Upozornění: Text přílohy byl získán strojově a nemusí přesně odpovídat originálu. Zejména u strojově nečitelných smluv, kde jsme použili OCR. originál dokumentu stáhnete odsud
Celý záznam ALBSCSSFKU7S najdete zde
PŘIPOMÍNKY K MATERIÁLU S NÁZVEM:
Návrh zákona o kybernetické bezpečnosti
Rezort
Připomínky
Ministerstvo dopravy
Úvod:
Ministerstvo dopravy uplatňuje k návrhu zákona o kybernetické bezpečnosti následující zásadní připomínky.
Zásadní připomínky:
1. Byť vnímáme jako velmi podstatný mechanismus prověřování bezpečnosti dodavatelského řetězce, považujeme jej za mimořádně závažný, pokud jde o hledání zodpovědné míry přijatelné rovnováhy v tom smyslu, k jakým částem strategické infrastruktury se tento mechanismus vztahuje či má vztahovat. Není sporu o tom, že jednou ze stěžejních markant ve veřejné správě je mít bezpečný dodavatelský řetězec. Stejně tak ovšem je neméně podstatné to, aby vyloučením dodavatelů, s jejichž zapojením jsou spojena rizika (o rozličné intenzitě), nenastala taková situace (u konkrétního veřejného zadavatele např.) že dostupní „zbylí“ dodavatelé jsou schopni dodat buď zařízení či služby za pro zadavatele rozpočtově neúnosných ekonomických podmínek, či nejsou schopni takové zařízení či služby dodat, a to zčásti či zcela. Za takové situace by nejenže mohl být podstatně ztížen či znemožněn chod významných či kritických informačních systémů státu (registru silničních vozidel, registru řidičů apod.), zásadní narušení provozu by mohla zažít i strategická dopravní infrastruktura státu, pokud jde např. o zajištění provozu řídicích systémů celostátní a regionální dráhy, popř. telematických aplikací na dálnicích, např. systémů pro řízení dopravy, mýtného systému atd. V této souvislosti uplatňujeme zásadní připomínku v tom smyslu, že požadujeme, aby byla otázka, v jakém rozsahu a ke kterým částem strategické infrastruktury se předmětný mechanismus bude uplatňovat, podrobena před postoupením do další fáze legislativního procesu důkladnému veřejnému projednání, za účasti správců informačních systémů veřejné správy (rozhodně nejméně orgánů a právnických osob náležejících do rezortu dopravy), odborné veřejnosti, přičemž zvláštní pozornost má být při těchto konzultacích věnována otázce, jak nákladná se pro veřejný rozpočet může ukázat ta či ona varianta řešení na úrovni zákona. Bez uskutečnění této diskuse a zodpovědného zhodnocení ekonomických dopadů nemůže rezort dopravy v žádném případě souhlasit s tím, aby byl návrh předložen k projednání vládě.
2. Požadujeme do návrhu zákona zapracovat nařízení Evropského parlamentu a Rady (EU) 2023/588 ze dne 15. března 2023, kterým se zavádí Program Unie pro bezpečnou konektivitu na období 2023–2027.
Dané nařízení Evropského parlamentu a Rady (EU) 2023/588 ze dne 15. března 2023 v předloženém návrhu zcela absentuje.
Program Unie pro bezpečnou konektivitu (neformálně nazývaný též IRIS2) je novou součástí kosmických aktivit Evropské unie a tematicky navazuje na složku Govsatcom a také na řídící strukturu Kosmického programu Evropské unie ve smyslu nařízení Evropského parlamentu a Rady (EU) 2021/696 ze dne 28. dubna 2021, kterým se zavádí Kosmický program Unie a zřizuje Agentura Evropské unie pro Kosmický program a zrušují nařízení (EU) č. 912/2010, (EU) č. 1285/2013 a (EU) č. 377/2014 a rozhodnutí č. 541/2014/EU. Jedná se o ambiciózní evropský program na stavbu a provoz zabezpečené družicové telekomunikační megakonstelace a přímo souvisí s již aktuální agendou Národního úřadu pro kybernetickou a informační bezpečnost.
Program Unie pro bezpečnou konektivitu se postupně stává integrální součástí aktivit výborů a pracovních skupin Komise (např. Bezpečnostní konfigurace Výboru pro kosmický program Evropské unie) a agentury EUSPA včetně bezpečnostní akreditace zajišťované Výborem pro bezpečnostní akreditaci (SAB), kde Českou republiku zastupuje Národní úřad pro kybernetickou a informační bezpečnost.
Domníváme se, že by se nařízení Evropského parlamentu a Rady (EU) 2023/588 ze dne 15. března 2023 mělo minimálně promítnout do
· poznámky pod čarou č. 1 uvádějící výčet právních předpisů Evropské unie a
· § 41 odst. 4 návrhu zákona jako nová působnost Národního úřadu pro kybernetickou a informační bezpečnost (navrhujeme například tuto podobu nového písmene „vykonává působnost v dílčích oblastech souvisejících s informační a kybernetickou bezpečností v rámci Programu Unie pro bezpečnou konektivitu podle nařízení Evropského parlamentu a Rady č. 2023/588“).
3. V § 41 odst. 4 písm. j) návrhu zákona požadujeme před slovo „bezpečností“ vložit slova „informační a kybernetickou“.
Navržená podoba § 41 odst. 4 písm. j) je velice široká a zahrnuje celou škálu činností, které však všechny do působnosti Národního úřadu pro kybernetickou a informační bezpečnost nespadají.
Doplnění ustanovení tak povede k jednoznačnému vymezení kompetencí týkajících se zajišťování bezpečnosti v rámci Kosmického programu Unie podle nařízení Evropského parlamentu a Rady č. 2021/696 v kontextu zastupování České republiky ve Výboru pro bezpečnostní akreditaci (SAB), resp. k jednoznačnému určení toho, že Národní úřad pro kybernetickou a informační bezpečnost má vzhledem ke své odbornosti zajišťovat jen informační a kybernetickou bezpečnost. Ostatní aspekty s tímto spojené zajištují jiné subjekty (Ministerstvo dopravy, Ministerstvo obrany atd.).
4. Požadujeme, aby návrh zákona stanovil, že záměrné či nezáměrné rušení signálu globálních družicových navigačních systémů (GNSS) spadá mezi kybernetické hrozby, dále aby pro specificky vybrané provozovatele regulovaných služeb, kteří jsou často i provozovateli kritické infrastruktury státu, vznikla povinnost se tímto rizikem zabývat, a rovněž aby Národní úřad pro kybernetickou a informační bezpečnost přijal úlohu centra pro monitorování hrozeb GNSS interference v České republice.
Ministerstvo dopravy na základě několikaletého zastupování České republiky ve výboru European GNSS Interference TaskForce a na základě výsledků studie a provedených měření v rámci programu ESA NAVISP s názvem „GNSS Vulnerability & Mitigation in Czech Republic“ zpracované GNSS Centrem Excelence (https://gnss-centre.cz/), je přesvědčeno, že je třeba provést aktivní kroky k ochraně důležité infrastruktury České republiky před záměrným i nezáměrným rušením signálu GNSS, který se využívá k určování polohy a navigaci dopravních prostředků, ale i jako vysoce přesný zdroj času (atomové hodiny), což pak slouží k časové synchronizaci telekomunikačních, datových, bankovních a elektrorozvodných sítí.
Rušení signálu GNSS tak může v závislosti na rozsahu a délce působení potenciálně způsobit velmi rozsáhlé výpadky těchto služeb, od zastavení provozu letiště (již se stalo), dopravního kolapsu autonomních vozidel přítomných v místě rušení (otázka budoucnosti), výpadku telekomunikačních (stalo se na Slovensku) či bankovních sítí až po rozpad synchronizace elektrorozvodné sítě vedoucí až k tzv. „blackoutu“ (hrozí v případě několikadenního trvání plošného rušení, které neumožní včasnou synchronizaci synchrofázorové soustavy).
Studie „The economic impact on the UK of a disruption to GNSS“, kterou zpracovala v roce 2017 London Economics pro vládu Spojeného království, odhaduje výši ztrát při pětidenním výpadku GNSS pro britské hospodářství na 5,2 miliardy liber. Při zohlednění podmínek v České republice lze ekonomické ztráty v hospodářství odhadovat na 181 milionů Euro. V kontextu probíhající války na Ukrajině rovněž není zcela neopodstatněné se domnívat, že riziko obdobných událostí je oproti minulým letům v České republice zvýšené (detailní výsledky studie a měření GNSS interference jsou k dispozici u zpracovatele studie - kontaktní osoba je ředitel GNSS Centra Excelence, Ing. Tomáš Duša Ph.D. a na Ministerstvu dopravy).
Záměrem je proto vytvořit právní rámec pro povinnost vybraných provozovatelů regulovaných služeb zabývat se riziky rušení GNSS přijímačů používaných ve svém provozu, jelikož v současnosti nastavený systém vypořádávání se s ohlášenými případy rušení elektromagnetického spektra, které má v gesci Český telekomunikační úřad, není pro potřeby rychlého zásahu proti původci rušení a zejména prevenci, účinný. Proti lokálním, nečekaným a relativně krátce trvajícím incidentům rušení GNSS dnes neexistuje mechanismus obrany. Český telekomunikační úřad měření interference GNSS samo neprovádí, k ohlašování lokálních interferencí GNSS téměř nedochází, Český telekomunikační úřad je proto prakticky neregistruje a nic proti nim nepodniká. K uvedeným incidentům však, podle měření provedených GNSS Centrem Excelence, dochází v okolí dálniční sítě, v okolí letišť atp.. I kdyby však Český telekomunikační úřad události registroval, podle stávajících postupů bude trvat velmi dlouho, než bude Český telekomunikační úřad schopen zareagovat výjezdem měřícího vozu na místo incidentu a následně případně řešit incident s Policií České republiky. Český telekomunikační úřad dnes ani nedisponuje dostatkem měřících vozů, vlastní jich nízké jednotky na celou Českou republiku. Proto je v České republice třeba vytvořit zcela nový systém, který povede k účinné a rychlé obraně proti těmto hrozbám. Zákon o kybernetické bezpečnosti představuje dobrý nástroj umožňující začít prevencí na úrovni samotných provozovatelů regulovaných služeb, kteří jsou napadením potenciálně nejvíce ohroženi, a zároveň nabízí možnost vytvořit rámec pro nové kompetence Národního úřadu pro kybernetickou a informační bezpečnost jako monitorovacího centra hrozeb GNSS interference v České republice.
Možnou cestou jak dosáhnout výše uvedeného, by bylo
· rozšířit definici technických aktiv o přijímače signálu GNSS, které jsou již dnes využívány řadou provozovatelů regulovaných služeb (elektrická rozvodná síť, telekomunikační sítě, letiště, banky, burzy atp.), kteří často bývají i provozovateli kritické infrastruktury státu. Díky tomuto by se z nepříznivého ovlivnění uživatelů přijímačů GNSS nasazených v provozu regulovaných služeb stala kybernetická hrozba. Současně by bylo vhodné stanovit v prováděcím právním předpise výčet vybraných regulovaných služeb, které jsou rušením GNSS signálu potenciálně nejvíce ohroženy,
· stanovit definici globálního navigačního družicového systému,
· rozšířit působnost Národního úřadu pro kybernetickou a informační bezpečnost tak, aby se stal centrem pro monitoring hrozeb rušení GNSS signálu. Takové centrum dosud v České republice chybí, jelikož fenomén rušení GNSS dosud nebyl dostatečně reflektován. Riziko GNSS interference však bude v nadcházejících letech nabývat na důležitosti mimo jiné z důvodu rozvoje autonomní dopravy, která bude na signálu GNSS zcela závislá. Je proto třeba, aby se na celostátní úrovni shromažďováním informací o rušení GNSS někdo zabýval a Národní úřad pro kybernetickou a informační bezpečnost se jeví jako nejvhodnější subjekt, jelikož je již dnes pověřen plněním funkce Národního kontaktního centra pro službu Galileo PRS, jejíž rušení bude rovněž třeba v budoucnu sledovat a řešit s tím spojená bezpečnostní rizika pro silové složky státu.
Současně požadujeme v návaznosti na tuto připomínku provést i související změny v návrhu zákona, kterým se mění některé zákony v souvislosti s přijetím zákona o kybernetické bezpečnosti, který je nyní projednáván v rámci mezirezortního připomínkového řízení (č. j. předkladatele 4489/2023-NÚKIB-E/110).
Závěr:
Ministerstvo dopravy požaduje zapracovat do návrhu zákona shora uvedené zásadní připomínky.
Kontaktní osobou ve věci vypořádání je JUDr. Miroslav Kvapil z Odboru legislativy, e-mail: miroslav.kvapil@mdcr.cz, tel. + 420 602 319 856.
V Praze 26. července 2023
Vypracoval: JUDr. Miroslav Kvapil Podpis:
Stránka 4 z 4