Obecné požadavky. 1.1 Poskytovatel se při poskytování plnění pro Objednatele zavazuje plnit následující povinnosti: 1.1.1.1 postupovat v souladu s platnými právními předpisy, zejména pak v souladu s požadavky vyplývajícími pro Objednatele, jakožto správce a provozovatele informačního sytému základní služby, ze ZoKB a Vyhlášky a reflektovat případné novely uvedených právních předpisů či novou právní úpravu; 1.1.1.2 nestanoví-li dohoda stran jinak, Poskytovatel jmenuje nejpozději do 3 dnů po uzavření Smlouvy zodpovědnou kontaktní osobu pro potřeby zajištění plnění Bezpečnostních opatření vyplývajících ze Smlouvy a související komunikace mezi Smluvními stranami (dále také jen „Kontaktní osoba“). Kontaktní osobu sdělí Poskytovatel Objednateli písemně v téže lhůtě. Případnou změnu Kontaktní osoby na straně Poskytovatele je Poskytovatel povinen Objednateli nahlásit do 5 dnů od provedení změny; 1.1.1.3 zajistit, aby Kontaktní osoba Poskytovatele nejpozději do 30 dnů od uzavření Smlouvy potvrdila písemně Objednateli, že všechny osoby podílející se na poskytování plnění této Smlouvy za stranu Poskytovatele a/nebo jeho podposkytovatelé byli prokazatelně seznámeni s těmito Bezpečnostními opatřeními; 1.1.1.4 pokud při plnění předmětu smlouvy Poskytovatel zpracovává osobní údaje pro Objednatele, zavazuje se Poskytovatel uzavřít s Objednatelem smlouvu o zpracování osobních údajů v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) a zákonem č. 110/2019 o zpracování osobních údajů; 1.1.1.5 předmět plnění nesmí být nevyhovující z hlediska informační bezpečnosti, přičemž za nevyhovující je považováno jakékoli plnění, které obsahuje technologie/klíčové prvky, vůči jejichž výrobcům příslušný správní orgán vydal opatření v souladu se ZoKB, a které dle analýzy rizik představují vysoké riziko; 1.1.1.6 dodržovat příslušná ustanovení bezpečnostních politik, metodik a postupů Objednatele, resp. platné řídící dokumentace Objednatele či její části, pokud byl Poskytovatel s takovými dokumenty nebo jejich částmi seznámen, a to bez ohledu na způsob, jakým byl s takovou dokumentací Objednatele seznámen (např. školením, protokolárním předáním příslušné dokumentace Zhotoviteli, elektronickým předáním prostřednictvím e-mailu, zřízením přístupu Zhotoviteli na sdílené úložiště aj.); 1.1.1.7 provádět analýzu a hodnocení rizik informační infrastruktury, která je součástí předmětu Smlouvy (dodávaného řešení) a na základě výsledků navrhovat a předkládat Objednateli ke schválení opatření na minimalizaci nebo odstranění zjištěných rizik. Opatření musí být navrhována a konsolidována s přihlédnutím k výsledkům posuzování rizik; 1.1.1.8 zaznamenávat podstatné okolnosti související s poskytovaným předmětem plnění dle Smlouvy (technické záznamy, organizační záznamy o školení, pověření apod.) a informovat o nich Objednatele; 1.1.1.9 zavést opatření pro ochranu zálohy dat vztahujících se k plnění Smlouvy a pravidelně testovat funkčnost těchto záloh; 1.1.1.10 v případě potřeby Objednatele musí Poskytovatel garantovat schopnost zrekonstruovat funkcionalitu aktiva do stavu požadovaného dle Smlouvy; 1.1.1.11 průběžně detekovat technické zranitelnosti a konfigurační nesoulady předmětu plnění Smlouvy a o zjištěných skutečnostech bez zbytečného odkladu informovat Objednatele. Detekované technické zranitelnosti musí být vyhodnoceny s ohledem na související riziko a musí podle povahy předmětu plnění dojít k nápravným opatřením ze strany Poskytovatele. Nápravná opatření musí být schválena Objednatelem; 1.1.1.12 realizovat bezpečnostní opatření pro ochranu dat souvisejících s plněním předmětu Smlouvy; 1.1.1.13 splnit všechny relevantní požadavky na bezpečnost v procesech vývoje a podpory minimálně v rozsahu požadavků dle ISO/IEC 27001 A. 14; 1.1.1.14 uchovávat data o provozu (provozní a lokalizační údaje) v souladu s planými právními předpisy a dodržovat požadavky vyplývající z Vyhlášky na obsah provozních událostí; 1.1.1.15 zabezpečit veškerý přenos dat a informací z pohledu bezpečnostních požadavků na jejich důvěrnost, integritu a dostupnost během poskytování plnění pro Objednatele; 1.1.1.16 poskytovat Objednateli v termínech stanovených Objednatelem, resp. bez zbytečného odkladu požadovanou součinnost na provedení bezpečnostního testování v průběhu vývoje SW či po jeho předání; 1.1.1.17 dodat systémové a provozní bezpečnostní dokumentace nejpozději do doby předání a převzetí SW způsobem uvedeným ve smlouvě, a to minimálně v rozsahu stanoveném Objednatelem; 1.1.1.18 že plnění bude obsahovat jen ty součásti, které jsou objektivně potřebné pro řádné provozování SW a/nebo které jsou specifikovány výslovně ve smlouvě, zejména, že SW nebude obsahovat žádné nepotřebné komponenty apod.; 1.1.1.19 pokud součástí plnění je i instalace operačního systému případně SW třetích stran, v průběhu jeho instalace budou použity nejnovější aktualizované verze těchto produktů; 1.1.1.20 veškeré důvěrné informace1 poskytnuté Objednatelem při poskytování plnění nebudou uchovávány v nešifrovaném tvaru a budou chráněny vůči neautorizovanému přístupu, pokud nebude mezi smluvními stranami v konkrétním případě dohodnuto jinak; 1 Za důvěrné informace se ve smyslu této přílohy považují zejména identifikační údaje certifikátu, hesla, přístupová oprávnění, konfigurační soubory, systémové programy, kritické knihovny, obnovovací procedury apod. 1.1.1.21 pokud v rámci poskytovaného plnění bude instalovat SW nebo jejich upgrade bude postupovat podle hardeningových bezpečnostních politik a v souladu s bezpečnostními standardy Objednatele, pokud byl s takovými dokumenty nebo jejich částmi seznámen; 1.1.1.22 v produkčním prostředí systému ISZS bude obsažen jen kompilovaný, respektive spustitelný kód a další nezbytná data pro provozování systému ISZS; 1.1.1.23 před spuštěním SW v produkčním prostředí daného systému ISZS provede kontrolu souladu daného SW s bezpečnostními požadavky hardeningových bezpečnostních politik a v případě zjištění nesouladu zajistí bez zbytečného odkladu soulad dodávaného SW s bezpečnostními požadavky hardeningových politik, pokud byl s takovými dokumenty nebo jejich částmi seznámen. 1.1.1.24 bude instalovat nový SW nebo nové verze SW pouze na základě Objednatelem předem schválených migračních postupů2; 1.1.1.25 ověří integritu zdrojového kódu a předá zdrojový kód Objednateli bezpečnou formou zajištující integritu zdrojového kódu, přičemž bude průběžně evidovat a bezpečné ukládat zdrojové kódy provozovaných aplikací, a to i v případě, že budou zdrojové kódy předávány Objednateli, přičemž při vývoji SW se Poskytovatel zavazuje, že a. zdrojový kód programů vyvíjených Poskytovatelem bude předmětem procesu řízení verzí; b. zdrojový kód programů je zálohován a uložen mimo produkční prostředí a současně je stanoven postup, jak sestavit systém ze zdrojového kódu; c. provádění konfiguračních změn je v souladu s procesem změnového řízení Objednatele; d. konfigurační soubory jsou pravidelně průběžně zálohovány; e. eviduje každou změnu konfigurace;
Appears in 1 contract
Samples: Service Agreement
Obecné požadavky. 1.1 Poskytovatel Dodavatel se při poskytování plnění pro Objednatele zavazuje plnit následující povinnosti:
1.1.1.1 : postupovat v souladu s platnými právními předpisy, zejména pak v souladu s požadavky vyplývajícími pro Objednatele, jakožto správce a provozovatele informačního sytému základní služby, ze ZoKB Zákona a Vyhlášky a reflektovat případné novely uvedených právních předpisů či novou právní úpravu;
1.1.1.2 . nestanoví-li dohoda stran jinak, Poskytovatel Dodavatel jmenuje nejpozději do 3 dnů po uzavření Smlouvy zodpovědnou kontaktní osobu pro potřeby zajištění plnění Bezpečnostních opatření vyplývajících ze Smlouvy a související komunikace mezi Smluvními stranami (dále také jen „Kontaktní osoba“). Kontaktní osobu sdělí Poskytovatel Dodavatel Objednateli písemně v téže lhůtě. Případnou změnu Kontaktní osoby na straně Poskytovatele Dodavatele je Poskytovatel Dodavatel povinen Objednateli nahlásit do 5 dnů od provedení změny;
1.1.1.3 ; zajistit, aby Kontaktní osoba Poskytovatele Dodavatele nejpozději do 30 dnů od uzavření Smlouvy potvrdila písemně Objednateli, že všechny osoby podílející se na poskytování plnění této Smlouvy za stranu Poskytovatele Dodavatele a/nebo jeho podposkytovatelé poddodavatelé byli prokazatelně seznámeni s těmito Bezpečnostními opatřeními;
1.1.1.4 ; pokud při plnění předmětu smlouvy Poskytovatel Dodavatel zpracovává osobní údaje pro Objednatele, zavazuje se Poskytovatel Dodavatel uzavřít s Objednatelem smlouvu o zpracování osobních údajů v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) a zákonem č. 110/2019 o zpracování osobních údajů;
1.1.1.5 ; předmět plnění nesmí být nevyhovující z hlediska informační bezpečnosti, přičemž za nevyhovující je považováno jakékoli plnění, které obsahuje technologie/klíčové prvky, vůči jejichž výrobcům příslušný správní orgán vydal opatření v souladu se ZoKBZákonem, a které dle analýzy rizik představují vysoké riziko;
1.1.1.6 ; dodržovat příslušná ustanovení bezpečnostních politik, metodik a postupů Objednatele, Objednatele resp. platné řídící dokumentace Objednatele či její části, pokud byl Poskytovatel Dodavatel s takovými dokumenty nebo jejich částmi seznámen, a to bez ohledu na způsob, jakým byl s takovou dokumentací Objednatele seznámen (např. školením, protokolárním předáním příslušné dokumentace Zhotoviteli, elektronickým předáním prostřednictvím e-mailu, zřízením přístupu Zhotoviteli na sdílené úložiště aj.);
1.1.1.7 ; provádět analýzu a hodnocení rizik informační infrastruktury, která je součástí předmětu Smlouvy (dodávaného řešení) a na základě výsledků navrhovat a předkládat Objednateli ke schválení opatření na minimalizaci nebo odstranění zjištěných rizik. Opatření musí být navrhována a konsolidována s přihlédnutím k výsledkům posuzování rizik;
1.1.1.8 ; zaznamenávat podstatné okolnosti související s poskytovaným předmětem plnění dle Smlouvy (technické záznamy, organizační záznamy o školení, pověření apod.) a informovat o nich Objednatele;
1.1.1.9 ; zavést opatření pro ochranu zálohy dat vztahujících se k plnění Smlouvy a pravidelně testovat funkčnost těchto záloh;
1.1.1.10 ; v případě potřeby Objednatele musí Poskytovatel Dodavatel garantovat schopnost zrekonstruovat funkcionalitu aktiva do stavu požadovaného dle Smlouvy;
1.1.1.11 ; průběžně detekovat technické zranitelnosti a konfigurační nesoulady předmětu plnění Smlouvy a o zjištěných skutečnostech bez zbytečného odkladu informovat Objednatele. Detekované technické zranitelnosti musí být vyhodnoceny s ohledem na související riziko a musí podle povahy předmětu plnění dojít k nápravným opatřením ze strany PoskytovateleDodavatele. Nápravná opatření musí být schválena Objednatelem;
1.1.1.12 ; realizovat bezpečnostní opatření pro ochranu dat souvisejících s plněním předmětu Smlouvy;
1.1.1.13 ; splnit všechny relevantní požadavky na bezpečnost v procesech vývoje a podpory minimálně v rozsahu požadavků dle ISO/IEC 27001 A. 14;
1.1.1.14 ; uchovávat data o provozu (provozní a lokalizační údaje) v souladu s planými právními předpisy a dodržovat požadavky vyplývající z Vyhlášky na obsah provozních událostí;
1.1.1.15 ; zabezpečit veškerý přenos dat a informací z pohledu bezpečnostních požadavků na jejich důvěrnost, integritu a dostupnost během poskytování plnění pro Objednatele;
1.1.1.16 ; poskytovat Objednateli v termínech stanovených Objednatelem, resp. bez zbytečného odkladu požadovanou součinnost na provedení bezpečnostního testování v průběhu vývoje SW či po jeho předání;
1.1.1.17 ; rozsah požadované součinnosti bude vždy součástí Zadání objednatele dle čl. 6.1.1. Smlouvy; dodat systémové a provozní bezpečnostní dokumentace nejpozději do doby předání a převzetí SW způsobem uvedeným ve smlouvě, a to minimálně v rozsahu stanoveném Objednatelem;
1.1.1.18 ; že plnění bude obsahovat jen ty součásti, které jsou objektivně potřebné pro řádné provozování SW a/nebo které jsou specifikovány výslovně ve smlouvě, zejména, že SW ani HW nebude obsahovat žádné nepotřebné komponenty apod.;
1.1.1.19 ; Tento závazek se však nevztahuje na součásti, které v současnosti výše uvedenou podmínku nesplňují, avšak v minulosti ji plnily pokud součástí plnění je i instalace operačního systému případně SW třetích stran, v průběhu jeho instalace budou použity nejnovější aktualizované objednatelem požadované verze těchto produktů;
1.1.1.20 ; Tento závazek se však nevztahuje na součásti, které v současnosti výše uvedenou podmínku nesplňují, avšak v minulosti ji plnily veškeré důvěrné informace1 poskytnuté Objednatelem při poskytování plnění nebudou uchovávány v nešifrovaném tvaru a budou chráněny vůči neautorizovanému přístupu, pokud nebude mezi smluvními stranami v konkrétním případě dohodnuto jinak;
1 Za důvěrné informace se ve smyslu této přílohy považují zejména identifikační údaje certifikátu, hesla, přístupová oprávnění, konfigurační soubory, systémové programy, kritické knihovny, obnovovací procedury apod.
1.1.1.21 ; pokud v rámci poskytovaného plnění bude instalovat SW nebo jejich upgrade bude postupovat podle hardeningových bezpečnostních politik a v souladu s bezpečnostními standardy Objednatele, pokud byl s takovými dokumenty nebo jejich částmi seznámen;
1.1.1.22 ; Pokud v případě změny bezpečnostních politik nebo bezpečnostních standardů Objednatele dojde k navýšení pracnosti na straně Dodavatele, může Dodavatel odmítnout realizovat plnění podle těchto nových politik a standardů do doby, než budou příslušné změny a jejich dopady na cenu a dostupnost dle článku 4.1.15 Smlouvy zaneseny ve formě dodatku k této smlouvě; v produkčním prostředí systému ISZS Z-IS LP bude obsažen jen kompilovaný, respektive spustitelný kód a další nezbytná data pro provozování systému ISZS;
1.1.1.23 Z-IS LP; před spuštěním SW v produkčním prostředí daného systému ISZS Z-IS LP provede kontrolu souladu daného SW s bezpečnostními požadavky hardeningových bezpečnostních politik a v případě zjištění nesouladu zajistí bez zbytečného odkladu soulad dodávaného SW s bezpečnostními požadavky hardeningových politik, pokud byl s takovými dokumenty nebo jejich částmi seznámen.
1.1.1.24 . bude instalovat nový SW nebo nové verze SW pouze na základě Objednatelem předem schválených migračních postupů2;
1.1.1.25 ; ověří integritu zdrojového kódu a předá zdrojový kód Objednateli bezpečnou formou zajištující integritu zdrojového kódu, přičemž bude průběžně evidovat a bezpečné ukládat zdrojové kódy provozovaných aplikací, a to i v případě, že budou zdrojové kódy předávány Objednateli, přičemž při vývoji SW se Poskytovatel Dodavatel zavazuje, že
a. že zdrojový kód programů vyvíjených Poskytovatelem Dodavatelem bude předmětem procesu řízení verzí;
b. ; zdrojový kód programů je zálohován a uložen mimo produkční prostředí a současně je stanoven postup, jak sestavit systém ze zdrojového kódu;
c. ; provádění konfiguračních změn je v souladu s procesem změnového řízení Objednatele;
d. ; Tento proces je popsán v pracovním postupu ŘÍZENÍ ZMĚN ICT (CAH-PP-I1-008), vždy v odpovídající verzi. konfigurační soubory jsou pravidelně průběžně zálohovány;
e. ; eviduje každou změnu konfigurace;
Appears in 1 contract
Samples: Service Agreement
Obecné požadavky. 1.1 Poskytovatel se při poskytování plnění pro Objednatele zavazuje plnit následující povinnosti:
1.1.1.1 1.1.1 postupovat v souladu s platnými právními předpisy, zejména pak v souladu s požadavky vyplývajícími pro Objednatele, jakožto správce a provozovatele informačního sytému základní služby, ze ZoKB a Vyhlášky a reflektovat případné novely uvedených právních předpisů či novou právní úpravu;
1.1.1.2 1.1.2 nestanoví-li dohoda stran jinak, Poskytovatel jmenuje nejpozději do 3 dnů po uzavření Smlouvy zodpovědnou kontaktní osobu pro potřeby zajištění plnění Bezpečnostních opatření vyplývajících ze Smlouvy a související komunikace mezi Smluvními stranami (dále také jen „Kontaktní osoba“). Kontaktní osobu sdělí Poskytovatel Objednateli písemně v téže lhůtě. Případnou změnu Kontaktní osoby na straně Poskytovatele je Poskytovatel povinen Objednateli nahlásit do 5 dnů od provedení změny;
1.1.1.3 1.1.3 zajistit, aby Kontaktní osoba Poskytovatele nejpozději do 30 dnů od uzavření Smlouvy potvrdila písemně Objednateli, že všechny osoby podílející se na poskytování plnění této Smlouvy za stranu Poskytovatele a/nebo jeho podposkytovatelé byli prokazatelně seznámeni s těmito Bezpečnostními opatřeními;
1.1.1.4 1.1.4 pokud při plnění předmětu smlouvy Poskytovatel zpracovává osobní údaje pro Objednatele, zavazuje se Poskytovatel uzavřít s Objednatelem smlouvu o zpracování osobních údajů v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) a zákonem č. 110/2019 o zpracování osobních údajů;
1.1.1.5 1.1.5 předmět plnění nesmí být nevyhovující z hlediska informační bezpečnosti, přičemž za nevyhovující je považováno jakékoli plnění, které obsahuje technologie/klíčové prvky, vůči jejichž výrobcům příslušný správní orgán vydal opatření v souladu se ZoKB, a které dle analýzy rizik představují vysoké riziko;
1.1.1.6 1.1.6 dodržovat příslušná ustanovení bezpečnostních politik, metodik a postupů Objednatele, resp. platné řídící dokumentace Objednatele či její části, pokud byl Poskytovatel s takovými dokumenty nebo jejich částmi seznámen, a to bez ohledu na způsob, jakým byl s takovou dokumentací Objednatele seznámen (např. školením, protokolárním předáním příslušné dokumentace Zhotoviteli, elektronickým předáním prostřednictvím e-mailu, zřízením přístupu Zhotoviteli na sdílené úložiště aj.);
1.1.1.7 provádět analýzu a hodnocení rizik informační infrastruktury, která je součástí předmětu Smlouvy (dodávaného řešení) a na základě výsledků navrhovat a předkládat Objednateli ke schválení opatření na minimalizaci nebo odstranění zjištěných rizik. Opatření musí být navrhována a konsolidována s přihlédnutím k výsledkům posuzování rizik;
1.1.1.8 zaznamenávat podstatné okolnosti související s poskytovaným předmětem plnění dle Smlouvy (technické záznamy, organizační záznamy o školení, pověření apod.) a informovat o nich Objednatele;
1.1.1.9 zavést opatření pro ochranu zálohy dat vztahujících se k plnění Smlouvy a pravidelně testovat funkčnost těchto záloh;
1.1.1.10 v případě potřeby Objednatele musí Poskytovatel garantovat schopnost zrekonstruovat funkcionalitu aktiva do stavu požadovaného dle Smlouvy;
1.1.1.11 průběžně detekovat technické zranitelnosti a konfigurační nesoulady předmětu plnění Smlouvy a o zjištěných skutečnostech bez zbytečného odkladu informovat Objednatele. Detekované technické zranitelnosti musí být vyhodnoceny s ohledem na související riziko a musí podle povahy předmětu plnění dojít k nápravným opatřením ze strany Poskytovatele. Nápravná opatření musí být schválena Objednatelem;
1.1.1.12 1.1.7 realizovat bezpečnostní opatření pro ochranu dat souvisejících s plněním předmětu Smlouvy;
1.1.1.13 splnit všechny relevantní požadavky na bezpečnost v procesech vývoje a podpory minimálně v rozsahu požadavků dle ISO/IEC 27001 A. 14;
1.1.1.14 uchovávat data o provozu (provozní a lokalizační údaje) v souladu s planými právními předpisy a dodržovat požadavky vyplývající z Vyhlášky na obsah provozních událostí;
1.1.1.15 1.1.8 zabezpečit veškerý přenos dat a informací z pohledu bezpečnostních požadavků na jejich důvěrnost, integritu a dostupnost během poskytování plnění pro Objednatele;
1.1.1.16 poskytovat Objednateli v termínech stanovených Objednatelem, resp. bez zbytečného odkladu požadovanou součinnost na provedení bezpečnostního testování v průběhu vývoje SW či po jeho předání;
1.1.1.17 dodat systémové a provozní bezpečnostní dokumentace nejpozději do doby předání a převzetí SW způsobem uvedeným ve smlouvě, a to minimálně v rozsahu stanoveném Objednatelem;
1.1.1.18 1.1.9 že plnění bude obsahovat jen ty součásti, které jsou objektivně potřebné pro řádné provozování SW a/nebo které jsou specifikovány výslovně ve smlouvě, zejména, že SW ani HW nebude obsahovat žádné nepotřebné komponenty apod.;
1.1.1.19 1.1.10 pokud součástí plnění je i instalace operačního systému případně SW třetích stran, v průběhu jeho instalace budou použity nejnovější aktualizované verze těchto produktů;
1.1.1.20 1.1.11 veškeré důvěrné informace1 poskytnuté Objednatelem při poskytování plnění nebudou uchovávány v nešifrovaném tvaru a budou chráněny vůči neautorizovanému přístupu, pokud nebude mezi smluvními stranami v konkrétním případě dohodnuto jinak;
1 Za důvěrné informace se ve smyslu této přílohy považují zejména identifikační údaje certifikátu, hesla, přístupová oprávnění, konfigurační soubory, systémové programy, kritické knihovny, obnovovací procedury apod.
1.1.1.21 pokud v rámci poskytovaného plnění bude instalovat SW nebo jejich upgrade bude postupovat podle hardeningových bezpečnostních politik a v souladu s bezpečnostními standardy Objednatele, pokud byl s takovými dokumenty nebo jejich částmi seznámen;
1.1.1.22 v produkčním prostředí systému ISZS bude obsažen jen kompilovaný, respektive spustitelný kód a další nezbytná data pro provozování systému ISZS;
1.1.1.23 před spuštěním SW v produkčním prostředí daného systému ISZS provede kontrolu souladu daného SW s bezpečnostními požadavky hardeningových bezpečnostních politik a v případě zjištění nesouladu zajistí bez zbytečného odkladu soulad dodávaného SW s bezpečnostními požadavky hardeningových politik, pokud byl s takovými dokumenty nebo jejich částmi seznámen.
1.1.1.24 bude instalovat nový SW nebo nové verze SW pouze na základě Objednatelem předem schválených migračních postupů2;
1.1.1.25 ověří integritu zdrojového kódu a předá zdrojový kód Objednateli bezpečnou formou zajištující integritu zdrojového kódu, přičemž bude průběžně evidovat a bezpečné ukládat zdrojové kódy provozovaných aplikací, a to i v případě, že budou zdrojové kódy předávány Objednateli, přičemž při vývoji SW se Poskytovatel zavazuje, že
a. zdrojový kód programů vyvíjených Poskytovatelem bude předmětem procesu řízení verzí;
b. zdrojový kód programů je zálohován a uložen mimo produkční prostředí a současně je stanoven postup, jak sestavit systém ze zdrojového kódu;
c. provádění konfiguračních změn je v souladu s procesem změnového řízení Objednatele;
d. konfigurační soubory jsou pravidelně průběžně zálohovány;
e. eviduje každou změnu konfigurace;
Appears in 1 contract
Samples: Purchase Agreement
Obecné požadavky. 1.1 Poskytovatel 2.1 Zhotovitel bere na vědomí, že
2.1.1 informační systém Objednatele je certifikován v souladu s normou ČSN ISO/IEC 27001:2013.
2.1.2 část informačního systému Objednatele je součástí informačního systému základní služby v souladu se Zákonem č. 181/2014 Sb. Zákon o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění pozdějších předpisů.
2.2 Zhotovitel se při poskytování plnění pro Objednatele objednatele zavazuje plnit následující povinnosti:
1.1.1.1 postupovat v souladu 2.2.1 pokud zhotovitel využívá při poskytování plnění poddodavatele, zhotovitel se zavazuje zajistit dodržování Bezpečnostních požadavků rovněž ve smluvních vztazích se svými poddodavateli, přičemž tuto skutečnost se zhotovitel zavazuje doložit objednateli na vyžádání předložením příslušného smluvního vztahu uzavřeného s platnými právními předpisytímto poddodavatelem, zejména pak v souladu s požadavky vyplývajícími pro Objednatele, jakožto správce a provozovatele informačního sytému základní služby, ze ZoKB a Vyhlášky a reflektovat případné novely uvedených právních předpisů či novou právní úpravupřípadně předložením čestného prohlášení o řádném naplňování této povinnosti;
1.1.1.2 2.2.2 nestanoví-li dohoda stran jinak, Poskytovatel zhotovitel jmenuje nejpozději do 3 dnů po uzavření Smlouvy zodpovědnou kontaktní osobu pro potřeby zajištění plnění Bezpečnostních opatření vyplývajících ze Smlouvy požadavků a související komunikace mezi Smluvními smluvními stranami (dále také jen „Kontaktní osoba“). Kontaktní osobu sdělí Poskytovatel Objednateli písemně v téže lhůtě. Případnou změnu Kontaktní osoby na straně Poskytovatele je Poskytovatel povinen Objednateli nahlásit do 5 dnů od provedení změny;.
1.1.1.3 zajistit, aby Kontaktní osoba Poskytovatele nejpozději do 30 dnů od uzavření Smlouvy potvrdila písemně Objednateli, že všechny osoby podílející se na poskytování plnění této Smlouvy za stranu Poskytovatele a/nebo jeho podposkytovatelé byli prokazatelně seznámeni s těmito Bezpečnostními opatřeními;
1.1.1.4 pokud 2.2.3 Pokud při plnění předmětu smlouvy Poskytovatel zpracovává osobní údaje pro Objednatele, zavazuje se Poskytovatel uzavřít s Objednatelem smlouvu o zpracování osobních údajů v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) a zákonem č. 110/2019 o Smlouvy dochází ke zpracování osobních údajů, zhotovitel se zavazuje zajistit uzavření samostatné přílohy ve smyslu příslušných ustanovení nařízení GDPR;
1.1.1.5 předmět plnění nesmí být nevyhovující z hlediska informační bezpečnosti, přičemž za nevyhovující je považováno jakékoli plnění, které obsahuje technologie/klíčové prvky, vůči jejichž výrobcům příslušný správní orgán vydal opatření v souladu se ZoKB, a které dle analýzy rizik představují vysoké riziko;
1.1.1.6 2.2.4 dodržovat příslušná ustanovení bezpečnostních politik, metodik a postupů Objednatelespolečnosti objednatele resp., resp. platné řídící dokumentace Objednatele objednatele či její části, pokud byl Poskytovatel s takovými dokumenty nebo jejich částmi seznámen, a to bez ohledu na způsob, jakým byl s takovou dokumentací Objednatele seznámen (např. školením, protokolárním předáním příslušné dokumentace Zhotoviteli, elektronickým předáním prostřednictvím e-mailu, zřízením přístupu Zhotoviteli na sdílené úložiště aj.);
1.1.1.7 provádět analýzu a hodnocení rizik informační infrastruktury, která je součástí předmětu Smlouvy (dodávaného řešení) a na základě výsledků navrhovat a předkládat Objednateli ke schválení opatření na minimalizaci nebo odstranění zjištěných rizik. Opatření musí být navrhována a konsolidována s přihlédnutím k výsledkům posuzování rizik;
1.1.1.8 zaznamenávat podstatné okolnosti související s poskytovaným předmětem plnění dle Smlouvy (technické záznamy, organizační záznamy o školení, pověření apod.) a informovat o nich Objednatele;
1.1.1.9 zavést opatření pro ochranu zálohy dat vztahujících se k plnění Smlouvy a pravidelně testovat funkčnost těchto záloh;
1.1.1.10 v případě potřeby Objednatele musí Poskytovatel garantovat schopnost zrekonstruovat funkcionalitu aktiva do stavu požadovaného dle Smlouvy;
1.1.1.11 průběžně detekovat technické zranitelnosti a konfigurační nesoulady předmětu plnění Smlouvy a o zjištěných skutečnostech bez zbytečného odkladu informovat Objednatele. Detekované technické zranitelnosti musí být vyhodnoceny s ohledem na související riziko a musí podle povahy předmětu plnění dojít k nápravným opatřením ze strany Poskytovatele. Nápravná opatření musí být schválena Objednatelem;
1.1.1.12 realizovat bezpečnostní opatření pro ochranu dat souvisejících s plněním předmětu Smlouvy;
1.1.1.13 splnit všechny relevantní požadavky na bezpečnost v procesech vývoje a podpory minimálně v rozsahu požadavků dle ISO/IEC 27001 A. 14;
1.1.1.14 uchovávat data o provozu (provozní a lokalizační údaje) v souladu s planými právními předpisy a dodržovat požadavky vyplývající z Vyhlášky na obsah provozních událostí;
1.1.1.15 zabezpečit veškerý přenos dat a informací z pohledu bezpečnostních požadavků na jejich důvěrnost, integritu a dostupnost během poskytování plnění pro Objednatele;
1.1.1.16 poskytovat Objednateli v termínech stanovených Objednatelem, resp. bez zbytečného odkladu požadovanou součinnost na provedení bezpečnostního testování v průběhu vývoje SW či po jeho předání;
1.1.1.17 dodat systémové a provozní bezpečnostní dokumentace nejpozději do doby předání a převzetí SW způsobem uvedeným ve smlouvě, a to minimálně v rozsahu stanoveném Objednatelem;
1.1.1.18 že plnění bude obsahovat jen ty součásti, které jsou objektivně potřebné pro řádné provozování SW a/nebo které jsou specifikovány výslovně ve smlouvě, zejména, že SW nebude obsahovat žádné nepotřebné komponenty apod.;
1.1.1.19 pokud součástí plnění je i instalace operačního systému případně SW třetích stran, v průběhu jeho instalace budou použity nejnovější aktualizované verze těchto produktů;
1.1.1.20 veškeré důvěrné informace1 poskytnuté Objednatelem při poskytování plnění nebudou uchovávány v nešifrovaném tvaru a budou chráněny vůči neautorizovanému přístupu, pokud nebude mezi smluvními stranami v konkrétním případě dohodnuto jinak;
1 Za důvěrné informace se ve smyslu této přílohy považují zejména identifikační údaje certifikátu, hesla, přístupová oprávnění, konfigurační soubory, systémové programy, kritické knihovny, obnovovací procedury apod.
1.1.1.21 pokud v rámci poskytovaného plnění bude instalovat SW nebo jejich upgrade bude postupovat podle hardeningových bezpečnostních politik a v souladu s bezpečnostními standardy Objednatele, pokud byl s takovými dokumenty nebo jejich částmi seznámen;
1.1.1.22 v produkčním prostředí systému ISZS bude obsažen jen kompilovaný, respektive spustitelný kód a další nezbytná data pro provozování systému ISZS;
1.1.1.23 před spuštěním SW v produkčním prostředí daného systému ISZS provede kontrolu souladu daného SW s bezpečnostními požadavky hardeningových bezpečnostních politik a v případě zjištění nesouladu zajistí bez zbytečného odkladu soulad dodávaného SW s bezpečnostními požadavky hardeningových politik, pokud byl s takovými dokumenty nebo jejich částmi seznámen.
1.1.1.24 bude instalovat nový SW nebo nové verze SW pouze na základě Objednatelem předem schválených migračních postupů2;
1.1.1.25 ověří integritu zdrojového kódu a předá zdrojový kód Objednateli bezpečnou formou zajištující integritu zdrojového kódu, přičemž bude průběžně evidovat a bezpečné ukládat zdrojové kódy provozovaných aplikací, a to i v případě, že budou zdrojové kódy předávány Objednateli, přičemž při vývoji SW se Poskytovatel zavazuje, že
a. zdrojový kód programů vyvíjených Poskytovatelem bude předmětem procesu řízení verzí;
b. zdrojový kód programů je zálohován a uložen mimo produkční prostředí a současně je stanoven postup, jak sestavit systém ze zdrojového kódu;
c. provádění konfiguračních změn je v souladu s procesem změnového řízení Objednatele;
d. konfigurační soubory jsou pravidelně průběžně zálohovány;
e. eviduje každou změnu konfigurace;
Appears in 1 contract
Samples: Smlouva O Dílo
Obecné požadavky. 1.1 Poskytovatel 14.1 Dodavatel se při poskytování plnění pro Objednatele zavazuje plnit následující povinnosti:
1.1.1.1 14.1.1.1 postupovat v souladu s platnými právními předpisy, zejména pak v souladu s požadavky vyplývajícími pro Objednatele, jakožto správce a provozovatele informačního sytému základní služby, ze ZoKB Zákona a Vyhlášky a reflektovat případné novely uvedených právních předpisů či novou právní úpravu;.
1.1.1.2 14.1.1.2 nestanoví-li dohoda stran jinak, Poskytovatel Dodavatel jmenuje nejpozději do 3 dnů po uzavření Smlouvy zodpovědnou kontaktní osobu pro potřeby zajištění plnění Bezpečnostních opatření vyplývajících ze Smlouvy a související komunikace mezi Smluvními stranami (dále také jen „Kontaktní osoba“). Kontaktní osobu sdělí Poskytovatel Objednateli písemně v téže lhůtě. Případnou změnu Kontaktní osoby na straně Poskytovatele je Poskytovatel povinen Objednateli nahlásit do 5 dnů od provedení změny;jen
1.1.1.3 14.1.1.3 zajistit, aby Kontaktní osoba Poskytovatele Dodavatele nejpozději do 30 dnů od uzavření Smlouvy potvrdila písemně Objednateli, že všechny osoby podílející se na poskytování plnění této Smlouvy za stranu Poskytovatele Dodavatele a/nebo jeho podposkytovatelé poddodavatelé byli prokazatelně seznámeni s těmito Bezpečnostními opatřeními;
1.1.1.4 14.1.1.4 pokud při plnění předmětu smlouvy Poskytovatel Dodavatel zpracovává osobní údaje pro Objednatele, zavazuje se Poskytovatel Dodavatel uzavřít s Objednatelem smlouvu o zpracování osobních údajů v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) a zákonem č. 110/2019 o zpracování osobních údajů;
1.1.1.5 14.1.1.5 předmět plnění nesmí být nevyhovující z hlediska informační bezpečnosti, přičemž za nevyhovující je považováno jakékoli plnění, které obsahuje technologie/klíčové prvky, vůči jejichž výrobcům příslušný správní orgán vydal opatření v souladu se ZoKBZákonem, a které dle analýzy rizik představují vysoké riziko;
1.1.1.6 14.1.1.6 dodržovat příslušná ustanovení bezpečnostních politik, metodik a postupů Objednatele, Objednatele resp. platné řídící dokumentace Objednatele či její části, pokud byl Poskytovatel Xxxxxxxxx s takovými dokumenty nebo jejich částmi seznámen, a to bez ohledu na způsob, jakým byl s takovou dokumentací Objednatele seznámen (např. školením, protokolárním předáním příslušné dokumentace Zhotoviteli, elektronickým předáním prostřednictvím e-mailu, zřízením přístupu Zhotoviteli na sdílené úložiště aj.);
1.1.1.7 14.1.1.7 provádět analýzu a hodnocení rizik informační infrastruktury, která je součástí předmětu Smlouvy (dodávaného řešení) a na základě výsledků navrhovat a předkládat Objednateli ke schválení opatření na minimalizaci nebo odstranění zjištěných rizik. Opatření musí být navrhována a konsolidována s přihlédnutím k výsledkům posuzování rizik;
1.1.1.8 14.1.1.8 zaznamenávat podstatné okolnosti související s poskytovaným předmětem plnění dle Smlouvy (technické záznamy, organizační záznamy o školení, pověření apod.) a informovat o nich Objednatele;
1.1.1.9 14.1.1.9 zavést opatření pro ochranu zálohy dat vztahujících se k plnění Smlouvy a pravidelně testovat funkčnost těchto záloh;
1.1.1.10 ; 14.1.1.10 v případě potřeby Objednatele musí Poskytovatel Dodavatel garantovat schopnost zrekonstruovat funkcionalitu aktiva do stavu požadovaného dle Smlouvy;
1.1.1.11 ; 14.1.1.11 průběžně detekovat technické zranitelnosti a konfigurační nesoulady předmětu plnění Smlouvy a o zjištěných skutečnostech bez zbytečného odkladu informovat Objednatele. Detekované technické zranitelnosti musí být vyhodnoceny s ohledem na související riziko a musí podle povahy předmětu plnění dojít k nápravným opatřením ze strany PoskytovateleDodavatele. Nápravná opatření musí být schválena Objednatelem;
1.1.1.12 realizovat bezpečnostní opatření pro ochranu dat souvisejících s plněním předmětu Smlouvy;
1.1.1.13 splnit všechny relevantní požadavky na bezpečnost v procesech vývoje a podpory minimálně v rozsahu požadavků dle ISO/IEC 27001 A. 14;
1.1.1.14 uchovávat data o provozu (provozní a lokalizační údaje) v souladu s planými právními předpisy a dodržovat požadavky vyplývající z Vyhlášky na obsah provozních událostí;
1.1.1.15 zabezpečit veškerý přenos dat a informací z pohledu bezpečnostních požadavků na jejich důvěrnost, integritu a dostupnost během poskytování plnění pro Objednatele;
1.1.1.16 poskytovat Objednateli v termínech stanovených Objednatelem, resp. bez zbytečného odkladu požadovanou součinnost na provedení bezpečnostního testování v průběhu vývoje SW či po jeho předání;
1.1.1.17 dodat systémové a provozní bezpečnostní dokumentace nejpozději do doby předání a převzetí SW způsobem uvedeným ve smlouvě, a to minimálně v rozsahu stanoveném Objednatelem;
1.1.1.18 že plnění bude obsahovat jen ty součásti, které jsou objektivně potřebné pro řádné provozování SW a/nebo které jsou specifikovány výslovně ve smlouvě, zejména, že SW nebude obsahovat žádné nepotřebné komponenty apod.;
1.1.1.19 pokud součástí plnění je i instalace operačního systému případně SW třetích stran, v průběhu jeho instalace budou použity nejnovější aktualizované verze těchto produktů;
1.1.1.20 veškeré důvěrné informace1 poskytnuté Objednatelem při poskytování plnění nebudou uchovávány v nešifrovaném tvaru a budou chráněny vůči neautorizovanému přístupu, pokud nebude mezi smluvními stranami v konkrétním případě dohodnuto jinak;
1 Za důvěrné informace se ve smyslu této přílohy považují zejména identifikační údaje certifikátu, hesla, přístupová oprávnění, konfigurační soubory, systémové programy, kritické knihovny, obnovovací procedury apod.
1.1.1.21 pokud v rámci poskytovaného plnění bude instalovat SW nebo jejich upgrade bude postupovat podle hardeningových bezpečnostních politik a v souladu s bezpečnostními standardy Objednatele, pokud byl s takovými dokumenty nebo jejich částmi seznámen;
1.1.1.22 v produkčním prostředí systému ISZS bude obsažen jen kompilovaný, respektive spustitelný kód a další nezbytná data pro provozování systému ISZS;
1.1.1.23 před spuštěním SW v produkčním prostředí daného systému ISZS provede kontrolu souladu daného SW s bezpečnostními požadavky hardeningových bezpečnostních politik a v případě zjištění nesouladu zajistí bez zbytečného odkladu soulad dodávaného SW s bezpečnostními požadavky hardeningových politik, pokud byl s takovými dokumenty nebo jejich částmi seznámen.
1.1.1.24 bude instalovat nový SW nebo nové verze SW pouze na základě Objednatelem předem schválených migračních postupů2;
1.1.1.25 ověří integritu zdrojového kódu a předá zdrojový kód Objednateli bezpečnou formou zajištující integritu zdrojového kódu, přičemž bude průběžně evidovat a bezpečné ukládat zdrojové kódy provozovaných aplikací, a to i v případě, že budou zdrojové kódy předávány Objednateli, přičemž při vývoji SW se Poskytovatel zavazuje, že
a. zdrojový kód programů vyvíjených Poskytovatelem bude předmětem procesu řízení verzí;
b. zdrojový kód programů je zálohován a uložen mimo produkční prostředí a současně je stanoven postup, jak sestavit systém ze zdrojového kódu;
c. provádění konfiguračních změn je v souladu s procesem změnového řízení Objednatele;
d. konfigurační soubory jsou pravidelně průběžně zálohovány;
e. eviduje každou změnu konfigurace;
Appears in 1 contract
Samples: Service Agreement
Obecné požadavky. 1.1 Poskytovatel se při poskytování plnění pro Objednatele zavazuje plnit následující povinnosti:
1.1.1.1 postupovat v souladu s platnými právními předpisy, zejména pak v souladu s požadavky vyplývajícími pro Objednatele, jakožto správce a provozovatele informačního sytému základní služby, ze ZoKB a Vyhlášky a reflektovat případné novely uvedených právních předpisů či novou právní úpravu;
1.1.1.2 nestanoví-li dohoda stran jinak, Poskytovatel jmenuje nejpozději do 3 dnů po uzavření Smlouvy zodpovědnou kontaktní osobu pro potřeby zajištění plnění Bezpečnostních opatření vyplývajících ze Smlouvy a související komunikace mezi Smluvními stranami (dále také jen „Kontaktní osoba“). Kontaktní osobu sdělí Poskytovatel Objednateli písemně v téže lhůtě. Případnou změnu Kontaktní osoby na straně Poskytovatele je Poskytovatel povinen Objednateli nahlásit do 5 dnů od provedení změny;
1.1.1.3 zajistit, aby Kontaktní osoba Poskytovatele nejpozději do 30 dnů od uzavření Smlouvy potvrdila písemně Objednateli, že všechny osoby podílející se na poskytování plnění této Smlouvy za stranu Poskytovatele a/nebo jeho podposkytovatelé byli prokazatelně seznámeni s těmito Bezpečnostními opatřeními;
1.1.1.4 pokud při plnění předmětu smlouvy Poskytovatel zpracovává osobní údaje pro Objednatele, zavazuje se Poskytovatel uzavřít s Objednatelem smlouvu o zpracování osobních údajů v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) a zákonem č. 110/2019 o zpracování osobních údajů;
1.1.1.5 předmět plnění nesmí být nevyhovující z hlediska informační bezpečnosti, přičemž za nevyhovující je považováno jakékoli plnění, které obsahuje technologie/klíčové prvky, vůči jejichž výrobcům příslušný správní orgán vydal opatření v souladu se ZoKB, a které dle analýzy rizik představují vysoké riziko;
1.1.1.6 dodržovat příslušná ustanovení bezpečnostních politik, metodik a postupů Objednatele, resp. platné řídící dokumentace Objednatele či její části, pokud byl Poskytovatel s takovými dokumenty nebo jejich částmi seznámen, a to bez ohledu na způsob, jakým byl s takovou dokumentací Objednatele seznámen (např. školením, protokolárním předáním příslušné dokumentace Zhotoviteli, elektronickým předáním prostřednictvím e-mailu, zřízením přístupu Zhotoviteli na sdílené úložiště aj.);
1.1.1.7 provádět analýzu a hodnocení rizik informační infrastruktury, která je součástí předmětu Smlouvy (dodávaného řešení) a na základě výsledků navrhovat a předkládat Objednateli ke schválení opatření na minimalizaci nebo odstranění zjištěných rizik. Opatření musí být navrhována a konsolidována s přihlédnutím k výsledkům posuzování rizik;
1.1.1.8 zaznamenávat podstatné okolnosti související s poskytovaným předmětem plnění dle Smlouvy (technické záznamy, organizační záznamy o školení, pověření apod.) a informovat o nich Objednatele;
1.1.1.9 zavést opatření pro ochranu zálohy dat vztahujících se k plnění Smlouvy a pravidelně testovat funkčnost těchto záloh;
1.1.1.10 v případě potřeby Objednatele musí Poskytovatel garantovat schopnost zrekonstruovat funkcionalitu aktiva do stavu požadovaného dle Smlouvy;
1.1.1.11 průběžně detekovat technické zranitelnosti a konfigurační nesoulady předmětu plnění Smlouvy a o zjištěných skutečnostech bez zbytečného odkladu informovat Objednatele. Detekované technické zranitelnosti musí být vyhodnoceny s ohledem na související riziko a musí podle povahy předmětu plnění dojít k nápravným opatřením ze strany Poskytovatele. Nápravná opatření musí být schválena Objednatelem;
1.1.1.12 realizovat bezpečnostní opatření pro ochranu dat souvisejících s plněním předmětu Smlouvy;
1.1.1.13 splnit všechny relevantní požadavky na bezpečnost v procesech vývoje a podpory minimálně v rozsahu požadavků dle ISO/IEC 27001 A. 14;
1.1.1.14 uchovávat data o provozu (provozní a lokalizační údaje) v souladu s planými právními předpisy a dodržovat požadavky vyplývající z Vyhlášky na obsah provozních událostí;
1.1.1.15 zabezpečit veškerý přenos dat a informací z pohledu bezpečnostních požadavků na jejich důvěrnost, integritu a dostupnost během poskytování plnění pro Objednatele;
1.1.1.16 poskytovat Objednateli v termínech stanovených Objednatelem, resp. bez zbytečného odkladu požadovanou součinnost na provedení bezpečnostního testování v průběhu vývoje SW či po jeho předání;
1.1.1.17 dodat systémové a provozní bezpečnostní dokumentace nejpozději do doby předání a převzetí SW způsobem uvedeným ve smlouvě, a to minimálně v rozsahu stanoveném Objednatelem;
1.1.1.18 že plnění bude obsahovat jen ty součásti, které jsou objektivně potřebné pro řádné provozování SW a/nebo které jsou specifikovány výslovně ve smlouvě, zejména, že SW ani HW nebude obsahovat žádné nepotřebné komponenty apod.;
1.1.1.19 pokud součástí plnění je i instalace operačního systému případně SW třetích stran, v průběhu jeho instalace budou použity nejnovější aktualizované verze těchto produktů;
1.1.1.20 veškeré důvěrné informace1 poskytnuté Objednatelem při poskytování plnění nebudou uchovávány v nešifrovaném tvaru a budou chráněny vůči neautorizovanému přístupu, pokud nebude mezi smluvními stranami v konkrétním případě dohodnuto jinak;
1 Za důvěrné informace se ve smyslu této přílohy považují zejména identifikační údaje certifikátu, hesla, přístupová oprávnění, konfigurační soubory, systémové programy, kritické knihovny, obnovovací procedury apod.
1.1.1.21 pokud v rámci poskytovaného plnění bude instalovat SW nebo jejich upgrade bude postupovat podle hardeningových bezpečnostních politik a v souladu s bezpečnostními standardy Objednatele, pokud byl s takovými dokumenty nebo jejich částmi seznámen;
1 Za důvěrné informace se ve smyslu této přílohy považují zejména identifikační údaje certifikátu, hesla, přístupová oprávnění, konfigurační soubory, systémové programy, kritické knihovny, obnovovací procedury apod.
1.1.1.22 v produkčním prostředí systému ISZS bude obsažen jen kompilovaný, respektive spustitelný kód a další nezbytná data pro provozování systému ISZS;
1.1.1.23 před spuštěním SW v produkčním prostředí daného systému ISZS provede kontrolu souladu daného SW s bezpečnostními požadavky hardeningových bezpečnostních politik a v případě zjištění nesouladu zajistí bez zbytečného odkladu soulad dodávaného SW s bezpečnostními požadavky hardeningových politik, pokud byl s takovými dokumenty nebo jejich částmi seznámen.
1.1.1.24 bude instalovat nový SW nebo nové verze SW pouze na základě Objednatelem předem schválených migračních postupů2;
1.1.1.25 ověří integritu zdrojového kódu a předá zdrojový kód Objednateli bezpečnou formou zajištující integritu zdrojového kódu, přičemž bude průběžně evidovat a bezpečné ukládat zdrojové kódy provozovaných aplikací, a to i v případě, že budou zdrojové kódy předávány Objednateli, přičemž při vývoji SW se Poskytovatel zavazuje, že
a. zdrojový kód programů vyvíjených Poskytovatelem bude předmětem procesu řízení verzí;
b. zdrojový kód programů je zálohován a uložen mimo produkční prostředí a současně je stanoven postup, jak sestavit systém ze zdrojového kódu;
c. provádění konfiguračních změn je v souladu s procesem změnového řízení Objednatele;
d. konfigurační soubory jsou pravidelně průběžně zálohovány;
e. eviduje každou změnu konfigurace;
Appears in 1 contract
Samples: Kupní Smlouva
Obecné požadavky. 1.1 Poskytovatel 2.1 Dodavatel bere na vědomí, že
2.1.1 informační systém Objednatele je certifikován v souladu s normou ČSN ISO/IEC 27001:2013.
2.1.2 část informačního systému Objednatele je součástí informačního systému základní služby v souladu se Zákonem č. 181/2014 Sb. Zákon o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění pozdějších předpisů.
2.2 Dodavatel se při poskytování plnění pro Objednatele objednatele zavazuje plnit následující povinnosti:
1.1.1.1 postupovat v souladu 2.2.1 pokud Dodavatel využívá při poskytování plnění poddodavatele, Dodavatel se zavazuje zajistit dodržování Bezpečnostních požadavků rovněž ve smluvních vztazích se svými poddodavateli, přičemž tuto skutečnost se Dodavatel zavazuje doložit objednateli na vyžádání předložením příslušného smluvního vztahu uzavřeného s platnými právními předpisytímto poddodavatelem, zejména pak v souladu s požadavky vyplývajícími pro Objednatele, jakožto správce a provozovatele informačního sytému základní služby, ze ZoKB a Vyhlášky a reflektovat případné novely uvedených právních předpisů či novou právní úpravupřípadně předložením čestného prohlášení o řádném naplňování této povinnosti;
1.1.1.2 2.2.2 nestanoví-li dohoda stran jinak, Poskytovatel Dodavatel jmenuje nejpozději do 3 dnů po uzavření Smlouvy zodpovědnou kontaktní osobu pro potřeby zajištění plnění Bezpečnostních opatření vyplývajících ze Smlouvy požadavků a související komunikace mezi Smluvními smluvními stranami (dále také jen „Kontaktní osoba“). Kontaktní osobu sdělí Poskytovatel Objednateli písemně v téže lhůtě. Případnou změnu Kontaktní osoby na straně Poskytovatele je Poskytovatel povinen Objednateli nahlásit do 5 dnů od provedení změny;.
1.1.1.3 zajistit, aby Kontaktní osoba Poskytovatele nejpozději do 30 dnů od uzavření Smlouvy potvrdila písemně Objednateli, že všechny osoby podílející se na poskytování plnění této Smlouvy za stranu Poskytovatele a/nebo jeho podposkytovatelé byli prokazatelně seznámeni s těmito Bezpečnostními opatřeními;
1.1.1.4 pokud 2.2.3 Pokud při plnění předmětu smlouvy Poskytovatel zpracovává osobní údaje pro Objednatele, zavazuje se Poskytovatel uzavřít s Objednatelem smlouvu o zpracování osobních údajů v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) a zákonem č. 110/2019 o Smlouvy dochází ke zpracování osobních údajů, Dodavatel se zavazuje zajistit uzavření samostatné přílohy ve smyslu příslušných ustanovení nařízení GDPR;
1.1.1.5 předmět plnění nesmí být nevyhovující z hlediska informační bezpečnosti, přičemž za nevyhovující je považováno jakékoli plnění, které obsahuje technologie/klíčové prvky, vůči jejichž výrobcům příslušný správní orgán vydal opatření v souladu se ZoKB, a které dle analýzy rizik představují vysoké riziko;
1.1.1.6 2.2.4 dodržovat příslušná ustanovení bezpečnostních politik, metodik a postupů Objednatelespolečnosti objednatele resp., resp. platné řídící dokumentace Objednatele objednatele či její části, pokud byl Poskytovatel s takovými dokumenty nebo jejich částmi seznámen, a to bez ohledu na způsob, jakým byl s takovou dokumentací Objednatele seznámen (např. školením, protokolárním předáním příslušné dokumentace Zhotoviteli, elektronickým předáním prostřednictvím e-mailu, zřízením přístupu Zhotoviteli na sdílené úložiště aj.);
1.1.1.7 provádět analýzu a hodnocení rizik informační infrastruktury, která je součástí předmětu Smlouvy (dodávaného řešení) a na základě výsledků navrhovat a předkládat Objednateli ke schválení opatření na minimalizaci nebo odstranění zjištěných rizik. Opatření musí být navrhována a konsolidována s přihlédnutím k výsledkům posuzování rizik;
1.1.1.8 zaznamenávat podstatné okolnosti související s poskytovaným předmětem plnění dle Smlouvy (technické záznamy, organizační záznamy o školení, pověření apod.) a informovat o nich Objednatele;
1.1.1.9 zavést opatření pro ochranu zálohy dat vztahujících se k plnění Smlouvy a pravidelně testovat funkčnost těchto záloh;
1.1.1.10 v případě potřeby Objednatele musí Poskytovatel garantovat schopnost zrekonstruovat funkcionalitu aktiva do stavu požadovaného dle Smlouvy;
1.1.1.11 průběžně detekovat technické zranitelnosti a konfigurační nesoulady předmětu plnění Smlouvy a o zjištěných skutečnostech bez zbytečného odkladu informovat Objednatele. Detekované technické zranitelnosti musí být vyhodnoceny s ohledem na související riziko a musí podle povahy předmětu plnění dojít k nápravným opatřením ze strany Poskytovatele. Nápravná opatření musí být schválena Objednatelem;
1.1.1.12 realizovat bezpečnostní opatření pro ochranu dat souvisejících s plněním předmětu Smlouvy;
1.1.1.13 splnit všechny relevantní požadavky na bezpečnost v procesech vývoje a podpory minimálně v rozsahu požadavků dle ISO/IEC 27001 A. 14;
1.1.1.14 uchovávat data o provozu (provozní a lokalizační údaje) v souladu s planými právními předpisy a dodržovat požadavky vyplývající z Vyhlášky na obsah provozních událostí;
1.1.1.15 zabezpečit veškerý přenos dat a informací z pohledu bezpečnostních požadavků na jejich důvěrnost, integritu a dostupnost během poskytování plnění pro Objednatele;
1.1.1.16 poskytovat Objednateli v termínech stanovených Objednatelem, resp. bez zbytečného odkladu požadovanou součinnost na provedení bezpečnostního testování v průběhu vývoje SW či po jeho předání;
1.1.1.17 dodat systémové a provozní bezpečnostní dokumentace nejpozději do doby předání a převzetí SW způsobem uvedeným ve smlouvě, a to minimálně v rozsahu stanoveném Objednatelem;
1.1.1.18 že plnění bude obsahovat jen ty součásti, které jsou objektivně potřebné pro řádné provozování SW a/nebo které jsou specifikovány výslovně ve smlouvě, zejména, že SW nebude obsahovat žádné nepotřebné komponenty apod.;
1.1.1.19 pokud součástí plnění je i instalace operačního systému případně SW třetích stran, v průběhu jeho instalace budou použity nejnovější aktualizované verze těchto produktů;
1.1.1.20 veškeré důvěrné informace1 poskytnuté Objednatelem při poskytování plnění nebudou uchovávány v nešifrovaném tvaru a budou chráněny vůči neautorizovanému přístupu, pokud nebude mezi smluvními stranami v konkrétním případě dohodnuto jinak;
1 Za důvěrné informace se ve smyslu této přílohy považují zejména identifikační údaje certifikátu, hesla, přístupová oprávnění, konfigurační soubory, systémové programy, kritické knihovny, obnovovací procedury apod.
1.1.1.21 pokud v rámci poskytovaného plnění bude instalovat SW nebo jejich upgrade bude postupovat podle hardeningových bezpečnostních politik a v souladu s bezpečnostními standardy Objednatele, pokud byl s takovými dokumenty nebo jejich částmi seznámen;
1.1.1.22 v produkčním prostředí systému ISZS bude obsažen jen kompilovaný, respektive spustitelný kód a další nezbytná data pro provozování systému ISZS;
1.1.1.23 před spuštěním SW v produkčním prostředí daného systému ISZS provede kontrolu souladu daného SW s bezpečnostními požadavky hardeningových bezpečnostních politik a v případě zjištění nesouladu zajistí bez zbytečného odkladu soulad dodávaného SW s bezpečnostními požadavky hardeningových politik, pokud byl s takovými dokumenty nebo jejich částmi seznámen.
1.1.1.24 bude instalovat nový SW nebo nové verze SW pouze na základě Objednatelem předem schválených migračních postupů2;
1.1.1.25 ověří integritu zdrojového kódu a předá zdrojový kód Objednateli bezpečnou formou zajištující integritu zdrojového kódu, přičemž bude průběžně evidovat a bezpečné ukládat zdrojové kódy provozovaných aplikací, a to i v případě, že budou zdrojové kódy předávány Objednateli, přičemž při vývoji SW se Poskytovatel zavazuje, že
a. zdrojový kód programů vyvíjených Poskytovatelem bude předmětem procesu řízení verzí;
b. zdrojový kód programů je zálohován a uložen mimo produkční prostředí a současně je stanoven postup, jak sestavit systém ze zdrojového kódu;
c. provádění konfiguračních změn je v souladu s procesem změnového řízení Objednatele;
d. konfigurační soubory jsou pravidelně průběžně zálohovány;
e. eviduje každou změnu konfigurace;
Appears in 1 contract
Samples: Smlouva O Poskytování Služeb