Elektronická knihovna legislativního procesu - textová podoba dokumentu

                Č. j. MF-20245/2023/9003-7
	PID: MFCRDXKGQH

PŘIPOMÍNKY K MATERIÁLU S NÁZVEM:

 Návrh zákona, kterým se mění některé zákony v souvislosti s přijetím zákona o kybernetické bezpečnosti

	Resort
	Připomínky

	Ministerstvo financí
	Úvod
Ministerstvo financí obdrželo v rámci meziresortního připomínkového řízení materiál Národního úřadu pro kybernetickou a informační bezpečnost (dále jen „NÚKIB“) týkající se návrhu zákona, kterým se mění některé zákony v souvislosti s přijetím zákona o kybernetické bezpečnosti.
K předloženému materiálu uplatňuje Ministerstvo financí (dále jen „MF“) následující zásadní a doporučující připomínky:


	
	Zásadní připomínky:
1. K materiálu obecně
1.1. V případě vzniku dopadů do personální a platové oblasti, které by měly být nad rámec současných limitů stanovených pro NÚKIB, respektive nad rámec limitů stanovených pro další dotčené rozpočtové kapitoly, s takovými dopady MF nesouhlasí. Případnou zvýšenou potřebu v personální a platové oblasti MF požaduje pokrýt výhradně v rámci stanovených limitů počtu míst a objemu prostředků na platy v dotčených rozpočtových kapitolách, tj. bez nároku na jejich jakékoliv navýšení. Výše uvedené MF požaduje zapracovat a explicitně uvést do všech relevantních částí materiálu.

2. K předkládací zprávě
Pokud předkladatel připouští, že schválení návrhu zákona vyvolá, byť minimální, rozpočtové dopady, měl by být tento fakt uveden rovněž v předkládací zprávě (čl. IV odst. 7 Jednacího řádu vlády, náležitosti obsahu předkládací zprávy), a to včetně uvedení konkrétního zdroje, ze kterého budou tyto nároky případně pokryty.

3. K důvodové zprávě a RIA
3.1. Předkladatel v důvodové zprávě (část 7. Předpokládaný hospodářský a finanční dopad navrhované právní úpravy na státní rozpočet, ostatní veřejné rozpočty a na podnikatelské prostředí ČR) uvádí, že předkládaný návrh zákona nebude mít negativní hospodářský a finanční dopad, naopak má dojít k úsporám díky snížení administrativní zátěže. Závěrečná zpráva RIA v boxu 3.1.naopak uvádí, že navrhovaná novela přináší dopady na státní rozpočet, rozpočty ÚSC i na podnikatelské prostředí, byť je uvedeno, že dopady by měly být minimální. MF požaduje, aby obě části materiálu byly uvedeny do souladu. Detailněji jsme se k dopadům navrhované právní úpravy ke kybernetické bezpečnosti vyjádřili nesouhlasně v rámci MPŘ k ZoKB.
3.2. MF požaduje, aby rozpočtové dopady připravovaného zákona byly zabezpečeny v rámci schválených finančních limitů kapitoly NÚKIB, případně v rámci schválených finančních limitů příslušných dotčených kapitol státního rozpočtu bez požadavku na jejich navýšení. Tato skutečnost by měla být výslovně uvedena ve všech relevantních částech materiálu (návrh usnesení vlády, důvodová zpráva, závěrečná zpráva RIA, předkládací zpráva).

4. K zákonu obecně
MF požaduje doplnit novely zákona č. 69/2006 Sb., o provádění mezinárodních sankcí, ve znění pozdějších předpisů, a zákona č. 253/2008 Sb., o některých opatřeních proti legalizaci výnosů z trestné činnosti a financování terorismu, ve znění pozdějších předpisů. Důvody jsou uvedeny v rámci připomínek k návrhu zákona o kybernetické bezpečnosti.

Připomínky:
5. K důvodové zprávě a RIA
5.1. MF doporučuje konkrétně specifikovat v Závěrečné zprávě RIA v části „3.1 Dopady na státní rozpočet a ostatní veřejné rozpočty“ dopady na státní rozpočet.
5.2. V části 7.2 důvodové zprávy (7.2. Dopady na územní samosprávné celky) se uvádí, že náklady na zabezpečení kybernetické bezpečnosti obcí s rozšířenou působností (kterých je 205) budou cca 800 000 Kč a 1 500 000 Kč vůči jednomu zabezpečovanému systému. Ze strany těchto ORP lze očekávat vysokou nevoli, pokud tyto obce budou muset předmětné náklady hradit z vlastních zdrojů. Jakkoli MF chápe nutnost ošetřit kybernetickou bezpečnost i na místních úrovních, dáváme ke zvážení, zda by náklady na aktualizaci zabezpečovaných systémů neměl v případě ORP financovat stát. Je nutno specifikovat zdroj úhrady dopadu na veřejné rozpočty.

6. K zákonu 
6.1. V ČÁSTI PRVNÍ - Čl. I V úvodní větě je nutno vypustit zákon č. 153/2010 Sb., protože jeho novelizace ustanovení § 98 zákona č. 127/2005 Sb. již není v současné době platná (čl. 65 odst. 2 LPV). Mimo to je zapotřebí slova „za odstavec 8 vkládá nový“ nahradit slovem „doplňuje“ a znění nového odstavce 9 je nutno umístit na samostatný řádek a na konci textu článku doplnit tečku. Část třetí Čl. III V úvodní větě je nutno za slovem „služby“ doplnit do horního indexu odkaz na poznámku pod čarou č. 3b. Část čtvrtá Čl. IV Znění poznámky po čarou č. 5 je nutno umístit na samostatný řádek. Část pátá V navrhovaném § 33 odst. 3 doporučujeme slova „Povinnost podle věty první“ nahradit slovy „Tato povinnost“. Obecně : Slova „V Praze dne dd.mm.rrr“ a slova „Předseda vlády“ je nutno z návrhu zákona vypustit.
6.2. V ČÁSTI DRUHÉ - Změna zákona o informačních systémech veřejné správy, se v ust. § 6l doplňuje věta: "Orgán veřejné správy je povinen před uzavřením smlouvy s poskytovatelem cloud computingu zařadit informační systém veřejné správy nebo jeho část, k zajištění jehož provozu má být cloud computing využíván, do bezpečnostní úrovně s ohledem na povahu dotčeného informačního systému veřejné správy podle prováděcího právního předpisu a zajišťovat, že budou dodržována bezpečnostní pravidla stanovená prováděcím právním předpisem." MF doporučuje tuto větu přeformulovat, neboť uvedená textace působí zmatečně (zejména je nejasná interpunkce).
6.3. V ČÁSTI DRUHÉ - Změna zákona o informačních systémech veřejné správy, ust. § 5b stanoví: ČÁST DRUHÁ "Správci informačních systémů veřejné správy, kteří nejsou poskytovatelem regulované služby podle zákona upravujícího kybernetickou bezpečnost, jsou povinni na jimi spravované informační systémy veřejné správy přiměřeně zavádět bezpečnostní opatření pro poskytovatele regulované služby v režimu nižších povinností podle zákona upravujícího kybernetickou bezpečnost". MF dává ke zvážení, zda v případě zavádění kybernetické bezpečnosti je opravdu na místě stanovovat povinnost prostřednictvím neurčitého pojmu "přiměřeně", neboť dle našeho názoru tato formulace povede k četným nejasnostem ohledně skutečné míry, která je pro splnění této povinnosti potřeba.
6.4. V ČÁSTI DRUHÉ - bod 13.: Nastavená horní hranice pokuty 10 000 000 Kč zřejmě odpovídá závažnosti příslušných přestupkových skutkových podstat, nicméně pokud má být pachatelem orgán veřejné správy, tedy podle § 1 odst. 1 zákona č. 365/2000 Sb. státní orgán, orgán územních samosprávných celků nebo státní právnická osoba, nedává nám moc smysl, zejména v prvním případě, aby stát sám sobě uvaloval takto vysoké pokuty, byť se za osobu, jejíž jednání je přičitatelné státnímu orgánu, považuje za účelem posuzování jeho přestupkové odpovědnosti konkrétní fyzická osoba - jeho zaměstnanec. Mimo to důvodová zpráva k bodu 13 uvádí, že navrhovaná výše sankce odpovídá sankcím v zákoně č. 181/2014 Sb. za stejné či obdobné přestupky; zde MF ale našlo maximální výši horní hranice ve výši 5 000 000 Kč, tedy poloviční.


	
	Závěr
Ministerstvo financí upřednostňuje pro vypořádání připomínek distanční formu. V případě nutnosti osobního jednání požaduje Ministerstvo financí zaslání návrhu na vypořádání jednotlivých připomínek včetně textu upraveného materiálu s dostatečným předstihem před konáním vlastního vypořádacího jednání.

Kontaktní osobou pro komunikaci ve věci vypořádání připomínek je Ing. Miroslav Starčevič, MBA, tel. 257 042 721, e-mail: miroslav.starcevic@mfcr.cz.


V Praze dne 20. července 2023
Vypracoval: Ing. Miroslav Starčevič, MBA	Podpis: 
3