Что такое Закон No 181/2014 Сб.?

Закон No 181/2014 Сб. о кибербезопасности и изменении смежных законов (Закон о кибербезопасности) — Закон о кибербезопасности и изменении смежных законов (Закон о кибербезопасности).

Когда вступил Закон No 181/2014 Сб. вступления в силу?

Закон No 181/2014 Сб. вступил в силу 01.01.2015.

Является Закон No 181/2014 Сб. по-прежнему действующий?

Да, Закон No 181/2014 Сб. по-прежнему действителен и в силе.

Закон No 181/2014 Сб. - Закон о кибербезопасности и изменении см...

181

Закон

от 23 июля 2014 года

о кибербезопасности и внесении изменений в соответствующие законы (Закон о кибербезопасности)

Парламент принял решение по этому закону Чешской Республики:

ČÁST PRVNÍ

Кибернетическая безопасность

HLAVA I

Базовые рекомендации

§ 1

Тема вопроса

(1) Настоящий Закон регулирует права и обязанности лиц и полномочия и полномочия органов государственной власти в области кибербезопасности.

(2) Настоящий закон включает в себя соответствующий Европейский Союз6), основанный на непосредственно применимом Европейском Союзе17, и регулирующий безопасность сетей электронных коммуникаций и информационных систем.

(3) Настоящий закон не применяется к информационным или коммуникационным системам, которые обрабатывают секретную информацию.

Определение терминов

§ 2

Этот закон означает:

(a) киберпространство цифровой среды, позволяющее создавать, обрабатывать и обмениваться информацией, состоящей из информационных систем и услуг и сетей электронных коммуникаций (1);

(b) критический элемент информационной инфраструктуры или система критических элементов инфраструктуры в коммуникационной и информационной системе (2) в области кибербезопасности;

c безопасность информации, обеспечивающая конфиденциальность, целостность и доступность информации и данных;

d важная информационная система, управляемая государственным органом, которая не является критической информационной инфраструктурой или базовой информационной системой обслуживания и которая может уменьшить или значительно поставить под угрозу осуществление полномочий государственного органа;

(e) контролера информационной системы органом или лицом, определяющим цель обработки информации и условия функционирования информационной системы;

f контролером системы связи, органом или лицом, определяющим цель системы связи и условия ее функционирования;

g оператор информационной или коммуникационной системы, орган или лицо, обеспечивающие функциональность технических и программных средств, составляющих информационную или коммуникационную систему;

(h) важная сеть сетей электронных коммуникаций (1), обеспечивающая прямые внешние связи с сетями связи общего пользования или обеспечивающая прямое подключение к критически важной информационной инфраструктуре;

(i) базовая услуга, предоставление которой зависит от сетей электронной связи (7) или информационных систем и нарушение которой может оказать значительное влияние на безопасность социальной или экономической деятельности в одном из этих секторов.

1. энергия;

2. справа,

3. Банковское дело,

4. инфраструктура финансового рынка;

5. здравоохранение,

6. управление водными ресурсами,

7. цифровая инфраструктура,

8. химическая промышленность,

(j) информационная система базовой услуги, функционирование которой зависит от предоставления базовой услуги;

(k) оператор базовой услуги органом или лицом, предоставляющим базовую услугу и назначенным Национальным ведомством по кибербезопасности и информационной безопасности (далее «Управление») в соответствии с § 22a; в целях выполнения информационного обязательства в соответствии с соответствующим Регламентом Европейского Союза (8), органы власти и лица, указанные в § 3 (c) и (d), также считаются оператором базовой услуги;

(l) услуга цифрового информационного общества в соответствии с законом, регулирующим определенные услуги информационного общества 9), которая заключается в функционировании:

1. онлайн-рынок, который позволяет потребителю или продавцу заключить договор купли-продажи с продавцом бизнеса10) через веб-сайт онлайн-рынка или через веб-сайт продавца, который использует услугу, предоставляемую онлайн-рынком;

2. поисковая система в Интернете, которая позволяет осуществлять поиск в принципе на всех веб-сайтах, на основе запроса пользователя по любой теме в виде ключевого слова, фразы или другого назначения, услуги, предоставляющей ссылки, на которые может быть найдена информация, связанная с требуемым контентом; или

3. облачные вычисления, которые позволяют получить доступ к расширяемому и адаптируемому репозиторию или компьютерным ресурсам, которые могут совместно использоваться; и

(m) компетентным органом, компетентным органом в области кибербезопасности.

§ 3

Учреждения и лица, налагающие обязанности на кибербезопасность:

(a) поставщик услуг электронных коммуникаций и организация, предоставляющая сеть электронных коммуникаций (1), если только она не является органом или лицом, упомянутым в пункте (b);

(b) орган или лицо, предоставляющее значительную сеть, если только он не является контроллером или оператором системы связи, упомянутой в пункте (d);

администратор и оператор информационной системы критической информационной инфраструктуры;

(d) контроллер и оператор системы связи критической информационной инфраструктуры;

(e) администратор и оператор значимой информационной системы;

(f) администратор и оператор базовой информационной системы обслуживания, если они не являются контроллером или оператором, указанным в подпунктах (c) или (d);

g оператор базовой услуги, если он не является администратором или оператором, указанным в пункте f; и

(h) поставщик цифровых услуг.

§ 3a

Представитель поставщика цифровых услуг

(1) Поставщик цифровых услуг, предоставляющий эту услугу в Чешской Республике, не учрежден в Европейском Союзе и не учредил представителя в другом государстве-члене Европейского Союза (далее именуемое «другое государство-член»), обязан учредить представителя в Чешской Республике. Представителем поставщика цифровых услуг является лицо, учрежденное в Чешской Республике, которое является поставщиком цифровых услуг в соответствии с полномочиями органа представлять его в отношении обязательств по настоящему закону.

(2) Если поставщик цифровых услуг имеет свое место за пределами Европейского Союза и создал представителя в Чешской Республике, он считается созданным в Чешской Республике и подчиняется обязательствам по настоящему Закону.

(3) Если поставщик цифровых услуг учрежден в Чешской Республике или у него есть представитель, но используемые им сети электронных коммуникаций и информационные системы расположены в другом государстве-члене, Орган сотрудничает с компетентным органом соответствующего государства-члена в осуществлении своей администрации.

HLAVA II

Система обеспечения безопасности

Меры безопасности

§ 4

(1) Мера безопасности – совокупность действий, направленных на обеспечение информационной безопасности в информационных системах и доступности и надежности услуг и сетей электронных коммуникаций (1) в киберпространстве.

(2) Органы власти и лица, указанные в статье 3 (с)-(f), обязаны принимать и поддерживать меры безопасности в объеме, необходимом для обеспечения кибербезопасности информационной системы критической информационной инфраструктуры, системы связи критической информационной инфраструктуры, базовой информационной системы обслуживания и значительной информационной системы.

(3) Поставщик цифровых услуг устанавливает и осуществляет надлежащие и соразмерные меры безопасности для сетей электронных коммуникаций и информационных систем, используемых в контексте предоставления его услуг, с учетом безопасности информации, управления инцидентами кибербезопасности, управления непрерывностью деятельности, мониторинга, аудита, тестирования и соблюдения международных правил.

(4) Органы власти и лица, указанные в подпунктах (с) - (f) пункта 3, обязаны принимать во внимание требования, вытекающие из соглашений об обеспечении выбора поставщика для их информационно-коммуникационной системы, и включать эти требования в договор, заключенный с поставщиком. С учетом требований, вытекающих из мер безопасности по первому предложению, в той мере, в какой это необходимо для выполнения обязательств по настоящему закону, оно не может рассматриваться как незаконное ограничение конкуренции или неоправданное препятствие конкуренции.

(5) До заключения договора с поставщиком услуг облачных вычислений государственные органы обязаны включать запрашиваемые облачные вычисления в уровень безопасности с учетом характера соответствующей информационной или коммуникационной системы в соответствии с имплементирующим законодательством и обеспечивать соблюдение правил безопасности предоставления услуг облачных вычислений, установленных Органом, и что по запросу без неоправданной задержки информация и данные доступны им поставщиком услуг облачных вычислений, включая возможность проверки хранимой информации и данных в режиме реального времени.

(6) Поставщик услуг облачных вычислений и государственный орган должны дополнительно согласовать в договоре способ и сумму компенсации, фактически понесенной за выполнение правил безопасности и реализацию политики безопасности клиента.

(7) Принимая во внимание требования, вытекающие из политики безопасности, правил безопасности, мер безопасности и других условий, согласованных в договоре, упомянутом в пункте 5, которые необходимы для выполнения обязательств по настоящему закону, это не может рассматриваться как незаконное ограничение конкуренции или неоправданное препятствие конкуренции.

§ 4a

(1) Органы власти и лица, ставшие администраторами критически важных информационных инфраструктур, информационных или коммуникационных систем или руководителями значимых информационных систем и не обязанные эксплуатировать такие системы, незамедлительно и наглядно информируют оператора системы об этом факте и о том, что этот оператор стал органом или лицом в соответствии с § 3 (c), (d) или (e).

(2) Органы власти и лица, ставшие контролерами или управляющими критически важными информационными инфраструктурными информационными или коммуникационными системами, обязаны незамедлительно и наглядно информировать орган, предоставляющий сеть электронных коммуникаций, к которой подключена их критическая информационная инфраструктура, информацию или коммуникационную систему, и с этой целью и стать органом или лицом, упомянутым в статье 3(b).

(3) Органы власти и лица, которые в соответствии со статьей 22а были назначены оператором основной услуги и в то же время не являются контролерами или операторами своих основных информационных систем обслуживания, обязаны незамедлительно и наглядно информировать администратора или оператора основной услуги об их назначении и о том, что соответствующий администратор или оператор стал органом или лицом в соответствии со статьей 3 f.

§ 5

(1) Меры безопасности:

а организационные меры; и

b) технические меры.

(2) Организационными мерами являются:

а) система управления информационной безопасностью;

b) управление рисками;

c) политика безопасности;

d) организационная безопасность;

e установление требований безопасности для поставщиков;

f) управление активами;

g) безопасность людских ресурсов;

h) управление движением и связью;

i) управление доступом;

j приобретение, развитие и обслуживание;

(k) управление инцидентами кибербезопасности и инцидентами кибербезопасности;

(l) управление непрерывностью бизнеса; и

m) контроль и аудит.

3) Техническими мерами являются:

а физической безопасности;

b) инструмент для защиты целостности сетей связи;

c) инструмент проверки личности пользователя;

(d) инструмент управления авторизацией доступа;

e инструмент защиты от вредоносного кода;

f инструмент для регистрации деятельности информационной или коммуникационной системы, ее пользователей и администраторов;

g инструмент для обнаружения инцидентов в области кибербезопасности;

(h) инструмент для сбора и оценки инцидентов кибербезопасности;

i) безопасность применения;

j криптографические продукты;

k инструмент для обеспечения уровня доступности информации; и

l) безопасность промышленных систем и систем управления.

§ 6

Реализация законодательства предусматривает:

а) содержание мер безопасности;

(b) содержание и структура документации по безопасности;

(c) объем мер безопасности для органов власти и лиц, указанных в § 3 (c)-(f);

d значимых информационных систем и определяющих их критериев;

(e) содержание и объем правил безопасности для государственных органов, использующих услуги поставщиков облачных вычислений, включая уровни безопасности для использования облачных вычислений государственными органами.

§ 6a

(1) Администратор информационной системы критической информационной инфраструктуры, системы связи критической информационной инфраструктуры или значимой информационной системы может поручить функционирование информационной системы критической информационной инфраструктуры, системы связи критической информационной инфраструктуры или значимой информационной системы другому органу или лицу, если иной закон не исключает этого.

(2) Оператор информационной системы критической информационной инфраструктуры, системы связи критической информационной инфраструктуры или значимой информационной системы по требованию администратора этой системы без неоправданной задержки и в согласованном формате передает имеющиеся у него данные, оперативные данные и информацию в связи с функционированием этой системы. Положения законодательства, регулирующего права интеллектуальной собственности, не наносят ущерба передаче данных, оперативных данных и информации.

(3) Если оператор информационной системы критической информационной инфраструктуры, система связи критической информационной инфраструктуры или значительная информационная система не продолжают эксплуатировать систему, контроллер этой системы передает данные, оперативные данные и информацию, доступные ему в связи с работой этой системы и необходимые для возможной дальнейшей работы этой информационной системы или другого ее использования, и безопасно утилизирует их копии в своей цифровой среде. Порядок распоряжения данными, оперативными данными, информацией и их копиями устанавливается имплементирующим законодательством.

(4) Оператор информационной системы критической информационной инфраструктуры, системы связи критической информационной инфраструктуры или значительной информационной системы имеет право на возмещение эффективно понесенных затрат на передачу данных, оперативных данных и информации, указанных в пунктах 2 и 3; расходы оплачиваются оператору администратором этой системы.

Кибербезопасность инцидент и кибербезопасность инцидент

§ 7

(1) Событие кибербезопасности – это событие, которое может привести к нарушению информационной безопасности в информационных системах или нарушению безопасности услуг или безопасности и целостности сетей электронной связи (1).

(2) Инцидент с кибербезопасностью является нарушением информационной безопасности в информационных системах или безопасности услуг или безопасности и целостности сетей электронной связи (1) в связи с событием кибербезопасности.

(3) Органы власти и лица, указанные в § 3 (b)-(f), обязаны выявлять инциденты кибербезопасности в своей значимой сети, информационной системе критической информационной инфраструктуры, системе связи критической информационной инфраструктуры, базовой информационной системе обслуживания или значимой информационной системе.

§ 8

Об инциденте кибербезопасности

(1) Органы власти и лица, указанные в Статье 3(b)-(f), обязаны сообщать об инцидентах, связанных с кибербезопасностью, в своей значительной сети, информационной системе критической информационной инфраструктуры, системе связи критической информационной инфраструктуры, информационной системе базового обслуживания или значительной информационной системе сразу же после обнаружения; Это не наносит ущерба обязательству в отношении информации в соответствии с другим законодательством (3) или непосредственно применимым законодательством Европейского Союза о защите персональных данных (11). Если инцидент, связанный с кибербезопасностью, оказывает существенное влияние на непрерывность предоставления основной услуги, оператор основной услуги уведомляет об этом Ведомство.

(2) Поставщик цифровых услуг должен без неоправданной задержки сообщить об инциденте с кибербезопасностью, оказывающем значительное влияние на предоставление его услуг, если он имеет доступ к информации, необходимой для оценки значимости этого воздействия.

(3) Власти и лица, указанные в § 3 (b) и (h), сообщают об инцидентах кибербезопасности национальному оператору CERT.

(4) Органы власти и лица, указанные в § 3 (c)-(g), сообщают об инцидентах кибербезопасности в Управление.

(5) Обязательство, указанное в пункте 1, выполняется контролером информационной системы критической информационной инфраструктуры, системы связи критической информационной инфраструктуры или соответствующей информационной системы, даже если оператор этой системы сообщил об инциденте в области кибербезопасности. Оператор информационной системы критической информационной инфраструктуры, системы связи критической информационной инфраструктуры или значимой информационной системы должен без неоправданной задержки информировать администратора этой системы о сообщенных инцидентах кибербезопасности.

(6) Власти и лица, не перечисленные в Разделе 3, могут сообщать об инцидентах в области кибербезопасности национальному оператору CERT или Ведомству.

7) Исполнительный акт предусматривает:

(a) виды, категории и оценка значимости последствий инцидента с кибербезопасностью; и

(b) формальности и средства сообщения об инциденте кибербезопасности.

(8) Если инцидент с кибербезопасностью, затрагивающий поставщика цифровых услуг, оказывает значительное влияние на непрерывность предоставления основных услуг, его оператор сообщает об этом Органу.

Регистрация

§ 9

(1) Орган ведет реестр инцидентов кибербезопасности («записи инцидентов»), содержащий:

(a) сообщение об инциденте с кибербезопасностью;

идентификация системы, в которой произошел инцидент с кибербезопасностью;

(c) данные об источнике инцидента с кибербезопасностью; и

d порядок рассмотрения инцидента, связанного с кибербезопасностью, и его последствия.

(2) Инцидентные записи должны включать данные, указанные в § 20 (f) - (h) и (l).

(3) Ведомство предоставляет данные из протоколов инцидентов государственным органам для выполнения их обязанностей.

(4) Орган может предоставлять записи об инцидентах национальному оператору CERT, органам, ответственным за кибербезопасность за рубежом, и другим лицам, участвующим в кибербезопасности, в объеме, необходимом для обеспечения защиты киберпространства.

§ 10

(1) Работники Чешской Республики, участвующие в обработке инцидента, связанного с кибербезопасностью, обязаны соблюдать конфиденциальность записей об инцидентах. Обязательство конфиденциальности сохраняется после прекращения трудовых отношений с Ведомством.

(2) Директор Управления может освободить лиц, упомянутых в пункте 1, от обязанности соблюдать конфиденциальность в отношении записей об инцидентах, указав объем данных и степень освобождения.

§ 10a

Информация, раскрытие которой может поставить под угрозу безопасность кибербезопасности или эффективность меры, предоставленной в соответствии с настоящим Законом, или информация, которая содержится в предупреждении об инцидентах, из которых может быть идентифицирован орган или лицо, сообщающее об инциденте кибербезопасности, не предоставляются в соответствии с правилами, регулирующими свободный доступ к информации.

§ 11

Меры

(1) Меры, необходимые для защиты информационных систем или служб и сетей электронной связи (1) от угроз кибербезопасности или от инцидента кибербезопасности или для устранения инцидента кибербезопасности.

2) Меры включают:

предостережения,

b) реактивные меры; и

c) защитная мера.

3 Должны быть приняты ответные меры

(a) органы власти и лица, указанные в Статье 3 (a) и (b) в кибер-опасности или чрезвычайном состоянии (4), объявленные на основании запроса в соответствии со Статьей 21 (6); и

(b) органы власти и лица, указанные в статье 3 (с)-(f).

(4) Меры предосторожности должны осуществляться властями и лицами, указанными в подпунктах (с)-(f) статьи 3.

§ 12

Предупреждение

(1) Орган выдает предупреждение, в частности, по собственной инициативе или по инициативе оператора национального ЦЕРТ или органов, выполняющих свои обязанности в области кибербезопасности за рубежом, об угрозе кибербезопасности.

(2) Ведомство публикует предупреждение на своем веб-сайте и уведомляет об этом власти и лиц, указанных в статье 3, контактные данные которых хранятся в реестре, указанном в статье 16 (4).

(3) Для защиты внутреннего порядка и безопасности, для защиты жизни и здоровья людей или для защиты экономики государства Ведомство имеет право после консультации с органом власти или лицом, упомянутым в § 3 (c), (d), (f), (g) или (h), который затронут инцидентом кибербезопасности, информировать общественность об инциденте или приказать заинтересованному лицу сделать это самому.

Реагирующие и защитные меры

§ 13

(1) Орган принимает решение о принятии реактивных мер для устранения инцидента, связанного с кибербезопасностью, или для защиты информационных систем или сетей и услуг электронных коммуникаций (1) до инцидента, связанного с кибербезопасностью, который является первым актом в этом вопросе. Если решение о его доставке адресату не было принято в течение 3 дней с даты его выдачи, оно должно быть вынесено путем повешения на официальном учете Ведомства и подлежит исполнению в настоящее время. Решение, упомянутое в первом предложении, может быть также принято Управлением в рамках процедуры на месте в соответствии с административными правилами.

(2) Декомпозиция в отношении решения согласно пункту 1 не имеет приостанавливающего действия.

(3) Если реактивные меры по устранению инцидента, связанного с кибербезопасностью, или по обеспечению безопасности информационных систем или сетей и услуг электронных коммуникаций (1) до инцидента, связанного с кибербезопасностью, относятся к неопределенному кругу органов или лиц, Ведомство выдает их в форме общих мер.

(4) Органы власти и лица, указанные в пунктах (а)-(f) статьи 3, обязаны без неоправданной задержки уведомлять Ведомство об осуществлении реактивной меры и ее результатах. Подробности уведомления должны быть изложены в имплементирующем законодательстве.

§ 14

В целях усиления защиты информационных систем или услуг и сетей электронных коммуникаций (1) и на основе анализа уже урегулированного инцидента с кибербезопасностью в качестве защитной меры Ведомство выдает общую меру, в которой органы власти и лица, указанные в пунктах (с)-(f) статьи 3, предусматривают способ повышения защиты информационных систем или услуг и сетей электронных коммуникаций (1) и разумный срок для ее осуществления.

§ 15

(1) Мера общего характера в соответствии со статьей 13 или статьей 14 вступает в силу во время ее висения на официальной табличке Ведомства; пункт 172 Административного регламента не применяется. Ведомство также информирует органы и лиц, указанных в статье 3, чьи контактные данные хранятся в реестре, указанном в статье 16 (4) общей меры.

(2) Замечания относительно меры общего характера, изданной в соответствии с пунктом 13 или 14, могут быть сделаны в течение 30 дней с даты ее опубликования на официальном листе Ведомства. Орган может изменять или отменять меры общего характера на основе сделанных замечаний.

§ 15a

(1) В случае неизбежного инцидента с кибербезопасностью Орган может по предложению администратора информационной системы, который напрасно призвал оператора выполнить обязательство по передаче данных, оперативных данных и информации, доступных ему в связи с функционированием этой критической информационной инфраструктуры, системы связи критической информационной инфраструктуры или значительной информационной системы, по решению потребовать от оператора этой системы передать данные, оперативные данные и информацию, доступные ему в связи с работой этой системы; предложение должно включать обоснование запроса в свете неизбежного инцидента с кибербезопасностью, подробное описание предыдущего поведения между оператором и администратором системы, в частности в отношении невыполнения договорных обязательств оператора и возможных последствий, если не будут переданы необходимые данные, оперативные данные и информация.

(2) Решение, обязывающее передавать данные, оперативные данные и информацию, указанные в пункте 1, является первым актом в производстве, подлежит исполнению на дату вручения решения и разложение не имеет приостанавливающего действия.

(3) В целях покрытия расходов, понесенных оператором информационной системы критической информационной инфраструктуры, система связи критической информационной инфраструктуры или важная информационная система для передачи данных, оперативных данных и информации, указанных в пункте 1, статья 6а (4), применяются mutatis mutandis.

§ 16

Контактные данные

(1) Контактными данными являются:

а в случае юридического лица - имя, адрес зарегистрированного офиса, идентификационный номер лица или аналогичный номер, присвоенный за границей;

(b) в случае физического лица в бизнесе, коммерческой фирмы или имени, включая отличительное дополнение или другое обозначение, адрес зарегистрированного офиса и идентификационный номер лица;

c в государственный орган, его наименование, адрес зарегистрированного офиса, идентификационный номер лица, если таковой имеется, и идентификатор государственного органа при условии, что ему не присвоен идентификационный номер лица;

и сведения о физическом лице, которое имеет право действовать в качестве органа или лица, указанного в статье 3, в вопросах, регулируемых настоящим законом, а именно имя, фамилия, номер телефона и адрес электронной почты.

(2) Контактные данные и изменения к ним должны быть уведомлены.

(a) органы власти и лица, указанные в § 3 (a), (b) и (h) оператора национального CERT; и

(b) органы власти и лица, указанные в § 3 (c)-(g) Ведомства.

(3) Органы власти и лица, указанные в подпунктах с - g пункта 3, незамедлительно уведомляют о внесении изменений только в данные, указанные в пункте 1, которые не являются справочными данными, хранящимися в основных регистрах.

(4) Ведомство ведет реестр контактных данных, содержащих информацию, указанную в пункте 1.

(5) В случае кибер-опасности Орган имеет право запросить контактные данные, собранные национальным оператором CERT в соответствии с пунктом 2 (а).

(6) Орган также уполномочен запрашивать контактные данные органов и лиц, указанных в статье 3 (h), у национального оператора CERT для целей проверки.

(7) Модель уведомления о контактных данных и ее форма заложены в имплементационном законодательстве.

§ 17

Национальный CERT

(1) Национальный CERT обеспечивает, в пределах, предусмотренных настоящим законом, обмен информацией на национальном и международном уровнях в области кибербезопасности.

(2) Национальный оператор CERT

(a) принимает уведомление о контактных данных от органов власти и лиц, указанных в Статье 3 (a), (b) и (h), а также регистрирует и хранит такие данные;

Цитирование	Закон No 181/2014 Сб. о кибербезопасности и изменении смежных законов (Закон о кибербезопасности)
Тип акта	-
Автор	-
Сборник	Сборник законов

Дата опубликования	29.08.2014
Действует с	01.01.2015
Действует до	-
Статус	Действующий

Закон No 181/2014 Сб.

Закон о кибербезопасности и изменении смежных законов (Закон о кибербезопасности)

Содержание