	IaaS, PaaS, SaaS

	7.15
	Provozní údaje shromážděné podle pravidla upraveného na řádku 7.12 této přílohy jsou uchovány po dobu alespoň 18 měsíců od jejich vytvoření.
	4
	IaaS, PaaS, SaaS

	7.16
	Kdykoli zaměstnanci nebo externí pracovníci poskytovatele čtou nebo zapisují nešifrovaná zákaznická data nebo specifické provozní údaje zpracovávané ve službě cloud computingu nebo k nim přistupují bez předchozího souhlasu orgánu veřejné moci, je o této skutečnosti vyhotoven záznam. Záznam obsahuje důvod, čas, trvání, typ a rozsah přístupu.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.17
	Záznam vyhotovený podle pravidla upraveného na řádku 7.16 této přílohy je zpřístupněn orgánu veřejné moci. Pokud model služby cloud computingu neumožňuje tento záznam zpřístupnit orgánu veřejné moci, záznam je uchováván po celou dobu poskytování služby cloud computingu. 
	2, 3, 4
	IaaS, PaaS, SaaS

	7.18
	Bezpečné nakládání se specifickými provozními údaji
Nakládání se specifickými provozními údaji se řídí politikou pro bezpečné nakládání zavedenou podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce, která upravuje zejména:
a) shromažďování a používání specifických provozních údajů výhradně pro účely fakturace, řešení provozních incidentů a zvládání kybernetických bezpečnostních incidentů,
b) anonymizaci specifických provozních údajů tak, aby nebylo možné vyvodit žádné závěry o orgánu veřejné moci nebo uživateli,
c) zákaz komerčního využití specifických provozních údajů,
d) uchovávání specifických provozních údajů po stanovenou dobu přiměřenou účelu sběru specifických provozních údajů,
e) okamžité vymazání specifických provozních údajů, pokud došlo k naplnění účelu jejich shromažďování a další uchovávání již není nutné a 
f) poskytování specifických provozních údajů orgánu veřejné moci v souladu se smluvními podmínkami.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.19
	Požadavky na bezpečné nakládání s provozními údaji 
Požadavky na bezpečné nakládání s provozními údaji zahrnují zejména:
a) přístup k provozním údajům pouze pro oprávněné uživatele a systémy,
b) uchovávání provozních údajů po stanovenou dobu a 
c) smazání provozních údajů, vyjma provozních údajů uchovávaných podle pravidel upravených na řádcích 7.14, 7.15 a 7.17 této přílohy, pokud již nejsou potřeba pro účel sběru dat. 
	2, 3, 4
	IaaS, PaaS, SaaS

	7.20
	Detekce kybernetických bezpečnostních událostí
Provozní údaje jsou automaticky monitorovány v souladu s politikou upravenou pravidlem na řádku 7.11 v této příloze za účelem detekce kybernetických bezpečnostních událostí, jejich bezodkladného vyhodnocení a přijetí odpovídající reakce. To zahrnuje rovněž zjišťování případných vzájemných vztahů mezi kybernetickými bezpečnostními událostmi.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.21
	Ukládání provozních údajů
Vygenerované provozní údaje jsou uchovávány ve vhodné, neměnné a sdružené formě bez ohledu na jejich zdroj tak, aby bylo možné centrální autorizované vyhodnocení dat. Mezi technickým aktivem shromažďujícím provozní údaje podle pravidla upraveného na řádku 7.12 této přílohy a technickým aktivem, na němž jsou provozní údaje vytvářeny, je prováděno ověřování identity. Přenos mezi technickým aktivem shromažďujícím provozní údaje podle pravidla upraveného na řádku 7.12 této přílohy a technickými aktivy na nichž jsou provozní údaje vytvářeny, probíhá zabezpečeným aktuálně odolným šifrováním nebo po sítích pod kontrolou poskytovatele.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.22
	Identifikace přístupů pro forenzní analýzu
Vygenerované provozní údaje umožňují jednoznačnou identifikaci přístupů administrátorů a uživatelů ke službě cloud computingu tak, aby byla umožněna forenzní analýza v případě kybernetického bezpečnostního incidentu.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.23
	Poskytnutí provozních údajů orgánu veřejné moci
Orgán veřejné moci má na žádost k dispozici provozní údaje, které se vztahují k orgánu veřejné moci, ve vhodné formě a v přiměřeném čase tak, aby mohl provést analýzu jakéhokoliv kybernetického bezpečnostního incidentu, který se ho týká.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.24
	Nastavení přístupů k provozním údajům
Přístup k technickým aktivům pro sběr provozních údajů a monitorování událostí v oblasti odpovědnosti poskytovatele je omezen na oprávněné administrátory na straně poskytovatele.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.25
	Provozuschopnost technických aktiv pro sběr provozních údajů a monitoring událostí
Technická aktiva zajišťující sběr provozních údajů a monitorování událostí v oblasti odpovědnosti poskytovatele jsou kontrolována, případné poruchy těchto technických aktiv jsou neprodleně vyhodnoceny a jsou učiněna potřebná opatření k jejich odstranění.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.26
	Politika pro zvládání zranitelností, poruch a chyb
Zvládání zranitelností, poruch a chyb technických aktiv se řídí politikou zavedenou podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce, která obsahuje technická a organizační opatření pro včasnou identifikaci a řešení zranitelností technických aktiv používaných k poskytování služby cloud computingu, zejména: 
a) pravidelnou identifikaci zranitelností,
b) posouzení závažnosti identifikovaných zranitelností,
c) stanovení priorit a provádění úkonů k rychlé nápravě nebo zmírnění identifikovaných zranitelností na základě jejich závažnosti a podle předem definovaných časových os a 
d) postupy pro využívání technických aktiv, pro která nebyla přijata opatření k nápravě nebo zmírnění identifikovaných zranitelností.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.27
	Identifikace zranitelností programových prostředků
Poskytovatel používá vhodná opatření ke zjištění zranitelností, které mohou být začleněny do služby cloud computingu během procesu vývoje programových prostředků. Postupy pro identifikaci takových zranitelností jsou součástí procesu vývoje a v závislosti na posouzení rizik zahrnují zejména:
a) statickou analýzu bezpečnosti kódu,
b) dynamickou analýzu bezpečnosti kódu,
c) odbornou kontrolu kódu a 
d) získání informací o potvrzených zranitelnostech v softwarových knihovnách poskytovaných třetími stranami a používaných v jejich vlastní službě cloud computingu.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.28
	Registr známých zranitelností
Poskytovatel zveřejňuje a udržuje denně aktualizovaný online registr známých zranitelností služby cloud computingu a technických aktiv, a to včetně technických aktiv poskytnutých poskytovatelem, která orgán veřejné moci musí instalovat, poskytovat nebo sám provozovat a nese za ně odpovědnost. Online registr známých zranitelností je snadno přístupný orgánu veřejné moci a obsahuje informace umožňující posouzení rizik orgánem veřejné moci a možná následná opatření k nápravě zranitelnosti nebo zmírnění jejího dopadu. U každé zranitelnosti je uvedeno, jaká je její závažnost a zda jsou k dispozici aktualizace programových prostředků, kdy budou spuštěny a zda budou nasazeny poskytovatelem, orgánem veřejné moci, nebo oběma společně.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.29
	Testování a dokumentace zranitelností
Technická aktiva v oblasti odpovědnosti poskytovatele jsou pravidelně, alespoň jednou měsíčně automaticky kontrolována, na známé zranitelnosti v souladu se zavedenou politikou poskytovatele pro zvládání zranitelností, poruch a chyb podle pravidla upraveného na řádku 7.26 této přílohy. Závažnost identifikované zranitelnosti se posuzuje podle předem definovaných kritérií a opatření pro její včasnou nápravu nebo zmírnění dopadu se zahajuje v definovaných časových intervalech.
	3, 4
	 IaaS, PaaS, SaaS

	7.30
	Penetrační testování
Penetrační testování technických aktiv v odpovědnosti poskytovatele relevantních pro poskytování služby cloud computingu a identifikovaných jako relevantních v analýze rizik se provádí podle zdokumentované metodiky pravidelně alespoň jednou ročně a pravidelně alespoň jednou za dva roky subjektem nezávislým na poskytovateli. 
	3, 4
	IaaS, PaaS, SaaS

	7.31
	Vyhodnocení penetračních testů
Závažnost zjištění z provedených penetračních testů je hodnocena poskytovatelem podle předem definovaných kritérií. Při zjištěních se střední a vysokou úrovní závažnosti se vztahem k důvěrnosti, integritě a dostupnosti služby cloud computingu jsou přijaty odpovídající opatření za účelem jejich rychlého vyřešení. 
	3, 4
	IaaS, PaaS, SaaS

	7.32
	Revize postupů ke zvládání zranitelností a kybernetických bezpečnostních incidentů
Postupy pro zvládání zranitelností a kybernetických bezpečnostních incidentů v rámci služby cloud computingu podléhají pravidelné revizi za účelem ověření jejich vhodnosti a účinnosti. Revize je prováděna odpovědným personálem poskytovatele alespoň jednou za čtvrtletí a na jejím základě přijme nezbytné kroky pro zlepšení funkčnosti a účinnosti nastavených postupů.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.33
	Informovanost orgánu veřejné moci v případě provozních incidentů
Poskytovatel pravidelně informuje orgán veřejné moci o stavu provozních incidentů, které ovlivňují orgán veřejné moci, a je-li to vhodné a nutné, zapojí orgán veřejné moci do jejich řešení. Bezodkladně po vyřešení provozního incidentu poskytovatel informuje orgán veřejné moci o přijatých opatřeních.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.34
	Zodolňování systému (Hardening)
Technická aktiva v provozním prostředí jsou nastavená tak, aby byla zodolněna vůči výskytu zranitelností. Požadavky na zodolnění pro jednotlivá technická aktiva jsou dokumentovány poskytovatelem.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.35
	Technická podpora služby cloud computingu
Doba fungování technické podpory služby cloud computingu odpovídá potřebám orgánu veřejné moci.
	2, 3, 4
	IaaS, PaaS, SaaS

	7.36
	Monitoring kvality služby cloud computingu
Orgán veřejné moci monitoruje kvalitu poskytované služby cloud computingu a monitoring kvality služby dokumentuje.
	2, 3, 4
	IaaS, PaaS, SaaS

	8. Správa identit a řízení přístupu

	8.1
	Politika pro správu účtů a přístupových práv 
Správa účtů a přístupových práv a oprávnění pro zaměstnance a externí pracovníky poskytovatele a technická aktiva zapojena v automatizovaných autorizačních procesech poskytovatele se řídí politikou zavedenou podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce, která upravuje zejména:
a) přidělování práv a řízení přístupu na základě rolí (koncept rolí a práv), 
b) přiřazení jedinečných uživatelských jmen,
c) přidělování a úpravy účtů a přístupových práv na základě principu nejnižšího oprávnění (least-privilege principle) a principu nutnosti vědět (need-to-know principle),
d) oddělení provozních a kontrolních funkcí (separation of duties),
e) oddělení funkcí správy, schvalování a přiřazování účtů a přístupových práv (separation of duties),
f) schválení přístupových práv oprávněnou osobou nebo systémem k udělování nebo úpravě účtů a přístupových práv před přístupem zaměstnance nebo externího pracovníka k zákaznickým datům nebo technickým aktivům,
g) pravidelnou kontrolu přidělených účtů a přístupových práv, alespoň jednou ročně,
h) zablokování a zrušení přístupových práv k účtům v případě delší nečinnosti,
i) odstranění nebo úpravu přístupových práv v případě změny pracovní náplně zaměstnance nebo externího pracovníka poskytovatele,
j) vícefaktorovou autentizaci pro administrátory poskytovatele a
k) požadavky na schvalování a dokumentaci správy účtů a přístupových práv. 
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	8.2
	Přidělování a změna účtů a přístupových práv
Postupy specifikované pro přidělování a změny účtů a přístupových práv pro zaměstnance a externí pracovníky poskytovatele, jakož i pro technická aktiva zapojená do automatizovaných autorizačních procesů poskytovatele jsou v souladu s politikou pro správu účtů a přístupových práv podle pravidla upraveného na řádku 8.1 této přílohy. 
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	8.3
	Uzamčení účtů a odebrání přístupových práv v případě neaktivity 
Účty zaměstnanců a externích pracovníků poskytovatele a technických aktiv zapojených do automatizovaných autorizačních procesů poskytovatele jsou automaticky uzamčeny, pokud nebyly použity po dobu dvou měsíců. K odblokování těchto účtů je vyžadováno schválení autorizovaného personálu nebo technických aktiv. Uzamčené účty zaměstnanců a externích pracovníků poskytovatele a technických aktiv jsou automaticky zrušeny po šesti měsících. V případě opětovného přidělení účtu a přístupových práv je nutné postup přidělení účtu provést opětovně v souladu s pravidlem upraveným na řádku 8.2 této přílohy.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	8.4
	Odebrání nebo přizpůsobení přístupových práv a oprávnění v případě změny pracovní náplně 
Přístupová práva a oprávnění administrátorů poskytovatele jsou přizpůsobena změně pracovní náplně nebo zrušena bezodkladně, nejpozději do 48 hodin od účinnosti změny. Všechna ostatní přístupová práva a oprávnění zaměstnanců nebo externích pracovníků poskytovatele jsou přizpůsobena změně pracovní náplně nebo zrušena bezodkladně, nejpozději do 14 dnů od účinnosti změny. Přístupová práva a oprávnění technických aktiv zapojených do automatizovaných autorizačních procesů poskytovatele jsou přizpůsobena změně úkolu technického aktiva nebo zrušena bezodkladně, nejpozději do 14 dnů od účinnosti změny. V případě opětovného udělení přístupových práv a oprávnění je nutné postup pro udělení přístupových práv a oprávnění opětovně provést v souladu s pravidlem upraveným na řádku 8.2 v příloze č. 2 k této vyhlášce.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	8.5
	Pravidelný přezkum přístupových práv
Přístupová práva zaměstnanců a externích pracovníků poskytovatele a technických aktiv zapojených do automatizovaných autorizačních procesů poskytovatele jsou pravidelně přezkoumávána alespoň jednou ročně. Kontrolu provádějí pověření zaměstnanci poskytovatele. Zjištěné nedostatky jsou řešeny neprodleně, nejpozději však do 7 dnů od jejich zjištění, a to vhodnou úpravou nebo odebráním přístupových práv.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	8.6
	Přístupová práva administrátorů poskytovatele jsou přezkoumávána pravidelně každých šest měsíců. Kontrolu provádějí pověření zaměstnanci poskytovatele.
Zjištěné nedostatky jsou řešeny neprodleně, nejpozději však do 7 dnů od jejich zjištění, a to vhodnou úpravou nebo odebráním přístupových práv.
	3, 4
	IaaS, PaaS, SaaS

	8.7
	Přístupová práva administrátorů
Přístupová práva jsou přidělována konkrétním administrátorům poskytovatele podle principu nutnosti vědět (need-to-know principle) a časově omezena na základě hodnocení rizik.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	8.8
	Činnosti administrátorů poskytovatele jsou zaznamenávány za účelem detekce zneužití přístupových práv. Události, které mohou znamenat zneužití přístupových práv administrátorů poskytovatele, jsou předem definovány. 
Pokud je při automatickém vyhodnocení zaznamenaných informací zjištěno, že došlo k definované události, odpovědní zaměstnanci nebo externí pracovníci poskytovatele okamžitě posoudí, zda došlo ke zneužití přístupových práv administrátorů poskytovatele a přijmou odpovídající opatření.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	8.9
	Přístup k zákaznickým datům a specifickým provozním údajům orgánu veřejné moci
Orgán veřejné moci je informován vždy, když zaměstnanci nebo externí pracovníci poskytovatele čtou, zapisují nebo jinak přistupují k nešifrovaným zákaznickým datům nebo specifickým provozním údajům zpracovávaným v poskytované službě cloud computingu bez předchozího souhlasu orgánu veřejné moci. Informace obsahují důvod, čas, trvání, typ a rozsah přístupu tak, aby umožnily orgánu veřejné moci posoudit rizika přístupu a jsou poskytnuty ve smluvně sjednaných lhůtách s ohledem na povahu dat zpracovávaných v poskytované službě cloud computingu.
	2, 3, 4
	IaaS, PaaS, SaaS

	8.10
	Přístup zaměstnanců nebo externích pracovníků poskytovatele k zákaznickým datům nebo specifickým provozním údajům, které nejsou šifrovány nebo byly dešifrovány, je možný pouze po předchozím souhlasu orgánu veřejné moci. 
Pro potřeby udělení tohoto souhlasu je orgán veřejné moci informován o důvodu, době trvání, času, typu a rozsahu přístupu tak, aby byl schopen vyhodnotit rizika spojená s tímto přístupem.
	4
	IaaS, PaaS, SaaS

	8.11
	Důvěrnost autentizačních údajů
Autentizační údaje pro přístup zaměstnanců a externích pracovníků poskytovatele k technickým aktivům, používaným k poskytování služby cloud computingu a technickým aktivům zapojeným do automatizovaných autorizačních procesů poskytovatele, jsou přidělovány způsobem zajišťujícím důvěrnost těchto informací. Pokud jsou hesla používána jako autentizační údaje, je jejich důvěrnost zajištěna zejména:
a) vytvořením vlastního hesla zaměstnancem a externím pracovníkem poskytovatele, nebo změnou počátečního hesla zaměstnancem a externím pracovníkem poskytovatele při prvním přihlášení k technickému aktivu; počáteční heslo ztratí platnost nejpozději uplynutím 24 hodin od jeho vytvoření,
b) informováním zaměstnance a externího pracovníka poskytovatele o změně nebo obnovení jeho hesla a 
c) ukládáním hesel ve formě odolné vůči off-line útokům.
Odchylky od výše uvedeného jsou vyhodnocovány pomocí analýzy rizik a v případě zvýšeného rizika jsou vyvozena zmírňující opatření.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	8.12
	Autentizační mechanismy
Technická aktiva v oblasti odpovědnosti poskytovatele a používaná k poskytovaní služby cloud computingu ověřují identitu zaměstnanců a externích pracovníků poskytovatele a technických aktiv zapojených do automatizovaných autorizačních procesů poskytovatele. Přístup k provoznímu prostředí vyžaduje vícefaktorovou autentizaci. Uvnitř provozního prostředí se ověřuje identita zaměstnanců a externích pracovníků poskytovatele a technických aktiv zapojených do automatizovaných autorizačních procesů pomocí hesel, digitálně podepsaných certifikátů nebo postupů s rovnocennou úrovní zabezpečení.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	8.13
	Autentizační mechanismy na straně orgánu veřejné moci
Orgán veřejné moci v rámci řízení přístupů uživatelů a technických aktiv v oblasti odpovědnosti orgánu veřejné moci do služby cloud computingu vynucuje vícefaktorovou autentizaci. Autentizační mechanismy jsou nastaveny na všech přístupových bodech, které umožňují uživatelům a technickým aktivům přístup do služby cloud computingu.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	8.14
	Politika vytváření hesel
Požadavky na hesla pro přístup zaměstnanců a externích pracovníků poskytovatele k technickým aktivům používaným k poskytování služby cloud computingu se odvíjí od hodnocení rizik a jsou součástí politiky vytváření hesel zavedené podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce. Soulad s požadavky je zajištěn nastavením technických aktiv.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	8.15
	Řízení hesel
V případě, že se pro ověření identity uživatelů používají hesla, řídí se jejich používání těmito pravidly:
a) uživatelé si mohou vytvořit heslo sami, nebo musí změnit počáteční heslo pro přihlášení při prvním přihlášení do služby cloud computingu; počáteční heslo pro přihlášení ztratí platnost nejpozději uplynutím 14 dnů od jeho vzniku,
b) při vytváření hesla je technicky vynuceno dodržení délky a složitosti hesla podle požadavků poskytovatele v souladu s pravidlem upraveným na řádku 8.14 této přílohy nebo podle požadavků orgánu veřejné moci,
c) uživatel je informován o změně nebo obnovení hesla a
d) ukládáním hesel ve službě cloud computingu ve formě odolné vůči off-line útokům.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	8.16
	Koncept rolí a práv
Orgán veřejné moci má k dispozici koncept rolí a práv pro správu přístupových práv a oprávnění, který popisuje profily oprávnění pro funkce poskytované službou cloud computingu tak, aby mohl orgán veřejné moci spravovat přístupová práva a oprávnění v souladu s principem nejnižšího oprávnění (least-privilige-principle) a principem oddělených funkcí (separation of duties principle).  
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	8.17
	Mechanismy řízeného přístupu
Přístup k funkcím poskytovaným službou cloud computingu je omezen řízeným přístupem, který ověřuje, zda uživatelé a technická aktiva mají oprávnění provádět konkrétní akce.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	9. Správa klíčů a šifrování

	9.1
	Zákaznický obsah je chráněn šifrováním při přenosu a v úložištích ve službě cloud computingu pomocí některého z algoritmů uvedeném v doporučení Úřadu[footnoteRef:11]) v oblasti kryptografických prostředků zveřejněném na internetových stránkách Úřadu.  [11: ) Doporučení Národního úřadu pro kybernetickou bezpečnost v oblasti kryptografických prostředků, Minimální požadavky na kryptografické algoritmy] 

	1, 2, 3, 4
	IaaS, PaaS, SaaS

	9.2
	Soukromé klíče orgánu veřejné moci používané pro šifrování jsou známy pouze orgánu veřejné moci. 
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	9.3
	Správa bezpečnostních klíčů
Postupy a technická opatření pro bezpečné řízení klíčů a certifikátů v oblasti odpovědnosti poskytovatele zahrnují zejména:
a) generování klíčů pro různé kryptografické systémy a aplikace,
b) vydávání a získávání certifikátů veřejného klíče,
c) poskytování a aktivaci klíčů,
d) bezpečné ukládání klíčů (oddělení systému správy klíčů od úrovně aplikací a middlewaru) včetně popisu toho, jak oprávnění zaměstnanci a externí pracovníci poskytovatele získají přístup ke klíčům,
e) změnu nebo aktualizaci kryptografických klíčů včetně politik definujících, za jakých podmínek a jakým způsobem mají být změny nebo aktualizace provedeny,
f) zacházení s klíči podezřelými z kompromitace a 
g) zneplatnění a vymazání klíčů. 
Toto pravidlo se nevztahuje na předsdílené klíče. 
	1, 2
	IaaS, PaaS, SaaS

	9.4
	Šifrovací klíče využívané ve službě cloud computingu jsou uloženy v certifikovaném hardware security modulu (HSM) úrovně ochrany FIPS 140-2 level 2 a vyšší, FIPS 140-3 level 2 a vyšší nebo certifikaci podle Common Criteria minimálně na EAL4 a vyšší, který je pod vzdálenou správou orgánu veřejné moci.
	3, 4
	IaaS, PaaS, SaaS

	10. Zabezpečení komunikace

	10.1
	Orgán veřejné moci má zajištěno zdvojené připojení ke službě cloud computingu nebo do výměnného uzlu internetu (IXP) v České republice.
	3, 4
	IaaS, PaaS, SaaS

	10.2
	Připojení poskytovatele ke komunikační síti je nastaveno s dostatečnou redundancí tak, aby selhání připojení poskytovatele nenarušilo bezpečnost ani výkon služby cloud computingu poskytovatelem.
	2, 3, 4
	IaaS, PaaS, SaaS

	10.3
	Poskytovatel má zajištěno připojení do výměnného uzlu internetu (IXP) v České republice.
	1, 2
	IaaS, PaaS, SaaS

	10.4
	Poskytovatel pravidelně vyhodnocuje informace a podklady týkající se síťových útoků tak, aby mohla být implementována opatření k zabránění síťových útoků. 
	2, 3, 4
	IaaS, PaaS, SaaS

	10.5
	Technické prostředky
Orgán veřejné moci má v částech služby cloud computingu v jeho oblasti odpovědnosti zavedené vhodné technické záruky k rychlému odhalení a reakci na síťové útoky na základě nepravidelných vzorců příchozího nebo odchozího provozu nebo distribuované útoky typu odepření služby (DDoS).
	3, 4
	IaaS

	10.6
	Bezpečnostní požadavky pro navázání spojení v rámci sítě poskytovatele jsou nasazeny. Bezpečnostní požadavky určují pro část sítě v oblasti odpovědnosti poskytovatele zejména:
a) v jakých případech mají být bezpečnostní zóny odděleny, 
b) ve kterých případech musí být zákazníci cloudu logicky nebo fyzicky odděleni,
c) jaké komunikační vztahy a které síťové a aplikační protokoly jsou v každém jednotlivém případě povolené,
d) jak je datový přenos pro správu a monitorování oddělen na úrovni sítě,
e) která interní komunikace je povolena a
f) která komunikace mezi sítěmi pro interní komunikace a sítěmi jiné organizace je povolena.
	2, 3, 4
	IaaS, PaaS, SaaS

	10.7
	Monitorování připojení v síti
Důvěryhodné a nedůvěryhodné sítě jsou v rámci služby cloud computingu rozlišovány. Na základě posouzení rizik jsou tyto sítě rozděleny do různých bezpečnostních zón pro interní a externí síťové oblasti. Fyzická a virtualizovaná síťová prostředí jsou navržena a nakonfigurována tak, aby omezovala a monitorovala navázané připojení k důvěryhodným a nedůvěryhodným sítím podle definovaných bezpečnostních požadavků podle pravidla vyjádřeného na řádku 10.6 této přílohy.
	2, 3, 4
	IaaS, PaaS, SaaS

	10.8
	Poskytovatel reviduje nezbytnost využívání konkrétních protokolů a portů v rámci služby cloud computingu v pravidelných intervalech z hlediska provozních potřeb. V případě využívání nedůvěryhodných protokolů je přijato odpovídající bezpečnostní opatření.
	2, 3, 4
	IaaS, PaaS, SaaS

	10.9
	Orgán veřejné moci reviduje nezbytnost využívání konkrétních protokolů a portů ve využívané službě cloud computingu v oblasti odpovědnosti orgánu veřejné moci v pravidelných intervalech z hlediska provozních potřeb. V případě využívání nedůvěryhodných protokolů přijme orgán veřejné moci odpovídající bezpečnostní opatření.
	3, 4
	IaaS, PaaS

	10.10
	Konfigurace virtuální sítě
Virtuální sítě ve službě cloud computingu v odpovědnosti orgánu veřejné moci jsou navrženy, nakonfigurovány a dokumentovány v souladu s požadavky orgánu veřejné moci na zabezpečení sítě.
	2, 3, 4
	IaaS, PaaS, SaaS

	10.11
	Propojení mezi sítěmi
Každé rozhraní sítě v rámci infrastruktury služby cloud computingu je kontrolováno bezpečnostními branami. Autorizace přístupu do systému pro přístup mezi sítěmi je založena na posouzení bezpečnosti na základě požadavků orgánu veřejné moci.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	10.12
	Propojení mezi sítěmi
Propojení mezi sítěmi je řízeno potřebami orgánu veřejné moci na zajištění bezpečnosti informací pomoci bezpečnostních bran na perimetrech virtuálních sítí ve službě cloud computingu v oblasti odpovědnosti orgánu veřejné moci.
	2, 3, 4
	IaaS, PaaS

	10.13
	Oddělení sítí pro správu a provoz
Sítě poskytovatele pro správu a provoz jsou oddělené od sítě orgánu veřejné moci ve službě cloud computingu a chráněné před neoprávněným přístupem pomocí vícefaktorové autentizace.
	2, 3, 4
	IaaS, PaaS, SaaS

	10.14
	Oddělení datového provozu ve sdílených sítích
Datový provoz orgánu veřejné moci ve sdílených síťových prostředích v rámci služby cloud computingu je oddělen na síťové úrovni podle dokumentovaného konceptu tak, aby byla zajištěna důvěrnost a integrita přenášených dat.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	10.15
	Logická struktura sítě používaná pro poskytování a provozování služby cloud computingu je dokumentovaná. Dokumentace popisuje, jak jsou rozmístěny podsítě, jak je síť dělena a segmentována a vyznačuje lokality uložení zákaznických dat.
	2, 3, 4
	IaaS, PaaS, SaaS

	10.16
	Dostatečná síťová dostupnost
Orgán veřejné moci má zajištěnou síťovou dostupnost v požadované kapacitě s ohledem na dostupnost služby cloud computingu.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	10.17
	Technické prostředky k odhalení síťových útoků
Poskytovatel má zavedené vhodné technické záruky k rychlému odhalení a reakci na síťové útoky na základě nepravidelných vzorců příchozího nebo odchozího provozu, nebo distribuované útoky typu odepření služby (DDoS). Technické záruky jsou dokumentovány v jednotné struktuře, včetně verzování dokumentace a jsou vhodným způsobem sdíleny a sdělovány všem zaměstnancům a externím pracovníkům poskytovatele.
	1, 2
	IaaS, PaaS, SaaS

	11. Přenositelnost, propojení a exit strategie

	11.1
	Datová komunikace ve službě cloud computingu je vedená skrze standardizované komunikační protokoly, které zajišťují důvěrnost a integritu přenášených informací s ohledem na stanovenou úroveň ochrany. Komunikace po sítích mimo kontrolu poskytovatele musí být šifrovaná podle pravidla upraveného na řádku 7.2 přílohy č. 1 k této vyhlášce.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	11.2
	Zákaznická data a specifické provozní údaje, včetně jejich záloh, jsou vymazány v prostředí služby cloud computingu orgánu veřejné moci uplynutím sjednané lhůty podle pravidla upraveného na řádku 9.6 přílohy č. 1 k této vyhlášce.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	11.3
	Výmaz zákaznických dat a specifických provozních údajů podle pravidla upraveného na řádku 11.2 této přílohy je prováděn způsobem znemožňujícím jejich obnovení forenzními postupy.
	2, 3, 4
	IaaS, PaaS, SaaS

	11.4
	Poskytovatel provádí bezpečnou likvidaci kryptografických klíčů, které šifrují zákaznický obsah v úložištích, v souladu s vyhláškou o kybernetické bezpečnosti4).
	3
	IaaS, PaaS, SaaS

	11.5
	Poskytovatel provádí bezpečnou likvidaci kryptografických klíčů uložených v certifikovaném hardware security modulu (HSM) řízenou orgánem veřejné moci.
	4
	IaaS, PaaS, SaaS

	12. Nákup, vývoj a úprava informačních systémů

	12.1
	Politika pro bezpečný vývoj služby cloud computingu
Bezpečný vývoj služby cloud computingu včetně technických a organizačních opatření se řídí politikou zavedenou podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce. Politika pro bezpečný vývoj služby cloud computingu poskytovatele obsahuje postupy pro celý životní cyklus služby cloud computingu a odpovídá uznávaným standardům a metodám zejména s ohledem na:
a) bezpečnost při vývoji softwaru,
b) bezpečnost při zavádění softwaru a
c) bezpečnost při provozu služby cloud computing.
	2, 3, 4
	Paas, SaaS

	12.2
	Outsourcing vývoje
V případě externího vývoje služby cloud computingu nebo jednotlivých technických aktiv jsou mezi poskytovatelem a dodavatelem externího vývoje smluvně upraveny specifikace týkající se zejména:  
a) bezpečnosti při vývoji softwaru v souladu s uznávanými standardy a metodami,
b) akceptačních testů kvality služeb poskytovaných v souladu s dohodnutými funkčními a nefunkčními požadavky a
c) poskytnutí důkazu o tom, že bylo provedeno dostatečné bezpečnostní ověření, aby se vyloučila existence známých zranitelností.
	2, 3, 4
	IaaS, PaaS, SaaS

	12.3
	Politika pro správu změn technických aktiv
Správa změn technických aktiv služby cloud computingu včetně technických a organizačních opatření se řídí politikou zavedenou podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce, která upravuje zejména:
a) schvalování nastavených kritérií pro posuzování rizik, kategorizace a stanovení priorit změn a souvisejících požadavků na typ a rozsah zkoušek, které mají být provedeny, vývoj změn a jejich nasazení v provozním prostředí oprávněnými osobami nebo technickými aktivy,
b) požadavky na provedení a dokumentaci testování,
c) požadavky na oddělení funkcí (separation of duties) pro vývoj, testování a vydávání změn, 
d) požadavky na správné informování orgánu veřejné moci o typu a rozsahu změn a následné povinnosti spolupráce v souladu se smluvními podmínkami,
e) požadavky na dokumentaci změn v systémové, provozní a uživatelské dokumentaci a 
f) požadavky na implementaci a dokumentaci nouzových změn, které musí splňovat stejnou úroveň zabezpečení jako běžné změny.
	2, 3, 4
	IaaS, PaaS, SaaS

	12.4
	Bezpečnostní školení týkající se vývoje a nepřetržitého dodávání
Poskytovatel má zavedený vzdělávací program pro pravidelné bezpečnostní školení cílových skupin a pro zajištění informovanosti svých zaměstnanců a externích pracovníků o standardech a metodách bezpečného vývoje a poskytování softwaru a o tom, jak používat nástroje určené pro tento účel. Program je pravidelně přezkoumáván a aktualizován s ohledem na použité politiky, přiřazené role a odpovědnosti a použité nástroje.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	12.5
	Řízení změn
Poskytovatel v souladu s platnou politikou pro správu změn technických aktiv řídí změny, podrobuje je procesu posouzení rizik s ohledem na možné dopady na technická aktiva a podle toho změny kategorizuje a prioritizuje.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	12.6
	Testování změn
Změny služby cloud computingu jsou podrobovány příslušnému testování během vývoje a nasazení technických aktiv. Typ a rozsah testování odpovídá posouzení rizik. Testy jsou prováděny kvalifikovanými zaměstnanci nebo externími pracovníky poskytovatele nebo automatizovanými testovacími postupy, které odpovídají nejmodernějším metodám. Orgán veřejné moci je do testu zapojen v souladu se smluvními podmínkami. Závažnost chyb a zranitelností zjištěných v testech, které jsou relevantní pro rozhodnutí o nasazení technických aktiv, je stanovena podle předem definovaných kritérií a jsou zahájeny akce pro její včasnou nápravu nebo jejich zmírnění.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	12.7
	Logování změn
Přístup k technickým aktivům a nástrojům pro správu zdrojových kódů a nasazení programových prostředků, které poskytovatel používá k provádění změn technických aktiv služby cloud computingu v provozním prostředí, je řízen podle pravidla upraveného na řádku 8.1 této přílohy.
Nástroje pro správu zdrojových kódů a nasazení programových prostředků musí být nakonfigurovány tak, aby byly zaznamenány všechny změny a lze je vysledovat zpět k jednotlivcům nebo technickým aktivům, které je provedly.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	12.8
	Řízení verzí
Postupy řízení verzí technických aktiv jsou nastaveny za účelem sledování závislostí jednotlivých změn a obnovení pozměněných technických aktiv zpět do jejich předchozího stavu v důsledku chyb nebo identifikovaných zranitelností.
	2, 3, 4
	IaaS, PaaS, SaaS

	12.9
	Schvalování změn
Změny ve službě cloud computingu jsou schvalovány pouze oprávněnými zaměstnanci nebo technickými aktivy poskytovatele na základě předem definovaných kritérií (např. výsledky testů a požadovaná oprávnění) před tím, než jsou zavedeny v provozním prostředí orgánu veřejné moci. Orgán veřejné moci se na změnách podílí v souladu se smluvními podmínkami.
	2, 3, 4
	IaaS, PaaS, SaaS

	12.10
	Orgán veřejné moci je s dostatečným předstihem předem definovaným způsobem informován o plánované významné změně7) v poskytování služby cloud computingu a jejích dopadech.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	12.11
	Orgán veřejné moci si zajistí možnost odstoupit od smlouvy o poskytování služby cloud computingu v souvislosti s významnou změnou7) na straně poskytovatele, se kterou orgán veřejné moci nevyslovil souhlas.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	13. Řízení dodavatelů

	13.1
	Omezení subdodávek třetí stranou
Orgán veřejné moci specifikuje, které ze služeb cloudu computingu nemůže poskytovatel zajistit prostřednictvím subdodavatele a zajistí, že tyto služby cloud computingu poskytovatel nebude poskytovat prostřednictvím subdodavatele.
	3, 4
	IaaS, PaaS, SaaS

	13.2
	Politika pro kontrolu a monitoring dodavatelů
Kontrola a monitoring dodavatelů, jejichž dodávky a služby přispívají k poskytování služby cloud computingu, se se řídí politikou poskytovatele zavedenou podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce, která upravuje zejména:
a) požadavky na proces posuzování rizik spojených s pořizováním služeb od dodavatelů,
b) požadavky na klasifikaci dodavatelů založené na posouzení rizik ze strany poskytovatele a zhodnocení, jestli je dodavatel subdodavatelem,
c) požadavky na bezpečnost informací pro případ zpracování, uchovávání nebo přenos informací dodavateli založené na uznávaných technických standardech,
d) požadavky na školení zaměstnanců a externích pracovníků o informační bezpečnosti,
e) relevantní právní a regulatorní požadavky,
f) požadavky na vypořádání se se zranitelnostmi, kybernetickými bezpečnostními incidenty a poruchami,
g) specifikaci smluvních podmínek pro požadavky uvedené v tomto pravidle,
h) kontrolu dodržování požadavků politiky pro kontrolu a monitoring dodavatelů a
i) aplikaci požadavků politiky pro kontrolu a monitoring dodavatelů na dodavatele v míře, v jaké tento dodavatel přispívá k poskytnutí služby cloud computingu orgánu veřejné moci.
Dodavatelé, jejichž dodávky a služby přispívají k poskytování služby cloud computingu jsou s politikou poskytovatele pro kontrolu a monitoring dodavatelů prokazatelně seznámeni. 
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	13.3
	Analýza rizik dodavatelů
Poskytovatel využívá služeb dodavatelů při poskytování služby cloud computingu, u kterých posoudil rizika v souladu s politikou pro kontrolu a monitoring dodavatelů zavedenou podle pravidla upraveného na řádku 13.2 této přílohy před tím, než tyto dodavatele do poskytování služby cloud computingu orgánu veřejné moci zapojil.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	13.4
	Posouzení rizik prováděné podle pravidla upraveného na řádku 13.3 této přílohy zahrnuje identifikaci, analýzu, zhodnocení, zvládání a dokumentaci rizik zejména s ohledem na:
a) potřebnou úroveň ochrany zajišťující dostupnost, důvěrnost a integritu informací zpracovávaných, uchovávaných nebo přenášených třetími stranami,
b) dopady narušení ochrany a kybernetických bezpečnostních incidentů na poskytování služeb cloud computingu a
c) závislosti poskytovatele na službách třetí strany s ohledem na rozsah, komplexnost a jedinečnost pořizovaných služeb se zvážením možných alternativ.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	13.5
	Databáze dodavatelů
Poskytovatel vede pravdivou a úplnou databázi svých stávajících dodavatelů, kterou pravidelně alespoň jednou ročně aktualizuje, a která obsahuje zejména: 
a) název dodavatele, 
b) sídlo dodavatele, 
c) umístění zpracovávání a uchovávání dat u dodavatele,
d) kontaktní zodpovědnou osobu na straně dodavatele, 
e) kontaktní zodpovědnou osobu na straně poskytovatele, 
f) popis a rozsah služby poskytované dodavatelem, 
g) zařazení dodavatele do kategorie založené na analýze rizik,
h) počátek využívání poskytované služby poskytovatelem a
i) důkaz souladu smluvních podmínek dodavatele a poskytovatele služby cloud computingu.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	13.6
	Monitoring shody s požadavky
Poskytovatel kontroluje shodu dodávek a služeb poskytovaných prostřednictvím dodavatelů s požadavky na informační bezpečnost, aplikovatelnými právními a regulatorními požadavky a politikou pro kontrolu a monitoring dodavatelů zavedenou podle pravidla 13.2 této přílohy. Kontrola dodavatelů zahrnuje pravidelný přezkum níže uvedených podkladů dodavatelů zejména: 
a) zpráv o kvalitě poskytované služby ze strany dodavatele, 
b) certifikátů řídících systémů o souladu s mezinárodně uznávanými standardy, 
c) nezávislých auditních zpráv třetí strany o vhodnosti a provozní efektivitě vnitřních kontrolních systémů dodavatelů zaměřených na poskytování služby a 
d) záznamů dodavatelů o zvládání zranitelností, kybernetických bezpečnostních incidentů a poruch.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	13.7
	Kontrolu dodavatelů prováděnou podle pravidla upraveného na řádku 13.6 této přílohy provádí poskytovatel s frekvencí odpovídající zařazení dodavatele do kategorie založené na analýze rizik provedené poskytovatelem podle pravidla upraveného na řádku 13.3 této přílohy. Výsledky kontroly jsou zahrnovány do procedury řízení rizik. Identifikované porušení a neshody jsou analyzovány, zhodnoceny a ošetřeny v souladu s procesem řízení rizik.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	13.8
	Orgán veřejné moci má po celou dobu využívání služby cloud computingu informace o nových a stávajících subdodavatelích poskytovatele zapojených do poskytování služby cloud computingu a na základě informovanosti a zjištěných potřebách zpracovávaných a uchovávaných dat vložených do služby cloud computingu zvažuje, jestli je potřeba podnikat další kroky ke kontrole a monitorování těchto subdodavatelů.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	13.9
	Exit strategie poskytovatele
Pro služby, kde hodnocení rizik dodavatelů s ohledem na rozsah, komplexnost a jedinečnost poskytované služby dosahuje úrovně vysoké závislosti, má poskytovatel vypracovanou a zdokumentovanou exit strategii.
	2, 3, 4
	IaaS, PaaS, SaaS

	13.10
	Exit strategie zpracovaná podle pravidla upraveného na řádku 13.9 této přílohy je v souladu s plánem kontinuity zavedeným podle pravidla upraveného na řádku 15.3 této přílohy a zahrnuje zejména:
a) analýzu potenciálních nákladů, dopadů, zdrojů a časovou náročnost potřebných k převedení služby cloud computingu k alternativnímu dodavateli,
b) určení a přidělení rolí, odpovědností a dostatečných zdrojů k úspěšnému převedení služby cloud computingu k alternativnímu dodavateli,
c) definování kritérií úspěchu při převedení služby cloud computingu k alternativnímu dodavateli a 
d) definování ukazatelů výkonu poskytované služby cloud computingu, jejichž nenaplnění iniciuje zahájení exit strategie.
	2, 3, 4
	IaaS, PaaS, SaaS

	14. Správa kybernetických bezpečnostních událostí a incidentů

	14.1
	Zpřístupnění informací o kybernetických bezpečnostních událostech
Orgán veřejné moci má vzdáleně přístupné informace o všech kybernetických bezpečnostních událostech týkajících se poskytované služby cloud computingu bez zbytečného odkladu po jejich vzniku.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	14.2
	Politika řízení kybernetických bezpečnostních incidentů
Řízení kybernetických bezpečnostních incidentů včetně technických a organizačních opatření ve službě cloud computingu se řídí politikou zavedenou podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce tak, aby byla zajištěna včasná, efektivní a odpovídající reakce poskytovatele na všechny známé kybernetické bezpečnostní incidenty.
	2, 3, 4
	IaaS, PaaS, SaaS

	14.3
	Poskytovatel má vypracované a zavedené postupy pro klasifikaci, prioritizaci a eskalaci kybernetických bezpečnostních incidentů, vytvořené rozhraní pro řízení incidentů a řízení kontinuity a zřízený Computer Emergency Response Team (CERT/CSIRT) za účelem koordinovaného řešení kybernetických bezpečnostních incidentů ve službě cloud computingu.
	3, 4
	IaaS, PaaS, SaaS

	14.4
	Zachování forenzní hodnoty důkazů
V případě kybernetického bezpečnostního incidentu ve službě cloud computingu se postupuje podle vypracovaných instrukcí zabezpečujících sběr dat z podezřelých systémů průkazným způsobem. Pro případ typizovaných kybernetických bezpečnostních incidentů jsou zpracované plány, analýzy a metodika vyhodnocení za účelem ochrany důkazní hodnoty získaných informací tak, aby získané informace neztratily svou důkazní hodnotu.
	3, 4
	IaaS, PaaS, SaaS

	14.5
	Zpracovávání kybernetických bezpečnostních incidentů
Poskytovatel klasifikuje, určuje priority a provádí analýzy příčin událostí ve službě cloud computingu, které by mohly představovat kybernetický bezpečnostní incident.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	14.6
	Poskytovatel provádí simulaci postupů spojených se zvládáním kybernetických bezpečnostních incidentů a útoků ve službě cloud computingu alespoň jednou ročně prostřednictvím testů a cvičení za účelem ověření účinnosti nastavených postupů.
	3, 4
	IaaS, PaaS, SaaS

	14.7
	Dokumentace a hlášení kybernetických bezpečnostních incidentů
Řešení kybernetického bezpečnostního incidentu ve službě cloud computingu je dokumentováno v souladu se smluvními podmínkami. Orgán veřejné moci je informován o způsobu řešení kybernetického bezpečnostního incidentu, pokud jím byl dotčen.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	14.8
	Povinnost uživatelů nahlásit kybernetický bezpečnostní incident
Zaměstnanci, externí pracovníci a subdodavatelé poskytovatele jsou informování o jejich povinnostech ve vztahu ke kybernetickým bezpečnostním incidentům ve službě cloud computingu a jsou povinni okamžitě informovat poskytovatele o všech kybernetických bezpečnostních incidentech přímo se dotýkajících poskytované služby cloud computingu.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	14.9
	Zhodnocení a proces zlepšování
Poskytovatel má zavedené procesy ke sběru a hodnocení informací o typu a rozsahu kybernetických bezpečnostních incidentů a k hlášení kybernetických bezpečnostních incidentů příslušným úřadům nebo subdodavatelům. Získané informace jsou využívány k identifikaci opakujících se kybernetických bezpečnostních incidentů a určení oblastí vyžadujících další ochranu.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	15. Řízení kontinuity činností

	15.1
	Poskytování služby cloud computingu se řídí politikou řízení kontinuity činností zavedenou podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce, která stanoví: 
a) strategii a pokyny k zajištění kontinuity činností a řízení mimořádných událostí,
b) práva a povinnosti zaměstnanců a externích pracovníků poskytovatele zapojených do zajištění provozní kontinuity a
c) cíle řízení kontinuity činnosti.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	15.2
	Politika analýzy dopadů narušení služby cloud computingu
Narušení poskytované služby cloud computingu se řídí politikou zavedenou podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce, která upravuje zejména: 
a) možné rizikové scénáře založené na analýze rizik,
b) identifikaci kritických produktů a služeb,
c) identifikaci závislostí, včetně procesů a požadovaných zdrojů, aplikací, obchodních partnerů a třetích stran,
d) hrozby zachycené pro kritické produkty a služby,
e) identifikaci dopadů vyplývajících z plánovaných a neplánovaných narušení a změn v průběhu času,
f) určení maximální přípustné doby výpadku služby cloud computingu,
g) stanovení priorit v procesu obnovy služby cloud computingu,
h) stanovení maximálně přípustného času pro obnovu (RTO) služby cloud computingu,
i) stanovení maximálně přípustné doby ztráty dat (RPO) a
j) odhad zdrojů potřebných k efektivní činnosti procesu obnovy služby cloud computingu.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	15.3
	Plánování kontinuity činností
Poskytovatel zavádí, dokumentuje a vynucuje na základě analýzy dopadů narušení služby cloud computingu na podnikání jednotný rámec pro plánování provozní kontinuity. Plánování je založeno na uznávaných standardech. Plán kontinuity činností a pohotovostní plán zohledňují zejména:
a) účel a rozsah plánování provozní kontinuity s ohledem na příslušné závislosti,
b) přístupnost a srozumitelnost plánů pro osoby, které mají podle něj jednat,
c) určení alespoň jedné osoby odpovědné za přezkoumání, aktualizaci a schválení plánů,
d) komunikační kanály, role a odpovědnosti včetně upozornění orgánu veřejné moci,
e) postupy obnovy, dočasná řešení a referenční informace (s ohledem na stanovení priorit při obnově technických aktiv a služeb infrastruktury a sladění se s orgánem veřejné moci),
f) metody pro realizaci plánů,
g) proces neustálého zlepšování a
h) prostředí pro řízení kybernetických bezpečnostních incidentů.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	15.4
	Ověření, aktualizace a testování plánu kontinuity činností
Analýza dopadů narušení služby cloud computingu, plán kontinuity činností a pohotovostní plán jsou pravidelně alespoň jednou ročně a vždy po významných změnách7) přezkoumávány, aktualizovány a testovány. Rozsah testů těchto plánů zahrnuje orgán veřejné moci a příslušné subdodavatele. Testy jsou zdokumentovány a výsledky zohledněny při zavádění opatření k zajištění kontinuity činností.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	16. Soulad s předpisy a audit

	16.1
	Politika provádění auditů
Poskytovatel plánuje a provádí audity v souladu s politikou zavedenou podle pravidla upraveného na řádku 3.2 přílohy č. 1 k této vyhlášce, která upravuje zejména: 
a) omezení přístupu k technickým aktivům pouze pro čtení osobám provádějícím audit v souladu s dohodnutým plánem auditu a podle potřeby k provádění auditních činností,
b) provádění auditních činnosti, které mohou mít za následek poruchu služby cloud computingu nebo porušení smluvních podmínek, během plánovaných oken údržby nebo mimo období špiček a
c) protokolování a monitorování auditních činností.
	2, 3, 4
	IaaS, PaaS, SaaS

	16.2
	Interní audit
Auditor kybernetické bezpečnosti[footnoteRef:12]) kontroluje prováděním pravidelných interních auditů alespoň jednou za dva roky soulad systému řízení bezpečnosti informací poskytovatele s povinnostmi vyplývajícími z právních předpisů a smluvních podmínek a dodržování politik poskytovatele. [12: ) § 7 odst. 4 vyhlášky č. 82/2018 Sb.] 

	1, 2
	IaaS, PaaS, SaaS

	16.3
	Interní audit
Auditor kybernetické bezpečnosti kontroluje prováděním pravidelných interních auditů alespoň jednou za rok soulad systému řízení bezpečnosti informací poskytovatele s povinnostmi vyplývajícími z právních předpisů a smluvních podmínek a dodržování politik poskytovatele.
	3, 4
	IaaS, PaaS, SaaS

	16.4
	Odstraňování zjištěných nedostatků
Poskytovatel zahrnuje zranitelnosti a odchylky zjištěné v rámci interního auditu provedeného podle pravidla upraveného na řádku 16.2 nebo 16.3 této přílohy do posouzení rizik v souladu s postupem řízení rizik a definuje následná opatření.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	16.5
	Přezkum výsledků vedením poskytovatele
Vrcholové vedení poskytovatele je pravidelně informováno o stavu bezpečnosti informací v rozsahu systému řízení bezpečnosti informací za účelem zajištění jeho trvalé vhodnosti, přiměřenosti a účinnosti. Poskytovatel provádí nejméně jednou za dva roky přezkum systému řízení bezpečnosti informací, do kterého zahrnuje informace o stavu systému řízení bezpečnosti informací. 
	1, 2
	IaaS, PaaS, SaaS

	16.6
	Přezkum výsledků vedením poskytovatele
Vrcholové vedení poskytovatele je pravidelně informováno o stavu bezpečnosti informací v rozsahu systému řízení bezpečnosti informací za účelem zajištění jeho trvalé vhodnosti, přiměřenosti a účinnosti. Poskytovatel provádí nejméně jednou ročně přezkum systému řízení bezpečnosti informací, do kterého zahrnuje informace o stavu systému řízení bezpečnosti informací.
	3, 4
	IaaS, PaaS, SaaS

	17. Žádosti cizozemských orgánu o zpřístupnění nebo předání dat

	17.1
	Informace o nakládání s žádostmi cizozemských orgánů na zpřístupnění dat
Orgán veřejné moci má jasnou a srozumitelnou informaci o tom, jakým způsobem poskytovatel řeší žádost cizozemského orgánu na zpřístupnění nebo předání zákaznických dat nebo specifických provozních údajů. Informace obsahuje postup na ověření oprávněnosti (legálnosti) takové žádosti, postup zapojení a informování dotčeného orgánu veřejné moci o takové žádosti, popis možností dotčeného orgánu veřejné moci takovou žádost rozporovat a popis toho, zda je poskytovatel schopen rozšifrovat zašifrovaná zákaznická data a specifické provozní údaje v případě takové žádosti a jak je tato schopnost poskytovatelem využívána ke zpřístupnění nebo předání zákaznických dat nebo specifických provozních údajů.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	17.2
	Postup pro předání nebo zpřístupnění dat
Postupy poskytovatele pro nastavování přístupu nebo předávání zákaznického obsahu na základě žádosti cizozemského orgánu zajišťují, že cizozemský orgán bude mít přístup pouze k datům, která jsou nutná pro zajištění účelu žádosti. Pokud není možné jednoznačné vymezení zákaznických dat a specifických provozních údajů, poskytovatel data anonymizuje nebo pseudonymizuje tak, aby cizozemský orgán mohl data přiřadit pouze k tomu orgánu veřejné moci, jehož data jsou předmětem žádosti o předání nebo zpřístupnění zákaznických dat a specifických provozních údajů.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	18. Bezpečnost a zabezpečení produktu

	18.1
	Pokyny a doporučení pro orgán veřejné moci
Poskytovatel poskytuje orgánu veřejné moci pokyny a doporučení pro bezpečné používání poskytované služby cloud computingu, jejichž účelem je bezpečná konfigurace, instalace a používání služby cloud computingu orgánem veřejné moci.Typ a rozsah poskytovaných pokynů a doporučení odpovídá potřebám orgánu veřejné moci, který si stanoví požadavky na zabezpečení informací, implementuje je nebo ověřuje jejich implementaci. Pokyny a doporučení pro bezpečné používání služby cloud computingu, kde je to aplikovatelné na poskytovanou službu cloud computingu, se týkají zejména:
a) bezpečné konfigurace,
b) informačních zdrojů o známých zranitelnostech a mechanismech aktualizací,
c) mechanismů zpracování chyb a jejich zaznamenávání,
d) způsobů ověřování identity,
e) zavedení konceptu rolí a práv,
f) služeb a funkcí pro správu služby cloud computingu administrátory orgánu veřejné moci a
g) vymezení odpovědností v rámci bezpečnostních oblastí a třídy cloud computingu dle modelu sdílené odpovědnosti.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	18.2
	Orgán veřejné moci zohlední pokyny a doporučení poskytnuté poskytovatelem podle pravidla upraveného na řádku 18.1 této přílohy ve svých bezpečnostních politikách a pokynech týkajících se služby cloud computingu a v opatřeních sloužících k bezpečnému nastavení a využívání služby cloud computingu.
	2, 3, 4
	IaaS, PaaS, SaaS

	18.3
	Systém správy relací
Při poskytování služby cloud computingu je využíván systém správy relací, který odpovídá moderním standardům (state-of-the-art) a je odolný vůči známým zranitelnostem. V rámci systému správy relací jsou implementovány mechanismy, které znehodnocují relaci poté, co byla identifikována jako neaktivní.
	1, 2, 3, 4
	IaaS, PaaS, SaaS

	18.4
	Obrazy virtuálních zařízení a kontejnerů
Poskytovatel v případě poskytování obrazů virtuálních zařízení nebo kontejnerů informuje orgán veřejné moci o změnách provedených oproti předchozí verzi a zodolňuje obrazy virtuálních zařízení nebo kontejnerů podle obecně uznávaných standardů.
	1, 2, 3, 4
	IaaS, PaaS, SaaS