Elektronická knihovna legislativního procesu - textová podoba dokumentu

                Č. j.: 5707/2023-NBÚ/80

Připomínky Národního bezpečnostního úřadu k materiálu 
„Návrh zákona o kybernetické bezpečnosti“
Č. j.:  4496/2023-NÚKIB-E/110

Národní bezpečnostní úřad (dále „NBÚ“) uplatňuje k návrhu zákona tyto připomínky:

1. K § 29 odst. 3
NBÚ je ústředním správním úřadem s působností v oblasti ochrany utajovaných informací. Informace získané v rámci jím vedeného bezpečnostního řízení slouží výhradně pro zjištění, zda se u účastníka řízení, ať již fyzické nebo právnické osoby, vyskytuje bezpečnostní riziko nebo negativní okolnost. NBÚ při vedení bezpečnostního řízení nemá žádné výkonné pravomoci, z tohoto důvodu je oprávněn požádat o získání potřebných informací zpravodajské služby. Tyto poskytnuté informace vztahující se k žadateli o osvědčení nebo držiteli osvědčení, jejichž původcem je tedy zpravodajská služba a nikoliv NBÚ, je pak NBÚ povinen chránit podle § 124 zákona č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti. Tato ochrana zaručuje zpravodajským službám to, že informace, které získaly, nebudou zpřístupněny neurčitému okruhu osob a nemůže tak dojít ke kompromitaci těchto informací a potažmo i činnosti služby. Prolomení povinnosti ochrany informací pro účely, které zákon sleduje, tedy k prověřování bezpečnosti dodavatelského řetězce, není dle názoru NBÚ přiměřené účelu, ke kterému jsou informace primárně a výlučně shromažďovány, tedy k zajištění personální a průmyslové bezpečnosti v oblasti ochrany utajovaných informací, a zároveň by mohlo ohrozit činnost zpravodajských služeb. 
NBÚ tedy žádá o zakotvení výjimky pro poskytování informací z bezpečnostního svazku vedeného podle zákona č. 412/2005 Sb. a navrhuje např. tuto formulaci:
„(3)	Nezíská-li Úřad z vlastní činnosti nebo postupem podle odstavce 1 a 2 informace potřebné pro výkon činnosti podle § 28 odst. 1, poskytnou na základě žádosti Úřadu tyto informace nebo jinou součinnost orgány a osoby neuvedené v odstavci 1 a 2, s výjimkou informací z bezpečnostního svazku vedeného podle jiného právního předpisux).
_____________________
x) Zákon č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti, ve znění pozdějších předpisů.“.

Dále považujeme za potřebné, aby i odstavec 3 obsahoval konkrétní zákonnou lhůtu pro poskytnutí informací nebo jiné součinnosti.
Tato připomínka je zásadní.

2. K § 41 
Komplexní institucionální zakotvení kompetencí NÚKIB v oblasti ochrany utajovaných informací obsahuje již zákon o ochraně utajovaných informací a o bezpečnostní způsobilosti, který upravuje působnost NÚKIB v této oblasti. NBÚ v současné době nespatřuje žádný praktický ani teoreticko-právní důvod pro částečnou, duplicitní úpravu v zákonu o kybernetické bezpečnosti. Žádáme proto, aby v § 41 odst. 1 byl ponechán odkaz na zákon o ochraně utajovaných informací a o bezpečnostní způsobilosti a ze všech zbývajících ustanovení § 41 byly vypuštěny kompetence NÚKIB vyplývající ze zákona o ochraně utajovaných informací a o bezpečnostní způsobilosti.
Tato připomínka je zásadní.

3. Zvláštní část Důvodové zprávy, 7. 1. 6. Shrnutí dopadů na státní rozpočet a ostatní veřejné rozpočty, zmiňuje Národní bezpečnostní úřad v souvislosti s výkonem nové agendy prověřování bezpečnostní rizikovosti dodavatelů. Vzhledem k tomu, že byl NBÚ v předchozí fázi přípravy návrhu zákona z § 29 odst. 2 vypuštěn, měla by být zmínka o NBÚ vyřazena také z Důvodové zprávy. 
Tato připomínka je zásadní.

Doporučující připomínky: 
1. § 18 odst. 1 stanoví, že Úřad nebo Národní CERT poskytne bez zbytečného odkladu, nejpozději do 24 hodin od obdržení prvotního hlášení podle § 17 poskytovateli regulované služby své vyjádření ke kybernetickému bezpečnostnímu incidentu. § 17 v odst. 2 již však stanovuje, že Úřad sdělí poskytovateli regulované služby v režimu vyšších povinností bez zbytečného odkladu, nejpozději do 24 hodin po nahlášení kybernetického bezpečnostního incidentu podle odstavce 1, na základě obsahu hlášení a dalších relevantních informací, zda má kybernetický bezpečnostní incident u poskytovatele regulované služby v režimu vyšších povinností významný dopad na kybernetický prostor státu.
Doporučujeme zvážit, zda nejde o částečnou duplikaci § 18 odst. 1.  Zároveň upozorňujeme na to, že ačkoliv jsou odstavce 2 a 3 v § 18 uvedeny v rozdílové tabulce, v normativním textu nejsou podtrženy.
2. Nadpis § 21 zní „Výstraha“, ale tento pojem se v jeho odstavcích 1 až 3 vůbec nevyskytuje. Doporučujeme jazykovou úpravu textu obdobnou, jaká je obsažena v § 22 (Varování).
3. K Důvodové zprávě: 
V tabulce agend a souvisejících účelů zpracování osobních údajů, spolu s druhy či kategoriemi zpracovávaných údajů, na základě návrhu zákona, je uveden i požadavek na uvedení místa trvalého pobytu u:
· osoby jednající za žadatele o autorizaci;
· žadatele nebo osoby jednající za žadatele;
· osob zúčastněných na kontrole. 
Není zřejmé, za jakým účelem je ve všech výše uvedených případech požadavek na uvedení místa trvalého pobytu zaveden a doporučuje se jeho přehodnocení, či vypuštění, a to zejména u osob zúčastněných na kontrole.

Závěr: NBÚ uplatňuje k návrhu zákona o kybernetické bezpečnosti 3 zásadní a 3 doporučující připomínky.

Zpracovala: MgA. Mgr. Zuzana Chudomelová
Tel.: 257 283 357 
Email: z.chudomelova@nbu.cz
2