Dekrét č. 411 / 2025 Zb.
Vyhláška o úrovni bezpečnosti informačných systémov verejnej správy
Platný
Uznesenie
Účinnosť od 01.11.2025
Verzie znenia:
01.11.2025
14.10.2025
411
VYHLÁSENIE
z 26. septembra 2025,
o úrovni bezpečnosti informačných systémov verejnej správy
Národný úrad pre kybernetickú a informačnú bezpečnosť poskytuje podľa § 12 ods. 2 písm. g) zákona č. 365/2000 Z. z. o informačných systémoch verejnej správy a o zmene a doplnení niektorých iných zákonov, v znení zákona č. 265/2025 Z. z., ďalej len "zákon":
Predmet úpravy
Táto vyhláška stanovuje úrovne bezpečnosti informačných systémov verejnej správy podľa oddielu 6l ods. 3 zákona a špecifikuje postup zahrnutia do úrovne bezpečnosti.
Vymedzenie pojmov
Na účely tohto dekrétu:
(a) oblasť vplyvu vymedzená v prílohe k tomuto nariadeniu, v rámci ktorej môže mať incident v oblasti kybernetickej bezpečnosti vplyv na informačný systém verejnej správy s cieľom zabezpečiť prevádzku ktorého sa má používať cloud computing, vplyv na bezpečnosť alebo zdravie ľudí, ochranu osobných údajov, trestné konanie, verejnú politiku, medzinárodné vzťahy, dôveryhodnosť verejnej správy, finančnú stratu alebo poskytovanie služieb a
(b) úroveň vplyvu nízkej, strednej, vysokej alebo kritickej hodnoty vyplývajúcej z závažnosti vplyvu incidentu v oblasti kybernetickej bezpečnosti na informačný systém verejnej správy s cieľom zabezpečiť prevádzku ktorého sa má cloud computing používať v každej oblasti vplyvu.
Úroveň bezpečnosti
Úroveň bezpečnosti je
a) nízka;
b) stredné,
c) vysoká alebo
d) kritické.
Klasifikácia informačného systému verejnej správy s cieľom zabezpečiť fungovanie ktorého cloud computing sa má používať na úrovni bezpečnosti
(1) Začlenenie informačného systému verejnej správy s cieľom zabezpečiť prevádzku, ktorú má používať cloud computing, vykoná verejný orgán, ako sa uvádza v prílohe k tomuto dekrétu. Verejný orgán posúdi splnenie úrovne vplyvu, ktorú je informačný systém verejnej správy, ktorý sa má používať na cloud computing, schopný dosiahnuť v každej oblasti vplyvu. Úroveň vplyvu v každej oblasti vplyvu je spôsobená najzávažnejším možným vplyvom incidentu v oblasti kybernetickej bezpečnosti.
(2) Pri identifikácii najzávažnejšieho možného vplyvu incidentu v oblasti kybernetickej bezpečnosti verejný orgán zohľadní možné porušenie dôvernosti, integrity a dostupnosti informačného systému verejnej správy s cieľom zabezpečiť používanie cloud computingu a povahu systému ako celku. V prípade, že cloud computing má zabezpečiť, aby sa prevádzkovala len časť informačného systému verejnej správy, pri posudzovaní úrovne vplyvu a zahrnutí tejto časti do úrovne bezpečnosti sa zohľadní aj vzťah tejto časti k úrovni bezpečnosti informačného systému verejnej správy ako celku.
(3) Výsledná úroveň bezpečnosti informačného systému verejnej správy s cieľom zabezpečiť prevádzku cloud computingu je rovnaká ako najvyššia úroveň vplyvu dosiahnutá pri posudzovaní jednotlivých oblastí vplyvu.
(4) Najvyššia úroveň bezpečnosti informačného systému verejnej správy ako celku sa musí vytvoriť pre aspoň jednu časť informačného systému verejnej správy, aby sa zabezpečila prevádzka ktorého sa má používať cloud computing.
(5) Vykoná sa písomný záznam o procese určovania úrovne bezpečnosti informačného systému verejnej správy, aby sa zabezpečila prevádzka ktorého sa má použiť cloud computing, ako sa uvádza v predchádzajúcich odsekoch.
Účinnosť
Toto nariadenie nadobúda účinnosť 1. novembra 2025.
Riaditeľ:
Ing. Kintr v. r.
príloha
Úrovne a oblasti vplyvu na začlenenie informačného systému verejnej správy s cieľom zabezpečiť fungovanie ktorého cloud computing sa má používať na úrovni bezpečnosti
| Oblasti dopadu | ||||||||
|---|---|---|---|---|---|---|---|---|
| A. | B. | C. | D. | E. | F. | G. | H. | |
| Úroveň dopadu | Bezpečnost nebo zdraví lidí | Ochrana osobních údajů | Trestní řízení a páchání trestné činnosti | Veřejný pořádek | Mezinárodní vztahy | Důvěryhodnost orgánu veřejné správy | Finanční ztráty | Zajišťování služeb |
| 1. Nízká | Nemůže vést k poruše zdraví jednotlivce ani skupiny lidí. | Nemůže ovlivnit informační systém veřejné správy, k zajištění jehož provozu má být využíván cloud computing, nebo může negativně ovlivnit informační systém veřejné správy, k zajištění jehož provozu má být využíván cloud computing, který naplňuje nejvýše dvě kritéria z první skupiny kritérií pro oblast dopadu B. Ochrana osobních údajů. | Nemůže vytvořit podmínky pro páchání trestných činů přisvojení pravomoci úřadu, zneužití pravomoci úřední osoby nebo padělání a pozměnění veřejné listiny ani nemůže ztížit jejich vyšetřování. | Nemůže zapříčinit hromadné nepokoje nebo jinak narušit veřejný pořádek. | Nemůže negativně ovlivnit obraz České republiky v zahraničí. | Nemůže negativně ovlivnit vztahy s jinými subjekty nebo vztahy s veřejností, nebo může vztahy s nimi negativně ovlivnit, avšak negativní následky mohou být nejvýše lokální. | Nemůže ani nepřímo vést k finančním ztrátám, nebo může vést k finančním ztrátám menším než 1 % běžných výdajů ročního rozpočtu orgánu veřejné správy. | Nemůže způsobit omezení, narušení nebo nedostupnost žádných poskytovaných služeb, nebo může způsobit omezení, narušení nebo nedostupnost poskytovaných služeb pro 5 000 a méně osob. |
| 2. Střední | Může vést k poruše zdraví jednotlivce nebo skupiny nejvíce 100 lidí. | Může negativně ovlivnit informační systém veřejné správy, k zajištění jehož provozu má být využíván cloud computing, který naplňuje tři a více kritérií z první skupiny kritérií nebo jedno kritérium z druhé skupiny kritérií pro oblast dopadu B. Ochrana osobních údajů. | Může vytvořit podmínky pro páchání trestných činů přisvojení pravomoci úřadu, zneužití pravomoci úřední osoby nebo padělání a pozměnění veřejné listiny nebo může ztížit jejich vyšetřování. | Může zapříčinit hromadné nepokoje nebo jinak narušit veřejný pořádek s lokálními dopady. | Může negativně ovlivnit obraz České republiky v sousedních státech. | Může negativně ovlivnit vztahy s jinými subjekty nebo vztahy s veřejností, avšak negativní následky mohou být nejvýše regionální. | Může vést k finančním ztrátám ve výši mezi 1 % a 5 % běžných výdajů ročního rozpočtu orgánu veřejné správy a tyto ztráty odpovídají částce 100 000 Kč a vyšší. V případě, že výše finanční ztráty odpovídá částce nižší než 100 000 Kč, použije se úroveň dopadu nízká. | Může způsobit omezení, narušení nebo nedostupnost služeb pro více než 5 000, nejvíce však 50 000 osob. |
| 3. Vysoká | Může vést k poruše zdraví skupiny více než 100 lidí a nejvíce 2 500 lidí nebo přímému ohrožení nebo ztrátě života jednotlivce nebo skupiny nejvíce 250 lidí. | Může negativně ovlivnit informační systém veřejné správy, k zajištění jehož provozu má být využíván cloud computing, který naplňuje dvě a více kritérií z druhé skupiny kritérií pro oblast dopadu B. Ochrana osobních údajů. | Může vést k narušení vyšetřování trestné činnosti nebo k narušení soudního řízení trestního. | Může zapříčinit hromadné nepokoje nebo jinak závažně narušit veřejný pořádek s regionálními dopady. | Může negativně ovlivnit obraz České republiky ve světě. | Může negativně ovlivnit vztahy s jinými subjekty nebo vztahy s veřejností, avšak negativní následky mohou být nejvýše celostátní nebo krátkodobé s mezinárodním prvkem. | Může vést k finančním ztrátám vyšším než 5 % a dosahujícím maximálně 10 % běžných výdajů ročního rozpočtu orgánu veřejné správy a tyto ztráty odpovídají částce 1 000 000 Kč a vyšší, nebo může způsobit hospodářské ztráty České republiky ve výši mezi 0,1 % a 0,5 % hrubého domácího produktu. V případě, že výše finanční ztráty odpovídá částce nižší než 1 000 000 Kč, použije se úroveň dopadu střední. | Může způsobit omezení, narušení nebo nedostupnost služeb pro více než 50 000 osob. |
| 4. Kritická | Může vést k poruše zdraví skupiny více než 2 500 lidí nebo k přímému ohrožení nebo ztrátě života skupiny více než 250 lidí. | Může vést k omezení nebo narušení zpracování osobních údajů, které je nezbytné pro zajišťování obranných a bezpečnostních zájmů České republiky. | Může vést k závažnému a dlouhodobému narušení schopnosti vyšetřovat trestnou činnost nebo ke zpochybnění zákonnosti soudního řízení trestního. | Může být dotčena kritická infrastruktura provozovaná orgánem veřejné správy, který informační systém veřejné správy, k zajištění jehož provozu má být využíván cloud computing, zařazuje do bezpečnostní úrovně, a může zapříčinit hromadné nepokoje nebo jinak závažně narušit veřejný pořádek s celostátními dopady. | Může vést k přímému poškození nebo přerušení diplomatických vztahů České republiky se zahraničními partnery. | Může být dotčena kritická infrastruktura provozovaná orgánem veřejné správy, který informační systém veřejné správy, k zajištění jehož provozu má být využíván cloud computing, zařazuje do bezpečnostní úrovně, a může negativně ovlivnit vztahy s jinými subjekty nebo vztahy s veřejností a negativní následky mohou být dlouhodobé a s mezinárodním prvkem. | Může vést k finančním ztrátám vyšším než 10 % běžných výdajů ročního rozpočtu orgánu veřejné správy a tyto ztráty odpovídají částce 10 000 000 Kč a vyšší, nebo může způsobit hospodářské ztráty České republiky vyšší než 0,5 % hrubého domácího produktu. V případě, že výše finanční ztráty odpovídá částce nižší než 10 000 000 Kč, použije se úroveň dopadu vysoká. | Může být dotčena kritická infrastruktura provozovaná orgánem veřejné správy, který informační systém veřejné správy, k zajištění jehož provozu má být využíván cloud computing, zařazuje do bezpečnostní úrovně, a může dojít k rozsáhlému omezení poskytování nezbytných služeb nebo jinému závažnému zásahu do každodenního života postihujícího více než 125 000 lidí. |
Skupiny kritérií vplyvu B. Ochrana osobných údajov
1) Prvá skupina kritérií pozostáva z týchto kritérií:
a) osobné údaje sa spracúvajú s cieľom umožniť dotknutej osobe vykonávať alebo konať v mene dotknutej osoby bez ďalšieho odkladu v súvislosti so škodou na úcte, dobrej povesti alebo charaktere alebo tým, že dotknutej osobe umožní odobrať služby, tovar alebo v prípade potreby zbierať peniaze alebo iné aktíva v mene dotknutej osoby;
b) osobné údaje sa spracúvajú podľa toho, podľa ktorého je dotknutá osoba zaradená do skupiny s časovo obmedzenou alebo špecifickou zraniteľnosťou;
(c) spracúvanie osobných údajov sa vykonáva, ktoré je dotknuté alebo sa dá odôvodnene očakávať, že ovplyvní 5 000 až 10 000 dotknutých osôb;
d) osobné údaje sú verejne dostupné neobmedzenému počtu orgánov alebo osôb a
e) spracúvanie osobných údajov systémom prepojeným s iným spracúvaním, ktoré vykonáva ten istý prevádzkovateľ údajov alebo iní prevádzkovatelia osobných údajov.
(2) Druhá skupina kritérií pozostáva z týchto kritérií:
(a) spracúvanie osobitných kategórií osobných údajov alebo údajov vysoko osobnej povahy, najmä finančných údajov o stave majetku, výške finančných prostriedkov, dlhu alebo pôžičiek alebo platobnej morálke, záznamy o histórii súkromných volaní dotknutých osôb, údaje z elektronickej pošty dotknutých osôb a podobne;
(b) spracúvanie osobných údajov sa vykonáva, ktoré je dotknuté alebo sa odôvodnene očakáva, že ovplyvní viac ako 10 000 dotknutých osôb; a
c) uskutočňuje sa automatizované rozhodovanie, ktoré má vplyv na dotknutú osobu.
Prihláste sa pre poznámky, obľúbené a upozornenia
Informácie o predpise
| Citácia | Nariadenie č. 411 / 2025 Z. z. o úrovni bezpečnosti informačných systémov verejnej správy |
|---|---|
| Typ predpisu | Uznesenie |
| Autor | - |
| Zbierka | Zbierka zákonov |
| Dátum vyhlásenia | 14.10.2025 |
|---|---|
| Účinnosť od | 01.11.2025 |
| Účinnosť do | - |
| Stav | Platný |
Verejné zmluvy 5
SMLOUVA O DÍLO - Registr vysokých škol a studijních programů a jeho podpůrné procesy
Ministerstvo školství, mládeže a tělovýchovy
KAKTUS Software, spol. s r.o.
3 469 070 Kč
01.06.2026
Rámcová dohoda - Registr vysokých škol a studijních programů a jeho podpůrné procesy
Ministerstvo školství, mládeže a tělovýchovy
KAKTUS Software, spol. s r.o.
1 974 720 Kč
01.06.2026
Předmětem služeb poskytovaných dle Dohody je zajištění servisní a uživatelské podpory a rozvoj pro s...
Ministerstvo školství, mládeže a tělovýchovy
KAKTUS Software, spol. s r.o.
18 800 000 Kč
15.05.2026
Smlouva o dílo - Servisní smlouva 01/26//VZ pozáruční servis zdravotnických prostředků - plicních ve...
Nemocnice Nové Město na Moravě, příspěvková organi...
Dräger Medical s.r.o.
539 055 Kč
29.04.2026
Kupní smlouva 01/26/VZ 6 ks plicních ventilátorů pro použití na anesteziologicko-resuscitačním odděl...
Nemocnice Nové Město na Moravě, příspěvková organi...
Dräger Medical s.r.o.
4 074 696 Kč
29.04.2026
Zdroj:
Hlídač štátu
(CC BY 3.0 CZ)
Znenie predpisu má informatívny charakter.
Komentáre 0