Upozornění: Text přílohy byl získán strojově a nemusí přesně odpovídat originálu. Zejména u strojově nečitelných smluv, kde jsme použili OCR. originál dokumentu stáhnete odsud
Celý záznam ALBSCSSFKU7S najdete zde
ČESKÝ BÁŇSKÝ ÚŘAD
Ing. Martin Štemberka, Ph.D.
předseda
Praha 21. července 2023
Č.j.: SBS 28168/2023
Vážený pane řediteli,
k návrhu materiálu „Návrh zákona o kybernetické bezpečnosti“, který jste mi zaslal v rámci mezirezortního připomínkového řízení prostřednictvím elektronické knihovny Úřadu vlády (eKLEP) dne 19. června 2023 pod č.j. 4496/2023-NÚKIB-E/110, uplatňuji připomínku uvedenou v příloze.
Zaměstnancem odpovědným za vypořádání připomínek za Český báňský úřad
je Mgr. Hana Staňková, oddělení legislativy, e-mail: Hana.Stankova@cbusbs.cz,
tel. 221 775 336 a Ing. Viktor Křivonoska, e-mail: Viktor.Krivonoska@cbusbs.cz,
tel. 221 775 348.
V úctě
v z. Ing. Radim Mžyk
zástupce předsedy – ředitel sekce báňské správy
(podepsáno elektronicky)
Příloha
Vážený pan
Ing. Lukáš Kintr
ředitel
Národní úřad pro kybernetickou a informační bezpečnost
Mučednická 1125/31
616 00 Brno
Příloha k č.j. SBS 28168/2023
Připomínky Českého báňského úřadu k materiálu
„Návrh zákona o kybernetické bezpečnosti“
ČBÚ považuje automatické zařazování všech ústředních správních úřadů do kategorie „Regulované služby v režimu vyšších povinností“ za nevhodné. Vzhledem k nižší možnosti vzniku rizik v rámci malých kapitol vyvolává toto zařazení toliko neúměrný tlak na finanční náklady, jejichž vynaložení je z výše uvedeného důvodu neúčelné. Požadujeme tento systém opustit, respektive návrh vyhlášky upravit tak, aby bylo třeba nejprve vyhodnotit míru rizika
a teprve následně správní úřad zařazovat do příslušné kategorie regulovaných služeb.
Tato připomínka je zásadní.
Odůvodnění:
Součástí předloženého materiálu jsou i teze prováděcích právních předpisů k návrhu zákona
o kybernetické bezpečnosti. Podle § 4 odst. 1 návrhu zákona jsou kritéria pro identifikaci regulované služby tvořena kritériem služby a kritériem poskytovatele regulované služby.
Z návrhu vyhlášky o regulovaných službách vyplývá, že ústřední orgány státní správy budou zařazeny do kategorie „regulované služby v režimu vyšších povinností“ (bod 1.1 přílohy této vyhlášky) – kritériem služby je výkon svěřených pravomocí a kritériem poskytovatele
je ústřední orgán státní správy (tedy i ČBÚ).
Navrhovaná vyhláška „O bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností“ stanovuje v § 5 odstavci 6 povinnost vrcholného vedení určit osoby, které budou zastávat bezpečnostní roli:
a) manažera kybernetické bezpečnosti,
b) architekta kybernetické bezpečnosti,
c) garanta aktiva a
d) auditora kybernetické bezpečnosti,
včetně zajištění zastupitelnosti těchto rolí, přičemž tyto role nemohou zastávat osoby odpovědné za provoz IT.
Důvodová zpráva (RIA) uvádí velmi hrubý odhad nákladů ve výši 800.000 až 1.500.000 Kč na vytvoření jednoho bezpečnostního systému u jednoho subjektu.
Navrhovaná právní úprava bude znamenat v rámci ČBÚ provedení změn v organizaci kybernetické bezpečnosti. Bude nutné rozšířit bezpečnostní role o architekta kybernetické bezpečnosti, garanta aktiva a auditora kybernetické bezpečnosti. Bude také nutné zavést nástroj pro správu a monitorování IT infrastruktury, jehož pořízení a obsluha představuje pro ČBÚ největší finanční zátěž. ČBÚ odhaduje navýšení ročních nákladů na zajištění kybernetické bezpečnosti min. o 860.000 Kč.
image1.jpeg