Upozornění: Text přílohy byl získán strojově a nemusí přesně odpovídat originálu. Zejména u strojově nečitelných smluv, kde jsme použili OCR. originál dokumentu stáhnete odsud
Celý záznam ALBSCSSFKU7S najdete zde
Příloha k č. j. ČÚZK-27379/2023
Připomínky Českého úřadu zeměměřického a katastrálního k návrhu zákona o kybernetické bezpečnosti.
Obecně k návrhu
Předložená právní úprava v řadě aspektů překračuje rámec směrnice NIS2, aniž by v důvodové zprávě bylo řádně zdůvodněno, proč předkladatel k takto náročnějšímu řešení přistoupil. Navrhované změny v organizaci kybernetické bezpečnosti budou znamenat významné navýšení administrativní zátěže a nákladů na státní rozpočet, a není reálné zajistit je v rámci rozpočtu jednotlivých kapitol bez toho, aby se tak stalo na úkor ostatních činností ústředních správních úřadů. Navrhovaná právní úprava zavádí nové povinnosti, které ústřední správní úřady objektivně nebudou moci naplňovat, zvláště v současné době, kdy je usilováno o snižování strukturálního deficitu státního rozpočtu a cílem by mělo být spíše snižování výdajů než jejich nepřiměřené navyšování.
Požaduji důslednou revizi návrhu zákona z pohledu, co je opravdu nezbytné pro naplnění smyslu směrnice a zároveň reálné, a v případě zachování navrhovaného rozsahu povinností požaduji zajištění finančního a personálního pokrytí nad rámec stávajícího rozpočtu a stávající systemizace.
Tato připomínka je zásadní.
K § 4 odst. 2 ve spojení s tezemi vyhlášky o regulovaných službách, příloha bod 19
Požaduji, aby byly vědeckovýzkumné instituce nebyly zařazovány mezi poskytovatele regulované služby v režimu vyšších povinností z důvodu, že většina prováděných výzkumných projektů je financována z více než 50 % z veřejných zdrojů.
Vědeckovýzkumné instituce nedisponují pro zajištění požadovaných opatření dostatečným finančním ani personálním vybavením. Zahrnutí nekomerčních výzkumných organizací do národní regulace překračuje rámec požadavků směrnice NIS2. Navrhovaná právní úprava bude mít značný a zcela nepřiměřený dopad na činnost a rozpočet výzkumných institucí, aniž by to bylo řádně odůvodněno a podloženo skutečnou potřebou.
Tato připomínka je zásadní.
K § 7
Požaduji předložený návrh upravit tak, aby nebyl zaváděn princip, kdy poskytovatel regulované služby, který poskytuje více regulovaných služeb, přičemž alespoň jedna z nich naplňuje kritéria pro zařazení poskytovatele do režimu vyšších povinností, musí ke všem regulovaným službám přistupovat z pohledu režimu vyšších povinností. Takový přístup významně zvyšuje administrativní, finanční i personální zatížení subjektů, aniž by pro to existovaly objektivní důvody. Nesouhlasím s tvrzení uvedeným v důvodové zprávě, že „zavádění několika různých systémů řízení kybernetické bezpečnosti v jedné organizaci poskytovatele regulované služby je neúčelné a dlouhodobě neudržitelné.“ Naopak je neúčelné plnit přísné povinnosti nadbytečně i tam, kde to není nutné, neboť to charakter dané regulované služby nevyžaduje.
Tato připomínka je zásadní.
K § 13 odst. 1 písm. a)
Požaduji ustanovení uvést v následujícím znění:
„a) identifikuje všechna primární aktiva související s poskytováním regulované služby v rámci celé organizace,“.
Vzhledem k tomu, že definice primárních aktiv je velice široká, kdy primárním aktivem se rozumí informace a služby, přičemž informacemi se rozumí také data, včetně provozních údajů, a službou se rozumí také procesy, musel by poskytovatel služby provádět vyhodnocení a identifikovat i např. docházkový systém, proces vypisování dovolenek nebo stanovování odměn. Požadavek na identifikaci veškerých primárních aktiv se tak jeví jako zcela nepřiměřený a nadbytečně administrativně zatěžující.
Tato připomínka je zásadní.
K § 17 odst. 3 písm. c)
Požaduji zde stanovenou lhůtu pro předložení závěrečné zprávy pro zvlášť složité kybernetické bezpečnostní incidenty prodloužit na 60 dní. Zároveň požaduji, aby lhůta byla počítána od vyřešení incidentu, nikoliv od prvního hlášení.
Tato připomínka je zásadní.
K § 30 až 33
Doporučuji doplnit, že Národní úřad pro kybernetickou a informační bezpečnost bude na žádost poskytovatele strategicky významné služby při vyhodnocování rizik dodavatele, resp. dodavatelského řetězce, poskytovat součinnost.
K § 34 odst. 3
Zde stanovená doba jednoho roku na splnění povinností poskytovatele je i s ohledem na lhůty vyplývající ze zákona č. 134/2016 Sb., o zadávání veřejných zakázek, zcela nerealizovatelná. Pro naplnění podmínek stanovených zákonem je nezbytné zajistit dobudování infrastruktury a navýšení personálních kapacit i finančního pokrytí zvýšených nákladů, což není možné ve stanovené lhůtě a v rámci stávajícího státního rozpočtu splnit.
Tato připomínka je zásadní.