Elektronická knihovna legislativního procesu - textová podoba dokumentu

                Šablona EssTer

Ministerstvo spravedlnosti 

        Č.j. MSP-243/2023-LO-SP/2
Připomínky Ministerstva spravedlnosti

k návrhu zákona o kybernetické bezpečnosti
1. K § 15 odst. 2 

Není zřejmé, z jakého důvodu nejsou bezpečnostní opatření pro poskytovatele regulované služby v režimu nižších povinností členěna na organizační a technická opatření ve smyslu 
§ 14 odst. 1 návrhu zákona. Bezpečnostní opatření pro poskytovatele regulované služby v režimu vyšších povinností takto členěna jsou (viz návrh § 15 odst. 1). Doporučujeme v uvedeném smyslu návrh dopracovat. 

2. K § 16 odst. 4 

Upozorňujeme, že formulace povinnosti v uvedeném ustanovení není zcela přesná. Podle návrhu musí poskytovatel regulované služby začít plnit povinnost hlásit kybernetické bezpečnostní incidenty pro každou regulovanou službu nejpozději do 1 roku ode dne doručení písemného vyrozumění o zápisu do evidence poskytovatelů regulovaných služeb. Splnění dané povinnosti však předpokládá vznik kybernetického bezpečnostního incidentu, k němuž však nemusí do jednoho roku nutně dojít. Doporučujeme proto přeformulovat dané ustanovení tak, aby z něj bylo patrné, že uplynutím dané doby vzniká poskytovateli regulované služby povinnost hlásit kybernetické bezpečností incidenty, a nikoliv, že je tuto povinnost v dané době povinen splnit.

3. K § 29 odst. 4 

Návrh předmětného ustanovení stanovuje, že poskytnutí informací podle § 29 není porušením mlčenlivosti podle jiného právního předpisu, přičemž však výslovně uvádí, že tímto ustanovením není dotčena povinnost mlčenlivosti advokáta podle právního předpisu upravujícího výkon advokacie. Požadujeme větu druhou uvedeného ustanovení doplnit tak, aby ustanovením § 29 nebyla dotčena ani povinnost mlčenlivosti soudců, notářů, exekutorů, soudních znalců, překladatelů a tlumočníků. 
Tato připomínka je zásadní 

4. K § 40 odst. 1 písm. d) 
Doporučujeme uvedené ustanovení zpřesnit tak, aby bylo patrné, komu může ředitel NÚKIB v době stavu kybernetického nebezpečí nařídit práci v pohotovostním režimu. 

5. K § 41 odst. 3 písm. w) a hlavě VI 
Podle návrhu § 41 odst. 3 písm. w) NÚKIB „ukládá správní sankce za nedodržení povinností stanovených tímto zákonem a zákonem o ochraně utajovaných informací a o bezpečnostní způsobilosti. Název hlavy VI pak je „Kontrola, nápravná opatření, přestupky a sankce“. V této souvislosti upozorňujeme, že z návrhu není zcela zřejmé, co se rozumí „správními sankcemi“, resp. „sankcemi“ podle návrhu zákona. Pakliže by mělo být za tyto správní sankce považováno pozastavení platnosti certifikace podle návrhu § 60 nebo pozastavení výkonu řídící funkce podle návrhu § 61, pak upozorňujeme na nutnost vyhodnotit, zda nemůže dojít ke kolizi s některou s návrhem zákona stanovených skutkových podstat přestupků ve smyslu zákazu dvojího trestání. 

6. K § 42 odst. 1 písm. f) 

Podle uvedeného ustanovení může být provozovatelem Národního CERT pouze právnická osoba, která nebyla pravomocně odsouzena za spáchání trestného činu uvedeného v § 7 zákona o trestní odpovědnosti právnických osob a řízení proti nim (dále jen „zák. o trestní odpovědností práv. osob“). Jde o text převzatý ze současného znění § 18 odst. 2 písm. f) zákona č. 181/2014 Sb., o kybernetické bezpečnosti. Stávající § 18 odst. 2 písm. f) však nezohledňuje novelizaci zák. o trestní odpovědností práv. osob, kterou došlo ke změně přístupu k vymezení okruhu trestných činů, které jsou přičitatelné právnické osobě. Zatímco původní znění zák. o trestní odpovědností práv. osob pracovalo v § 7 s pozitivním výčtem, po 1. 12. 2016 obsahuje § 7 negativní výčet. V § 7 zák. o trestní odpovědností práv. osob jsou tak po novele provedené zákonem č. 183/2016 Sb. vyjmenovány trestné činy, kterých se právnická osoba dopustit nemůže („Trestnými činy se pro účely tohoto zákona rozumí zločiny nebo přečiny uvedené v trestním zákoníku, s výjimkou trestných činů…“). Odkaz na § 7 zák. 
o trestní odpovědností práv. osob je tak v kontextu uvedeného ustanovení matoucí a zcela nadbytečný. Právnická osoba může být odsouzená pouze za trestné činy neuvedené 
v ustanovení § 7. Požadujeme proto vypuštění odkazu na § 7 zák. o trestní odpovědností práv. osob a přeformulování textu písm. f) na:

„f) která nebyla pravomocně odsouzena za spáchání trestného činu“. 

Dále upozorňujeme, že z návrhu není zřejmé, zda se má či nemá při posuzování splnění dané podmínky přihlížet rovněž k zahlazeným odsouzením. Výkladu, podle něhož se k zahlazeným odsouzením nepřihlíží, by nasvědčovala skutečnost, že se předpokládá prokazování výpisem z Rejstříku trestů, jelikož návrh výslovně nezakládá oprávnění vyžádat si opis z Rejstříku trestů. Naopak textace návrhu § 48 odst. 1 písm. c) nasvědčuje opaku. Požadujeme proto dále do návrhu doplnit text, z něhož bude patrno, že relevantní pro posouzení splnění podmínky bezúhonnosti jsou pouze odsouzení, pokud se na odsouzenou právnickou osobu nehledí, jako by nebyla odsouzena. 

Tato připomínka je zásadní
7. K § 42 odst. 1 písm. g) 

Upozorňujeme, že není zřejmé, co se rozumí „zahraniční osobou podle jiného předpisu“, když není zřejmé, o jaký jiný předpis se má jednat. Doporučujeme proto slova „podle jiného právního předpisu“ z návrhu vypustit s tím, že lze v daném případě použít obecné pravidlo stanovené v § 26 odst. 1 zákona č. 91/2012 Sb., o mezinárodním právu soukromém.
8. K § 42 odst. 1 písm. h) 

Doporučujeme zvážit přeformulování dané podmínky, podle které může být provozovatelem Národního CERT pouze právnická osoba, která „nebyla založena nebo zřízena výlučně 
za účelem dosažení zisku“. Právnické osoby zpravidla nejsou zakládány explicitně a výlučně za účelem dosažení či dosahování zisku, typicky spíše za účelem podnikání. Navržená podmínka je subjektivní a formálně neověřitelná. Navíc lze pravidlo jednoduše obejít tím, 
že právnická osoba bude mít i jiný účel, např. správu vlastního majetku.  

Dále je nejasný význam části věty za středníkem, ve které má být upravena výjimka 
z pravidla (či určité vyjasnění). Část věty za středníkem se netýká účelu, ale činností, které právnická osoba může vykonávat; činnost a účel jsou však různé věci. Současně věta obsahuje další podmínku, a sice, že „činnost nenaruší plnění povinností uvedených v odstavci 3“. 
V tom lze v kontextu účelu návrhu zákona spatřovat podstatnější podmínku než limitaci účelu. Lze proto doporučit namísto regulace účelu např. stanovit, že provozovatelem Národního CERT může být pouze právnická osoba, „která nevykonává v oblasti kybernetické bezpečnosti činnosti neupravené tímto zákonem, který by mohly narušit plnění povinností uvedených v odstavci 3“. 
Doporučujeme proto upřesnit textaci návrhu ustanovení. 

9. K § 42 odst. 2 

V ustanovení § 42 odst. 2 absentuje způsob prokázání splnění podmínky podle § 42 odst. 1 písm. f). Důvodová zpráva k tomu nic neuvádí. Požadujeme proto do návrhu doplnit způsob prokazování podmínky podle písm. f). Zároveň požadujeme vyjasnit, zda a jak bude uvedené prokazováno ve vztahu k cizozemským odsouzením.

Tato připomínka je zásadní
10. K § 43 

Nepovažujeme za vhodné začleňovat právní úpravu stálé komise pro kontrolu činnosti NÚKIB do hlavy upravující výkon státní správy, resp. pod skupinový nadpis „instituce zapojené do výkonu státní správy v oblasti kybernetické bezpečnosti“. Kontrolní orgán není zapojen do výkonu státní správy, nýbrž plní kontrolní funkci. 

Dále upozorňujeme, že ačkoliv se v textu zákona hovoří výhradně o „kontrolním orgánu“, v nadpise § 43 je uvedeno označení „stálá komise“. Posledně uvedené označení lze přitom považovat za nevhodné, jelikož naznačuje, že se má zřejmě jednat o komisi podle zákona 
č. 90/1995 Sb., o jednacím řádu Poslanecké sněmovny, ve znění pozdějších předpisů. 
Ve skutečnosti však o sněmovní komisi nejde, přičemž se právní úprava obsažená v jednacím řádu Poslanecké sněmovny na činnost kontrolního orgánu použije pouze analogicky. Doporučujeme proto v nadpise § 43 slova „Stále komise“ nahradit slovy „Kontrolní orgán“.    

11. K § 47 odst. 4

Doporučujeme vyjasnit, zda mají být ve větě druhé skutečně obsaženy dvě subjektivní lhůty, jelikož druhá z těchto subjektivních lhůt fakticky činí první subjektivní lhůtu nadbytečnou. 

12. K § 48 odst. 1 písm. e) 
Ve vztahu k věcnému vymezení bezúhonnosti upozorňujeme, že toto vymezení nepůsobí zcela konzistentně. Z uvedeného vymezení například vyplývá, že by podmínku bezúhonnosti nesplňovala osoba pravomocně odsouzená pro trestný čin podpory a propagace terorismu podle § 312e trestního zákoníku. Osoba pravomocně odsouzená pro trestný čin genocidia podle § 400 trestního zákoníku nebo za válečný trestný čin by však měla být podle návrhu předmětného ustanovení považována za bezúhonnou. Navrhujeme proto opětovně zvážit věcné vymezení bezúhonnosti. 

Dále upozorňujeme, že z návrhu není zřejmé, zda a případně jakým způsobem by měla být bezúhonnost prokazována ve vztahu k cizozemským rozhodnutím. 
Konečně, upozorňujeme rovněž na skutečnost, že není zřejmé, z jakého důvodu by měl výpis z Rejstříku trestů dokládat žadatel, pakliže si jej může NÚKIB sám obstarat.

Požadujeme proto předmětné ustanovení dopracovat ve smyslu naší argumentace. 

Tato připomínka je zásadní
13. K § 48 odst. 1 písm. g) 

Podle návrhu předmětného ustanovení má žadatel o registraci členství v Komunitě základní způsobilost, mimo jiné, pokud proti němu nebylo vydáno rozhodnutí o úpadku. Upozorňujeme, že formulace „nebylo proti němu vydáno rozhodnutí o úpadku“ není vhodná proto, že nereflektuje následná rozhodnutí vydaná v insolvenčním řízení. Po vydání rozhodnutí o úpadku může být například rozhodnuto podle § 158 zákona č.  182/2006 Sb., 
o úpadku a způsobech jeho řešení (insolvenční zákon), že dlužník není v úpadku. V takovém případě tedy sice bylo vydáno rozhodnutí o úpadku, ale dlužník by v úpadku nebyl. Doporučujeme proto slova „nebylo proti němu vydáno rozhodnutí o úpadku“ nahradit slovy „není v úpadku“. Pokud předkladatel považuje za důležité klást důraz na právní jistotu žadatele o registraci členství v Komunitě, a proto váže negativní právní následky až na právní moc rozhodnutí o úpadku, lze uvedenou část ustanovení formulovat rovněž následujícím způsobem. „není na základě pravomocného rozhodnutí insolvenčního soudu v úpadku“. Konečně, pokud předkladatel považuje za vhodné umožnit členství v Komunitě rovněž žadatelům, jejichž úpadek je úspěšně řešen jedním ze sanačních způsobů, lze danou část ustanovení formulovat následovně: „není na základě pravomocného rozhodnutí insolvenčního soudu v úpadku, ledaže insolvenční soud schválil reorganizační plán nebo schválil oddlužení a nerozhodl o přeměně v konkurs“. 
14. K § 50 odst. 2 a 3

Podle návrhu předmětného ustanovení zahájí NÚKIB v případě existence pochybností o tom, že žadatel splňuje podmínky podle § 47 odst. 2 návrhu zákona, řízení o nezpůsobilosti žadatele k registraci členství v Komunitě, přičemž návrh § 50 odst. 3 předpokládá, že lze v uvedeném řízení vydat pouze rozhodnutí o nezpůsobilosti žadatele k registraci členství v Komunitě. Doporučujeme zvážit, zda by nebylo vhodné doplnit návrh o možnost vydat odlišné rozhodnutí v případě, kdy se v průběhu řízení prokáže, že je žadatel způsobilý ve smyslu § 47 odst. 2 návrhu zákona. 

15. K § 61 odst. 1 

Doporučujeme v odůvodnění návrhu zákona postavit najisto, zda má soud v daných případech rozhodovat v řízení podle § 85 písm. b) zákona č. 292/2013 Sb., o zvláštních řízeních soudních. 

16. K § 61 odst. 5

Podle návrhu předmětného ustanovení může NÚKIB provést kontrolu splnění povinnosti odstranit nedostatky zjištěné při kontrole „nejdříve po uplynutí lhůty podle odstavce 1“. Z návrhu tak plyne, že NÚKIB může uvedenou kontrolu provést i později, a tedy, že nemusí na uplynutí lhůty podle odstavce 1 nikterak reagovat. Doporučujeme proto přeformulovat předmětnou část ustanovení následujícím způsobem: „Úřad po uplynutí lhůty podle odstavce 1 provede kontrolu ...“, aby bylo zřejmé, že má NÚKIB kontrolu provést v důsledku na uplynutí lhůty podle odstavce 1.   
-
-
-

Projednáním připomínek je pověřen Jan Broz, tel. 221 997 507, email jbroz@msp.justice.cz.