Příloha ke smlouvě č. 4 Požadavky na zajištění kybernetické bezpečnosti (KB požadavky)

Příloha č.4 vzoru smlouvy o poskytování služeb

Příloha ke smlouvě č. 4

Požadavky na zajištění kybernetické bezpečnosti

(KB požadavky)

Poskytovatelem zajišťovaný Akreditační systém, je v souladu s § 3 odst. 1 písm. f) vyhlášky č. 317/2014 Sb., o významných informačních systémech a jejich určujících kritériích, určen objednatelem, jako významný informační systém (dále jen „VIS“) a poskytovatel se tímto stává jeho provozovatelem, a tedy povinnou osobou dle § 3 písm. e) zákona č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (dále jen „ZoKB“).

Za účelem plnění povinností stanovených objednatelem, jakožto povinnou osobou ve smyslu XxXX a jeho prováděcího předpisu, vyhláškou č. 82/2018 Sb. o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (dále jen „VoKB“) je poskytovatel v roli provozovatele VIS povinen nad rámec povinností stanovených smlouvou plnit níže uvedené povinnosti, a to zejména součinnostního a bezpečnostního charakteru dle této přílohy.

Poskytovatel je povinen plnit relevantní povinnosti v rozsahu a způsobem tak, aby byl naplněn účel právní úpravy v oblasti bezpečnostních opatření, kybernetických bezpečnostních incidentů, reaktivních opatření, náležitostí podání v oblasti kybernetické bezpečnosti a likvidaci dat ve vztahu k povinnostem, které tato právní úprava stanovuje objednateli jakožto povinné osobě dle předpisů z oblasti kybernetické bezpečnosti, a to i v případě změny příslušné právní úpravy. V takovém případě je objednatel oprávněn požadovat od poskytovatele přiměřenou součinnost i nad rámec povinností stanovených v této příloze, avšak vždy pouze za účelem zajištění plnění povinnosti poskytovatele z oblasti kybernetické bezpečnosti ve smyslu shora uvedeného.

Článek I.

Systém řízení bezpečnosti informací

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 3 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění na své straně zejména:

1. Prosadit bezpečnostní zásady a procesy, které budou pokrývat zabezpečení informačních aktiv objednatele, které jsou zpracovávány na straně poskytovatele při poskytování předmětu plnění.

2. Na základě bezpečnostních potřeb a výsledků hodnocení rizik zavést příslušná bezpečnostní opatření v rozsahu poskytovaného předmětu plnění, monitorovat je a vyhodnocovat jejich účinnost.

3. Vést záznamy o zpracování informačních aktiv objednatele v rozsahu poskytovaného předmětu plnění, zaznamenávat veškeré podstatné okolnosti související se zajištěním bezpečnosti těchto aktiv a na vyžádání tyto záznamy objednateli zpřístupnit.

4. Stanovit a udržovat aktuální bezpečnostní politiku, která bude pokrývat zabezpečení informačních aktiv objednatele, které jsou zpracovávány na straně poskytovatele při poskytování předmětu plnění. Bezpečnostní politika musí obsahovat hlavní zásady, cíle, bezpečnostní potřeby, práva a povinnosti ve vztahu k řízení bezpečnosti informací.

5. Stanovit a udržovat aktuální bezpečnostní opatření ve formě procesů a technologií, které zajišťují naplnění bezpečnostní politiky.

Článek II.

Řízení aktiv

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 4 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění na své straně zejména stanovit a udržovat rozsah a seznam aktiv využívaných pro plnění smlouvy (aktivy se rozumí např. data a informace k předmětu plnění dle této smlouvy, systémy ICT, SW moduly, HW prvky - infrastruktura, aplikace, databáze, servery, úložiště, koncová zařízení – pracovní stanice typu osobní počítač nebo notebook, mobilní koncová zařízení – přenosná zařízení typu chytrý mobilní telefon, tablet apod.), a tato aktiva strukturovaně popsat a objednateli předložit do 30 dnů od akceptace návrhu celkového řešení Akreditačního systému a následně kdykoli na jeho vyžádání, a to po celou dobu trvání smlouvy.

Článek III.

Řízení rizik

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 5 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění na své straně zejména:

1. Řídit vlastní rizika, která mohou ovlivnit poskytování předmětu plnění.

2. Vytvářet a každých 30 dní provozu Akreditačního systému, počínaje dnem jeho spuštění objednateli předkládat zprávu o řízení kybernetických bezpečnostních rizik, která bude minimálně pokrývat:

1. Vyhodnocení aktuálního stavu kybernetické bezpečnosti s vazbou na předmět plnění.

2. Identifikaci a hodnocení rizik s vazbou na předmět plnění.

3. Realizovaná bezpečnostní opatření.

4. Nepokrytá bezpečnostní rizika a návrh opatření.

5. Vyhodnocení bezpečnostních událostí a incidentů.

6. Aktuální stav souladu poskytovatele s těmito KB požadavky.

Článek IV.

Organizační bezpečnost

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 6 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění na své straně zejména:

1. Jmenovat nejpozději do 30 dnů od uzavření této smlouvy odpovědnou kontaktní osobu (dále jen „Kontaktní osoba“), pro potřeby zajištění plnění KB požadavků a související komunikace mezi smluvními stranami či mezi poskytovatelem a Národním úřadem pro kybernetickou a informační bezpečnost (dále jen „NÚKIB“). Kontaktní osobu sdělí v téže lhůtě poskytovatel písemně objednateli a stejně tak i NÚKIB, a to spolu s ostatními kontaktními údaji dle § 34 VoKB.

2. Využívat pro poskytování předmětu plnění pouze oprávněných osob, které byly řádně seznámeny příslušnými ustanoveními interních řídících aktů objednatele a mají ověřenou kvalifikaci, znalosti a zkušenosti k řádnému poskytování předmětu plnění.

Článek V.

Bezpečnostní role

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 7 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění na své straně zejména:

1. Určit roli manažera kybernetické bezpečnosti.

2. Určit roli garanta aktiva.

Článek VI.

Řízení dodavatelů

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 8 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění na své straně zejména:

1. Využívá-li při poskytování předmětu plnění poddodavatele, zajistit adekvátní dodržování KB požadavků rovněž ve smluvních vztazích se svými poddodavateli.

2. Pokud při poskytování předmětu plnění dochází ke zpracování osobních údajů, zajistit uzavření samostatných smluv (tj. smluv se svými poddodavateli, zaměstnanci a případnými dalšími osobami podílejícími se na poskytování plnění z této smlouvy) ve smyslu příslušných ustanovení Nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů.

Článek VII.

Bezpečnost lidských zdrojů

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 9 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění na své straně zejména:

1. Zajistit, aby Kontaktní osoba nejpozději do 30 dnů od uzavření smlouvy potvrdila písemně objednateli, že všechny osoby podílející se na poskytování předmětu plnění za stranu poskytovatele byly prokazatelně seznámeny s těmito KB požadavky a příslušnými ustanoveními interních řídících aktů objednatele, byly-li takové poskytovateli zpřístupněny.

2. Dodržovat příslušná ustanovení interních řídících aktů objednatele v rozsahu, v jakém byl s těmito akty seznámen. Za prokazatelné seznámení se považuje školení pracovníků poskytovatele zajištěné objednatelem, protokolární či elektronické předání příslušné dokumentace nebo objednatelem zajištěný přístup na sdílené úložiště obsahující příslušné interní akty řízení. Současně s tím se poskytovatel zavazuje k mlčenlivosti o informacích, které se v souvislosti s dokumentací poskytnutou objednatelem dozvěděl.

3. V případě, že je součástí předmětu plnění služba dohledu nad předmětem plnění, definovat a naplnit role a odpovědnosti pro monitoring sítě a zařízení v rozsahu předmětu plnění.

4. Zajistit, aby osoby podílející se na poskytování plnění objednateli v prostředí nebo s prostředky objednatele, a to i tehdy, pokud jsou prostředky objednatele používány mimo jeho prostředí:

1. Pro uložení a sdíleni dat a informací objednatele využívali pouze k tomu schválené prostředky.

2. Neukládali ani nesdíleli data i informace eticky nevhodného obsahu, odporující dobrým mravům nebo poškozující jméno objednatele.

3. Nestahovali, nesdíleli, neukládali, nearchivovali ani neinstalovali datové a spustitelné soubory v rozporu s licenčními podmínkami nebo autorským zákonem.

4. Nenavštěvovali internetové stránky s eticky nevhodným obsahem.

5. Nerealizovali pokusy o neautorizovaný přístup ke zdrojům objednatele ani ke zdrojům jiných subjektů.

6. Nerealizovali pokusy o neoprávněnou modifikaci ani jiné neoprávněné zásahy do prostředků objednatele, a to ani v případě, kdy jim byl prostředek objednatele svěřen do správy.

7. Nepodíleli se s prostředky objednatele na šíření spamu ani škodlivého softwaru.

3. Poskytovatel si je vědom, že součástí podmínek pro získání přístupu ke zdrojům a aktivům (informačním / technickým) objednatele je na straně objednatele zpracování osobních údajů pracovníků poskytovatele, kteří se podílejí na zajištění předmětu plnění. Pokud nebude objednateli umožněno osobní údaje dotčených pracovníků poskytovatele zpracovat, nebude těmto pracovníkům umožněn žádný přístup ke zdrojům objednatele.

Článek VIII.

Řízení provozu a komunikací

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 10 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění na své straně zejména:

1. Zajistit bezpečný provoz Akreditačního systému a podpůrné infrastruktury využívané pro poskytování předmětu plnění.

2. Na vyžádání poskytnout objednateli přehled, report, či jinou adekvátní informaci o bezpečnostních opatřeních zavedených na Akreditačním systému a podpůrné infrastruktuře.

3. Zajistit, že pro poskytování předmětu plnění budou využívány pouze aplikace a technologie, které jsou v souladu s platnou českou a evropskou legislativou, především s ohledem na licenční podmínky a autorský zákon.

Článek IX.

Řízení změn

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 11 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění na své straně zejména:

1. Přiměřeně reagovat na změny na straně objednatele a upravit na své straně technická a organizační opatření tak, aby odpovídala novému stavu po provedení změny.

2. Oznamovat významné změny objednateli a aktivně spolupracovat při jejich testování.

Článek X.

Řízení přístupu

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 12 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění na své straně zejména:

1. Přidělovat oprávnění svým jednotlivým pracovníkům ve smyslu oprávnění k výkonu činností tak, aby byla minimalizována rizika nežádoucího přístupu k informačním aktivům objednatele.

2. Zajistit, aby udělený přístup nebyl sdílen více osobami za stranu poskytovatele. V takovém případě musí poskytovatel vést evidenci využívání sdílených přístupů a tuto na vyžádání předložit objednateli kdykoli v průběhu trvání účinnosti smlouvy.

3. Stanovit v požadavku na přístup rozsah dat/informací, služby a účely, pro které je přístup k informačním aktivům objednatele požadován a časový údaj o délce platnosti přístupu (např.: na dobu neurčitou / 1 rok / 1 měsíc / 1 den).

4. Zajistit, aby osoby podílející se na poskytování předmětu plnění a mající přístup k informačním aktivům objednatele chránily autentizační prostředky a údaje a nikdy neposkytovaly neautorizovaný přístup dalším osobám.

5. Průběžně kontrolovat a vyhodnocovat oprávněnost a potřebu přístupu, jak fyzického, tak i logického, u všech osob na straně poskytovatele, které přistupují k informačním aktivům objednatele.

3. Poskytovatel bere na vědomí, že přístup k informačním aktivům objednatele je možné povolit pouze fyzické identitě zaměstnance poskytovatele resp. poddodavatele poskytovatele, a to na základě požadavku poskytovatele na přístup.

4. Poskytovatel bere na vědomí, že přidělení oprávnění zaměstnanci poskytovatele musí být realizováno na základě zásady nejnižšího oprávnění a principu need-to-know.

5. Poskytovatel bere na vědomí, že v případě neúspěšných pokusů o autentizaci uživatele (osoby za stranu poskytovatele) může být příslušný účet zablokován a řešen jako bezpečnostní incident a mohou být uplatněny příslušné postupy zvládání bezpečnostního incidentu (např. okamžité zrušení přístupu k informačním aktivům objednatele).

Článek XI.

Akvizice, vývoj a údržba

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 13 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění na své straně zejména:

1. Zajistit bezpečnou implementaci, inovaci, aktualizaci a testování technologií, které jsou předmětem plnění.

2. Předat objednateli dokumentaci předmětu plnění minimálně v následujícím rozsahu:

1. Dokumentaci všech bezpečnostních nastavení, funkcí a mechanismů.

2. Dokumentaci obsahující popis autorizačního konceptu a oprávnění.

3. Dokumentaci obsahující instalační a konfigurační postupy

3. V případě, že předmět plnění zahrnuje též vývoj softwaru, zavazuje se poskytovatel:

1. Dodržovat a implementovat nejlepší praktiky pro bezpečný vývoj softwaru v rámci celého jeho životního cyklu.

2. Na vyžádání umožnit objednateli realizaci auditu prováděného nebo provedeného plnění a na vyžádání předložit objednateli relevantní část zdrojového kódu k softwaru na provedení codereview, a to zejména za účelem ověření skutečnosti, zda poskytovatel postupuje či postupoval při poskytování plnění v souladu se smlouvou a těmito KB požadavky.

3. Poskytnout objednateli v jím stanoveném termínu, resp. bez zbytečného odkladu požadovanou součinnost na provedení bezpečnostního testování v průběhu vývoje softwaru či kdykoli po jeho dokončení.

4. Zajistit, že plnění bude obsahovat jen ty součásti, které jsou objektivně potřebné pro řádné provozování softwaru a/nebo které jsou specifikovány výslovně ve smlouvě (zejména, že software nebude obsahovat žádné nepotřebné či z pohledu objednatele nežádoucí komponenty).

5. Pokud je součástí plnění též instalace operačních systémů a softwaru třetích stran, zajistit že budou použity aktuální, podporované a kompatibilní verze těchto produktů.

6. Zajistit bezpečnost testovacího prostředí a ochranu objednatelem poskytnutých testovacích dat.

7. Zajistit, že do produkčního prostředí objednatele bude dodán jen předmětem smlouvy specifikovaný kompilovaný, respektive spustitelný kód a další nezbytná data pro provozování předmětu plnění.

8. Zajistit, že v rámci poskytovaného plnění bude dodávaný software/služba

1. v souladu s bezpečnostními politikami a standardy objednatele;

2. otestován na soulad s bezpečnostními politikami objednatele (platí pro poskytovatele, pokud byl s takovými bezpečnostními politikami seznámen)

9. Zajistit řízení verzí zdrojového kódu.

10. Zajistit zálohování zdrojového kódu a jeho uložení mimo produkční prostředí.

11. Nevyvíjet, nekompilovat a nešířit v prostředí objednatele programový kód, který má za cíl nelegální ovládnutí, narušení dostupnosti, důvěrnosti nebo integrity nebo neautorizované či nelegální získání dat a informací.

Článek XII.

Zvládání kybernetických bezpečnostních událostí a incidentů

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 14 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění na své straně zejména:

1. Xxxxxxxx a popsat na své straně činnosti, role a jejich odpovědnosti a pravomoci vedoucí k rychlému a účinnému zvládání kybernetických bezpečnostních incidentů.

2. Bez zbytečného odkladu hlásit objednateli všechny kybernetické bezpečnostní události a incidenty s potenciálním negativním dopadem na informační aktiva objednatele, a to stanoveným komunikačním kanálem nebo prostřednictvím Kontaktní osoby.

3. Vyhodnocovat informace o kybernetických bezpečnostních incidentech a uchovávat je pro budoucí použití s ohledem na požadavky platné české a evropské legislativy.

4. V případě vzniku kybernetické bezpečnostní události či incidentu a jeho následného zvládání a vyhodnocování a/nebo v případě podezření na kybernetický bezpečnostní incident poskytnout objednateli bezodkladnou aktivní součinnost a veškeré relevantní informace.

5. Bez zbytečného odkladu a po dohodě s objednatelem realizovat bezpečnostní opatření požadovaná objednatelem v dohodnutých termínech, ke snížení dopadu kybernetického bezpečnostního incidentu nebo zamezení jeho pokračování.

6. Spolupracovat při analýze příčin vzniku kybernetického bezpečnostního incidentu a navrhnout opatření s cílem zamezit jeho opakování v případě, že poskytovatel kybernetický bezpečnostní incident zapříčinil nebo se na jeho vzniku podílel.

3. Poskytovatel bere na vědomí, že postup zvládání kybernetického bezpečnostního incidentu či jiný důsledek porušení KB požadavků, jehož příčina je na straně poskytovatele, nebude posuzován jako okolnost vylučující odpovědnost poskytovatele.

Článek XIII.

Řízení kontinuity činností

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 15 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění na své straně zejména:

1. Zajistit adekvátní kontinuitu svých aktiv, které jsou potřebné k poskytování předmětu plnění.

2. Pravidelně kontrolovat a testovat, že je schopen kontinuitu aktiv zajistit dle požadované úrovně služeb.

Článek XIV.

Kontrola a audit

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 8 a § 16 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění poskytnout adekvátní součinnost při výkonu kontroly objednatele ze strany NÚKIB dle § 23 ZoKB.

Článek XV.

Fyzická bezpečnost

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 17 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění na své straně zejména:

1. Dodržovat provozní řády budov (režimová opatření) a využívaných prostor, zejména pak v oblasti fyzické ochrany bezpečnostních zón, kde jsou umístěny aktiva systémů ICT nebo datové nosiče.

2. V rozsahu předmětu plnění zajistit fyzické zabezpečení, označení, uchování a likvidaci informačních aktiv objednatele, instalačních, záložních nebo archivních médií a dokumentace v souladu s Přílohou č. 1 VoKB a klasifikací informačních aktiv objednatele, pokud s ní byl poskytovatel seznámen.

Článek XVI.

Bezpečnostní nástroje

1. Poskytovatel se v rozsahu předmětu plnění aktivně podílí na splnění povinností uvedených v § 18 až § 27 VoKB, které musí splnit jakožto provozovatel VIS a povinná osoba dle ZoKB.

2. Krom jiného se poskytovatel v tomto kontextu zavazuje v rozsahu předmětu plnění na své straně zejména:

1. Realizovat opatření pro odstranění nebo blokování síťového spojení/síťových spojení, které/která neodpovídají požadavkům na ochranu integrity a bezpečnosti komunikační sítě.

2. Realizovat přístup z mobilního zařízení do prostředí objednatele pouze prostřednictvím zabezpečeného připojení virtuální privátní sítě (VPN), pokud mu takový přístup byl udělen.

3. Nepřipojovat do infrastruktury, která je součástí dodaného řešení Akreditačního systému technické prostředky potenciálně rizikových výrobců, které jsou předmětem varování NÚKIB.

4. Bez zbytečného odkladu deaktivovat všechna nevyužívaná zakončení sítě anebo nepoužívané porty aktivního síťového prvku, který je v rozsahu předmětu plnění a je ve správě poskytovatele.

5. Na technická aktiva, která jsou součástí řešení Akreditačního systému bez písemného souhlasu objednatele neinstalovat a nepoužívat v prostředí dodaného řešení tyto typy nástrojů, pokud nejsou součástí předmětu plnění:

1. Keylogger – software nebo hardware, který neautorizovaně zaznamenává stisky kláves s cílem narušit důvěrnost zadávaných dat a informací.

2. Sniffer – software nebo hardware umožňující odposlouchávání síťového provozu.

3. Backdoor – skrytý softwarový nebo hardwarový nástroj, který umožňuje obejití schválených autentizačních procedur, instalovaný s cílem budoucího snadnějšího a neautorizovaného přístupu do systému ICT.

4. Malware a jiný škodlivý software, který narušuje, obchází či jinak omezuje bezpečnostní opatření v prostředí dodaného řešení.

6. Připojovat do prostředí dodaného řešení pouze technická aktiva, která jsou chráněna proti malware a jinému škodlivému softwaru a která jsou v souladu s interními bezpečnostními předpisy objednatele nebo jím schválená.

7. Průběžně zaznamenávat a uchovávat data o provozu technických aktiv (provozní a lokalizační údaje) v rozsahu předmětu plnění a v souladu s požadavky platné české a evropské legislativy.

8. Na vyžádání poskytnout objednateli report obsahující výsledky monitorování veškerých uživatelských a administrátorských aktivit a jiných událostí v rozsahu předmětu plnění, a to po celou dobu trvání smlouvy.

9. Zajistit sběr informací o provozních a bezpečnostních činnostech v rozsahu předmětu plnění a ochranu získaných informací před jejich neoprávněným čtením nebo změnou.

10. Pro on-line transakce realizované prostřednictvím webových technologií implementovat na aktuálně bezpečných kryptografických algoritmech založené TLS/SSL certifikáty, s cílem zajistit jejich důvěrnost, integritu a identitu komunikujících protistran.

11. Veškeré neveřejné informace poskytnuté objednatelem chránit proti neautorizovanému přístupu aktuálně bezpečnými kryptografickými nástroji.

3. Poskytovatel bere na vědomí, že v případě, kdy technické spojení ze strany poskytovatele narušuje chod služeb objednatele, může být toto spojení ihned ukončeno bez předchozího upozornění, pokud tato smlouva nestanoví jinak.

Článek XVII.

Využití cloud computingu

Poskytovatelem se v kontextu využití xxxxx computingu rozumí subjekt, který tuto službu (část dodaného řešení) přímo zajišťuje. Může jím být tedy jak samotný poskytovatel dle smlouvy, tak některý z jeho poddodavatelů (který tuto část řešení zajišťuje).

1. Obecné podmínky v případě využití cloud computingu

1. Poskytovatel zajistí, aby měl objednatel k dispozici dostatek jasných a srozumitelných informací o provozu dané služby cloud computingu, o poloze zpracování zákaznických dat a rizicích souvisejících se zpracováním zákaznických dat v dané poloze.

2. Poskytovatel zajistí, že zákaznická data a provozní údaje jsou dlouhodobě a nepřetržitě uložena výlučně na území členských států EU/EHP.

3. Poskytovatel zajistí, že zákaznická data a provozní údaje jsou zpracovávána výlučně na území členských států EU/EHP.

4. Poskytovatel je držitelem platné certifikace ČSN ISO/IEC 27001 nebo ISO/IEC 27001, od certifikačního orgánu, který byl akreditován pro provádění auditů a certifikaci systémů řízení bezpečnosti informací některým z členů IAF, a do jehož rozsahu certifikace náleží poskytovaná služba cloud computingu, provozovaná v souladu s postupy normy ČSN ISO/IEC 27017 nebo ISO/IEC 27017 a ČSN ISO/IEC 27018 nebo ISO/IEC 27018. V případě, že rozsah certifikace není uveden jednoznačně na certifikátu, poskytovatel předloží čestné prohlášení, ve kterém bude uvedeno, na které služby se certifikace vztahuje.

2. Organizace bezpečnosti informací

1. Poskytovatel musí mít zaveden systém řízení bezpečnosti informací (dále jen „ISMS“). Rozsah ISMS zahrnuje organizační jednotky poskytovatele, lokality a procesy k poskytování služby cloud computingu. Opatření jsou dokumentována pro řízení, implementaci, údržbu a neustálé zlepšování ISMS. Dokumentace obsahuje rozsah ISMS, prohlášení o aplikovatelnosti, ve kterém jsou doložena, jaká bezpečnostní opatření byla vybrána pro potlačení bezpečnostních rizik a výsledky posledního interního či certifikačního auditu poskytovatele.

2. Poskytovatel musí disponovat politikou bezpečnosti informací, kterou se řídí a kterou komunikuje interním a externím zaměstnancům a svým dodavatelům. Politika bezpečnosti informací popisuje význam bezpečnosti informací, bezpečnostní cíle, požadovanou bezpečnostní úroveň, nejvýznamnější aspekty bezpečnostní strategie k dosažení stanovených cílů a organizační strukturu poskytovatele v rozsahu ISMS.

3. Poskytovatel zavede na základě vlastní politiky bezpečnosti informací přiměřená bezpečnostní opatření.

3. Politiky

1. Politika bezpečnosti informací poskytovatele musí být v souladu s požadavky objednatele na bezpečnost informací.

2. Politiky poskytovatele musí být v souladu s politikou bezpečnosti informací poskytovatele, dokumentovány v jednotné struktuře a vhodným způsobem sdíleny a komunikovány všem interním i externím zaměstnancům poskytovatele. Politiky musí být verzovány, kontrolovány a schvalovány vrcholovým vedením dodavatele.

3. Politiky zahrnují alespoň následující oblasti:

1. Cíle.

2. Rozsah.

3. Bezpečnostní role a odpovědnosti, včetně kvalifikačních požadavků a pravidel zastupitelnosti.

4. Role a závislosti na jiných organizacích.

5. Postupy pro implementaci politik v rámci bezpečnostní strategie.

6. Platné právní a regulatorní požadavky.

4. Fyzická bezpečnost

1. Poskytovatel zajistí, že bezpečnostní požadavky na budovy a prostory vztahujících se k poskytování služeb cloud computingu jsou založeny na bezpečnostních cílech politiky bezpečnosti informací, identifikovaných bezpečnostních požadavcích a posouzení rizik fyzické a environmentální bezpečnosti. Poskytovatel též zajistí, že tyto bezpečnostní požadavky jsou zdokumentovány, komunikovány a poskytovány ve formě bezpečnostních politik.

2. Poskytovatel zajistí alespoň jedno záložní datové centrum, které je kapacitně dostatečné k převzetí služby poskytované z primárního datového centra.

3. Poskytovatel zajistí, že primární i záložní datové centrum, ze kterého jsou poskytovány služby, jsou v dostatečné vzdálenosti od přírodních zdrojů rizik a zdrojů rizik vyvolaných činností člověka vedoucích k narušení nebo omezení poskytování služby cloud computingu nebo bezpečnosti informací, nebo je přijato adekvátní bezpečnostní opatření, nebo se primární a záložní datové centrum nacházejí ve vzájemné vzdálenosti nejméně 50 km, a jsou umístěna v lokalitách, které svým geografickým charakterem vylučují současné nebo následné škodlivé působení přírodních vlivů nebo jevů vyvolaných činností člověka vedoucích k poškození nebo zničení dat anebo vyžadujících provedení záchranných prací.

4. Poskytovatel na vstupu do prostor a budov sloužících k poskytování služby cloud computingu kontroluje fyzický přístup, aby tak zabránil případnému neautorizovanému přístupu osob.

5. Provoz

1. Poskytovatel zajistí, že nebude zákaznický obsah zpracovávat jiným způsobem, než se dohodl dokumentovaným způsobem s objednatelem.

2. Poskytovatel vyhodnocuje informace a podklady týkající se zranitelností a hrozeb poskytované služby cloud computingu a přijímá odpovídající opatření.

3. Poskytovatel bezpečně a striktně odděluje zákaznická data, která jsou uložená a zpracovávaná na sdílených virtuálních a fyzických strojích tak, aby byla zajištěna důvěrnost a integrita těchto dat.

6. Správa identit a řízení přístupu

1. Poskytovatel umožní využívat pro přístup do správy služby cloud computingu vícefaktorovou autentizaci.

2. Poskytovatel umožňuje řídit přístupy uživatelů do služby cloud computingu zejména ve smyslu:

1. Přiřazovat jedinečná uživatelská jména.

2. Udělovat a upravovat uživatelské účty a přístupová oprávnění na základě zásady nejnižšího oprávnění a pravidla need-to-know.

3. Pravidelně kontrolovat přidělení uživatelských účtů a přístupových oprávnění, alespoň jednou za 90 dní.

4. Blokovat a odebírat přístupové účty v případě nečinnosti.

5. Odebírat nebo měnit přístupová oprávnění při ukončení nebo změně smluvního vztahu.

3. Poskytovatel v rámci své organizace řídí přístupy k informačnímu systému využívaného k poskytování služeb cloud computingu objednateli.

7. Správa klíčů a šifrování

1. Poskytovatel má zavedené a zdokumentované politiky týkající se technických a organizačních opatření pro kryptografické procedury a správu kryptografických klíčů, ve kterých jsou popsány alespoň tyto činnosti a oblasti:

1. Používání aktuálně odolných kryptografických postupů a bezpečných síťových protokolů zohledňujících nejnovější poznatky a postupy v dané oblasti.

2. Šifrování, které je na základě risk-based analýzy přizpůsobeno povaze dat, komunikačním kanálům, typu, síle a kvalitě šifrování.

3. Požadavků na zabezpečení generování, uchovávání, vyzvednutí, distribuci, stažení a výmaz šifrovacích klíčů.

4. Zvážení relevantních právních a regulatorních závazků a požadavků.

2. Poskytovatel má zavedeny procesy a technická opatření s aktuálně odolnými kryptografickými nástroji a autentizací pro přenos zákaznických dat po sítích mimo kontrolu poskytovatele.

3. Poskytovatel má zavedeny procesy a technická opatření pro šifrování zákaznických dat a uživatelů během uchovávání.

4. Postupy a technická opatření pro bezpečné řízení klíčů a certifikátů v oblasti odpovědnosti poskytovatele zahrnují zejména:

1. Generování klíčů pro různé kryptografické systémy a aplikace.

2. Vydávání a získávání certifikátů veřejného klíče.

3. Poskytování a aktivace klíčů.

4. Bezpečné ukládání klíčů (oddělení systému správy klíčů od úrovně aplikací a middlewaru) včetně popisu toho, jak oprávnění uživatelé získávají přístup.

5. Změna nebo aktualizace kryptografických klíčů včetně politik definujících, za jakých podmínek a jakým způsobem mají být změny nebo aktualizace provedeny.

6. Zacházení s klíči podezřelými z kompromitace.

7. Zneplatnění a vymazání klíčů.

8. Jsou-li použity předem sdílené klíče, specifická ustanovení týkající se bezpečného použití tohoto postupu jsou specifikována samostatně.

8. Zabezpečení komunikace

1. Poskytovatel má zavedeny technické záruky, které jsou vhodné k rychlému odhalení a reakci na síťové útoky na základě nepravidelných vzorců příchozího nebo odchozího provozu a/nebo distribuované útoky typu Denial-of-Service (DDoS).

2. Data objednatele, přenášená do služby cloud computingu jsou chráněna proti neoprávněnému zásahu, kopírování, úpravě, přesměrování nebo vymazání v souladu s jeho požadavky na zajištění bezpečnosti informací.

3. Poskytovatel chrání data objednatele přenášená ze služby cloud computingu proti neoprávněnému zásahu, kopírování, úpravě, přesměrování nebo vymazání v souladu se svou politikou bezpečnosti informací.

9. Přenositelnost, propojení a exit strategie

1. Poskytovatel vydá při ukončení využívání služby cloud computingu zákaznická data a provozní údaje, které souvisí s provozem služby cloud computingu objednateli, nebo je zpřístupní přes definovaná rozhraní (formát a rozsah dat odpovídají smluvním dohodám, které byly uzavřeny před používáním služby cloud computingu).

2. Poskytovatel má povinnost uhradit objednateli náklady spojené s přenosem dat od poskytovatele do systému určeného objednatelem v případě, že je aktivování exit strategie způsobeno hrubým porušením smluvního vztahu, které nebylo způsobeno objednatelem.

3. Poskytovatel zajistí při ukončení využívání služby cloud computingu bezpečnou likvidaci informačních aktiv objednatele (zákaznická data a provozní údaje) po bezprostředně po jejich vydání objednateli, a to v souladu se smluvními ujednáními a relevantními právními a regulatorními požadavky.

10. Nákup, vývoj a úprava informačních systémů

1. Poskytovatel má zaveden proces řízení změn.

2. Produkční prostředí poskytovatele je fyzicky nebo logicky odděleno od testovacích nebo vývojových prostředí, aby se zabránilo neautorizovanému přístupu k zákaznickým datům, šíření malwaru nebo změnám technických aktiv.

3. Data obsažena v produkčních prostředích se nepoužívají v testovacích nebo vývojových prostředích, aby nedošlo k ohrožení jejich důvěrnosti.

11. Řízení dodavatelů

1. Poskytovatel informuje o svých systematických zpracovatelích, a to jak před uzavřením smlouvy, tak vždy s dostatečným předstihem, než dojde k jejich změně.

2. V případě nesouhlasu objednatele se změnou systematického zpracovatele, poskytovatel tuto změnu neprovede nebo objednatel může jednostranně ukončit smluvní vztah s poskytovatelem bez sankcí ze strany poskytovatele.

12. Správa kybernetických bezpečnostních událostí a incidentů

1. Poskytovatel bez zbytečného odkladu informuje objednatele stanoveným způsobem o každém kybernetickém bezpečnostním incidentu, který se týká zákaznických dat objednatele a souvisejících provozních údajů.

2. Poskytovatel má zaveden a využívá nástroj na sledování a vyhodnocování kybernetických bezpečnostních událostí.

13. Řízení kontinuity činností

Poskytovatel zajistí, že v jeho pohotovostních plánech je zahrnut případ neočekávaného omezení přístupu k datům objednatele.

13