Elektronická knihovna legislativního procesu - textová podoba dokumentu

                "[Klepněte sem a vložte římské číslo dle čísla na obálce

II.
PŘEDKLÁDACÍ ZPRÁVA
Národní úřad pro kybernetickou a informační bezpečnost (dále jen „Úřad“) předkládá legislativní materiál s názvem „Návrh zákona o kybernetické bezpečnosti“ (dále jen „návrh zákona“) podle Plánu legislativních prací vlády na rok 2023. Ten zahrnuje úkol zpracovat a předložit vládě návrh zákona, kterým se mění zákon č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění pozdějších předpisů a návrh zákona o posuzování bezpečnostní spolehlivosti dodavatelů informačních a komunikačních technologií do strategicky významné infrastruktury České republiky. Výše uvedené návrhy byly do Plánu legislativních prací vlády na rok 2023 zařazeny na základě potřeby transpozice směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice NIS 2), do českého právního řádu a za účelem splnění úkolu obsaženém v usnesení Bezpečnostní rady státu ze dne 21. června 2022 č. 41.
Úřad po důkladném zvážení všech skutečností a z důvodu rozsáhlosti úprav přistoupil ke komplexnímu řešení v podobě návrhu nového zákona, který zohledňuje jak výše uvedené, tak praxi nabytou Úřadem v rámci realizace stávajících právních předpisů.
Předkládaný návrh zákona má posilovat kybernetickou bezpečnost České republiky a v mnoha aspektech navazuje na stávající systém. Současně ale přináší i nové procesy a nástroje a zároveň zjednodušuje a zpřehledňuje právní úpravu. Návrh zákona počítá s rozšířením okruhu orgánů a osob, na který dopadá a jehož ochrana a fungování jsou v ekonomickém a celospolečenském zájmu, vnímaném jak na národní, tak na evropské úrovni.
Návrh zákona sdružuje dosavadní roztříštěnou úpravu několika typů povinných osob do jedné – tzv. poskytovatele regulované služby (dále jen „poskytovatel“), přičemž regulovanou službou má být taková služba, jejíž narušení by mohlo mít významný dopad na důležité společenské či ekonomické činnosti ve státě. Poskytovatele pak návrh zákona řadí do dvou kategorií, poskytovatele v režimu vyšších povinností a poskytovatele v režimu nižších povinností. Návrh zákona pak rozlišuje ještě jednu specifickou povinnou osobu, a tou je subjekt poskytující službu registrace jmen domén.
Hlavním cílem návrhu zákona je dosáhnout toho, aby důležité organizace zaváděly preventivní kroky k posílení své kybernetické bezpečnosti. Jedná se o klíčový krok k předcházení, zjištění a zmírňování dopadů případných kybernetických bezpečnostních incidentů. Tento požadavek, reprezentovaný povinností zavádět tzv. bezpečnostní opatření, je ústředním smyslem existence návrhu zákona. Vedle zavádění bezpečnostních opatření je další významnou povinností poskytovatele hlášení a zvládání kybernetických bezpečnostních incidentů. Navrhovaná úprava hlášení kybernetických bezpečnostních incidentů vychází ideově z dosavadní právní úpravy a byla v zásadě zachována u procesu hlášení incidentů poskytovatelem v režimu vyšších povinností. Hlášení incidentů v případě poskytovatelů v režimu nižších povinností má návrh zákona zjednodušit.
Primárním nástrojem pro veškerou komunikaci ze strany poskytovatelů s Úřadem bude Portál NÚKIB jakožto jednotná platforma. Základními principy navrhovaného řešení je maximální automatizace a samoobslužnost platformy vedoucí k redukci administrativní zátěže jak na straně regulovaných organizací, tak na straně Úřadu.
V návrhu zákona jsou obsaženy veškeré pravomoci z oblasti dohledu a vymáhání, kterými musí kompetentní orgány disponovat podle směrnice NIS 2. Kromě kontrol a navazujících nápravných opatření jsou to tzv. protiopatření zahrnující možnost vydání výstrahy, varování či reaktivního protiopatření. V návrhu zákona je kromě protiopatření dále rozvíjen i institut stavu kybernetického nebezpečí, jehož změny oproti stávající právní úpravě vyplynuly zejména ze získané praxe s aplikací stávajících právních předpisů. 
Návrh zákona dále obsahuje mechanismus prověřování rizik spojených s dodavatelem, a to na základě usnesení Bezpečnostní rady státu ze dne 21. června 2022 č. 41, kterým bylo Úřadu uloženo připravit návrh zákona k navýšení bezpečnosti dodavatelských řetězců strategické infrastruktury státu v oblasti informačních a komunikačních technologií. Smyslem zavedení mechanismu je přispět k zajištění dlouhodobě udržitelné bezpečnosti České republiky prostřednictvím zabezpečení a zvýšení odolnosti osob a institucí, jež jsou nezbytné pro naplňování základních funkcí státu. Tohoto cíle bude dosaženo prostřednictvím omezení závislosti vybraných povinných osob na dodavatelích představujících strategickou hrozbu v oblasti informačních a komunikačních technologiích strategicky významné infrastruktury. 
K návrhu zákona byly zpracovány teze prováděcích právních předpisů, které obsahují návrh vyhlášky
· o regulovaných službách, 
· o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností, 
· o bezpečnostních opatřeních poskytovatele regulované služby v režimu nižších povinností, 
· o Portálu NÚKIB a požadavcích na vybrané úkony,
· o nepominutelných funkcích stanoveného rozsahu a

· o kritériích rizikovosti dodavatele.
Návrh zákona je komplexní úpravou kybernetické bezpečnosti, ale vyžaduje i novelizace souvisejících právních předpisů, například zákona č. 365/2000 Sb., o informačních systémech veřejné správy a o změně některých dalších zákonů, a dalších. Za tímto účelem byl zpracován doprovodný změnový zákon, který je předkládán samostatně.

K návrhu zákona bylo zpracováno hodnocení dopadů regulace (RIA).
Předkládaný návrh zákona je zásadní pro udržení vysoké úrovně bezpečnosti České republiky. Při jeho tvorbě byly zohledněny jak zkušenosti Úřadu, tak zkušenosti ostatních orgánů státní správy a adresátů norem kybernetické bezpečnosti. Tvorbě návrhu zákona předcházely rozsáhlé konzultace s odbornou veřejností i akademickou sférou. Návrh zákona byl rovněž podroben připomínkování odbornou i širokou veřejností, kdy se Úřad zabýval 1144 jedinečnými podněty od více než 100 osob a institucí.
Účinnost zákona se navrhuje stanovit v souladu s transpoziční lhůtou směrnice NIS 2 na 18. října 2024.

K návrhu zákona proběhlo ve dnech                         2023 meziresortní připomínkové řízení. [jeho výsledek bude doplněn]
Stránka 2 (celkem 2)