Elektronická knihovna legislativního procesu - textová podoba dokumentu

Upozornění: Text přílohy byl získán strojově a nemusí přesně odpovídat originálu. Zejména u strojově nečitelných smluv, kde jsme použili OCR. originál dokumentu stáhnete odsud

"[Klepněte sem a vložte římské číslo dle čísla na obálce

ROZDÍLOVÁ TABULKA NÁVRHU PRÁVNÍHO PŘEDPISU S PŘEDPISY EU
Návrh zákona o kybernetické bezpečnosti
Navrhovaný právní předpis
Odpovídající předpis EU

Ustanovení (část, §, odst., písm., apod.)
Obsah
Celex č.
Ustanovení (čl., odst., písm., bod, apod.)
Obsah

§ 1 odst. 1
(1)
Tento zákon upravuje práva a povinnosti osob, organizačních složek státu a dalších orgánů veřejné moci v oblasti zajišťování kybernetické bezpečnosti a působnost a pravomoci Národního úřadu pro kybernetickou a informační bezpečnost (dále jen „Úřad“) a dalších orgánů veřejné moci.

32022L2555
Čl. 1 odst. 1
1. Touto směrnicí se stanoví opatření, jejichž účelem je dosáhnout vysoké společné úrovně kybernetické bezpečnosti v rámci Unie s cílem zlepšit fungování vnitřního trhu.

32022L2555
Čl. 1 odst. 2
2. Za tímto účelem tato směrnice stanoví:

a) povinnosti, jež vyžadují, aby členské státy přijaly národní strategie kybernetické bezpečnosti, určily nebo zřídily příslušné orgány, orgány pro řešení kybernetických krizí, jednotná kontaktní místa pro kybernetickou bezpečnost (dále jen „jednotná kontaktní místa“) a týmy pro reakce na počítačové bezpečnostní incidenty (dále jen „týmy CSIRT“);

b) opatření k řízení kybernetických bezpečnostních rizik a oznamovací povinnosti pro subjekty, jejichž druhy jsou uvedeny v příloze I nebo II, jakož i pro subjekty, jež jsou určeny jakožto kritické subjekty podle směrnice (EU) 2022/2022/2557;

c) pravidla a povinnosti týkající se sdílení informací o kybernetické bezpečnosti;

d) povinnosti členských států v oblasti dohledu a vymáhání.

§ 1 odst. 2
(2)
Tento zákon se vztahuje na osoby, které jsou usazeny na území České republiky. Tento zákon se dále vztahuje na osoby, které na území České republiky zajišťují sítě nebo poskytují služby elektronických komunikací podle jiného právního předpisu1), bez ohledu na místo jejich usazení.
1) Zákon č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích), ve znění pozdějších předpisů.

32022L2555
Čl. 26 odst. 1 písm. a)
1. Má se za to, že subjekty spadající do oblasti působnosti této směrnice podléhají pravomoci členského státu, v němž jsou usazeny, s výjimkou těchto případů:

a) poskytovatelé veřejných sítí elektronických komunikací nebo poskytovatelé veřejně dostupných služeb elektronických komunikací, u nichž se má za to, že podléhají pravomoci členského státu, v němž poskytují své služby;

§ 1 odst. 3
(3)
Tento zákon zapracovává příslušný předpis Evropské unie2), zároveň navazuje na přímo použitelné předpisy Evropské unie3).
2) Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice NIS 2).

3) Nařízení Evropského parlamentu a Rady (EU) 2019/881 ze dne 17. dubna 2019 o agentuře ENISA („Agentuře Evropské unie pro kybernetickou bezpečnost“), o certifikaci kybernetické bezpečnosti informačních a komunikačních technologií a o zrušení nařízení (EU) č. 526/2013 („akt o kybernetické bezpečnosti“).

Nařízení Evropského parlamentu a Rady (EU) 2021/887 ze dne 20. května 2021, kterým se zřizuje Evropské průmyslové, technologické a výzkumné centrum kompetencí pro kybernetickou bezpečnost a síť národních koordinačních center.

Nařízení Evropského parlamentu a Rady (EU) 2021/696 ze dne 28. dubna 2021, kterým se zavádí Kosmický program Unie a zřizuje Agentura Evropské unie pro Kosmický program a zrušují nařízení (EU) č. 912/2010, (EU) č. 1285/2013 a (EU) č. 377/2014 a rozhodnutí č. 541/2014/EU.

Rozhodnutí Evropského parlamentu a Rady č. 1104/2011/EU ze dne 25. října 2011 o podmínkách přístupu k veřejné regulované službě nabízené globálním družicovým navigačním systémem vytvořeným na základě programu Galileo.

Nařízení Evropského parlamentu a Rady (EU) 2023/588 ze dne 15. března 2023, kterým se zavádí Program Unie pro bezpečnou konektivitu na období 2023–2027.
32022L2555
Čl. 1 odst. 1
1. Touto směrnicí se stanoví opatření, jejichž účelem je dosáhnout vysoké společné úrovně kybernetické bezpečnosti v rámci Unie s cílem zlepšit fungování vnitřního trhu.

32022L2555
Čl. 41 odst. 1
1. Členské státy do 17. října 2024 přijmou a zveřejní opatření nezbytná pro dosažení souladu s touto směrnicí. Neprodleně o nich uvědomí Komisi.

Použijí tato opatření ode dne 18. října 2024.

32022L2555
Čl. 41 odst. 2
2. Opatření uvedená v odst. 1 přijatá členskými státy musí obsahovat odkaz na tuto směrnici nebo musí být takový

odkaz učiněn při jejich úředním vyhlášení. Způsob odkazu si stanoví členské státy.

§ 2 odst. 1 písm. c)
(1)
Pro účely tohoto zákona se rozumí
a)
aktivem fyzický nebo digitální prostředek, osoba nebo činnost související se zpracováváním informací a dat v elektronické podobě
32022L2555
Čl. 6 odst. 1
Pro účely této směrnice se rozumí:

1) „sítí a informačním systémem“:

a) síť elektronických komunikací ve smyslu čl. 2 bodu 1 směrnice (EU) 2018/1972;

b) zařízení nebo skupina vzájemně propojených nebo souvisejících zařízení, z nichž jedno nebo více provádí na základě programu automatické zpracování digitálních dat; nebo

c) digitální data, jež jsou prvky uvedenými v písmenech a) a b) uchovávána, zpracovávána, opětovně vyhledávána nebo předávána za účelem jejich provozu, použití, ochrany a údržby;

§ 2 odst. 2 písm. b)
(2)
Pro účely tohoto zákona se dále rozumí
b)
bezpečností informací zajištění důvěrnosti, integrity a dostupnosti informací a dat,
32022L2555
Čl. 6 odst. 2
Pro účely této směrnice se rozumí:
2) „bezpečností sítí a informačních systémů“ schopnost sítí a informačních systémů odolávat s určitou spolehlivostí veškerým událostem, které mohou narušit dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo služeb, které jsou nabízeny prostřednictvím sítí a informačních systémů nebo které jsou jejich prostřednictvím přístupné;

32022L2555
Čl. 6 odst. 3
Pro účely této směrnice se rozumí:
3) „kybernetickou bezpečností“ kybernetická bezpečnost ve smyslu čl. 2 bodu 1 nařízení (EU) 2019/881;

§ 2 odst. 2 písm. c)
(2)
Pro účely tohoto zákona se dále rozumí
c)
hrozbou jakákoliv potenciální okolnost, událost nebo jednání, které mohou být příčinou kybernetické bezpečnostní události nebo kybernetického bezpečnostního incidentu, a které mohou poškodit, narušit nebo jinak nepříznivě ovlivnit aktiva, jejich uživatele nebo další osoby,
32022L2555
Čl. 6 odst. 10
Pro účely této směrnice se rozumí:
10) „kybernetickou hrozbou“ kybernetická hrozba ve smyslu čl. 2 bodu 8 nařízení (EU) 2019/881;

§ 2 odst. 2 písm. d)
(2)
Pro účely tohoto zákona se dále rozumí
d)
významnou hrozbou hrozba, u níž lze na základě jejích technických charakteristik předpokládat, že má potenciál závažně ovlivnit aktiva poskytovatele regulované služby nebo uživatele regulované služby natolik, že způsobí značnou újmu,
32022L2555
Čl. 6 odst. 11
Pro účely této směrnice se rozumí:
11) „významnou kybernetickou hrozbou“ kybernetická hrozba, u níž lze na základě jejích technických charakteristik předpokládat, že má potenciál vážně ovlivnit sítě a informační systémy určitého subjektu nebo uživatelů služeb takového subjektu tím, že způsobí značnou hmotnou nebo nehmotnou újmu;

§ 2 odst. 2 písm. e)
(2)
Pro účely tohoto zákona se dále rozumí
e)
kybernetickou bezpečnostní událostí událost, která může vyústit v kybernetický bezpečnostní incident,
32022L2555
Čl. 6 odst. 5
Pro účely této směrnice se rozumí:
5) „významnou událostí“ událost, která mohla narušit dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo služeb, které nabízejí sítě a informační systémy nebo které jsou jejich prostřednictvím přístupné, ale plnému vzniku takové události bylo úspěšně zabráněno nebo taková událost nenastala;

§ 2 odst. 2 písm. f)
(2)
Pro účely tohoto zákona se dále rozumí
f)
kybernetickým bezpečnostním incidentem narušení bezpečnosti informací v kybernetickém prostoru,
32022L2555
Čl. 6 odst. 6
Pro účely této směrnice se rozumí:
6) „incidentem“ událost narušující dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo služeb, které jsou nabízeny prostřednictvím sítí a informačních systémů nebo které jsou jejich prostřednictvím přístupné;

32022L2555
Čl. 6 odst. 7
Pro účely této směrnice se rozumí:
7) „rozsáhlým kybernetickým bezpečnostním incidentem“ incident, který způsobí úroveň narušení, jež přesahuje schopnost členského státu na takový incident reagovat, nebo který má významný dopad na nejméně dva členské státy;

§ 2 odst. 2 písm. g)
(2)
Pro účely tohoto zákona se dále rozumí
g)
zvládáním kybernetického bezpečnostního incidentu úkony vedoucí k prevenci, detekci, analýze, omezení dopadů incidentu, reakci na incident a následné obnově, a
32022L2555
Čl. 6 odst. 8

Pro účely této směrnice se rozumí:
8) „řešením incidentu“ jakékoli akce a postupy, jejichž cílem je incidentu předejít, odhalit jej, analyzovat, zamezit jeho šíření nebo na něj reagovat a zotavit se z něj;

§ 2 odst. 2 písm. h)
(2)
Pro účely tohoto zákona se dále rozumí
h)
zranitelností slabé místo aktiva nebo bezpečnostního opatření, které může být zneužito hrozbou.
32022L2555
Čl. 6 odst. 15

Pro účely této směrnice se rozumí:
15) „zranitelností“ slabá stránka, snížená odolnost nebo chyba produktů IKT nebo služeb IKT, která může být využita kybernetickou hrozbou;

§ 2 odst. 3 písm. a)
(3) Pro účely tohoto zákona se dále rozumí

a)
systémem překladu doménových jmen hierarchický distribuovaný systém překladu doménových jmen, který umožňuje identifikaci internetových služeb a zdrojů, a současně umožňuje, aby zařízení koncových uživatelů využívala služby směrování a připojení k internetu za účelem přístupu k těmto službám a zdrojům,
32022L2555
Čl. 6 odst. 19
Pro účely této směrnice se rozumí:
19) „systémem překladu jmen domén“ nebo „DNS“ hierarchický distribuovaný systém překladu jmen domén, který umožňuje identifikaci internetových služeb a zdrojů a současně umožňuje, aby zařízení koncových uživatelů využívala služby směrování a připojení k internetu za účelem přístupu k těmto službám a zdrojům;

§ 2 odst. 3 písm. b)
(3) Pro účely tohoto zákona se dále rozumí

b)
správou a provozem registru domény nejvyšší úrovně činnost spočívající ve správě konkrétní delegované domény nejvyšší úrovně, včetně registrace doménových jmen v rámci domény nejvyšší úrovně a technického provozu jmenných serverů, vedení databází zajišťujících správu a provoz domény nejvyšší úrovně a distribuci zónových souborů domény nejvyšší úrovně mezi jmennými servery, s výjimkou situací, kdy registr domény nejvyšší úrovně používá doménová jména nejvyšší úrovně pouze pro svou vlastní potřebu,
32022L2555
Čl. 6 odst. 21
Pro účely této směrnice se rozumí:
21) „registrem domén nejvyšší úrovně“ nebo „registrem TLD“ subjekt, kterému byla delegována konkrétní doména nejvyšší úrovně (TLD) a je odpovědný za správu domén nejvyšší úrovně, včetně registrace jmen domén v rámci domén nejvyšší úrovně a technického provozu domén nejvyšší úrovně, včetně provozu jejích jmenných serverů, vedení jejích databází a distribuce souborů zón domén nejvyšší úrovně mezi jmennými servery, bez ohledu na to, zda kteroukoli z těchto operací provádí subjekt sám nebo je zajišťována externě, avšak s výjimkou situací, kdy jsou jména domén nejvyšší úrovně používána registrem pouze pro vlastní potřebu;

§ 2 odst. 3 písm. c)
(3) Pro účely tohoto zákona se dále rozumí

c)
službou cloud computingu služba informační společnosti podle právního předpisu upravujícího služby informační společnosti, která umožňuje samoobslužnou správu a široký vzdálený přístup k rozšiřitelnému a pružnému seskupení sdílitelných výpočetních zdrojů, včetně těch, které jsou rozmístěny na více místech,
32022L2555
Čl. 6 odst. 23
Pro účely této směrnice se rozumí:
23) „digitální službou“ služba ve smyslu čl. 1 odst. 1 písm. b) směrnice Evropského parlamentu a Rady (EU) 2015/1535 (30);

32022L2555
Čl. 6 odst. 30
Pro účely této směrnice se rozumí:
30) „službou cloud computingu“ digitální služba, která umožňuje samoobslužnou správu a široký vzdálený přístup k rozšiřitelnému a pružnému seskupení sdílitelných výpočetních zdrojů, včetně těch, které jsou rozmístěny na více místech;

§ 2 odst. 3 písm. d)
(3) Pro účely tohoto zákona se dále rozumí

d)
službou datového centra služba, která zahrnuje prostory, včetně všech zařízení a infrastruktur pro distribuci energie a řízení prostředí, určené k centralizovanému umístění, propojení a provozu informačních technologií a síťových zařízení poskytujících služby zpracování dat,
32022L2555
Čl. 6 odst. 31
Pro účely této směrnice se rozumí:
31) „službou datového centra“ služba, která zahrnuje struktury nebo skupiny struktur určené k centralizovanému umístění, propojení a provozu IT a síťových zařízení poskytujících služby ukládání, zpracování a přepravy dat společně se všemi zařízeními a infrastrukturami pro distribuci energie a řízení prostředí;

§ 2 odst. 3 písm. e)
(3) Pro účely tohoto zákona se dále rozumí

e)
sítí pro doručování obsahu síť geograficky distribuovaných serverů sloužící k zajištění vysoké dostupnosti, přístupnosti nebo rychlého poskytování digitálního obsahu a služeb uživatelům internetu,
32022L2555
Čl. 6 odst. 32
Pro účely této směrnice se rozumí:
32) „sítí pro doručování obsahu“ síť geograficky distribuovaných serverů za účelem zajištění vysoké dostupnosti, přístupnosti nebo rychlého poskytování digitálního obsahu a služeb uživatelům internetu jménem poskytovatelů obsahu a služeb;

§ 2 odst. 3 písm. f)
(3) Pro účely tohoto zákona se dále rozumí

f)
platformou sociálních sítí platforma, která koncovým uživatelům umožňuje vzájemné propojení, sdílení, objevování a komunikaci napříč různými zařízeními, zejména prostřednictvím chatů, příspěvků, videí a doporučení,
32022L2555
Čl. 6 odst. 33
Pro účely této směrnice se rozumí:
33) „platformou sociálních sítí“ platforma, která koncovým uživatelům umožňuje vzájemné propojení, sdílení, objevování a komunikaci napříč různými zařízeními, zejména prostřednictvím chatů, příspěvků, videí a doporučení;

§ 2 odst. 3 písm. g)
(3) Pro účely tohoto zákona se dále rozumí

a)
řízenou službou služba související s instalací, správou, provozem nebo údržbou technických aktiv, a to prostřednictvím asistence nebo aktivní správy, které jsou prováděny v prostorách zákazníků nebo na dálku,
32022L2555
Čl. 6 odst. 39
Pro účely této směrnice se rozumí:
39) „poskytovatelem řízených služeb“ subjekt, který poskytuje služby související s instalací, správou, provozem nebo údržbou produktů IKT, sítí, infrastruktury, aplikací nebo jakýchkoli jiných sítí a informačních systémů, a to prostřednictvím asistence nebo aktivní správy, které jsou prováděny buď v prostorách zákazníků, nebo na dálku;

§ 2 odst. 3 písm. h)
(3) Pro účely tohoto zákona se dále rozumí

h)
řízenou bezpečnostní službou služba, která spočívá v činnostech souvisejících s řízením kybernetických bezpečnostních rizik nebo poskytováním asistence pro tyto činnosti, a
32022L2555
Čl. 6 odst. 40
Pro účely této směrnice se rozumí:
40) „poskytovatelem řízených bezpečnostních služeb“ poskytovatel řízených služeb, který provádí činnosti související s řízením kybernetických bezpečnostních rizik nebo poskytuje asistenci pro tyto činnosti;

§ 2 odst. 3 písm. i)
(3) Pro účely tohoto zákona se dále rozumí

i)
osobou poskytující služby registrace doménových jmen registrátor nebo osoba poskytující obdobné služby jménem registrátora.
32022L2555
Čl. 6 odst. 22
Pro účely této směrnice se rozumí:
22) „subjektem poskytujícím služby registrace jmen domén“ registrátor nebo zástupce jednající jménem registrátorů, jako je poskytovatel služeb ochrany soukromí nebo zprostředkovatel registračních služeb nebo přeprodeje;

§ 4 odst. 1 písm. a) bod 1
(1) Podmínky pro registraci regulované služby jsou splněny v případě, že

a)
jde o službu, která je významná pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice, v některém z těchto odvětví:

1.
veřejná správa a výkon veřejné moci,
32022L2555
Čl. 2 odst. 5 písm. a)
5. Členské státy mohou stanovit, že se tato směrnice vztahuje na:
a) subjekty veřejné správy na místní úrovni;(…)

§ 4 odst. 1 písm. a) bod 1 až 11, 13 a 15 a písm. b)
(1) Podmínky pro registraci regulované služby jsou splněny v případě, že

a)
jde o službu, která je významná pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice, v některém z těchto odvětví:

1.
veřejná správa a výkon veřejné moci,

2.
energetika,

3.
výrobní průmysl,

4.
potravinářský průmysl,

5.
chemický průmysl,

6.
vodní hospodářství,

7.
odpadové hospodářství,

8.
doprava,

9.
digitální infrastruktura a služby,

10.
finanční trh,

11.
zdravotnictví,
(…)

13.
poštovní a kurýrní služby,

(…)

15.
vesmírný průmysl a

b)
b)
poskytovatel služby je středním nebo velkým podnikem ve smyslu doporučení Komise 2003/361/ES ze dne 6. května 2003 o definici mikropodniků a malých a středních podniků (dále jen „doporučení Komise 2003/361/ES“)6), nebo je významný pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice.

6) Sdělení Ministerstva průmyslu a obchodu č. 7/2023 o vyhlášení českého znění doporučení Komise 2003/361/ES ze dne 6. května 2003 o definici mikropodniků a malých a středních podniků.
32022L2555
Čl. 2 odst. 1
1. Tato směrnice se vztahuje na veřejné a soukromé subjekty, jejichž druhy jsou uvedeny v příloze I nebo II a které jsou považovány podle článku 2 přílohy doporučení 2003/361/ES za střední podniky, nebo které překračují stropy pro střední podniky stanovené v odstavci 1 uvedeného článku a které poskytují služby nebo vykonávají činnosti v rámci Unie. Ustanovení čl. 3 odst. 4 přílohy uvedeného doporučení se pro účely této směrnice nepoužije.

32022L2555
Čl. 2 odst. 2 písm. a) a f)
2. Bez ohledu na jejich velikost se tato směrnice vztahuje také na subjekty, jejichž druh je uveden v příloze I nebo II, pro něž platí, že:

a) služby jsou poskytovány:

i) poskytovateli veřejné sítě elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací;

ii) poskytovateli služeb vytvářejících důvěru;

iii) registry domén nejvyšší úrovně a provozovateli DNS;

(…)

f) subjekt je subjektem veřejné správy:

i) ústřední vlády, jak je vymezena členským státem podle vnitrostátního práva; nebo

ii) na regionální úrovni, jak je vymezena členským státem podle vnitrostátního práva, a na základě posouzení rizik poskytuje služby, jejichž narušení by mohlo mít významný dopad na kritické společenské nebo hospodářské činnosti.

§ 4 odst. 1 písm. a) bod 12
(1) Podmínky pro registraci regulované služby jsou splněny v případě, že

a)
jde o službu, která je významná pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice, v některém z těchto odvětví:
(…)

12.
věda, výzkum a vzdělávání,
(…)
32022L2555
Čl. 2 odst. 5 písm. a) a b)
5. Členské státy mohou stanovit, že se tato směrnice vztahuje na: a) subjekty veřejné správy na místní úrovni;
(…)
b) vzdělávací instituce, zejména pokud vykonávají kritické výzkumné činnosti.

§ 5 písm. a) bod 1
Podmínky pro registraci regulované služby jsou dále splněny v případě, že

a)
jde o službu podle § 4 odst. 1 písm. a) a

1.
její poskytovatel je jediným poskytovatelem této služby v České republice a tato služba je zásadní pro zabezpečení důležitých společenských nebo ekonomických činností nebo pro bezpečnost v České republice,
32022L2555
Čl. 2 odst. 2 písm. b)
2. Bez ohledu na jejich velikost se tato směrnice vztahuje také na subjekty, jejichž druh je uveden v příloze I nebo II, pro něž platí, že:

(…)

b) subjekt je v některém členském státě výhradním poskytovatelem služeb, jež mají zásadní význam pro zachování kritických společenských nebo hospodářských činností;

§ 5 písm. a) bod 2
Podmínky pro registraci regulované služby jsou dále splněny v případě, že

a)
jde o službu podle § 4 odst. 1 písm. a) a

2.
narušení této služby by mohlo mít významný dopad na bezpečnost České republiky, vnitřní pořádek nebo život a zdraví,

32022L2555
Čl. 2 odst. 2 písm. c)
2. Bez ohledu na jejich velikost se tato směrnice vztahuje také na subjekty, jejichž druh je uveden v příloze I nebo II, pro něž platí, že:

(…)

c) narušení služby poskytované tímto subjektem by mohlo mít významný dopad na veřejný pořádek, veřejnou bezpečnost nebo ochranu zdraví;

§ 5 písm. a) bod 3
Podmínky pro registraci regulované služby jsou dále splněny v případě, že

a)
jde o službu podle § 4 odst. 1 písm. a) a

3.
narušení této služby by mohlo vyvolat významná systémová rizika, zejména v odvětvích, kde by takové narušení mohlo mít přeshraniční dopad, nebo
32022L2555
Čl. 2 odst. 2 písm. d)
2. Bez ohledu na jejich velikost se tato směrnice vztahuje také na subjekty, jejichž druh je uveden v příloze I nebo II, pro něž platí, že:

(…)

d) narušení služby poskytované tímto subjektem by mohlo vyvolat významná systémová rizika, zejména pro ta odvětví, kde by takové narušení mohlo mít přeshraniční dopad;

§ 5 písm. a) bod 4
Podmínky pro registraci regulované služby jsou dále splněny v případě, že

a)
jde o službu podle § 4 odst. 1 písm. a) a

4.
její poskytovatel je kvůli svému specifickému významu na regionální nebo celostátní úrovni zásadní pro konkrétní odvětví, ve kterém působí, nebo typ služby, kterou poskytuje anebo pro jiná vzájemně propojená odvětví v České republice,
32022L2555
Čl. 2 odst. 2 písm. e)
2. Bez ohledu na jejich velikost se tato směrnice vztahuje také na subjekty, jejichž druh je uveden v příloze I nebo II, pro něž platí, že:

(…)
e) subjekt je kritický vzhledem ke svému specifickému významu na vnitrostátní nebo regionální úrovni pro konkrétní odvětví nebo druh služby nebo pro jiná vzájemně závislá odvětví v členském státě;

§ 5 odst. 1 písm. d)
Podmínky pro registraci regulované služby jsou dále splněny v případě, že
d)
jde o službu, jejíž poskytovatel je subjektem kritické infrastruktury podle právního předpisu upravujícího krizové řízení a kritickou infrastrukturu; v takovém případě je regulovanou službou služba odpovídající prvku kritické infrastruktury určenému u tohoto subjektu.
32022L2555
Čl. 2 odst. 3
3. Bez ohledu na jejich velikost se tato směrnice použije na subjekty určené jakožto kritické subjekty podle směrnice (EU) 2022/2557.

§ 6 odst. 1
(1) Poskytovatel služby splňující podmínky pro registraci regulované služby podle § 4 odst. 1 je pro účely vydání rozhodnutí o registraci regulované služby povinen ohlásit tuto službu Úřadu nejpozději do 60 dnů ode dne, kdy ke splnění podmínek došlo.

32022L2555
Čl. 3 odst. 3
3. Členské státy stanoví do 17. dubna 2025 seznam základních a důležitých subjektů, jakož i subjektů poskytujících služby registrace jmen domén. Členské státy tento seznam pravidelně, a to alespoň každé dva roky, přezkoumávají a v případě potřeby jej aktualizují.

32022L2555
Čl. 3 odst. 4 věta první a poslední
4. Pro účely stanovení seznamu uvedeného v odstavci 3 členské státy vyžadují, aby subjekty zmíněné v uvedeném odstavci příslušným orgánům předložily alespoň tyto informace:

a) název subjektu;

b) adresu a aktuální kontaktní údaje, včetně e-mailových adres, rozsahu IP adres a telefonních čísel;

c) případně příslušná odvětví a pododvětví podle přílohy I nebo II; a

d) případně seznam členských států, v nichž poskytují služby spadající do oblasti působnosti této směrnice. (…)

Členské státy mohou zřídit vnitrostátní mechanismy, jejichž pomocí by se subjekty mohly registrovat samy.

32022L2555
Čl. 27 odst. 2
2. Členské státy vyžadují, aby subjekty uvedené v odstavci 1 do 17. ledna 2025 předložily příslušným orgánům tyto informace:

a) název subjektu;

b) příslušné odvětví, pododvětví a druh subjektu, jak je v příslušných případech uvedeno v příloze I nebo II;

c) adresu hlavní provozovny subjektu a jeho dalších provozoven v Unii nebo, není-li subjekt v Unii usazen, zástupce subjektu určeného podle čl. 26 odst. 3;

d) aktuální kontaktní údaje, včetně e-mailových adres a telefonních čísel subjektu, a případně jeho zástupce určeného podle čl. 26 odst. 3;

e) členské státy, v nichž subjekt poskytuje své služby a

f) IP adresy subjektu.

32022L2555
Čl. 27 odst. 5
5. V příslušném případě se informace uvedené v odstavcích 2 a 3 tohoto článku předloží prostřednictvím vnitrostátního mechanismu uvedeného v čl. 3 odst. 4 čtvrtém pododstavci.

§ 7 písm. a) až c)
Odchylně od pravidel doporučení Komise 2003/361/ES pro účely tohoto zákona platí, že

a)
čl. 3 odst. 4 doporučení Komise 2003/361/ES se neuplatní,

b)
za podnik se nepovažují organizační složky státu7), územní samosprávné celky a Česká národní banka,

c)
za partnerský nebo propojený podnik se nepovažují osoby, jejichž technická aktiva jsou zcela oddělena od technických aktiv, která používá posuzovaná osoba při poskytování regulované služby,

7) § 3 zákona č. 219/2000 Sb., o majetku České republiky a jejím vystupování v právních vztazích, ve znění pozdějších předpisů.
32022L2555
Čl. 2 odst. 1 věta poslední
1. (…) Ustanovení čl. 3 odst. 4 přílohy uvedeného doporučení se pro účely této směrnice nepoužije.

§ 8 odst. 1
(1) V režimu vyšších povinností je poskytovatel regulované služby, který z důvodu své velikosti, počtu uživatelů, geografického rozšíření služby, dopadu na fungování odvětví nebo jiného poskytovatele regulované služby nebo rizikovosti provozu, je značně ekonomicky, společensky nebo bezpečnostně významný pro Českou republiku. V režimu nižších povinností je poskytovatel regulované služby, který není v režimu vyšších povinností podle věty první.
32022L2555
Čl. 3 odst. 1
1. Pro účely této směrnice se za základní subjekty považují:

a) subjekty, jejichž druh je uveden v příloze I, které překračují stropy pro střední podniky stanovené v čl. 2 odst. 1 přílohy doporučení 2003/361/ES;

b) kvalifikovaní poskytovatelé služeb vytvářejících důvěru, registry domén nejvyšší úrovně a provozovatelé DNS bez ohledu na jejich velikost;

c) poskytovatelé veřejných sítí elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací, kteří jsou považováni za střední podniky podle článku 2 přílohy doporučení 2003/361/ES;

d) subjekty veřejné správy podle čl. 2 odst. 2 písm. f) bodu i);

e) jakékoli jiné subjekty druhu, který je uveden v příloze I nebo II, jež členský stát označí za základní subjekty podle čl. 2 odst. 2 písm. b) až e);

f) subjekty určené jakožto kritické subjekty podle směrnice (EU) 2022/2557, jež jsou uvedeny v čl. 2 odst. 3 této směrnice;

g) pokud tak členský stát stanoví, subjekty, které tento členský stát označil před 16. lednem 2023 za provozovatele základních služeb v souladu se směrnicí (EU) 2016/1148 nebo s vnitrostátním právem.

32022L2555
Čl. 3 odst. 2
2. Pro účely této směrnice se za důležité subjekty považují subjekty druhu uvedeného v příloze I nebo II, které nelze považovat za základní subjekty podle odstavce 1 tohoto článku. Patří k nim i subjekty, jež členské státy označily za důležité podle čl. 2 odst. 2 písm. b) až e).

§ 8 odst. 3
(3) Je-li regulovaná služba registrována rozhodnutím Úřadu na základě splnění podmínek pro registraci podle § 5, je její poskytovatel v režimu vyšších povinností.
32022L2555
Čl. 3 odst. 1 písm. e) a f)
1. Pro účely této směrnice se za základní subjekty považují:
(…)
e) jakékoli jiné subjekty druhu, který je uveden v příloze I nebo II, jež členský stát označí za základní subjekty podle čl. 2 odst. 2 písm. b) až e);

f) subjekty určené jakožto kritické subjekty podle směrnice (EU) 2022/2557, jež jsou uvedeny v čl. 2 odst. 3 této směrnice;

(…)

§ 9 odst. 1
(1) Poskytovatel regulované služby je povinen hlásit Úřadu změny regulované služby, které mohou vést ke změně režimu jejího poskytovatele, nejpozději do 60 dnů ode dne, kdy ke změně regulované služby došlo.
32022L2555
Čl. 3 odst. 3
3. Členské státy stanoví do 17. dubna 2025 seznam základních a důležitých subjektů, jakož i subjektů poskytujících služby registrace jmen domén. Členské státy tento seznam pravidelně, a to alespoň každé dva roky, přezkoumávají a v případě potřeby jej aktualizují.

32022L2555
Čl. 3 odst. 4 věta druhá
Subjekty uvedené v odstavci 3 oznámí všechny změny údajů, které předložily podle prvního pododstavce tohoto odstavce, a to neprodleně, nejpozději však do dvou týdnů od data změny.

32022L2555
Čl. 27 odst. 3
3. Členské státy zajistí, aby subjekty uvedené v odstavci 1 oznámily příslušnému orgánu všechny změny informací, které předložily podle odstavce 2, a to bezodkladně, nejpozději však do tří měsíců od data změny.

§ 10 odst. 1
(1) Pokud služba již nesplňuje podmínky pro registraci regulované služby podle § 4 odst. 1 nebo § 5, Úřad rozhodne o zrušení registrace regulované služby.
32022L2555
Čl. 3 odst. 3
3. Členské státy stanoví do 17. dubna 2025 seznam základních a důležitých subjektů, jakož i subjektů poskytujících služby registrace jmen domén. Členské státy tento seznam pravidelně, a to alespoň každé dva roky, přezkoumávají a v případě potřeby jej aktualizují.

§ 11 odst. 1
(1) Poskytovatel regulované služby nejpozději do 30 dnů ode dne doručení rozhodnutí o registraci regulované služby hlásí

a)
kontaktní údaje, kterými se rozumí identifikační údaje fyzických osob, které jsou oprávněny jednat za poskytovatele regulované služby ve věcech upravených tímto zákonem, a

b)
doplňující údaje, kterými se rozumí informace o vlastnické struktuře poskytovatele regulované služby, technické údaje týkající se regulované služby a informace o jejím geografickém rozšíření a přeshraničním poskytování.
32022L2555
Čl. 3 odst. 4 věta první
4. Pro účely stanovení seznamu uvedeného v odstavci 3 členské státy vyžadují, aby subjekty zmíněné v uvedeném odstavci příslušným orgánům předložily alespoň tyto informace:

a) název subjektu;

b) adresu a aktuální kontaktní údaje, včetně e-mailových adres, rozsahu IP adres a telefonních čísel;

c) případně příslušná odvětví a pododvětví podle přílohy I nebo II; a

d) případně seznam členských států, v nichž poskytují služby spadající do oblasti působnosti této směrnice.

32022L2555
Čl. 27 odst. 2
2. Členské státy vyžadují, aby subjekty uvedené v odstavci 1 do 17. ledna 2025 předložily příslušným orgánům tyto informace:

a) název subjektu;

b) příslušné odvětví, pododvětví a druh subjektu, jak je v příslušných případech uvedeno v příloze I nebo II;

c) adresu hlavní provozovny subjektu a jeho dalších provozoven v Unii nebo, není-li subjekt v Unii usazen, zástupce subjektu určeného podle čl. 26 odst. 3;

d) aktuální kontaktní údaje, včetně e-mailových adres a telefonních čísel subjektu, a případně jeho zástupce určeného podle čl. 26 odst. 3;

e) členské státy, v nichž subjekt poskytuje své služby a

f) IP adresy subjektu.

§ 11 odst. 2
(2) Poskytovatel regulované služby je povinen hlásit změny pouze těch údajů podle odstavce 1, které nejsou referenčními údaji vedenými v základních registrech, a to nejpozději do 14 dnů ode dne, kdy došlo k jejich změně.
32022L2555
Čl. 3 odst. 4 věta druhá
Subjekty uvedené v odstavci 3 oznámí všechny změny údajů, které předložily podle prvního pododstavce tohoto odstavce, a to neprodleně, nejpozději však do dvou týdnů od data změny.

§ 12 odst. 2
(2) Za účelem vymezení stanoveného rozsahu poskytovatel regulované služby

a)
určí všechna svá primární aktiva,

b)
posoudí, zda primární aktiva souvisí s poskytováním regulované služby, a

c)
u primárních aktiv podle písmene b) určí podpůrná aktiva.
32022L2555
Čl. 21 odst. 1
1. Členské státy zajistí, aby základní a důležité subjekty přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik, jimž čelí sítě a informační systémy, jež tyto subjekty používají pro svůj provoz nebo poskytování svých služeb, a k předcházení incidentům nebo minimalizaci jejich dopadů na příjemce jejich služeb a na další služby.

S ohledem na nejnovější technický vývoj a případně na příslušné evropské a mezinárodní normy a na náklady na provádění musí opatření uvedená v prvním pododstavci zajišťovat úroveň bezpečnosti sítí a informačních systémů odpovídající existující míře rizika. Při posuzování přiměřenosti těchto opatření je třeba náležitě zohlednit míru vystavení subjektu rizikům, jeho velikost a pravděpodobnost výskytu incidentů, jejich závažnost a společenský a ekonomický dopad.

§ 13 odst. 1
(1) Bezpečnostními opatřeními jsou organizační a technická opatření, jejichž účelem je zajištění řádného poskytování regulované služby a kybernetické bezpečnosti aktiv.
32022L2555
Čl. 21 odst. 2
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:

a) politiku analýzy rizik a politiku bezpečnosti informačních systémů;

b) řešení incidentů;

c) řízení kontinuity provozu, jako je například správa zálohování a obnova provozu po havárii, a krizové řízení;

d) bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů týkajících se vztahů mezi každým subjektem a jeho přímými dodavateli nebo poskytovateli služeb;

e) zabezpečení pořizování, vývoje a údržby sítí a informačních systémů, včetně zveřejňování zranitelností a jejich řešení;

f) politiky a postupy za účelem posouzení účinnosti opatření k řízení kybernetických bezpečnostních rizik;

g) základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti;

h) politiky a postupy týkající se používání kryptografie a případně šifrování;

i) bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv;

j) v příslušných případech používání vícefaktorových autentizačních řešení nebo trvalých autentizačních řešení, zabezpečené hlasové, obrazové a textové komunikace a zabezpečených systémů nouzové komunikace v rámci subjektu.

§ 13 odst. 2
(2) Poskytovatel regulované služby je povinen v rámci stanoveného rozsahu zavádět a provádět bezpečnostní opatření podle § 14 v míře nezbytné pro zajištění kybernetické bezpečnosti regulované služby.
32022L2555
Čl. 21 odst. 1
1. Členské státy zajistí, aby základní a důležité subjekty přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik, jimž čelí sítě a informační systémy, jež tyto subjekty používají pro svůj provoz nebo poskytování svých služeb, a k předcházení incidentům nebo minimalizaci jejich dopadů na příjemce jejich služeb a na další služby.

§ 13 odst. 5
(5) V případě, že poskytovatel regulované služby zavádí nebo provádí bezpečnostní opatření prostřednictvím dodavatele, je povinen vybírat svého dodavatele v souladu s požadavky vyplývajícími z bezpečnostního opatření a zahrnovat požadavky vyplývající z bezpečnostního opatření do smluv s dodavatelem.
32022L2555
Čl. 21 odst. 2 písm. d)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
(…)

d) bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů týkajících se vztahů mezi každým subjektem a jeho přímými dodavateli nebo poskytovateli služeb;
(…)

§ 14 odst. 1 písm. a) bod 1
(1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a)
organizačními opatřeními

1.
systém řízení bezpečnosti informací,
32022L2555
Čl. 20 odst. 1
1. Členské státy zajistí, aby řídící orgány základních a důležitých subjektů schválily opatření k řízení kybernetických

bezpečnostních rizik přijatá těmito subjekty za účelem dosažení souladu s článkem 21, dohlížely nad jeho uplatňováním

Uplatňováním tohoto odstavce není dotčeno vnitrostátní právo, pokud jde o pravidla odpovědnosti vztahující se na veřejné

orgány, odpovědnost úředníků veřejné správy a odpovědnost volených veřejných činitelů nebo jmenovaných úředníků.

a mohly nést odpovědnost, poruší-li subjekty uvedený článek.

32022L2555
Čl. 21 odst. 2 písm. a)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
a) politiku analýzy rizik a politiku bezpečnosti informačních systémů;

32022L2555
Čl. 21 odst. 2 písm. f)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
f) politiky a postupy za účelem posouzení účinnosti opatření k řízení kybernetických bezpečnostních rizik

§ 14 odst. 1 písm. a) bod 2
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a)
organizačními opatřeními

2.
požadavky na vrcholné vedení,

32022L2555
Čl. 20 odst. 1
1. Členské státy zajistí, aby řídící orgány základních a důležitých subjektů schválily opatření k řízení kybernetických

bezpečnostních rizik přijatá těmito subjekty za účelem dosažení souladu s článkem 21, dohlížely nad jeho uplatňováním

Uplatňováním tohoto odstavce není dotčeno vnitrostátní právo, pokud jde o pravidla odpovědnosti vztahující se na veřejné

orgány, odpovědnost úředníků veřejné správy a odpovědnost volených veřejných činitelů nebo jmenovaných úředníků.

a mohly nést odpovědnost, poruší-li subjekty uvedený článek.

32022L2555
Čl. 20 odst. 2
2. Členské státy zajistí, aby členové řídících orgánů základních a důležitých subjektů museli absolvovat školení, a vybízí

základní a důležité subjekty, aby pravidelně nabízely podobné školení svým zaměstnancům, aby tak získali dostatečné

znalosti a dovednosti, aby mohli identifikovat rizika a posoudit postupy řízení kybernetických bezpečnostních rizik

a jejich dopad na služby poskytované subjektem.

32022L2555
Čl. 21 odst. 2 písm. b)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
b) řešení incidentů;

32022L2555
Čl. 21 odst. 2 písm. c)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
c) řízení kontinuity provozu, jako je například správa

zálohování a obnova provozu po havárii, a krizové řízení;

§ 14 odst. 1 písm. a) bod 3
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a)
organizačními opatřeními

3.
stanovení bezpečnostních rolí,
32022L2555
Čl. 21 odst. 2

2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:

a) politiku analýzy rizik a politiku bezpečnosti informačních systémů;

b) řešení incidentů;

c) řízení kontinuity provozu, jako je například správa zálohování a obnova provozu po havárii, a krizové řízení;

d) bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů týkajících se vztahů mezi každým subjektem a jeho přímými dodavateli nebo poskytovateli služeb;

e) zabezpečení pořizování, vývoje a údržby sítí a informačních systémů, včetně zveřejňování zranitelností a jejich řešení;

f) politiky a postupy za účelem posouzení účinnosti opatření k řízení kybernetických bezpečnostních rizik;

g) základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti;

h) politiky a postupy týkající se používání kryptografie a případně šifrování;

i) bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv;

§ 14 odst. 1 písm. a) bod 4
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a)
organizačními opatřeními

4.
řízení bezpečnostní politiky a bezpečnostní dokumentace,
32022L2555
Čl. 21 odst. 2 písm. a)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
a) politiku analýzy rizik a politiku bezpečnosti informačních systémů;

32022L2555
Čl. 21 odst. 2 písm. f)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

32022L2555
Čl. 21 odst. 2 písm. h)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
h) politiky a postupy týkající se používání kryptografie a případně šifrování;

§ 14 odst. 1 písm. a) bod 5
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a)
organizačními opatřeními

5.
řízení aktiv,
32022L2555
Čl. 21 odst. 2 písm. a)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
a) politiku analýzy rizik a politiku bezpečnosti informačních systémů;

32022L2555
Čl. 21 odst. 2 písm. i)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
i) bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv;

§ 14 odst. 1 písm. a) bod 6
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a)
organizačními opatřeními

6.
řízení rizik,
32022L2555
Čl. 21 odst. 2 písm. a)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
a) politiku analýzy rizik a politiku bezpečnosti informačních systémů;

§ 14 odst. 1 písm. a) bod 7
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a)
organizačními opatřeními

7.
řízení dodavatelů,
32022L2555
Čl. 21 odst. 2 písm. d)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
d) bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů týkajících se vztahů mezi každým subjektem a jeho přímými dodavateli nebo poskytovateli služeb;

32022L2555
Čl. 21 odst. 3
3. Členské státy zajistí, aby při zvažování vhodných opatření uvedených v odst. 2 písm. d) tohoto článku subjekty

zohlednily zranitelnosti specifické pro každého přímého dodavatele a poskytovatele služeb a celkovou kvalitu produktů

a postupů v oblasti kybernetické bezpečnosti svých dodavatelů a poskytovatelů služeb, včetně jejich postupů bezpečného

vývoje. Členské státy rovněž zajistí, aby při zvažování vhodných opatření podle uvedeného písmene subjekty měly

povinnost zohlednit výsledky koordinovaného posouzení bezpečnostních rizik kritických dodavatelských řetězců, které

bylo provedeno v souladu s čl. 22 odst. 1.

§ 14 odst. 1 písm. a) bod 8
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a)
organizačními opatřeními

8.
bezpečnost lidských zdrojů,
32022L2555
Čl. 21 odst. 2 písm. g)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
g) základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti;

32022L2555
Čl. 21 odst. 2 písm. i)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
i) bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv;

§ 14 odst. 1 písm. a) bod 9
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a)
organizačními opatřeními

9.
řízení změn,
32022L2555
Čl. 21 odst. 2 písm. e)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
e) zabezpečení pořizování, vývoje a údržby sítí a informačních systémů, včetně zveřejňování zranitelností a jejich řešení;

§ 14 odst. 1 písm. a) bod 10
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a)
organizačními opatřeními

10.
akvizice, vývoj a údržba,
32022L2555
Čl. 21 odst. 2 písm. e)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

32022L2555
Čl. 21 odst. 2 písm. h)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

32022L2555
Čl. 21 odst. 2 písm. j)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
j) v příslušných případech používání vícefaktorových autentizačních řešení nebo trvalých autentizačních řešení, zabezpečené hlasové, obrazové a textové komunikace a zabezpečených systémů nouzové komunikace v rámci subjektu.

§ 14 odst. 1 písm. a) bod 11
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a)
organizačními opatřeními

11.
řízení přístupu,
32022L2555
Čl. 21 odst. 2 písm. i)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
i) bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv;

§ 14 odst. 1 písm. a) bod 12
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a)
organizačními opatřeními

12.
zvládání kybernetických bezpečnostních událostí a incidentů,
32022L2555
Čl. 21 odst. 2 písm. b)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:

b) řešení incidentů;

§ 14 odst. 1 písm. a) bod 13
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a)
organizačními opatřeními

13.
řízení kontinuity činností a
32022L2555
Čl. 21 odst. 2 písm. c)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
c) řízení kontinuity provozu, jako je například správa

zálohování a obnova provozu po havárii, a krizové řízení;

§ 14 odst. 1 písm. a) bod 14
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

a)
organizačními opatřeními

14.
provádění auditu kybernetické bezpečnosti,
32022L2555
Čl. 21 odst. 2 písm. f)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
f) politiky a postupy za účelem posouzení účinnosti opatření k řízení kybernetických bezpečnostních rizik;

32022L2555
Čl. 21 odst. 4
4. Členské státy zajistí, aby v případě, že subjekt zjistí, že neodpovídá požadavkům stanoveným v odstavci 2, přijal bez
zbytečného odkladu všechna nezbytná, vhodná a přiměřená nápravná opatření.

§ 14 odst. 1 písm. b) bod 1
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

b)
technickými opatřeními
1.
fyzická bezpečnost,
32022L2555
Čl. 21 odst. 2
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:

a) politiku analýzy rizik a politiku bezpečnosti informačních systémů;

b) řešení incidentů;

c) řízení kontinuity provozu, jako je například správa zálohování a obnova provozu po havárii, a krizové řízení;

d) bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů týkajících se vztahů mezi každým subjektem a jeho přímými dodavateli nebo poskytovateli služeb;

e) zabezpečení pořizování, vývoje a údržby sítí a informačních systémů, včetně zveřejňování zranitelností a jejich řešení;

f) politiky a postupy za účelem posouzení účinnosti opatření k řízení kybernetických bezpečnostních rizik;

g) základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti;

h) politiky a postupy týkající se používání kryptografie a případně šifrování;

i) bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv;

§ 14 odst. 1 písm. b) bod 2
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

b)
technickými opatřeními
2.
bezpečnost komunikačních sítí,
32022L2555
Čl. 21 odst. 2 písm. h)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

§ 14 odst. 1 písm. b) bod 3
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

b)
technickými opatřeními
3.
správa a ověřování identit,
32022L2555
Čl. 21 odst. 2 písm. c)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
c) řízení kontinuity provozu, jako je například správa

zálohování a obnova provozu po havárii, a krizové řízení;

32022L2555
Čl. 21 odst. 2 písm. i)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
i) bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv;

32022L2555
Čl. 21 odst. 2 písm. j)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

§ 14 odst. 1 písm. b) bod 4
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

b)
technickými opatřeními
4.
řízení přístupových práv a oprávnění,
32022L2555
Čl. 21 odst. 2 písm. i)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
i) bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv;

§ 14 odst. 1 písm. b) bod 5
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

b)
technickými opatřeními
5.
detekce kybernetických bezpečnostních událostí,
32022L2555
Čl. 21 odst. 2 písm. b)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
b) řešení incidentů;

§ 14 odst. 1 písm. b) bod 6
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

b)
technickými opatřeními
6.
zaznamenávání událostí,
32022L2555
Čl. 21 odst. 2 písm. b)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
b) řešení incidentů;

§ 14 odst. 1 písm. b) bod 7
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

b)
technickými opatřeními
7.
vyhodnocování kybernetických bezpečnostních událostí,
32022L2555
Čl. 21 odst. 2 písm. b)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
b) řešení incidentů;

32022L2555
Čl. 21 odst. 2 písm. f)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

§ 14 odst. 1 písm. b) bod 8
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

b)
technickými opatřeními
8.
aplikační bezpečnost,
32022L2555
Čl. 21 odst. 2 písm. e)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

32022L2555
Čl. 21 odst. 2 písm. f)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

§ 14 odst. 1 písm. b) bod 9
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

b)
technickými opatřeními
9.
kryptografické algoritmy,
32022L2555
Čl. 21 odst. 2 písm. h)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

32022L2555
Čl. 21 odst. 2 písm. j)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

§ 14 odst. 1 písm. b) bod 10
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

b)
technickými opatřeními
10.
zajišťování dostupnosti regulované služby a
32022L2555
Čl. 21 odst. 2 písm. c)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
c) řízení kontinuity provozu, jako je například správa

zálohování a obnova provozu po havárii, a krizové řízení;

§ 14 odst. 1 písm. b) bod 11
1) Pro poskytovatele regulované služby v režimu vyšších povinností jsou

b)
technickými opatřeními
11.
zabezpečení průmyslových, řídících a obdobných specifických technických aktiv.
32022L2555
Čl. 21 odst. 2 písm. c)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
c) řízení kontinuity provozu, jako je například správa

zálohování a obnova provozu po havárii, a krizové řízení;

§ 14 odst. 2 písm. a)
(2) Pro poskytovatele regulované služby v režimu nižších povinností jsou organizačními a technickými opatřeními
a)
systém zajišťování minimální kybernetické bezpečnosti,
32022L2555
Čl. 20 odst. 1
1. Členské státy zajistí, aby řídící orgány základních a důležitých subjektů schválily opatření k řízení kybernetických

bezpečnostních rizik přijatá těmito subjekty za účelem dosažení souladu s článkem 21, dohlížely nad jeho uplatňováním

Uplatňováním tohoto odstavce není dotčeno vnitrostátní právo, pokud jde o pravidla odpovědnosti vztahující se na veřejné

orgány, odpovědnost úředníků veřejné správy a odpovědnost volených veřejných činitelů nebo jmenovaných úředníků.

a mohly nést odpovědnost, poruší-li subjekty uvedený článek.

32022L2555
Čl. 21 odst. 2 písm. a)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:
a) politiku analýzy rizik a politiku bezpečnosti informačních systémů;

32022L2555
Čl. 21 odst. 2 písm. d)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit

32022L2555
Čl. 21 odst. 2 písm. e)
2. Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit