Elektronická knihovna legislativního procesu - textová podoba dokumentu

Upozornění: Text přílohy byl získán strojově a nemusí přesně odpovídat originálu. Zejména u strojově nečitelných smluv, kde jsme použili OCR. originál dokumentu stáhnete odsud

"[Klepněte sem a vložte římské číslo dle čísla na obálce

VII.
ROZDÍLOVÁ TABULKA NÁVRHU PRÁVNÍHO PŘEDPISU S PŘEDPISY EU
Návrh zákona o kybernetické bezpečnosti
Navrhovaný právní předpis
Odpovídající předpis EU

Ustanovení (část, §, odst., písm., apod.)
Obsah
Celex č.
Ustanovení (čl., odst., písm., bod, apod.)
Obsah

§ 1 odst. 1
(1)
Tento zákon zapracovává příslušný předpis Evropské unie1, zároveň navazuje na přímo použitelné předpisy Evropské unie2 a upravuje práva a povinnosti orgánů a osob a působnost a pravomoci Národního úřadu pro kybernetickou a informační bezpečnost (dále jen „Úřad“) a dalších orgánů veřejné moci v oblasti kybernetické bezpečnosti.

) Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice NIS 2).

2) Nařízení Evropského parlamentu a Rady (EU) 2019/881 ze dne 17. dubna 2019 o agentuře ENISA („Agentuře Evropské unie pro kybernetickou bezpečnost“), o certifikaci kybernetické bezpečnosti informačních a komunikačních technologií a o zrušení nařízení (EU) č. 526/2013 („akt o kybernetické bezpečnosti“).

Nařízení Evropského parlamentu a Rady (EU) 2021/887 ze dne 20. května 2021, kterým se zřizuje Evropské průmyslové, technologické a výzkumné centrum kompetencí pro kybernetickou bezpečnost a síť národních koordinačních center.

Nařízení Evropského parlamentu a Rady (EU) 2021/696 ze dne 28. dubna 2021, kterým se zavádí Kosmický program Unie a zřizuje Agentura Evropské unie pro Kosmický program a zrušují nařízení (EU) č. 912/2010, (EU) č. 1285/2013 a (EU) č. 377/2014 a rozhodnutí č. 541/2014/EU.

Rozhodnutí Evropského parlamentu a Rady č. 1104/2011/EU ze dne 25. října 2011 o podmínkách přístupu k veřejné regulované službě nabízené globálním družicovým navigačním systémem vytvořeným na základě programu Galileo.

Nařízení Evropského parlamentu a Rady (EU) 2023/588 ze dne 15. března 2023, kterým se zavádí Program Unie pro bezpečnou konektivitu na období 2023–2027.
32022L2555
Čl. 1 odst. 1
1. Touto směrnicí se stanoví opatření, jejichž účelem je dosáhnout vysoké společné úrovně kybernetické bezpečnosti v rámci Unie s cílem zlepšit fungování vnitřního trhu.

32022L2555
Čl. 41 odst. 1 a 2
1. Členské státy do 17. října 2024 přijmou a zveřejní opatření nezbytná pro dosažení souladu s touto směrnicí. Neprodleně o nich uvědomí Komisi.

Použijí tato opatření ode dne 18. října 2024.

2. Opatření uvedená v odst. 1 přijatá členskými státy musí obsahovat odkaz na tuto směrnici nebo musí být takový

odkaz učiněn při jejich úředním vyhlášení. Způsob odkazu si stanoví členské státy.

§ 1 odst. 2
(2)
Tento zákon se nevztahuje na informační nebo komunikační systémy, které nakládají s utajovanými informacemi. Tento zákon se dále nevztahuje na osoby, které nejsou usazené na území České republiky; to neplatí pro osoby poskytující na území České republiky služby elektronických komunikací podle jiného právního předpisu.3)
3) Zákon č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích).
32022L2555
Čl. 26 odst. 1 písm. a)
1. Má se za to, že subjekty spadající do oblasti působnosti této směrnice podléhají pravomoci členského státu, v němž jsou usazeny, s výjimkou těchto případů:

a) poskytovatelé veřejných sítí elektronických komunikací nebo poskytovatelé veřejně dostupných služeb elektronických komunikací, u nichž se má za to, že podléhají pravomoci členského státu, v němž poskytují své služby;

§ 2 odst. 1 písm. a)
(1)
Pro účely tohoto zákona se rozumí
a)
aktivem primární aktiva a podpůrná aktiva relevantní pro zpracování informací a dat v elektronické podobě, a to včetně likvidace,
32022L2555
Čl. 6 odst. 1
Pro účely této směrnice se rozumí:

1) „sítí a informačním systémem“:

a) síť elektronických komunikací ve smyslu čl. 2 bodu 1 směrnice (EU) 2018/1972;

b) zařízení nebo skupina vzájemně propojených nebo souvisejících zařízení, z nichž jedno nebo více provádí na základě programu automatické zpracování digitálních dat; nebo

c) digitální data, jež jsou prvky uvedenými v písmenech a) a b) uchovávána, zpracovávána, opětovně vyhledávána nebo předávána za účelem jejich provozu, použití, ochrany a údržby;

§ 2 odst. 1 písm. f)
(1)
Pro účely tohoto zákona se rozumí
f)
poskytovatelem regulované služby orgán nebo osoba, které poskytují jednu nebo více regulovaných služeb, a
32022L2555
Čl. 6 odst. 38
Pro účely této směrnice se rozumí:
38) „subjektem“ fyzická nebo právnická osoba vytvořená a uznaná jako taková podle vnitrostátního práva v místě svého usazení, která může svým jménem vykonávat práva a podléhat povinnostem;

§ 2 odst. 1 písm. g)
(1)
Pro účely tohoto zákona se rozumí
g)
řízením kybernetické bezpečnosti činnost poskytovatele regulované služby podle tohoto zákona směřující k zajištění kybernetické bezpečnosti regulované služby.
32022L2555
Čl. 6 odst. 3
Pro účely této směrnice se rozumí:
3) „kybernetickou bezpečností“ kybernetická bezpečnost ve smyslu čl. 2 bodu 1 nařízení (EU) 2019/881;

§ 2 odst. 2 písm. b)
(2)
Pro účely tohoto zákona se dále rozumí
b)
bezpečností informací zajištění důvěrnosti, integrity a dostupnosti informací a dat,
32022L2555
Čl. 6 odst. 2 a 3
Pro účely této směrnice se rozumí:
2) „bezpečností sítí a informačních systémů“ schopnost sítí a informačních systémů odolávat s určitou spolehlivostí veškerým událostem, které mohou narušit dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo služeb, které jsou nabízeny prostřednictvím sítí a informačních systémů nebo které jsou jejich prostřednictvím přístupné;

3) „kybernetickou bezpečností“ kybernetická bezpečnost ve smyslu čl. 2 bodu 1 nařízení (EU) 2019/881;

§ 2 odst. 2 písm. c)
(2)
Pro účely tohoto zákona se dále rozumí
c)
hrozbou jakákoliv potenciální okolnost, událost nebo jednání, které mohou být příčinou kybernetické bezpečnostní události nebo kybernetického bezpečnostního incidentu, a které mohou poškodit, narušit nebo jinak nepříznivě ovlivnit aktiva, jejich uživatele nebo další osoby,
32022L2555
Čl. 6 odst. 10
Pro účely této směrnice se rozumí:
10) „kybernetickou hrozbou“ kybernetická hrozba ve smyslu čl. 2 bodu 8 nařízení (EU) 2019/881;

§ 2 odst. 2 písm. d)
(2)
Pro účely tohoto zákona se dále rozumí
d)
významnou hrozbou hrozba, u níž lze na základě jejích technických charakteristik předpokládat, že má potenciál závažně ovlivnit aktiva poskytovatele regulované služby nebo uživatelů regulovaných služeb natolik, že způsobí značnou majetkovou nebo nemajetkovou újmu,
32022L2555
Čl. 6 odst. 11
Pro účely této směrnice se rozumí:
11) „významnou kybernetickou hrozbou“ kybernetická hrozba, u níž lze na základě jejích technických charakteristik předpokládat, že má potenciál vážně ovlivnit sítě a informační systémy určitého subjektu nebo uživatelů služeb takového subjektu tím, že způsobí značnou hmotnou nebo nehmotnou újmu;

§ 2 odst. 2 písm. e)
(2)
Pro účely tohoto zákona se dále rozumí
e)
kybernetickou bezpečnostní událostí událost, která může nebo mohla vyústit v kybernetický bezpečnostní incident,
32022L2555
Čl. 6 odst. 5
Pro účely této směrnice se rozumí:
5) „významnou událostí“ událost, která mohla narušit dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo služeb, které nabízejí sítě a informační systémy nebo které jsou jejich prostřednictvím přístupné, ale plnému vzniku takové události bylo úspěšně zabráněno nebo taková událost nenastala;

§ 2 odst. 2 písm. f)
(2)
Pro účely tohoto zákona se dále rozumí
f)
kybernetickým bezpečnostním incidentem narušení bezpečnosti informací v rámci aktiv,
32022L2555
Čl. 6 odst. 6
Pro účely této směrnice se rozumí:
6) „incidentem“ událost narušující dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo služeb, které jsou nabízeny prostřednictvím sítí a informačních systémů nebo které jsou jejich prostřednictvím přístupné;

§ 2 odst. 2 písm. g)
(2)
Pro účely tohoto zákona se dále rozumí
g)
zvládáním kybernetického bezpečnostního incidentu úkony vedoucí k zajištění prevence, detekce, analýzy, omezení dopadů incidentu, reakce na incident a následné obnovy,
32022L2555
Čl. 6 odst. 8

Pro účely této směrnice se rozumí:
8) „řešením incidentu“ jakékoli akce a postupy, jejichž cílem je incidentu předejít, odhalit jej, analyzovat, zamezit jeho šíření nebo na něj reagovat a zotavit se z něj;

§ 2 odst. 2 písm. k)
(2)
Pro účely tohoto zákona se dále rozumí
k)
zranitelností slabé místo aktiva nebo slabé místo bezpečnostního opatření, které může být zneužito jednou nebo více hrozbami,
32022L2555
Čl. 6 odst. 15

Pro účely této směrnice se rozumí:
15) „zranitelností“ slabá stránka, snížená odolnost nebo chyba produktů IKT nebo služeb IKT, která může být využita kybernetickou hrozbou;

§ 2 odst. 2 písm. m)
(2)
Pro účely tohoto zákona se dále rozumí
m)
orgánem ústřední orgány státní správy4), jiné správní úřady5), územní samosprávné celky6), Ústavní soud, soudy, státní zastupitelství, Česká národní banka, Nejvyšší kontrolní úřad, Kancelář prezidenta republiky, Kancelář Poslanecké sněmovny a Kancelář Senátu a další orgány veřejné moci a osoby, kterým byl výkon veřejné moci svěřen.
4) Zákon č. 2/1969 Sb., o zřízení ministerstev a jiných ústředních orgánů státní správy České socialistické republiky, ve znění pozdějších předpisů.

5) Čl. 79 odst. 1 ústavního zákona č. 1/1993 Sb., Ústava České republiky.

6) Čl. 99 ústavního zákona č. 1/1993 Sb., Ústava České republiky.
32022L2555
Čl. 6 odst. 35
Pro účely této směrnice se rozumí:
35) „subjektem veřejné správy“ subjekt uznaný jako takový v členském státě v souladu s vnitrostátním právem, s výjimkou soudnictví, parlamentů a centrálních bank, který splňuje tato kritéria:

a) je založen za účelem spočívajícím v uspokojování potřeb veřejného zájmu a nemá průmyslovou nebo obchodní povahu;

b) má právní subjektivitu nebo je ze zákona oprávněn jednat jménem jiného subjektu s právní subjektivitou;

c) je financován převážně státem, regionálními orgány nebo jinými veřejnoprávními subjekty, podléhá řídicímu dohledu těchto orgánů nebo subjektů, nebo je v jeho správním, řídícím nebo dozorčím orgánu více než polovina členů jmenována státem, regionálními orgány nebo jinými veřejnoprávními subjekty;

d) má pravomoc vydávat fyzickým nebo právnickým osobám správní nebo regulační rozhodnutí ovlivňující jejich práva při přeshraničním pohybu osob, zboží, služeb nebo kapitálu;

32022L2555
Čl. 6 odst. 38
Pro účely této směrnice se rozumí:
38) „subjektem“ fyzická nebo právnická osoba vytvořená a uznaná jako taková podle vnitrostátního práva v místě svého usazení, která může svým jménem vykonávat práva a podléhat povinnostem;

§ 2 odst. 3 písm. a)
(3) Pro účely tohoto zákona se dále rozumí

a) systémem překladu jmen domén hierarchický distribuovaný systém překladu jmen domén, který umožňuje identifikaci internetových služeb a zdrojů, a současně umožňuje, aby zařízení koncových uživatelů využívala služby směrování a připojení k internetu za účelem přístupu k těmto službám a zdrojům,
32022L2555
Čl. 6 odst. 19
Pro účely této směrnice se rozumí:
19) „systémem překladu jmen domén“ nebo „DNS“ hierarchický distribuovaný systém překladu jmen domén, který umožňuje identifikaci internetových služeb a zdrojů a současně umožňuje, aby zařízení koncových uživatelů využívala služby směrování a připojení k internetu za účelem přístupu k těmto službám a zdrojům;

§ 2 odst. 3 písm. b)
(3) Pro účely tohoto zákona se dále rozumí

b) správou a provozem registru domény nejvyšší úrovně činnost spočívající ve správě konkrétní delegované domény nejvyšší úrovně, včetně registrace jmen domén v rámci domény nejvyšší úrovně a technického provozu jmenných serverů, vedení databází zajišťujících správu a provoz domény nejvyšší úrovně a distribuci zónových souborů domény nejvyšší úrovně mezi jmennými servery, s výjimkou situací, kdy registr domény nejvyšší úrovně používá jména domény nejvyšší úrovně pouze pro svou vlastní potřebu,
32022L2555
Čl. 6 odst. 21
Pro účely této směrnice se rozumí:
21) „registrem domén nejvyšší úrovně“ nebo „registrem TLD“ subjekt, kterému byla delegována konkrétní doména nejvyšší úrovně (TLD) a je odpovědný za správu domén nejvyšší úrovně, včetně registrace jmen domén v rámci domén nejvyšší úrovně a technického provozu domén nejvyšší úrovně, včetně provozu jejích jmenných serverů, vedení jejích databází a distribuce souborů zón domén nejvyšší úrovně mezi jmennými servery, bez ohledu na to, zda kteroukoli z těchto operací provádí subjekt sám nebo je zajišťována externě, avšak s výjimkou situací, kdy jsou jména domén nejvyšší úrovně používána registrem pouze pro vlastní potřebu;

§ 2 odst. 3 písm. c)
(3) Pro účely tohoto zákona se dále rozumí

c) službou cloud computingu služba informační společnosti ve smyslu právního předpisu upravujícího některé služby informační společnosti7), která umožňuje samoobslužnou správu a široký vzdálený přístup k rozšiřitelnému a pružnému seskupení sdílitelných výpočetních zdrojů, včetně těch, které jsou rozmístěny na více místech,
7) § 2 odst. 1 písm. a) zákona č. 480/2004 Sb., o některých službách informační společnosti a o změně některých zákonů (zákon o některých službách informační společnosti), ve znění pozdějších předpisů.
32022L2555
Čl. 6 odst. 23
Pro účely této směrnice se rozumí:
23) „digitální službou“ služba ve smyslu čl. 1 odst. 1 písm. b) směrnice Evropského parlamentu a Rady (EU) 2015/1535 (30);

Pro účely této směrnice se rozumí:
30) „službou cloud computingu“ digitální služba, která umožňuje samoobslužnou správu a široký vzdálený přístup k rozšiřitelnému a pružnému seskupení sdílitelných výpočetních zdrojů, včetně těch, které jsou rozmístěny na více místech;

§ 2 odst. 3 písm. d)
(3) Pro účely tohoto zákona se dále rozumí

d) službou datového centra služba, která zahrnuje struktury nebo skupiny struktur určené k centralizovanému umístění, propojení a provozu informačních technologií a síťových zařízení poskytujících služby zpracování dat společně se všemi zařízeními a infrastrukturami pro distribuci energie a řízení prostředí,
32022L2555
Čl. 6 odst. 31
Pro účely této směrnice se rozumí:
31) „službou datového centra“ služba, která zahrnuje struktury nebo skupiny struktur určené k centralizovanému umístění, propojení a provozu IT a síťových zařízení poskytujících služby ukládání, zpracování a přepravy dat společně se všemi zařízeními a infrastrukturami pro distribuci energie a řízení prostředí;

§ 2 odst. 3 písm. e)
(3) Pro účely tohoto zákona se dále rozumí

e) sítí pro doručování obsahu síť geograficky distribuovaných serverů sloužící k zajištění vysoké dostupnosti, přístupnosti nebo rychlého poskytování digitálního obsahu a služeb uživatelům internetu jménem poskytovatelů obsahu a služeb,
32022L2555
Čl. 6 odst. 32
Pro účely této směrnice se rozumí:
32) „sítí pro doručování obsahu“ síť geograficky distribuovaných serverů za účelem zajištění vysoké dostupnosti, přístupnosti nebo rychlého poskytování digitálního obsahu a služeb uživatelům internetu jménem poskytovatelů obsahu a služeb;

§ 2 odst. 3 písm. f)
(3) Pro účely tohoto zákona se dále rozumí

f) platformou sociálních sítí platforma, která koncovým uživatelům umožňuje vzájemné propojení, sdílení, objevování a komunikaci napříč různými zařízeními, zejména prostřednictvím chatů, příspěvků, videí a doporučení,
32022L2555
Čl. 6 odst. 33
Pro účely této směrnice se rozumí:
33) „platformou sociálních sítí“ platforma, která koncovým uživatelům umožňuje vzájemné propojení, sdílení, objevování a komunikaci napříč různými zařízeními, zejména prostřednictvím chatů, příspěvků, videí a doporučení;

§ 2 odst. 3 písm. g)
(3) Pro účely tohoto zákona se dále rozumí

g) řízenou službou služba související s instalací, správou, provozem nebo údržbou technických aktiv, a to prostřednictvím asistence nebo aktivní správy, které jsou prováděny v prostorách zákazníků nebo na dálku,
32022L2555
Čl. 6 odst. 39
Pro účely této směrnice se rozumí:
39) „poskytovatelem řízených služeb“ subjekt, který poskytuje služby související s instalací, správou, provozem nebo údržbou produktů IKT, sítí, infrastruktury, aplikací nebo jakýchkoli jiných sítí a informačních systémů, a to prostřednictvím asistence nebo aktivní správy, které jsou prováděny buď v prostorách zákazníků, nebo na dálku;

§ 2 odst. 3 písm. h)
(3) Pro účely tohoto zákona se dále rozumí

h) řízenou bezpečnostní službou řízená služba, která spočívá v činnostech souvisejících s řízením kybernetických bezpečnostních rizik nebo poskytováním asistence pro tyto činnosti a
32022L2555
Čl. 6 odst. 40
Pro účely této směrnice se rozumí:
40) „poskytovatelem řízených bezpečnostních služeb“ poskytovatel řízených služeb, který provádí činnosti související s řízením kybernetických bezpečnostních rizik nebo poskytuje asistenci pro tyto činnosti;

§ 2 odst. 3 písm. i)
(3) Pro účely tohoto zákona se dále rozumí

i) subjektem poskytujícím služby registrace jmen domén registrátor nebo zástupce jednající jménem registrátora, jako je poskytovatel služeb ochrany soukromí nebo zprostředkovatel registračních služeb nebo přeprodejce.
32022L2555
Čl. 6 odst. 22
Pro účely této směrnice se rozumí:
22) „subjektem poskytujícím služby registrace jmen domén“ registrátor nebo zástupce jednající jménem registrátorů, jako je poskytovatel služeb ochrany soukromí nebo zprostředkovatel registračních služeb nebo přeprodeje;

§ 4 odst. 2
(2)
Kritéria pro identifikaci regulované služby zohledňují

a)
v rámci kritéria služby

1.
odvětví, pododvětví a druh subjektu uvedené v přílohách I a II směrnice Evropského parlamentu a Rady (EU) 2022/2555 a

2.
významnost služeb poskytovaných v jednotlivých odvětvích uvedených v odstavci 3 s ohledem na zabezpečení důležitých společenských nebo ekonomických činností a bezpečnost v České republice,

b)
v rámci kritéria poskytovatele regulované služby

1.
velikost podniku8) podle požadavků směrnice Evropského parlamentu a Rady (EU) 2022/2555 a

2.
ekonomickou, společenskou a bezpečnostní významnost poskytovatele regulované služby pro Českou republiku.

8) Doporučení Komise 2003/361/ES ze dne 6. května 2003 o definici mikropodniků a malých a středních podniků.
32022L2555
Čl. 2 odst. 1 a 2
1. Tato směrnice se vztahuje na veřejné a soukromé subjekty, jejichž druhy jsou uvedeny v příloze I nebo II a které jsou považovány podle článku 2 přílohy doporučení 2003/361/ES za střední podniky, nebo které překračují stropy pro střední podniky stanovené v odstavci 1 uvedeného článku a které poskytují služby nebo vykonávají činnosti v rámci Unie. Ustanovení čl. 3 odst. 4 přílohy uvedeného doporučení se pro účely této směrnice nepoužije.

2. Bez ohledu na jejich velikost se tato směrnice vztahuje také na subjekty, jejichž druh je uveden v příloze I nebo II, pro něž platí, že:

a) služby jsou poskytovány:

i) poskytovateli veřejné sítě elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací;

ii) poskytovateli služeb vytvářejících důvěru;

iii) registry domén nejvyšší úrovně a provozovateli DNS;

b) subjekt je v některém členském státě výhradním poskytovatelem služeb, jež mají zásadní význam pro zachování

kritických společenských nebo hospodářských činností;

c) narušení služby poskytované tímto subjektem by mohlo mít významný dopad na veřejný pořádek, veřejnou bezpečnost

nebo ochranu zdraví;

d) narušení služby poskytované tímto subjektem by mohlo vyvolat významná systémová rizika, zejména pro ta odvětví,

kde by takové narušení mohlo mít přeshraniční dopad;

e) subjekt je kritický vzhledem ke svému specifickému významu na vnitrostátní nebo regionální úrovni pro konkrétní

odvětví nebo druh služby nebo pro jiná vzájemně závislá odvětví v členském státě;

f) subjekt je subjektem veřejné správy:

i) ústřední vlády, jak je vymezena členským státem podle vnitrostátního práva; nebo

ii) na regionální úrovni, jak je vymezena členským státem podle vnitrostátního práva, a na základě posouzení rizik poskytuje služby, jejichž narušení by mohlo mít významný dopad na kritické společenské nebo hospodářské činnosti.

§ 4 odst. 3
(3)
Kritéria pro identifikaci regulované služby jsou stanovena v odvětvích

a)
veřejná správa,

b)
energetika,

c)
výrobní průmysl,

d)
potravinářský průmysl,

e)
chemický průmysl,

f)
vodní hospodářství,

g)
odpadové hospodářství,

h)
doprava,

i)
digitální infrastruktura a služby,

j)
finanční trh,

k)
zdravotnictví,

l)
věda, výzkum a vzdělávání,

m)
poštovní a kurýrní služby,

n)
vojenský průmysl,

o)
vesmírný průmysl.
32022L2555
Čl. 2 odst. 1 a 2
1. Tato směrnice se vztahuje na veřejné a soukromé subjekty, jejichž druhy jsou uvedeny v příloze I nebo II a které jsou považovány podle článku 2 přílohy doporučení 2003/361/ES za střední podniky, nebo které překračují stropy pro střední podniky stanovené v odstavci 1 uvedeného článku a které poskytují služby nebo vykonávají činnosti v rámci Unie. Ustanovení čl. 3 odst. 4 přílohy uvedeného doporučení se pro účely této směrnice nepoužije.

2. Bez ohledu na jejich velikost se tato směrnice vztahuje také na subjekty, jejichž druh je uveden v příloze I nebo II, pro něž platí, že:

a) služby jsou poskytovány:

i) poskytovateli veřejné sítě elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací;

ii) poskytovateli služeb vytvářejících důvěru;

iii) registry domén nejvyšší úrovně a provozovateli DNS;

b) subjekt je v některém členském státě výhradním poskytovatelem služeb, jež mají zásadní význam pro zachování

kritických společenských nebo hospodářských činností;

c) narušení služby poskytované tímto subjektem by mohlo mít významný dopad na veřejný pořádek, veřejnou bezpečnost

nebo ochranu zdraví;

d) narušení služby poskytované tímto subjektem by mohlo vyvolat významná systémová rizika, zejména pro ta odvětví,

kde by takové narušení mohlo mít přeshraniční dopad;

e) subjekt je kritický vzhledem ke svému specifickému významu na vnitrostátní nebo regionální úrovni pro konkrétní

odvětví nebo druh služby nebo pro jiná vzájemně závislá odvětví v členském státě;

f) subjekt je subjektem veřejné správy:

i) ústřední vlády, jak je vymezena členským státem podle vnitrostátního práva; nebo

32022L2555
Čl. 2 odst. 5 písm. a) a b)
5. Členské státy mohou stanovit, že se tato směrnice vztahuje na: a) subjekty veřejné správy na místní úrovni;

b) vzdělávací instituce, zejména pokud vykonávají kritické výzkumné činnosti.

§ 5 odst. 1 písm. a)
1)
Regulovanou službou je dále služba určená orgánu nebo osobě rozhodnutím Úřadu v případě, že

a)
jde o službu uvedenou ve vyhlášce Úřadu stanovující kritéria pro identifikaci regulovaných služeb a

1.
orgán nebo osoba je jediným poskytovatelem této služby v České republice a tato služba je zásadní pro zachování nezbytných společenských nebo ekonomických činností v České republice,

2.
narušení této služby by mohlo mít významný dopad na bezpečnost České republiky, vnitřní či veřejný pořádek nebo veřejné zdraví,

3.
narušení této služby by mohlo vyvolat významná systémová rizika, zejména v odvětvích, kde by takové narušení mohlo mít přeshraniční dopad, nebo

4.
orgán nebo osoba je kvůli svému specifickému významu na regionální nebo celostátní úrovni zásadní pro konkrétní odvětví nebo typ služby nebo pro jiná vzájemně propojená odvětví v České republice,
32022L2555
Čl. 2 odst. 2 písm. b) až e)
2. Bez ohledu na jejich velikost se tato směrnice vztahuje také na subjekty, jejichž druh je uveden v příloze I nebo II, pro něž platí, že:

(…)

b) subjekt je v některém členském státě výhradním poskytovatelem služeb, jež mají zásadní význam pro zachování kritických společenských nebo hospodářských činností;

c) narušení služby poskytované tímto subjektem by mohlo mít významný dopad na veřejný pořádek, veřejnou bezpečnost nebo ochranu zdraví;
d) narušení služby poskytované tímto subjektem by mohlo vyvolat významná systémová rizika, zejména pro ta odvětví, kde by takové narušení mohlo mít přeshraniční dopad;
e) subjekt je kritický vzhledem ke svému specifickému významu na vnitrostátní nebo regionální úrovni pro konkrétní odvětví nebo druh služby nebo pro jiná vzájemně závislá odvětví v členském státě;

§ 5 odst. 1 písm. d)
1)
Regulovanou službou je dále služba určená orgánu nebo osobě rozhodnutím Úřadu v případě, že

d)
orgán nebo osoba je subjektem kritické infrastruktury podle právního předpisu upravujícího krizové řízení a kritickou infrastrukturu; v takovém případě je regulovanou službou služba odpovídající prvku kritické infrastruktury určenému u tohoto subjektu.
32022L2555
Čl. 2 odst. 3
3. Bez ohledu na jejich velikost se tato směrnice použije na subjekty určené jakožto kritické subjekty podle směrnice (EU) 2022/2557.

§ 6
(1)
Režim poskytovatele regulované služby stanovuje míru jemu uložených povinností podle tohoto zákona.

(2)
Režim poskytovatele regulované služby je

a)
režim vyšších povinností, nebo

b)
režim nižších povinností.

(3)
Režim poskytovatele regulované služby stanovený vyhláškou Úřadu zohledňuje

a)
základní a důležité subjekty podle příslušného předpisu Evropské unie8) a

b)
významnost poskytovatele služby podle § 4 odst. 2 písm. b) bod 2.

(4)
Je-li regulovaná služba určena rozhodnutím Úřadu podle § 5 odst. 1, je režim jejího poskytovatele vždy režimem vyšších povinností.

9) Čl. 3 směrnice Evropského parlamentu a Rady (EU) 2022/2555.
32022L2555
Čl. 3 odst. 1 a 2
1. Pro účely této směrnice se za základní subjekty považují:

a) subjekty, jejichž druh je uveden v příloze I, které překračují stropy pro střední podniky stanovené v čl. 2 odst. 1 přílohy doporučení 2003/361/ES;

b) kvalifikovaní poskytovatelé služeb vytvářejících důvěru, registry domén nejvyšší úrovně a provozovatelé DNS bez ohledu na jejich velikost;

c) poskytovatelé veřejných sítí elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací, kteří jsou považováni za střední podniky podle článku 2 přílohy doporučení 2003/361/ES;

d) subjekty veřejné správy podle čl. 2 odst. 2 písm. f) bodu i);

e) jakékoli jiné subjekty druhu, který je uveden v příloze I nebo II, jež členský stát označí za základní subjekty podle čl. 2 odst. 2 písm. b) až e);

f) subjekty určené jakožto kritické subjekty podle směrnice (EU) 2022/2557, jež jsou uvedeny v čl. 2 odst. 3 této směrnice;

g) pokud tak členský stát stanoví, subjekty, které tento členský stát označil před 16. lednem 2023 za provozovatele základních služeb v souladu se směrnicí (EU) 2016/1148 nebo s vnitrostátním právem.

2. Pro účely této směrnice se za důležité subjekty považují subjekty druhu uvedeného v příloze I nebo II, které nelze považovat za základní subjekty podle odstavce 1 tohoto článku. Patří k nim i subjekty, jež členské státy označily za důležité podle čl. 2 odst. 2 písm. b) až e).

§ 7
(1)
Každý poskytovatel regulované služby má pro všechny poskytované regulované služby stanoven jen jeden režim.

(2)
Poskytovatel regulované služby, kterému je stanoven režim vyšších povinností pro alespoň jednu jím poskytovanou regulovanou službu, má stanoven režim vyšších povinností pro všechny jím poskytované regulované služby.
32022L2555
Čl. 3 odst. 1 a 2
1. Pro účely této směrnice se za základní subjekty považují:

a) subjekty, jejichž druh je uveden v příloze I, které překračují stropy pro střední podniky stanovené v čl. 2 odst. 1 přílohy doporučení 2003/361/ES;

b) kvalifikovaní poskytovatelé služeb vytvářejících důvěru, registry domén nejvyšší úrovně a provozovatelé DNS bez ohledu na jejich velikost;

d) subjekty veřejné správy podle čl. 2 odst. 2 písm. f) bodu i);

e) jakékoli jiné subjekty druhu, který je uveden v příloze I nebo II, jež členský stát označí za základní subjekty podle čl. 2 odst. 2 písm. b) až e);

f) subjekty určené jakožto kritické subjekty podle směrnice (EU) 2022/2557, jež jsou uvedeny v čl. 2 odst. 3 této směrnice;

§ 8 odst. 1
(1)
Poskytovatel regulované služby je povinen nahlásit Úřadu naplnění kritérií pro identifikaci regulované služby, a to vyplněním registračních údajů podle § 12 odst. 2 písm. a).
32022L2555
Čl. 3 odst. 4
4. Pro účely stanovení seznamu uvedeného v odstavci 3 členské státy vyžadují, aby subjekty zmíněné v uvedeném odstavci příslušným orgánům předložily alespoň tyto informace:

a) název subjektu;

b) adresu a aktuální kontaktní údaje, včetně e-mailových adres, rozsahu IP adres a telefonních čísel;

c) případně příslušná odvětví a pododvětví podle přílohy I nebo II; a

d) případně seznam členských států, v nichž poskytují služby spadající do oblasti působnosti této směrnice.

Subjekty uvedené v odstavci 3 oznámí všechny změny údajů, které předložily podle prvního pododstavce tohoto odstavce, a to neprodleně, nejpozději však do dvou týdnů od data změny.

Komise za pomoci Agentury Evropské unie pro kybernetickou bezpečnost (dále jen „ENISA“) bez zbytečného odkladu poskytne pokyny a šablony týkající se povinností stanovených v tomto odstavci.

Členské státy mohou zřídit vnitrostátní mechanismy, jejichž pomocí by se subjekty mohly registrovat samy.

32022L2555
Čl. 32 odst. 2 písm. e) a f)
2. Členské státy zajistí, aby příslušné orgány měly při výkonu svých dohledových úkolů v souvislosti se základními subjekty pravomoc podrobit tyto subjekty alespoň:
(…)
e) požadavkům na informace nezbytné k posouzení opatření k řízení kybernetických bezpečnostních rizik přijatých dotčeným subjektem, včetně zadokumentovaných zásad kybernetické bezpečnosti, jakož i dodržování povinnosti

předkládat informace příslušným orgánům podle článku 27;

f) požadavkům na přístup k údajům, dokumentům a informacím potřebným pro výkon dohledových úkolů;

(…)

§ 10 odst. 1 a 2
(1)
Po registraci regulované služby podle § 8 nebo po změně registrace podle § 9 Úřad bez zbytečného odkladu zapíše regulovanou službu nebo její změnu do evidence regulovaných služeb. O této skutečnosti Úřad poskytovatele regulované služby písemně vyrozumí.

(2)
Poskytovatel regulované služby je povinen plnit všechny povinnosti plynoucí mu ze zákona vůči zapsaným regulovaným službám od okamžiku doručení vyrozumění o zápisu regulované služby nebo její změny do evidence regulovaných služeb. Platí, že dokud je služba zapsána v evidenci regulovaných služeb, je regulovanou službou.
32022L2555
Čl. 3 odst. 3
3. Členské státy stanoví do 17. dubna 2025 seznam základních a důležitých subjektů, jakož i subjektů poskytujících služby registrace jmen domén. Členské státy tento seznam pravidelně, a to alespoň každé dva roky, přezkoumávají a v případě potřeby jej aktualizují.

§ 12 odst. 1
(1)
Poskytovatel regulované služby hlásí registrační, kontaktní a další doplňující údaje a jejich změny Úřadu. Poskytovatel regulované služby odpovídá za správnost a úplnost nahlášených údajů.

(…)

předkládat informace příslušným orgánům podle článku 27;

f) požadavkům na přístup k údajům, dokumentům a informacím potřebným pro výkon dohledových úkolů;

(…)

§ 12 odst. 1 až 4
(1)
Poskytovatel regulované služby hlásí registrační, kontaktní a další doplňující údaje a jejich změny Úřadu. Poskytovatel regulované služby odpovídá za správnost a úplnost nahlášených údajů.

(2)
Hlášenými údaji jsou

a)
registrační údaje, kterými se rozumí informace spojené s identifikací poskytovatele regulované služby a jím poskytované regulované služby,

b)
kontaktní údaje, kterými se rozumí informace spojené s identifikací fyzických osob, které jsou oprávněny jednat za poskytovatele regulované služby ve věcech upravených tímto zákonem, a

c)
doplňující údaje, kterými se rozumí informace o vlastnické struktuře poskytovatele regulované služby, technické údaje týkající se regulované služby a informace o jejím geografickém rozšíření a přeshraničním poskytování.
(3)
Poskytovatel regulované služby je povinen nahlásit údaje podle odstavce 2 písm. b) a c) pro každou regulovanou službu nejpozději do 30 dnů ode dne doručení písemného vyrozumění o jejím zápisu do evidence regulovaných služeb podle § 10 odst. 1.

(4)
Poskytovatel regulované služby je povinen hlásit změny pouze těch údajů podle odstavce 2, které nejsou referenčními údaji vedenými v základních registrech, a to nejpozději do 14 dnů od jejich změny.
32022L2555
Čl. 3 odst. 4
4. Pro účely stanovení seznamu uvedeného v odstavci 3 členské státy vyžadují, aby subjekty zmíněné v uvedeném

odstavci příslušným orgánům předložily alespoň tyto informace:

a) název subjektu;

b) adresu a aktuální kontaktní údaje, včetně e-mailových adres, rozsahu IP adres a telefonních čísel;

c) případně příslušná odvětví a pododvětví podle přílohy I nebo II; a

d) případně seznam členských států, v nichž poskytují služby spadající do oblasti působnosti této směrnice.

§ 12 odst. 4
(4)
Poskytovatel regulované služby je povinen hlásit změny pouze těch údajů podle odstavce 2, které nejsou referenčními údaji vedenými v základních registrech, a to nejpozději do 14 dnů od jejich změny.
32022L2555
Čl. 29 odst. 4
4. Členské státy zajistí, aby základní a důležité subjekty oznámily příslušným orgánům, že se účastní ujednání o sdílení informací o kybernetické bezpečnosti podle odstavce 2, a to od okamžiku uzavření takových ujednání, nebo v příslušných případech skutečnost, že od nich odstoupily, a to jakmile takové odstoupení nabude účinku.

§ 13 odst. 1
(1)
Poskytovatel regulované služby

a)
identifikuje všechna primární aktiva v rámci celé organizace,

b)
určí, která primární aktiva identifikovaná podle písmene a) souvisejí s poskytováním regulované služby, a

c)
u primárních aktiv určených podle písmene b) identifikuje a určí související organizační části organizace a podpůrná aktiva.
32022L2555
Čl. 21 odst. 1
1. Členské státy zajistí, aby základní a důležité subjekty přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik, jimž čelí sítě a informační systémy, jež tyto subjekty používají pro svůj provoz nebo poskytování svých služeb, a k předcházení incidentům nebo minimalizaci jejich dopadů na příjemce jejich služeb a na další služby.

S ohledem na nejnovější technický vývoj a případně na příslušné evropské a mezinárodní normy a na náklady na provádění musí opatření uvedená v prvním pododstavci zajišťovat úroveň bezpečnosti sítí a informačních systémů odpovídající existující míře rizika. Při posuzování přiměřenosti těchto opatření je třeba náležitě zohlednit míru vystavení subjektu rizikům, jeho velikost a pravděpodobnost výskytu incidentů, jejich závažnost a společenský a ekonomický dopad.

§ 14 odst. 1 a 2
(1)
Bezpečnostními opatřeními jsou organizační a technická opatření, jejichž cílem je zajištění řádného poskytování regulované služby a kybernetické bezpečnosti aktiv.

(2)
Poskytovatel regulované služby je povinen v rámci stanoveného rozsahu zavést a provádět bezpečnostní opatření podle § 15 alespoň v míře a způsobem stanoveným vyhláškou Úřadu.
32022L2555
Čl. 20
1. Členské státy zajistí, aby řídící orgány základních a důležitých subjektů schválily opatření k řízení kybernetických bezpečnostních rizik přijatá těmito subjekty za účelem dosažení souladu s článkem 21, dohlížely nad jeho uplatňováním a mohly nést odpovědnost, poruší-li subjekty uvedený článek.

Uplatňováním tohoto odstavce není dotčeno vnitrostátní právo, pokud jde o pravidla odpovědnosti vztahující se na veřejné orgány, odpovědnost úředníků veřejné správy a odpovědnost volených veřejných činitelů nebo jmenovaných úředníků.

2. Členské státy zajistí, aby členové řídících orgánů základních a důležitých subjektů museli absolvovat školení, a vybízí základní a důležité subjekty, aby pravidelně nabízely podobné školení svým zaměstnancům, aby tak získali dostatečné znalosti a dovednosti, aby mohli identifikovat rizika a posoudit postupy řízení kybernetických bezpečnostních rizik a jejich dopad na služby poskytované subjektem.

32022L2555
Čl. 21
1. Členské státy zajistí, aby základní a důležité subjekty přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik, jimž čelí sítě a informační systémy, jež tyto subjekty používají pro svůj provoz nebo poskytování svých služeb, a k předcházení incidentům nebo minimalizaci jejich dopadů na příjemce jejich služeb a na další služby.

2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:

a) politiku analýzy rizik a politiku bezpečnosti informačních systémů;

b) řešení incidentů;

c) řízení kontinuity provozu, jako je například správa zálohování a obnova provozu po havárii, a krizové řízení;

d) bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů týkajících se vztahů mezi každým subjektem a jeho přímými dodavateli nebo poskytovateli služeb;

e) zabezpečení pořizování, vývoje a údržby sítí a informačních systémů, včetně zveřejňování zranitelností a jejich řešení;

f) politiky a postupy za účelem posouzení účinnosti opatření k řízení kybernetických bezpečnostních rizik;

g) základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti;

h) politiky a postupy týkající se používání kryptografie a případně šifrování;

i) bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv;

j) v příslušných případech používání vícefaktorových autentizačních řešení nebo trvalých autentizačních řešení, zabezpečené hlasové, obrazové a textové komunikace a zabezpečených systémů nouzové komunikace v rámci subjektu.

3. Členské státy zajistí, aby při zvažování vhodných opatření uvedených v odst. 2 písm. d) tohoto článku subjekty zohlednily zranitelnosti specifické pro každého přímého dodavatele a poskytovatele služeb a celkovou kvalitu produktů a postupů v oblasti kybernetické bezpečnosti svých dodavatelů a poskytovatelů služeb, včetně jejich postupů bezpečného vývoje. Členské státy rovněž zajistí, aby při zvažování vhodných opatření podle uvedeného písmene subjekty měly povinnost zohlednit výsledky koordinovaného posouzení bezpečnostních rizik kritických dodavatelských řetězců, které bylo provedeno v souladu s čl. 22 odst. 1.

4. Členské státy zajistí, aby v případě, že subjekt zjistí, že neodpovídá požadavkům stanoveným v odstavci 2, přijal bez zbytečného odkladu všechna nezbytná, vhodná a přiměřená nápravná opatření.

5. Do 17. října 2024 přijme Komise prováděcí akty, kterými stanoví technické a metodické požadavky opatření uvedených v odstavci 2, pokud jde o provozovatele DNS, registry domén nejvyšší úrovně, poskytovatele služeb cloud computingu, poskytovatele služeb datových center, poskytovatele sítí pro doručování obsahu, poskytovatele řízených služeb, poskytovatele řízených bezpečnostních služeb, poskytovatele on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí a poskytovatele služeb vytvářejících důvěru.

Komise může přijmout prováděcí akty, kterými stanoví technické, metodické a případně odvětvové požadavky, pokud jde o opatření uvedená v odstavci 2, přičemž tyto požadavky se týkají jiných základních a důležitých subjektů než těch, které jsou uvedeny v prvním pododstavci tohoto odstavce.

Při přípravě prováděcích aktů uvedených v prvním a druhém pododstavci tohoto odstavce se Komise pokud možno řídí evropskými a mezinárodními normami, jakož i příslušnými technickými specifikacemi. Komise si v souladu s čl. 14 odst. 4 písm. e) poskytuje se skupinou pro spolupráci a agenturou ENISA vzájemné poradenství a spolupracuje s nimi, pokud jde o návrhy prováděcích aktů.

Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 39 odst. 2.

32022L2555
Čl. 25 odst. 1
1. Členské státy za účelem harmonizovaného provádění čl. 21 odst. 1 a 2 podporují používání evropských a mezinárodních norem a technických specifikací upravujících bezpečnost sítí a informačních systémů, aniž by přitom vyžadovaly používání konkrétního druhu technologie nebo diskriminujícím způsobem prosazovaly jeho používání.

§ 15 odst. 1 a 2
(1)
Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a)
organizačními opatřeními

1.
systém řízení bezpečnosti informací,

2.
povinnosti vrcholného vedení,

3.
bezpečnostní role,

4.
řízení bezpečnostní politiky a bezpečnostní dokumentace,

5.
řízení aktiv,

6.
řízení rizik,

7.
řízení dodavatelů,

8.
bezpečnost lidských zdrojů,

9.
řízení změn,

10.
akvizice, vývoj a údržba,

11.
řízení přístupu,

12.
zvládání kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů,

13.
řízení kontinuity činností a

14.
audit kybernetické bezpečnosti,

b)
technickými opatřeními

1.
fyzická bezpečnost,

2.
bezpečnost komunikačních sítí,

3.
správa a ověřování identit,

4.
řízení přístupových oprávnění,

5.
detekce kybernetických bezpečnostních událostí,

6.
zaznamenávání bezpečnostních a relevantních provozních událostí,

7.
vyhodnocování kybernetických bezpečnostních událostí,

8.
aplikační bezpečnost,

9.
kryptografické algoritmy,

10.
zajišťování dostupnosti regulované služby a

11.
zabezpečení průmyslových, řídících a obdobných specifických technických aktiv.

(2)
Pro poskytovatele regulované služby v režimu nižších povinností jsou organizačními a technickými opatřeními

a)
zajišťování minimální úrovně kybernetické bezpečnosti,

b)
povinnosti vrcholného vedení,

c)
řízení aktiv,

d)
řízení rizik,

e)
bezpečnost lidských zdrojů,

f)
řízení kontinuity činností,

g)
řízení přístupu,

h)
řízení identit a jejich oprávnění,

i)
detekce a zaznamenávání kybernetických bezpečnostních událostí,

j)
řešení kybernetických bezpečnostních incidentů,

k)
bezpečnost komunikačních sítí,

l)
aplikační bezpečnost a

m)
kryptografické algoritmy.
32022L2555
Čl. 21 odst. 1
1. Členské státy zajistí, aby základní a důležité subjekty přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik, jimž čelí sítě a informační systémy, jež tyto subjekty používají pro svůj provoz nebo poskytování svých služeb, a k předcházení incidentům nebo minimalizaci jejich dopadů na příjemce jejich služeb a na další služby.

32022L2555
Čl. 20
1. Členské státy zajistí, aby řídící orgány základních a důležitých subjektů schválily opatření k řízení kybernetických bezpečnostních rizik přijatá těmito subjekty za účelem dosažení souladu s článkem 21, dohlížely nad jeho uplatňováním a mohly nést odpovědnost, poruší-li subjekty uvedený článek.