Elektronická knihovna legislativního procesu - textová podoba dokumentu

                Ministr zahraničních věcí 
České republiky


Jan Lipavský

V Praze dne        července 2023


Čj. 116284/2023-MZV/OPL

Vážený pane řediteli,

dopisem čj. 4496/2023-NÚKIB-E/110 ze dne 14. června 2023 jsem obdržel ke stanovisku návrh zákona o kybernetické bezpečnosti.
K uvedenému legislativnímu návrhu uplatňuji připomínky, které tvoří obsah přílohy tohoto dopisu.
S pozdravem

příloha

Vážený pan

Ing. Lukáš Kintr

ředitel Národního úřadu 

pro kybernetickou a informační bezpečnost

B r n o

Příloha k čj. 116284/2023-MZV/OPL

Připomínky Ministerstva zahraničních věcí k návrhu zákona o kybernetické bezpečnosti
1. K § 41 odst. 4 písm. d) bod 2

Navrhovaný text svěřuje Národnímu úřadu pro kybernetickou a informační bezpečnost (dále jen „Úřad“) sjednávání a uzavírání smluv o mezinárodní spolupráci. MZV si je vědomo, že již ve stávajícím zákoně č. 181/2014Sb. o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění pozdějších předpisů, je ustanovení čl. 22 písm. h) a i), jejichž obsah je v předkládaném návrhu zákona sloučen v § 41 odst. 4 písm. d) bod 2. MZV nicméně upozorňuje, že sjednávání mezinárodních smluv jako takových přísluší podle Ústavy České republiky (čl. 63 odst. 1 písm. b)) prezidentu republiky, který tuto pravomoc může přenést na vládu nebo s jejím souhlasem na jednotlivé členy vlády. Úřad takovou pravomoc nemá a ani prezident republiky ji na něj nemůže přenést. 

MZV proto navrhuje §41 odst. 4 písm. d) bod 2 z návrhu zákona vypustit. Taková úprava bude mj. odpovídat i právní úpravě pravomocí Národního bezpečnostního úřadu, obsažené v § 137 zákona č. 412/2005 Sb., o ochraně utajovaných informací a bezpečnostní způsobilosti, ve znění pozdějších předpisů. 

Alternativně MZV navrhuje § 41 odst. 4 písm. d) bod 2 úžeji vymezit a přeformulovat, např. takto: 

„2. zajišťuje mezinárodní spolupráci v oblasti kybernetické bezpečnosti a v rámci své působnosti sjednává a uzavírá se zahraničními partnery dohody o spolupráci.“ 

Zároveň takovéto vymezení, včetně upřesnění, že se nejedná o mezinárodní smlouvy dle čl. 63 odst. 1 písm. b) Ústavy ČR, uvést v důvodové zprávě.

Tato připomínka je zásadní.
2. K transpozičním ustanovením a ke srovnávací tabulce ke směrnici

MZV navrhuje znovu posoudit vyhodnocení slučitelnosti některých ustanovení směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice NIS 2), (dále jen „směrnice“).

Některá ustanovení směrnice jsou vyhodnocena jako nerelevantní z hlediska transpozice, a to i přes to, že tato ustanovení mají být provedena navrhovanými předpisy, jak plyne z rozdílové tabulky k předloženému návrhu zákona. Další „nerelevantní“ ustanovení směrnice svěřují pravomoc nebo stanoví povinnost pro vnitrostátní orgány, toto může být provedeno pouze zákonem (čl. 2 odst. 3 Ústavy). Jiná „nerelevantní“ ustanovení pak zakládají práva jednotlivcům a jako taková by s ohledem na judikaturu Soudního dvora měla být provedena.

Taková ustanovení, která byla navrhovatelem vyhodnocena jako nerelevantní a tedy bez nutnosti transpozice, mohou být naopak Evropskou komisí vyhodnocena jako neúplná transpozice směrnice, pro kterou může Komise zahájit řízení pro nesplnění povinnosti podle čl. 258 Smlouvy o fungování EU. Komise v takových případech zpravidla také navrhuje použití postupu dle čl. 260 odst. 3 Smlouvy o fungování EU, tj. možnosti uložení peněžité sankce již při prvním předložení věci Soudnímu dvoru EU.

Dále jsou uvedena některá ustanovení směrnice, u nichž by měla být relevantnost, resp. potřeba transpozice, přehodnocena:

Čl. 1 odst. 1 směrnice je nesprávně vyhodnocen jako netransponovaný, ačkoli za jeho provedení lze považovat navrhovaný § 1 odst. 1 a 2 návrhu. Do srovnávací tabulky by mělo být doplněno znění § 1 odst. 1 a 2, a to včetně znění poznámky pod čarou.

Čl. 2 odst. 7 směrnice je nesprávně vyhodnocen jako nerelevantní z hlediska transpozice, přestože dané ustanovení směrnice fakticky upravuje působnost směrnice, tj. též působnost příslušných transpozičních opatření by měla tomuto ustanovení odpovídat. Do srovnávací tabulky by mělo být doplněno, ze kterých ustanovení navrhovaných nebo jiných vnitrostátních právních předpisů, působnost takto definovaná směrnicí plyne.

K čl. 2 odst. 8 a čl. 24 odst. 1 směrnice by měly být doplněny důvody, proč dané ustanovení je nerelevantním z hlediska provedení směrnice. Důvodem je zejména fakultativní povaha předmětných ustanovení, kdy je členským státům dána možnost rozhodnout se, zda zde uvedené subjekty budou osvobozeny ve smyslu směrnice. Pokud se tedy Česká republika rozhodla dotčené subjekty osvobodit, pak jí nevznikla povinnost toto ustanovení provést.

Čl. 2 odst. 11 směrnice by měl být transponován, jelikož zakládá povinnost České republiky toto ustanovení týkající se působnosti směrnice provést, s ohledem na to, že by měly mít také vliv na působnost navrhovaných předpisů.

Čl. 2 odst. 13 směrnice je také nutno do českého práva provést. Sice se zdánlivě týká vztahů mezi členským státem a Komisí, ve skutečnosti se jedná o pravidla pro zachovávání důvěrnosti obchodních informací, což může mít dopad na práva a povinnosti jednotlivců. Současně se jedná se o ustanovení, které upřesňuje působnost směrnice, když stanoví podmínky, za kterých se vyměňují některé informace postupem dle směrnice. Odpovídajícím způsobem by tedy měla být upravena také působnost navrhovaných předpisů. V neposlední řadě nutnost provést dotčené ustanovení směrnice vyplývá ze skutečnosti, že se dotýká oblasti bezpečnosti České republiky, resp. čl. 346 Smlouvy o fungování EU.

Čl. 9 odst. 3 směrnice by měl být proveden, jelikož ukládá jednak povinnost České republice a jednak jde o ustanovení, které může mít vliv na práva a povinnosti jednotlivců v podobě stanovení postupů a prostředků, které mají být dle tohoto ustanovení nasazeny v případě krize.

Čl. 10 odst. 10 směrnice je vyhodnocen jako netransponovaný, ačkoli první část navrhovaného textu § 41 odst. 4 písm. d) bod 2 lze za jeho provedení lze považovat. Citované ustanovení směrnice zakládá pravomoc vnitrostátních orgánů vyžádat si mezinárodní spolupráci, přičemž takové zmocnění musí být výslovně obsaženo ve vnitrostátním právu (čl. 2 odst. 3 Ústavy) a musí být také ve srovnávací tabulce, aby mohlo být oznámeno Evropské komisi.

U čl. 14 odst. 4 směrnice by měla být znovu vyhodnocena slučitelnost, resp. to, zda je skutečně celé ustanovení odst. 4 irelevantní z hlediska transpozice. Sice se většina ustanovení týká postupů mezi orgány EU, některé pravomoci tímto ustanovením zřizovaného orgánu se týkají také pravomoci příslušných vnitrostátních orgánů, jako je např. výměna informací předvídaná čl. 14 odst. 4 písm. f) nebo k), a proto by měla být dotčená ustanovení čl. 14 odst. 4 směrnice provedena do českého práva. 

Pro čl. 15 odst. 3 a čl. 16 odst. 3 směrnice rovněž platí poznámka k čl. 14 odst. 4.

Čl. 19 odst. 5, 6 a 8 směrnice by měl být do českého práva proveden, protože stanoví povinnost členských států předávat zde uvedené výsledky sebehodnocení odborníkům na kybernetickou bezpečnost a předávání dalších informací členským státem odborníkům na kybernetickou bezpečnost. Aby mohly příslušné vnitrostátní orgány tento krok učinit, pak by podle čl. 2 odst. 3 Ústavy pravomoc k tomuto postupu měla být zakotvena v zákoně. 

Čl. 25 odst. 2 směrnice je vyhodnocen jako irelevantní z hlediska transpozice, avšak z rozdílové tabulky vyplývá, že jej provádí § 14 odst. 1, 2 a 4 a § 15 předloženého návrhu zákona, resp. též prováděcí předpisy podle § 14 odst. 4 předloženého návrhu zákona.

Čl. 25 odst. 3 směrnice stanoví povinnost členským státům zohlednit doporučení ENISA. Vzhledem k tomu, že se jedná o uložení povinnosti České republice, mělo by být toto ustanovení do českého práva provedeno.

Čl. 27 odst. 1 stanoví povinnost členským státům předávat zde uvedené informace, což předpokládá jeho provedení ve vnitrostátním právu. V rozdílové tabulce je uveden § 58 odst. 1 a 2 předloženého návrhu zákona jako prováděcí ustanovení k čl. 27. Zároveň by k čl. 27 odst. 1 směrnice mohl jako prováděcí opatření být uveden také § 64 písm. d) předloženého návrhu zákona.

Čl. 31 odst. 4 směrnice stanoví povinnost členským státům zajistit zde uvedené pravomoci příslušným orgánům. České republice tedy vznikla povinnost tyto pravomoci zavést a tedy provést čl. 31 odst. 4 směrnice do českého práva.

Čl. 32 odst. 6 směrnice požaduje, aby členské státy zajistily, aby zde uvedené fyzické osoby měly pravomoc zajistit dodržování této směrnice. Toto ustanovení tedy nejen ukládá povinnost České republice, ale také zakládá práva jednotlivcům, a je tedy nutné jej provést.

Čl. 32 odst. 7 směrnice by neměl být vyhodnocen jako irelevantní z hlediska transpozice, protože stanoví podmínky pro rozhodování o výši pokuty. Dotýká se práv jednotlivců, a jako takový by měl být transponován, což by mohlo být provedeno v předloženém návrhu zákona, nebo v obecných předpisech týkajících se přestupkového řízení a správního trestání.

Čl. 32 odst. 8 směrnice by neměl být vyhodnocen jako irelevantní z hlediska transpozice, protože stanoví požadavky na rozhodování příslušných orgánů. Zejména požadavek na odůvodnění takových rozhodnutí a oznámení přijatých opatření lze považovat za založení práv jednotlivců, což zakládá povinnost České republiky toto ustanovení provést do českého práva, resp. ověřit, zda jsou tyto požadavky splněny např. předpisy správního řízení. 

Čl. 34 odst. 1 by neměl být vyhodnocen jako irelevantní z hlediska transpozice, protože stanoví povinnost České republice zavést systém přiměřených, účinných a odrazujících pokut, a je tedy nutné jej do českého práva provést. Opět se jedná o ustanovení, které zakládá práva jednotlivcům, a tudíž by mělo být transponováno, což částečně lze vidět v § 58 předloženého návrhu zákona, nebo v obecných předpisech týkajících se přestupkového řízení a správního trestání. 

Čl. 34 odst. 2 směrnice by neměl být vyhodnocen jako irelevantní z hlediska transpozice, protože stanoví možnost uložení pokuty spolu s některým se zde uvedeným opatřením, tj. opět jde o ustanovení týkající se práv a povinností fyzických a právnických osob. 

Tato připomínka je zásadní.

* * *

Kontaktní osobou k vypořádání připomínek je JUDr. Elisa Bradáčová, tel. 224 182 736, elisa_bradacova@mzv.cz, JUDr. Jana Očková, tel. 224 182 309, jana_ockova@mzv.cz, Mgr. Tereza Janáková, 224 182 488, tereza_janakova@mzv.cz, a paralelně v kopii také opl@mzv.cz.

5