Bezpečnost a integrita veřejných komunikačních sítí a služeb elektronických komunikací, § 98, porovnání znění k 1.4.2012

§ 98

Bezpečnost a integrita veřejných komunikačních sítí a služeb elektronických komunikací

(1) Podnikatel Osoba zajišťující veřejnou komunikační síť nebo poskytující veřejně dostupnou službu elektronických komunikací je povinen povinna zajišťovat bezpečnost a integritu své sítě a bezpečnost služeb, které poskytuje. Za tím účelem je podnikatel tato osoba zejména povinen povinna přijmout technicko-organizační pravidla vytvořená v souladu se síťovými plány podle odstavce 2. S ohledem na technické možnosti tato pravidla zajistí takovou úroveň bezpečnosti, která odpovídá míře existujícího rizika s cílem předejít nebo minimalizovat dopad událostí bezpečnostních incidentů na uživatele a na vzájemně propojené sítě a služby. Bezpečností sítě a služby se rozumí jejich schopnost odolávat náhodným incidentům nebo neoprávněným či svévolným s dostatečnou spolehlivostí veškerým zásahům, které závažně narušují dostupnost, hodnověrnost, integritu nebo interoperabilitu služeb důvěrnost této sítě a integritu služby, uchovávaných, předávaných nebo zpracovávaných dat nebo souvisejících služeb, které tato síť nebo služba elektronických komunikací nabízí nebo které jsou jejich prostřednictvím přístupné. Bezpečnostním incidentem se rozumí událost, která má skutečný nepříznivý dopad na bezpečnost sítí nebo služeb elektronických komunikací.

(2) Pro zajištění bezpečnosti a integrity veřejných komunikačních sítí Úřad vydává síťové plány (§ 62), ve kterých vymezí základní vlastnosti těchto sítí a jejich rozhraní, které jsou nezbytné pro vzájemné propojování veřejných komunikačních sítí, pro přístup k nim, pro připojování neveřejných komunikačních sítí a zajištění bezpečnosti a kontinuity dodávek služeb, které jsou prostřednictvím veřejných komunikačních služeb poskytovány.

(3) Podnikatel Osoba zajišťující veřejnou komunikační síť nebo poskytující veřejně dostupnou službu elektronických komunikací může v případech, kdy hrozí nebo dojde k závažnému narušení bezpečnosti sítě a služby a integrity jeho sítě z důvodů poškození nebo zničení elektronického komunikačního zařízení, zejména vlivem velkých provozních havárií nebo živelních pohrom, přerušit poskytování služby nebo odepřít přístup ke službě. Přerušení nebo odepření musí být omezeno pouze na dobu nezbytně nutnou, a je-li to technicky možné, musí být zachován přístup k tísňovým číslům tísňového volání.

(4) O závažném narušení bezpečnosti sítě a služby a ztrátě integrity sítě, rozsahu a důvodech přerušení poskytování služby nebo odepření přístupu k ní, přijatých opatřeních a , o předpokládaném termínu odstranění příčiny podle odstavce 3 a ukončení závažného narušení je podnikatel osoba zajišťující veřejnou komunikační síť nebo poskytující veřejně dostupnou službu elektronických komunikací povinen povinna bezodkladně informovat Úřad, subjekty provozující pracoviště pro příjem tísňového volání centra tísňové komunikace a vhodným způsobem i uživatele. Rozsah Kritéria určení závažného narušení bezpečnosti sítě a služby a ztrátu integrity sítě a rozsah a formu předávání informací stanoví Úřad prováděcím právním předpisem. Úřad může v případě, že je zveřejnění těchto informací ve veřejném zájmu, informovat o tom vhodným způsobem veřejnost nebo povinnost zveřejnění těchto informací uložit osobě zajišťující veřejnou komunikační síť nebo poskytující veřejně dostupnou službu elektronických komunikací. Je-li to vhodné, informuje Úřad také příslušné orgány v jiných členských státech a Evropskou agenturu pro bezpečnost sítí a informací (ENISA).

(5) Úřad předkládá každoročně Komisi a Evropské agentuře pro bezpečnost sítí a informací (ENISA) souhrnnou zprávu za předchozí kalendářní rok, která informuje o oznámeních a opatřeních přijatých podle odstavců 3 a 4, a to v rozsahu a formátu stanoveném Komisí.

(6) Podnikateli zajišťujícímu Osobě zajišťující veřejnou komunikační síť nebo poskytujícímu veřejně dostupnou službu elektronických komunikací může Úřad uložit povinnost provést bezpečnostní audit. Tento audit musí být proveden kvalifikovaným nezávislým subjektem a na náklady podnikatele. Podnikatel zajišťující veřejnou komunikační síť nebo poskytující veřejně dostupnou službu elektronických komunikací je dále povinen na žádost Úřadu předložit mu informace potřebné k posouzení bezpečnosti a integrity sítí a bezpečnosti služeb, bezpečnostní audit a jeho výsledky, včetně podkladů k bezpečnostní politice.

(7) V případě, že Úřad identifikoval významnou hrozbu pro bezpečnost a integritu veřejné komunikační sítě nebo služby elektronických komunikací, rozhodne o povinnosti dotčené osoby zajišťující veřejnou komunikační síť nebo poskytující veřejně dostupnou službu elektronických komunikací provést opatření, včetně lhůt k jejich provedení, k řešení bezpečnostního incidentu, anebo k zabránění jeho vzniku. Toto rozhodnutí je prvním úkonem ve věci. Nepodaří-li se rozhodnutí adresátovi doručit do vlastních rukou do 3 dnů ode dne jeho vydání, doručí se mu tak, že se vyvěsí na úřední desce Úřadu a tímto okamžikem je vykonatelné. Rozhodnutí může Úřad vydat i v řízení na místě podle správního řádu. Rozklad podaný proti rozhodnutí nemá odkladný účinek. O výsledku přijatých opatření dotčená osoba zajišťující veřejnou komunikační síť nebo poskytující veřejně dostupnou službu elektronických komunikací informuje bez zbytečného odkladu Úřad.

(8) Má-li se opatření k řešení hrozby pro bezpečnost a integritu veřejné komunikační sítě nebo služby elektronických komunikací týkat blíže neurčeného okruhu osob zajišťujících veřejnou komunikační síť nebo poskytujících veřejně dostupnou službu elektronických komunikací, vydá je Úřad formou opatření obecné povahy.

§ 99

Bezpečnost, integrita a poskytování služeb za krizových stavů

(1) Podnikatel zajišťující veřejnou komunikační síť nebo poskytující veřejně dostupnou službu elektronických komunikací je při nebezpečí vzniku krizové situace a za krizového stavu povinen podle svých technicko-organizačních pravidel zabezpečit bezpečnost a integritu své sítě a interoperabilitu poskytovaných služeb. Náležitosti uvedených technicko-organizačních pravidel stanoví Úřad prováděcím právním předpisem.

(2) Podnikatel uvedený v odstavci 1 je povinen předložit Úřadu na jeho vyžádání dokumenty specifikující technicko-organizační pravidla podle odstavce 1 a umožnit Úřadu kontrolovat dodržování těchto pravidel. Úřad je oprávněn při zjištění rozporu těchto dokumentů s právními předpisy sdělit dotčenému podnikateli tuto skutečnost a stanovit mu přiměřenou lhůtu k odstranění nedostatků.

(3) Podnikatel zajišťující veřejnou komunikační síť nebo poskytující veřejně dostupnou telefonní službu elektronických komunikací je oprávněn povinen při nebezpečí vzniku krizové situace na žádost Ministerstva vnitra a za krizového stavu39) na žádost Ministerstva vnitra poskytovat přednostně připojení k veřejné komunikační síti a přístup k veřejně dostupné telefonní službě elektronických komunikací účastníkům krizové komunikace podle zvláštního právního předpisu38) krizového zákona. Za tímto účelem je v rozsahu nezbytně nutném oprávněn omezit nebo přerušit poskytování veřejně dostupné telefonní služby elektronických komunikací. O omezení nebo přerušení poskytování veřejně dostupné telefonní služby elektronických komunikací, včetně jeho rozsahu, je povinen bezprostředně informovat Úřad. Toto omezení může trvat pouze po dobu nezbytně nutnou a musí být zachován přístup k tísňovým číslům tísňového volání.

(4) Podnikatel uvedený v odstavci 1 je za krizového stavu povinen bezodkladně informovat Úřad o ohrožení nebo narušení bezpečnosti a integrity své sítě a bezpečnosti služeb, včetně přijatých nebo zamýšlených opatření k nápravě a o předpokládaném termínu odstranění příčiny.

38) § 18 zákona č. 239/2000 Sb., o integrovaném záchranném systému a o změně některých zákonů.

39) Zákon č. 240/2000 Sb., o krizovém řízení a o změně některých zákonů (krizový zákon). Ústavní zákon č. 110/1998 Sb., o bezpečnosti České republiky.