SMLOUVA

SMLOUVA

O ZAJIŠTĚNÍ SLUŽEB SECURITY OPERATIONS CENTER

evid. č. ČSÚ: 025-2020-S

Smluvní strany:

Česká republika – Český statistický úřad

se sídlem Na padesátém 0000/00, Xxxxx 10, PSČ 100 82 IČO: 000 25 593

zastoupená: Ing. Xxxxxxxxx Xxxxxxxx, ředitelem odboru bezpečnosti a krizového řízení bankovní spojení: xxxxxxxxxxxxxxxxx

(dále jen „objednatel“ nebo „ČSÚ“) a

VISITECH, a.s.

se sídlem: Košinova 655/59, Brno – Královo pole, PSČ 612 00 zastoupená: Xxxxxx Xxxxxxxx, předsedou představenstva

IČO: 25543415 DIČ: CZ25543415

zapsaná v obchodním rejstříku vedeném u Krajského soudu v Brně, spisová zn. B6323 bankovní spojení: xxxxxxxxxxxxxxxx

(dále též jen „dodavatel“)

(objednatel a dodavatel společně dále jen „smluvní strany“)

uzavřely níže uvedeného dne, měsíce a roku podle ust. § 1746 odst. 2 a dalších ustanovení zákona č. 89/2012 Sb., občanský zákoník (dále jen „občanský zákoník“) a podle příslušných ustanovení zákona č. 134/2016 Sb., o zadávání veřejných zakázek (dále jen „zákon o zadávání veřejných zakázek“) tuto

smlouvu

o zajištění služeb Security Operations Center: Preambule

Tato smlouva (dále jen „smlouva“) se mezi výše uvedenými smluvními stranami uzavírá na základě výsledku zadávacího řízení na veřejnou zakázku podlimitní s názvem „Služby Security Operations Center“ zadávanou objednatelem jako veřejným zadavatelem ve smyslu zákona o zadávání veřejných zakázek pod interním evid. číslem VZ 023/2019 (dále jen „veřejná zakázka“), v němž byla nabídka dodavatele vybrána jako nejvýhodnější.

Článek I Úvodní ustanovení

1. Účelem této smlouvy je komplexní zajištění služeb bezpečnostního dohledu Security Operations Center nad prostředím a informačními systémy ČSÚ a vymezení práv a povinností smluvních stran při jejich zajišťování.

2. Pro plnění předmětu této smlouvy jsou závazné rovněž všechny dokumenty vztahující se k veřejné zakázce, a to zadávací dokumentace včetně všech příloh vztahujících se k předmětu této smlouvy a nabídka dodavatele.

3. Dodavatel výslovně prohlašuje, že se seznámil se zadávací dokumentací veřejné zakázky, přičemž mu nejsou známy žádné nejasnosti či pochybnosti, které by znemožňovaly řádné plnění jeho závazků podle této smlouvy. Dodavatel se zavazuje, že plnění na základě této smlouvy bude poskytovat v souladu se zadávacími podmínkami veřejné zakázky a v souladu se svou nabídkou.

4. Dodavatel prohlašuje, že se detailně seznámil s rozsahem a povahou předmětu plnění této smlouvy, že jsou mu známy podmínky nezbytné pro její realizaci, a že disponuje takovými kapacitami a odbornými znalostmi, včetně technického a personálního zázemí, které jsou nezbytné pro realizaci této smlouvy za dohodnutou maximální smluvní cenu uvedenou ve smlouvě, a to rovněž ve vazbě na jím prokázanou kvalifikaci pro plnění veřejné zakázky.

5. Dodavatel prohlašuje, že jím dodávané plnění odpovídá všem požadavkům vyplývajícím z platných právních předpisů, které se na plnění vztahují. Dodavatel prohlašuje, že jím poskytované plnění je prosto práv třetích osob a zejména neporušuje autorská nebo průmyslová práva třetích osob. Dodavatel prohlašuje, že disponuje veškerými právy potřebnými k zajištění podpory, jejíž poskytování je předmětem této smlouvy. Pokud by kterékoli z těchto prohlášení dodavatele neodpovídalo skutečnosti, je objednatel oprávněn požadovat po dodavateli náhradu škody, která mu vznikne porušením práv třetích osob a uplatňováním jejich nároků s tím spojených, v plné výši.

6. Dodavatel nemá oprávnění jakkoli užívat neveřejná data zpracovávaná v prostředí zadavatele nad rámec plnění vyplývajícího z této smlouvy. Objednatel považuje údaje z používaných dohledových nástrojů za důvěrné.

Článek II Předmět smlouvy

1. Dodavatel se touto smlouvou zavazuje zajišťovat pro objednatele komplexní služby typu Security Operations Center nad prostředím a informačními systému ČSÚ, které bude dodavatel zajišťovat formou provozu nástrojů pro vyhodnocování kybernetických bezpečnostních událostí v komunikačních sítích ČSÚ z vlastní provozovny dohledového centra dodavatele (dále jen „služby SOC“). Podrobná specifikace služeb SOC je uvedena v příloze č. 1 této smlouvy, která tvoří její nedílnou součást.

2. Za účelem splnění předmětu smlouvy zpřístupní objednatel dodavateli vlastní bezpečností dohledové systémy včetně jejich základní konfigurace, a to v rozsahu potřebném pro řádné plnění této smlouvy.

3. Objednatel se touto smlouvou zavazuje zaplatit dodavateli za řádně poskytnuté služby sjednanou cenu ve výši a za podmínek uvedených dále v této smlouvě.

Článek III

Místa a termíny plnění

1. Místem plnění podle této smlouvy je sídlo objednatele. Vlastní zajišťování služeb SOC bude dodavatel provádět vzdáleným přístupem ze svého dohledového centra.

2. Dodavatel se zavazuje zajišťovat služby SOC pro dodavatele po dobu 36 (slovy: třiceti šesti) měsíců ode dne účinnosti smlouvy.

Článek IV Cena služeb

1. Xxxx služeb SOC je sjednána na základě nabídky dodavatele k veřejné zakázce paušálně ve výši 537 600,00 Kč (slovy: pět set třicet sedm tisíc šest set korun českých) bez DPH za rok (dále jen

„cena služeb“).

2. K ceně služeb SOC podle odstavce 1 bude připočtena DPH v sazbě podle právních předpisů platných ke dni uskutečnění zdanitelného plnění.

3. Cena služeb SOC je sjednána jako cena nejvýše přípustná a nepřekročitelná a zahrnuje veškeré náklady na poskytování plnění podle této smlouvy, včetně správních poplatků a nákladů na daně a pojištění, jakož i ceny za služby a dodávky, které nejsou výslovně uvedeny v zadávací dokumentaci veřejné zakázky nebo v této smlouvě, ale dodavatel jako odborník o nich ví nebo má vědět, že jsou nezbytné pro řádné poskytování plnění podle této smlouvy.

4. Xxxxxxxxx ve smyslu ust. § 1765 odst. 2 občanského zákoníku přebírá nebezpečí změny okolností po uzavření této smlouvy.

Článek V

Platební podmínky

1. Dodavatel je oprávněn účtovat objednateli cenu služeb SOC ve čtvrtletních splátkách ve výši ¼ ceny služeb SOC za rok uvedené v článku IV odst. 1 této smlouvy na základě daňového dokladu vystaveného do 10 (slovy: deseti) dnů od akceptace služeb za příslušné kalendářní čtvrtletí. V případě, že nebudou služby SOC zajišťovány po celou dobu příslušného fakturačního období (kalendářní čtvrtletí), bude fakturovaná cena služeb SOC poměrně zkrácena podle počtu dnů, po které byly služby SOC dodavatelem skutečně zajišťovány.

2. Vyúčtování ceny provede dodavatel daňovými doklady – fakturami, které musí obsahovat veškeré podstatné náležitosti podle zvláštních právních předpisů, zejména podle zákona č. 235/2004 Sb., o dani z přidané hodnoty, ve znění pozdějších předpisů a zákona č. 563/1991 Sb., o účetnictví, ve znění pozdějších předpisů. Kromě těchto podstatných náležitostí musí daňový doklad – faktura dodavatele obsahovat vždy evidenční číslo objednatele této smlouvy, číslo účtu dodavatele a všechny údaje uvedené v ust. § 435 odst. 1 občanského zákoníku.

3. Lhůta splatnosti ceny činí 21 (slovy: dvacet jedna) dnů a (z důvodu interních účetních předpisů objednatele) v případě faktury vystavené v prosinci nebo lednu 60 (slovy: šedesát) dnů, vždy ode dne doručení daňového dokladu – faktury se všemi náležitostmi podle předchozího odstavce objednateli do datové schránky, doporučenou listovní zásilkou nebo osobně do podatelny v sídle ČSÚ. Není-li ve smlouvě výslovně uvedeno jinak, sjednávají smluvní strany stejné lhůty splatnosti i pro úhrady jakýchkoli jiných plateb v souvislosti s realizací této smlouvy.

4. Objednatel je oprávněn před uplynutím lhůty splatnosti vrátit dodavateli fakturu, která neobsahuje požadované náležitosti, která obsahuje cenu vyúčtovanou v rozporu s touto smlouvou nebo která obsahuje chybně vyúčtovanou DPH. Lhůta splatnosti vyúčtované ceny začíná v takovém případě znovu běžet ode dne doručení opravené faktury objednateli způsobem uvedeným v předchozím odstavci.

5. Cena služeb vyúčtovaná fakturou dodavatele se pokládá za uhrazenou okamžikem odepsání příslušné částky z účtu objednatele ve prospěch účtu dodavatele.

Článek VI Akceptace

1. Služby SOC v příslušném kalendářním čtvrtletí se považují za řádně poskytnuté a akceptované objednatelem vždy potvrzením akceptačního protokolu podpisem oprávněné osoby objednatele. Dodavatel je povinen předložit objednateli akceptační protokol s výkazem práce a všechny reporty o událostech a incidentech za dané období, jejichž minimální obsahové náležitosti jsou stanoveny v požadavku č. 38 v příloze č. 1 této smlouvy, a veškeré další případně potřebné podklady k doložení rozsahu a kvality poskytnutých služeb vždy nejpozději do 10 (slovy: deseti) kalendářních dnů po skončení příslušného fakturačního období.

2. Objednatel je povinen do 5 (slovy: pěti) kalendářních dnů od předložení akceptačního protokolu podle odst. 1 tohoto článku potvrdit nebo do akceptačního protokolu uvést své výhrady k rozsahu a kvalitě poskytnutého plnění s uvedením závazného termínu pro jejich odstranění a informovat dodavatele s nejméně třídenním předstihem o termínu jednání k projednání akceptace služeb SOC (dále jen „akceptační jednání“).

3. Akceptační řízení je zahájeno dnem předložení akceptačního protokolu objednateli a jeho výsledkem mohou být tyto 2 stavy:

a) Akceptováno bez výhrad: V případě, že objednatel neshledá v poskytnutých službách SOC žádné vady ani nedodělky, uvede do akceptačního protokolu, že poskytované služby SOC byly akceptovány bez výhrad a akceptační protokol svými podpisy potvrdí oprávnění zástupci obou smluvních stran.

b) Neakceptováno: Shledá-li objednatel v poskytnutých službách SOC závažné vady anebo nedodělky, které brání dalšímu zajišťování služeb SOC nebo které nelze vzhledem k povaze služeb SOC odstranit v dodatečném termínu nebo na jejich odstranění nemá vzhledem k povaze služeb SOC objednatel objektivně zájem, uvede do akceptačního protokolu, že poskytované služby nebyly akceptovány a provede seznam výhrad. Oprávnění zástupci obou smluvních stran potvrdí akceptační protokol svými podpisy.

4. Akceptace plnění ve sjednaném rozsahu a kvalitě, tj. bez výhrad objednatele, je podmínkou oprávněnosti fakturace služeb SOC v plné výši. Objednatel není povinen akceptovat vadné plnění.

1. Dodavatel se zavazuje:

Článek VII

Další práva a povinnosti smluvních stran

a) poskytovat objednateli plnění řádně a včas, v souladu s podmínkami této smlouvy a s platnými právními předpisy, podle svých nejlepších znalostí a schopností a s potřebnou odbornou péčí, a to po celou dobu trvání této smlouvy;

b) dodržovat pokyny a interní předpisy objednatele ve vztahu k bezpečnosti a provozu informačního systému objednatele;

c) udržovat v platnosti po celou dobu trvání této smlouvy pojištění odpovědnosti za škodu způsobenou dodavatelem třetí osobě s limitem pojistného plnění ve výši minimálně 1 000 000 Kč (slovy: jeden milión korun českých); na vyžádání je dodavatel povinen tuto pojistnou smlouvu objednateli doložit kdykoli v průběhu trvání této smlouvy;

d) na žádost objednatele spolupracovat a poskytnout potřebnou součinnost případným dalším smluvním partnerům objednatele;

e) i bez pokynů objednatele provést neodkladné úkony související s předmětem této smlouvy, které jsou nezbytné pro zamezení vzniku škody, anebo které lze s ohledem na předmět plnění veřejné zakázky a na znalosti dodavatele považovat za součást plnění veřejné zakázky.

V případě takových úkonů bude smluvními stranami projednána a provedena případná úhrada ve smyslu ust. § 2908 občanského zákoníku;

f) zajistit, aby všechny osoby, které se na jeho straně podílí na plnění předmětu smlouvy, a které budou přítomny v prostorách ČSÚ, dodržovaly všechny bezpečnostní a provozní předpisy, se kterými byli seznámeni před zahájením pravidelné přítomnosti v prostorách ČSÚ;

g) zachovávat mlčenlivost ohledně skutečností, které jsou obsahem této smlouvy, které se v souvislosti s plněním předmětu této smlouvy dozvěděl anebo které objednatel označil za důvěrné a dále zajistit, aby jeho zaměstnanci a další osoby podílející se na jeho straně na plnění předmětu této smlouvy byli v souladu s platnými právními předpisy poučeni o povinnosti mlčenlivosti a o možných následcích pro případ porušení této povinnosti. Povinnost mlčenlivosti se nevztahuje na informace, které se staly obecně známými za předpokladu, že se tak nestalo porušením některé z povinností vyplývajících ze smlouvy anebo o kterých tak stanoví zákon, zpřístupnění je však možné vždy jen v nezbytném rozsahu;

h) po celou dobu trvání této smlouvy zachovat kvalifikaci a počet pracovníků, kteří se budou skutečně podílet na plnění veřejné zakázky dle přílohy č. 2 této smlouvy (včetně požadované certifikace pracovníků předložené v rámci nabídky k veřejné zakázce); případnou personální změnu ve složení realizačního týmu se dodavatel zavazuje předem písemnou formou oznámit objednateli s tím, že nevyjádří-li se objednatel ke změně do 3 (slovy: tří) pracovních dnů, má se za to, že se změnou souhlasí; objednatel si vyhrazuje právo na odůvodněné odmítnutí významných personálních změn v týmu dodavatele;

i) po celou dobu trvání této smlouvy být autorizovaným partnerem IBM Česká Republika, spol.

s.r.o. a Flowmon Networks jakožto výrobců či vlastníků duševních práv již pořízených systémů, aplikací, licencí a služeb důležitých k poskytování služeb podle této smlouvy;

j) po celou dobu trvání této smlouvy plnit požadavek provozovny bezpečnostního dohledového centra v rozsahu a za podmínek, které dodavatel prokázal při podání své nabídky k veřejné zakázce.

2. Objednatel se zavazuje:

a) poskytovat po celou dobu trvání této smlouvy dodavateli veškerou nezbytnou součinnost potřebnou k naplnění účelu smlouvy;

b) převzít od dodavatele bez zbytečného odkladu řádné plnění ve smyslu této smlouvy.

3. Dodavatel není oprávněn zajistit plnění této smlouvy anebo jejich dílčích částí prostřednictvím poddodavatelů, s výjimkou rolí „Kvalifikovaný architekt technologií“ a „Manažer kybernetické bezpečnosti“ v realizačním týmu dodavatele, u kterých je možné využití poddodavatelů. Ostatní plnění je dodavatel povinen poskytovat objednateli přímo, bez využití poddodavatelů.

Článek VIII Sankce

1. Za prodlení se zajišťováním služeb SOC podle této smlouvy je objednatel oprávněn požadovat a dodavatel povinen objednateli zaplatit smluvní pokutu ve výši 3 000 Kč (slovy: tři tisíce korun českých) za každý započatý den prodlení. V případě, že dodavatel nedostojí povinnosti zajišťovat služby SOC po celou dobu trvání smlouvy podle článku III odst. 2 této smlouvy, je objednatel oprávněn požadovat po dodavateli a dodavatel povinen objednateli zaplatit smluvní pokutu ve výši 3 000 Kč (slovy: tři tisíce korun českých) za každý i započatý den, ve kterém nebudou služby SOC v požadovaném rozsahu a kvalitě zajišťovány.

2. V případě, že dodavatel nedodrží SLA služeb stanovené v příloze č. 1 této smlouvy, je objednatel oprávněn požadovat po dodavateli zaplacení a dodavatel povinen objednateli zaplatit smluvní pokutu ve výši 3 000 Kč (slovy: tři tisíce korun českých) za každý započatý den zpoždění nebo za každý započatý den nesplnění požadované dostupnosti služeb.

3. Za porušení kterékoli povinnosti plynoucí dodavateli z článku VII odst. 1 písm. c), g) nebo h) anebo z článku XI této smlouvy je objednatel oprávněn požadovat a dodavatel povinen objednateli zaplatit smluvní pokutu ve výši 100 000 Kč (slovy: jedno sto tisíc korun českých) za každý jednotlivý případ porušení smluvní povinnosti, resp. za každý započatý měsíc, v němž nebude mít dodavatel sjednánu platnou a účinnou pojistnou smlouvu se sjednanými parametry pojištění.

4. V případě porušení povinnosti plynoucí dodavateli z článku VII odst. 1 písm. i) nebo j) této smlouvy je objednatel oprávněn požadovat a dodavatel povinen objednateli zaplatit smluvní pokutu ve výši

50 000 Kč (slovy: padesát tisíc korun českých) za každý jednotlivý případ porušení smluvní povinnosti, resp. za každý započatý měsíc, v němž nebude dodavatel plnit svou povinnost být autorizovaným partnerem výrobců či vlastníků duševních práv již pořízených systémů, aplikací, licencí a služeb vztahujících se k předmětu této smlouvy, resp. za každý započatý měsíc, v němž nebude dodavatel provozovat bezpečnostní dohledové centrum s parametry požadovanými touto smlouvou.

5. Za porušení kterékoli jiné povinnosti plynoucí z této smlouvy, pokud takovou povinnost dodavatel nesplní ani v dodatečné přiměřené lhůtě poskytnuté objednatelem (nevylučuje-li to charakter porušené povinnosti s tím, že v pochybnostech se má za to, že dodatečná lhůta pro splnění povinnosti je přiměřená, pokud činí alespoň pět kalendářních dnů) je objednatel oprávněn požadovat a dodavatel povinen objednateli zaplatit smluvní pokutu ve výši 1 000 Kč (slovy: tisíc korun českých) za každý jednotlivý případ porušení smluvní povinnosti.

6. Smluvní pokuty jsou splatné dnem porušení příslušné smluvní povinnosti. Objednatel je oprávněn jednostranně započíst svou pohledávku za dodavatelem z titulu smluvní pokuty proti jakékoli splatné pohledávce dodavatele za objednatelem.

7. Vedle smluvní pokuty má objednatel nárok na náhradu škody vzniklé porušením smluvní povinnosti, a to v plné výši.

8. V případě prodlení objednatele s uhrazením ceny služeb je dodavatel oprávněn požadovat zaplacení úroků z prodlení v zákonné výši.

Článek IX Vyšší moc

1. Jestliže některá ze smluvních stran není schopna dostát svým závazkům podle této smlouvy anebo je v prodlení v důsledku okolností, které nemůže ovlivnit ani předvídat v okamžiku jejich uzavření, nebude tato smluvní strana považována za smluvní stranu, která je v prodlení anebo která jiným způsobem porušila své smluvní závazky a nebude po dobu trvání působení vyšší moci povinna k plnění těchto závazků ani nebude povinna hradit smluvní sankce za porušení smluvní povinnosti.

2. Působení vyšší moci je dotčená smluvní strana povinna bez zbytečného odkladu po vzniku překážky vyšší moci písemně oznámit druhé smluvní straně.

3. V případě, že působení vyšší moci trvá déle než 30 (slovy:třicet) kalendářních dní, je smluvní strana, u které není dáno působení vyšší moci, oprávněna ukončit tuto smlouvu písemným odstoupením od smlouvy.

Článek X

Kontaktní a oprávněné osoby

1. Smluvní strany tímto prohlašují, že jména kontaktních osob ve věcech administrativních a technických a jména oprávněných osob ve věcech smluvních a akceptace, které budou odpovědné za řádnou koordinaci činností souvisejících s poskytnutím předmětu plnění podle této

smlouvy, a to včetně e-mailového a telefonického spojení na tyto osoby, jsou obsaženy v příloze č. 4 této smlouvy.

2. Xxxxxxxxx změnu v kontaktních a oprávněných osobách je každá ze smluvních stran povinna oznámit druhé smluvní straně písemnou formou bez zbytečného odkladu.

Článek XI

Ujednání o nakládání s osobními údaji

1. Smluvní strany se zavazují zajistit povinnost mlčenlivosti všech svých pracovníků či jiných osob, jež budou přicházet do styku s osobními údaji, a to v tomto rozsahu:

a) zachovávat mlčenlivosti o poskytnutých osobních údajích i o způsobu jejich zabezpečení;

b) nezneužít osobní údaje ve prospěch svůj ani třetích osob;

c) nevystavit osobní údaje přístupu neoprávněných osob ani nebezpečí jejich ztráty;

d) zajistit povinnosti mlčenlivosti ohledně osobních údajů i po skončení plnění podle této smlouvy.

2. Smluvní strany berou na vědomí, že

e) každá ze smluvních stran je správcem osobních údajů (dále jen „správce“) získaných od pracovníků smluvních stran v souvislosti s uzavřením této smlouvy;

f) subjektem údajů se pro účely této smlouvy rozumí zaměstnanci ČSÚ, osoby podílející se za dodavatele na plnění předmětu smlouvy a kontaktní a oprávněné osoby uvedené v příloze č. 4 této smlouvy, jejichž osobní údaje si strany poskytují v souvislosti s uzavřením této smlouvy;

g) osobní údaje získané v souvislosti s uzavřením této smlouvy budou zpracovány v souladu s Nařízením Evropského parlamentu a rady (EU) 2016/679 ze dne 27. 4. 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů, dále také jen

„GDPR“) a souvisejícími právními předpisy, výhradně za účelem realizace závazků z této smlouvy;

h) osobní údaje získané v souvislosti s uzavřením této smlouvy nebudou poskytovány třetím osobám (příjemcem osobních údajů jsou výlučně smluvní strany navzájem a nebudou předávány třetím osobám ani příjemci ve třetí zemi nebo mezinárodní organizaci);

i) osobní údaje získané v souvislosti s uzavřením této smlouvy budou správcem uloženy po dobu nezbytně nutnou pro realizaci závazků z této smlouvy a pro splnění povinností správce plynoucích v souvislosti s uzavřením této smlouvy z platných právních předpisů.

3. Smluvní strany prohlašují a nesou odpovědnost za to, že jejich pracovníci stanovení smluvními stranami jako kontaktní a oprávněné osoby a pracovníci dodavatele podílející se na plnění předmětu smlouvy, byli poučeni:

a) o tom, že smluvní strany si vzájemně předávají jejich osobní údaje v rozsahu: titul, příp. vědecká hodnost, jméno, příjmení, adresa elektronické pošty a telefonní číslo v rámci plnění této smlouvy, a to za účelem realizace závazků z této smlouvy;

b) o veškerých právech subjektu údajů, která mohou uplatnit vůči druhé smluvní straně, zejména právo na přístup k osobním údajům, které jsou o nich zpracovávány, právo na jejich opravu nebo výmaz nebo omezení zpracování, vznést námitku proti zpracování, jakož i uplatňovat další práva v mezích GDPR a právo podat stížnost k Úřadu pro ochranu osobních údajů.

XII

Poddodavatelé

1. Dodavatel je oprávněn zajistit plnění této smlouvy anebo jejich dílčích částí prostřednictvím poddodavatelů, jejichž specifikace, včetně specifikace dílčích částí plnění, které budou těmito poddodavateli poskytovány, je obsažena v příloze č. 2 této smlouvy.

2. Dodavatel se zavazuje zajistit, že poddodavatelé budou jimi prováděné části plnění provádět v souladu se všemi podmínkami této smlouvy. Tím není dotčena výlučná odpovědnost dodavatele za poskytování řádného plnění podle této smlouvy. Dodavatel tedy odpovídá objednateli za řádné plnění této smlouvy, které svěřili poddodavateli, ve stejném rozsahu, jako by jej poskytoval sám.

3. Dodavatel je oprávněn změnit poddodavatele pouze z vážných objektivních důvodů a s předchozím písemným souhlasem objednatele, objednatel se zavazuje souhlas se změnou poddodavatele bezdůvodně neodpírat.

XIII

Platnost a účinnost smlouvy

Tato smlouva nabývá platnosti dnem jejího podpisu oprávněnými zástupci smluvních stran a účinnosti dnem jejího uveřejnění v registru smluv podle zákona č. 340/2015 Sb., o zvláštních podmínkách účinnosti některých smluv, uveřejňování těchto smluv a o registru smluv, ve znění pozdějších předpisů (dále jen „zákon o registru smluv“).

Článek XIV Ukončení smlouvy

1. Před uplynutím sjednané doby trvání může být tato smlouva ukončena písemnou dohodou smluvních stran, výpovědí nebo odstoupením od smlouvy v níže uvedených případech.

2. Objednatel je oprávněn tuto smlouvu jednostranně vypovědět bez udání důvodu ohledně poskytování podpory, a to vždy k výročí účinnosti smlouvy. Výpovědní doba činí 3 (slovy: tři) měsíce a počne běžet prvého dne kalendářního měsíce následujícího po doručení výpovědi druhé smluvní straně.

3. Smluvní strany jsou oprávněny od této smlouvy odstoupit s účinky do budoucna v případě jejího podstatného porušení druhou smluvní stranou s tím, že za podstatné porušení smlouvy se pro účely tohoto ujednání pokládá zejména:

• opakované (nejméně 3 x) nedodržení SLA (stanoveného v příloze č. 1 této smlouvy) během jednoho kalendářního roku;

• prodlení se zajišťováním služeb SOC podle článku II odst. 1. této smlouvy delší jak 10 dní;

• porušení povinnosti mít po celou dobu trvání této smlouvy v platnosti pojistnou smlouvu podle článku VII odst. 1. písm. c) této smlouvy;

• prodlení objednatele s uhrazením ceny služeb po dobu delší než 30 (slovy: třicet) dnů.

4. Objednatel je oprávněn od této smlouvy odstoupit s účinky do budoucna v případě neschválení finančních prostředků ze státního rozpočtu na plnění poskytované na základě této smlouvy. Případné neschválení finančních prostředků ze státního rozpočtu na příslušné období je objednatel povinen bezodkladně písemnou formou oznámit dodavateli.

5. Odstoupení od smlouvy nebo jiné ukončení smlouvy se nedotýká práva na zaplacení smluvních pokut, úroku z prodlení, práva na náhradu škody vzniklé z porušení smluvní povinnosti ani dalších ujednání, která mají vzhledem ke své povaze zavazovat smluvní strany i po ukončení od smlouvy.

6. Smluvní strany jsou povinny poskytnout si v případě předčasného ukončení této smlouvy veškerou potřebnou součinnost tak, aby žádné ze smluvních stran nevznikla škoda.

Článek XV Závěrečná ustanovení

1. Právní vztahy výslovně neupravené touto smlouvou se řídí právním řádem České republiky, zejména občanským zákoníkem.

2. Tuto smlouvu lze měnit a doplňovat pouze vzestupně číslovanými písemnými dodatky podepsanými oprávněnými zástupci obou smluvních stran.

3. Dodavatel uděluje bezvýhradný souhlas se zveřejněním plného znění této smlouvy, s výjimkou neuveřejnitelných částí a údajů (z důvodů vyplývajících z platných právních předpisů) v souladu s platnými právními předpisy, zejména se zákonem o zadávání veřejných zakázek, zákonem o registru smluv a se zákonem č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů.

4. Smluvní strany se dohodly, že uveřejnění této smlouvy v registru smluv podle zákona o registru smluv zajistí objednatel.

5. Dodavatel souhlasí s tím, aby subjekty oprávněné podle zákona č. 320/2001 Sb., o finanční kontrole ve veřejné správě a o změně některých zákonů, v platném znění, provedly finanční kontrolu závazkového vztahu vyplývajícího z této smlouvy s tím, že se podrobí této kontrole a budou působit jako osoby povinné ve smyslu ust. § 2 písm. e) uvedeného zákona.

6. Smluvní strany se dohodly, že veškeré sporné záležitosti, které se vyskytnou a budou se týkat závazků vyplývajících z této smlouvy, budou prioritně řešit dohodou. Případnému soudnímu sporu z této smlouvy bude vždy předcházet snaha smluvních stran o řešení sporu smírem.

7. Neplatnost nebo neúčinnost některého ustanovení této smlouvy nezpůsobuje neplatnost smlouvy jako celku. Smluvní strany se zavazují nahradit případná neplatná nebo neúčinná ustanovení smlouvy ustanoveními platnými a účinnými, která budou co do obsahu a významu neplatným nebo neúčinným ustanovením co nejblíže.

8. Veškerá oznámení podle této smlouvy musí být učiněna písemně a zaslána všem kontaktním osobám druhé smluvní strany prostřednictvím datové schránky, doporučenou poštou, případně předána osobně do podatelny v sídle objednatele.

9. Smluvní strany se dohodly, že smluvním jazykem je jazyk český a že v českém jazyce bude probíhat veškerá komunikace ve všech věcech týkajících se této smlouvy.

10. Tato smlouva byla sepsána ve 3 (slovy: třech) vyhotoveních v listinné podobě, z nichž objednatel obdrží 2 (slovy: dva) a dodavatel 1 (slovy: jeden) stejnopis.

11. Smluvní strany prohlašují, že tato smlouva byla uzavřena podle jejich pravé a svobodné vůle, vážně, určitě a srozumitelně, že si ji přečetly a s jejím obsahem souhlasí.

12. Nedílnou součástí této smlouvy jsou tyto přílohy:

• Příloha č. 1: Technická specifikace předmětu plnění

• Příloha č. 2: Realizační tým dodavatele

• Příloha č. 3: Specifikace poddodavatelů

• Příloha č. 4: Kontaktní a oprávněné osoby

V Praze dne 27. 5. 2020 V Brně dne 15. 5. 2020

………………………………………………………. …………………………………………………….. Česká republika – Český statistický úřad VISITECH, a.s.

Xxx. Xxxxxxx Xxxxxxx, ředitel Xxxxx Xxxxxx

odboru bezpečnosti a krizového řízení Předseda představenstva

Příloha č. 1

Smlouvy o zajištění služeb Security Operations Center

Technická specifikace předmětu plnění

Předmět zakázky

Předmětem zakázky je komplexní zajištění služeb bezpečnostního dohledu typu Security Operation Center nad prostředím a informačními systémy ČSÚ (dále jen „Služby SOC“) po dobu 36 měsíců.

Služby SOC budou zajišťovány formou provozu nástrojů pro vyhodnocování kybernetických bezpečnostních událostí v komunikačních sítích Českého statistického úřadu. Zadavatel pro účely poskytování služby zpřístupní dodavateli vlastní bezpečnostní dohledové systémy (SIEM, NetFlow/IPFIX monitoring) v potřebném rozsahu, včetně základní konfigurace (vytvoření jmenných účtů, nastavení rolí, apod.).

Rozsah prostředí

Služby SOC jsou v tuto chvíli provozovány nad 5 informačními systémy ČSÚ a související infrastruktuře. Počet aktivních připojených zdrojů logů do nástroje SIEM je cca 150, generované množství logů do nástroje SIEM dosahuje cca 400 EPS. V závislosti na nepravidelných projektech (např. volby nebo Sčítání lidu, domů a bytů) se dočasně množství logů může navýšit (řádově o malé stovky EPS). V závislosti s případnými změnami i přirozeným vývojem prostředí ČSÚ se může množství logů měnit i dlouhodobě.

Technická specifikace

Dohledové centrum kybernetické bezpečnosti (SOC)

Předmětem poptávky je komplexní řešení pro centralizovanou správu, ukládání a vyhodnocování logů v nezměnitelné podobě z libovolných síťových aktivních prvků, operačních systémů a používaného aplikačního software provozované formou služby Sdíleného dohledového centra kybernetické bezpečnosti (SOC – Security Operations Centra). Implementace systému bude provedena v souladu s § 23 Nástroj pro sběr a vyhodnocení kybernetických bezpečnostních událostí dle Vyhlášky č. 82/2018 Sb. k Zákonu č. 181/2014 Sb., o kybernetické bezpečnosti v platném znění.

Požadavky na SOC

1. Zadavatel předpokládá realizaci uvedených úloh prostředky a technologiemi Zadavatele, nejméně v rozsahu řešení sběru NetFlow a SIEM řešení jež zadavatel sám vlastní. Služba dodavatele zohlední přítomnost těchto prostředků na straně zadavatele v tom smyslu, že jako primární a rozhodné nástroje dodavatel využije tyto prostředky. Konfigurační změny a úpravy uvedených prostředků provede Dodavatel vlastním nákladem jako součást služby a předá je do vlastnictví zadavatele.

2. Bezpečnostní dohledové centrum dodavatele musí podporovat práci s nástroji Zadavatele, dle předmětu zakázky (SIEM – IBM QRadar, NetFlow – Flowmon). Zadavatel si vyhrazuje právo během trvání smlouvy na Služby SOC jednotlivé produkty obměnit za jiné v dané kategorii, na základě výsledků případných veřejných zakázek.

3. Dodavatel navrhne modifikaci relevantních procesů na straně Zadavatele, včetně atributů a parametrů procesů potřebných pro doručení služby.

4. Služba je dostupná v českém, případně slovenském jazyce.

5. Služba dohledu je zajišťována z území ČR.

6. V rámci služby bude vytvořeno bezpečné uložiště pro sdílení kompletních materiálů k poskytované službě.

7. Správa a dohled zdrojů – Performance a Capacity management je zajištěn nástroji Zadavatele využívaných Službou SOC

8. Sítový dohled - Network Performance Monitoring and Diagnostics je zajištěn nástrojem Zadavatele

9. Bezpečnostní dohled – SIEM je zajištěn nástrojem Zadavatele

10. Incident management – Operátorské činnosti, Incident handling, Incident Response.

11. Analýza incidentů – Odborné činnosti spočívající v detekci a lokalizaci příčin incidentů.

12. Návrhy systematických opatření – Sestavení opatření v organizační a technické úrovni pro posouzení Zadavatelem.

13. Návrhy řešení incidentů – Odborné činnosti pro kategorizaci na interní a externí příčiny incidentů a k nim příslušných opatření.

14. Reporting a analýza stavů, událostí a incidentů – Odborné činnosti pro doložení úrovně bezpečnosti vůči interním kontrolním procesům nebo pro doložení vůči externím kontrolním autoritám.

15. Personální zajištění služby SOC pracovníky Dodavatele s odbornou způsobilostí vyhovující požadavkům stanovaným v kvalifikačních požadavcích.

16. Plánování odstávek poskytované služby se zajištěnou náhradou.

17. Služba, včetně všech komponent poskytovaných dodavatelem, které využívá, musí být odolná proti výpadkům a poruchám. Všechny komponenty musí být schopny dlouhodobého provozu bez změny chování a úbytku výkonu.

18. Všechny parametry služby musí zajistit na úrovni technologií i procesů splnění požadavků na zajištění potřebné míry informační bezpečnosti, zejména pak: Důvěrnost, Citlivost, Dostupnost, Autentizaci, Autorizaci, Nepopiratelnost.

19. Služba musí zajistit odbavení všech monitorovaných atributů a parametrů, a to jak na úrovni přístupu ke vstupním/zdrojovým datům systému, tak i k incidentům.

20. Součástí služby bude rovněž odhalování zranitelností spravovaných aktiv, provázané s monitoringem a správou korelačních vrstev dat o spravovaných a dohledovaných celcích tak, aby umožňoval automatické stanovení relevance jednotlivých událostí. Služba zajistí rovněž prověřování evidovaných aktiv na dostupné zranitelnosti.

21. Služba zajistí klasifikaci incidentů a vytváření reportů v souladu s normami řady ISO / IEC 27000.

22. Služba zajistí řízení celého životního cyklu každého typu incidentu.

23. Služba zajistí vytváření vlastního auditního žurnálu (záznam změn konfigurace služby v nastavení přístupů personálu Dodavatele ke klasifikovaným informacím a systémům Zadavatele) po nastavitelnou dobu a tento musí být chráněn proti modifikaci, a být přístupný ke kontrole Zadavateli nebo k výkonu interního auditu Zadavatele.

24. Služba využije SIEM (bezpečnostní dohledové systémy) Zadavatele jako primární výpočetní prostředí a jako primární zdroj dat. Vrstva sběru dat a vyhodnocení informací bude funkčně i technicky integrována na prostředky Zadavatele tak, že veškeré změny v nastavení prostředků budou provedeny vždy primárně na straně těchto prostředků Zadavatele.

25. Služba zajistí úpravu procesů na straně Dodavatele a návrh na jejich integraci s relevantními procesy na straně Zadavatele (adaptace a akceptace sdílených procesů).

26. SLA procesních vstupů a výstupů – Služba zajistí monitoring procesů na straně Dodavatele a Zadavatele.

27. Dodavatel před podpisem smlouvy umožní Zadavateli návštěvu vlastního bezpečnostního dohledového centra, aby si mohl ověřit splnění požadavků. Zjištění nedodržení požadavků je důvod pro vyloučení Dodavatele.

28. Služba musí být rozšiřitelná způsobem, který umožní u každé části služby rozdělení nebo vydělení v samostatné části, funkčně shodné s originálem. V případě potřeby musí služba Dodavatele umožnit separaci na úrovní procesů, systémů, dat, přístupových oprávnění, včetně transferu historických dat a informací do prostředí Zadavatele.

Technické požadavky na SOC

29. Dodavatel provozuje vlastní Nástroj pro sběr a vyhodnocení kybernetických bezpečnostních událostí, který umožňuje napojení na nástroj pro sběr a vyhodnocení kybernetických bezpečnostních událostí Zadavatele (SIEM – IBM QRadar).

30. Rozhodné operace a manipulace jsou prováděny prostředky Zadavatele a nástroje Dodavatele budou sloužit na jeho straně pro případnou agregaci v rámci jeho procesů. Žádný ze způsobů propojení nesmí omezit nebo narušit primární autonomní fungování celého řešení jen prostředky Zadavatele.

31. Dodavatel zajistí provozní monitoring bezpečnostních nástrojů zadavatele, dle předmětu zakázky v rozsahu:

• dostupnost a funkčnost nástrojů,

• vytíženost nástrojů,

• detekce vyčerpání kapacitních zdrojů.

32. V rámci služby Dodavatel zajišťuje nastavování nástrojů Zadavatele, dle předmětu zakázky, v rozsahu:

• úprava a optimalizace korelačních pravidel,

• přidávání nových zařízení,

• vytváření nových scénářů pro detekci KBU,

• úprava nastavení nástrojů dle novelizace legislativních požadavků.

Požadovaná podpora SOC

33. Ticketovací systém s on-line přístupem pro kompletní správu požadavků včetně uchování historie požadavků a jejich řešení. Jeho dostupnost musí být v režimu 24x7. Zadavatel má přístup do tohoto systému prostřednictvím webGUI rozhraní.

34. Přístup k podpoře provozu systémů – HotLine

35. Přístup k podpoře Incident Response – telefon, email

36. Informování odpovědných osob Zadavatele o vzniku bezpečnostního incidentu v reálném čase za pomocí základních komunikačních nástrojů (e-mail / SMS / telefon).

37. Zakládání tiketů, proaktivní komunikace o jejich řešení. Komunikace s třetí stranou jako NBÚ, NUKIB, CSIRT atd.

38. Rozšířený reporting – detailní report o událostech a incidentech s návrhy systematických opatření 1x měsíčně. Vzdálená prezentace reportu např. formou videokonference. Prezentace měsíčních reportů v rozsahu 2 hod.

Report bude obsahovat minimálně následující:

• Kompletní přehled událostí z Flowmon ADS za dané období (měsíc), agregovaný dle typu události a seřazený dle priorit a porovnání s předchozím obdobím.

• Detailní rozbor jednotlivých událostí z Flowmon ADS za dané období dle jednotlivých typů událostí a porovnání s předchozím obdobím.

• Přehled nejčastějších zdrojů a cílů událostí z Flowmon ADS za dané období (u událostí typu Upload a High Transfer také přehled podle množství přenesených dat jednotlivých zdrojů).

• Přehled 10 nejčastějších událostí z nástroje SIEM za dané období agregovaný dle Event Name a seřazený dle četnosti výskytu.

• Přehled 10 nejčastějších offenses z nástroje SIEM za dané období agregovaných dle názvu a seřazených dle počtu výskytů.

• Přehled všech offenses z nástroje SIEM za dané období s magnitudou 5 a vyšší, seřazených dle magnitudy od nejzávažnějších.

• Přehled offenses pro 10 nejčastějších cílů (IP adres) z nástroje SIEM za dané období.

• Přehled offenses pro 10 nejčastějších zdrojů (IP adres) z nástroje SIEM za dané období.

• Xxxxxxx 00 zdrojů (IP adres) z nástroje SIEM za dané období s nejvyšším počtem odmítnutých odchozích spojení na firewallech.

• Přehled 10 uživatelských účtů z nástroje SIEM za dané období s nejvyšším počtem špatných přihlášení.

• Přehled 10 uživatelských účtů z nástroje SIEM za dané období s nejvyšším počtem úspěšných vzdálených přihlášení.

• Popis relevantních událostí a offenses s potenciálem přejít v kybernetické bezpečnostní incidenty s doporučením, jak je co nejlépe řešit.

• Seznam a popis úprav pravidel a nastavení nástrojů, navržených na základě událostí, offenses a trendů za dané období.

39. Kontinuální skenování aktiv definovaných danou sítí/sítěmi a zranitelností relevantních pro daná aktiva. Minimálně na začátku poskytování služby budou provedeny plné skeny a dále vždy 1x měsíčně skeny rozdílové. K tomuto účelu může Zadavatel poskytnout přístup k nástroji pro skenování zranitelností (Nexpose).

40. Přístup administrátorů Zadavatele ke sledovaným parametrům alespoň v režimu čtení prostřednictvím grafického rozhraní (GUI – dashboard apod.).

41. Technologie sběru dat – Služba zajistí užití SIEM systému Zadavatele jako základního zdroje dat a bude s ním komunikovat průmyslově standardními protokoly. Řešení na straně Zadavatele zajištuje sběr, přenos a uložení logů a jejich vyhodnocování v rámci SIEM.

42. Base line analýza – Služba zajistí porovnání neobvyklých počtů určitých událostí oproti jinému období z minulosti.

43. Členění aktiv – Aktiva musí být možno rozdělit, dle jejich důležitosti. Aktiva musí mít uživatelsky definovatelné kategorie a parametry.

44. Relevance zranitelnosti – U aktiv musí být ověřena relevantnost incidentů pro dané aktivum vulnerability scannerem.

45. Kategorizace aktiv/zdrojů – Služba zajistí evidenci a vyhodnocení kategorie aktiv dle povahy zdrojových dat a dle těchto kategorií bude utvářet další pravidla nebo reporty v prostředcích Zadavatele.

46. Manuální parsovací pravidla – Služba zajistí generování parsovacích pravidel a reportů v prostředcích Zadavatele.

47. Historická korelace – Služba zajistí ověření nového korelačního pravidla proti historickým datům.

48. Reporty – Služba zajistí provádění on-demand spouštění některých pravidel a z výstupu bude vytvářet reporty.

49. Režim Maintenance – Služba musí být schopna běhu v režimu údržby, kdy se nebudou z jednotlivých zdrojů/aktiv vyhlašovat alerty.

50. Sdílené účty – Služba zajistí detekci privilegovaných přístupů pro konkrétního uživatele.

51. Služba Monitoringu a detekce:

• Průběžné sledování provozu prostředí Zadavatele.

• Real-time analýza situace v napojených zařízeních podle skupin, kategorií zařízení a podle kontextu log záznamů nebo událostí.

• 2x denně odborné posouzení bezpečnostní situace a provozního stavu. V případě anomálie posouzení její relevance a závažnosti.

• Posouzení kontextu anomálie a příčin vzniku situace s případnou eskalací problému zadavatele na analytického specialistu dodavatele.

52. Služba včasné výstrahy a reakce na nestandardní situace v provozu bezpečnostních systémů:

• Zpracování analytických scénářů na aktuální kybernetické hrozby.

• Posouzení eskalovaného problému zadavatele analytickým specialistou.

• Detekce a vyhodnocení závažnosti identifikovaných anomálií.

• Posouzení a případná eskalace nestandardní situace v provozu zadavatele na službu včasné výstrahy a reakce na incident v rámci bezpečnostních struktur ČR.

SLA parametry SOC

53. Dodavatel musí provozovat vlastní bezpečnostní dohledovou službu v režimu 24x7x365. Ve smyslu zajištění provozu systémů a pohotovosti role Operátor SOC. Operátor SOC musí být přítomen na pracovišti alespoň v režimu 10x5, zbytek doby musí zajišťovat formou pohotovosti, kdy je schopen reagovat na alerty systému na incidenty kategorií II a III. Operátor bude v době pohotovosti incidenty kategorií II a III telefonicky hlásit pověřené osobě na straně Zadavatele. Služby ostatních procesních rolí jsou poskytovány minimálně v režimu 10x5. Zadavatel nebude v rámci plnění této zakázky požadovat zajištění vyššího režimu.

Parametry SLA v režimu 10x5 (v případě role Operátor SOC i v době pohotovosti):

54. Kategorie III – eskalace do 30 minut (Detekce: 5 minut, Vyhodnocení: 20 minut, Klasifikace: 5 minut) - velmi významný kybernetický bezpečnostní incident, při kterém je přímo a významně narušena bezpečnost poskytovaných služeb nebo aktiv. Jeho řešení vyžaduje neprodlené zásahy obsluhy s tím, že musí být všemi dostupnými prostředky zabráněno dalšímu šíření kybernetického bezpečnostního incidentu včetně minimalizace vzniklých i potenciálních škod.

55. Kategorie II – eskalace do 2 hodin - významný kybernetický bezpečnostní incident, při kterém je narušena bezpečnost poskytovaných služeb nebo aktiv. Jeho řešení vyžaduje neprodlené zásahy obsluhy s tím, že musí být vhodnými prostředky zabráněno dalšímu šíření kybernetického bezpečnostního incidentu včetně minimalizace vzniklých škod.

56. Kategorie I – eskalace do 24 hodin - méně významný kybernetický bezpečnostní incident, při kterém dochází k méně významnému narušení bezpečnosti poskytovaných služeb nebo aktiv. Jeho řešení vyžaduje zásahy obsluhy s tím, že musí být vhodnými prostředky omezeno další šíření kybernetického bezpečnostního incidentu včetně minimalizace vzniklých škod. Jedná se bezpečnostní incidenty, které nespadají do kategorií III a II.

Pro každý kybernetický incident (dle §7, ZokB) prochází Dodavatel následným postupem k určení kategorií kybernetických bezpečnostních incidentů (dle §31, VoKB) podle následků a negativních projevů pro doporučení opatření či součinnosti v následné reakci:

Fáze Detekce

• Monitoring prostředí vymezeného Zadavatelem.

• Dohledování bezpečnostní situace Zadavatele.

• Detekce anomálie – rozpoznání odchylky od běžného stavu nebo od Zadavatelem normovaného stavu.

Fáze Přiřazení

• Klasifikace anomálie - určení závažnosti ve škále:

o False-Positive Alarm – způsobuje falešný alarm z důvodu:

▪ chyby v úsudku míry závažnosti anomálie;

▪ nepřesnosti rozpoznání odchylky vzniklé při dohledování a monitoringu v předchozí fázi Detekce.

o Bezpečnostní událost - anomálie, která může způsobit narušení bezpečnosti:

▪ informací v informačních systémech Zadavatele;

▪ služeb Zadavatele;

▪ a integrity datových sítí Zadavatele.

o Bezpečnostní incident – anomálie, která narušila či narušuje bezpečnost:

▪ informací v informačních systémech Zadavatele;

▪ služeb Zadavatele;

▪ a integritu datových sítí Zadavatele nebo jiných subjektů.

Fáze Analýza

• Vyhodnocení anomálie – vyhodnocení relevance:

o k systémům Zadavatele;

o k procesům Zadavatele;

o k zákonným normám ČR vztažených na Zadavatele.

• Klasifikace incidentu – začlenění incidentu do bezpečnostního typu kategorie dle určení Zadavatelem nebo dle §30, VoKB:

o Podle příčiny:

▪ incident způsobený kybernetickým útokem nebo jinou událostí vedoucí k průniku do systému nebo k omezení dostupnosti služeb;

▪ incident způsobený škodlivým kódem;

▪ incident způsobený překonáním technických opatření;

▪ incident způsobený porušením organizačních opatření;

▪ incident spojený s projevem trvale působících hrozeb;

▪ ostatní incidenty způsobené kybernetickým útokem.

o Podle dopadu:

▪ incident způsobující narušení důvěrnosti aktiv;

▪ incident způsobující narušení integrity aktiv;

▪ incident způsobující narušení dostupnosti aktiv;

▪ incident způsobující kombinaci výše uvedených dopadů.

o Kategorizace incidentu – začlenění incidentu podle významnosti: Fáze Eskalace a Notifikace Zadavatele

Dodavatel podle kategorie incidentu a relevance zajišťuje rozdělení notifikace (telefonní hovor, SMS, e-mail, tiket v ServiceDesk)

Příloha č. 2

Smlouvy o zajištění služeb Security Operations Center

Realizační tým dodavatele

Seznam členů realizačního týmu dodavatele je uveden níže v tabulce:

Seznam členů realizačního týmu
Role	Xxxxx a příjmení
Kvalifikovaný architekt technologií	xxxxxxxxxxxxxxxx
Manažer kybernetické bezpečnosti	xxxxxxxxxxxxxxxx
Analytik/expert bezpečnosti	xxxxxxxxxxxxxxxx
	xxxxxxxxxxxxxxxx
Operátor SOC	xxxxxxxxxxxxxxxx
	xxxxxxxxxxxxxxxx
	xxxxxxxxxxxxxxxx
Technický konzultant produktů SIEM	xxxxxxxxxxxxxxxx
Technický konzultant produktů pro sběr NetFlow	xxxxxxxxxxxxxxxx

Příloha č. 3

Smlouvy o zajištění služeb Security Operations Center

Specifikace poddodavatelů

Společnost VISITECH, a.s. prohlašuje, že nevyužije žádných poddodavatelů k plnění výše uvedené zakázky. Služby bude poskytovat výhradně jako jediný dodavatel.

Příloha č. 4

Smlouvy o zajištění služeb Security Operations Center

Kontaktní a oprávněné osoby

Za účelem řádné realizace této smlouvy jmenují smluvní strany kontaktní a oprávněné osoby: ČSÚ:

	jméno	telefon	e-mail
kontaktní osoba ve věcech administrativních	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx
kontaktní osoba ve věcech technických	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx
oprávněná osoba ve věcech převzetí plnění	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx
oprávněná osoba ve věcech smluvních	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx

VISITECH, a.s.:

	jméno	telefon	e-mail
kontaktní osoby ve věcech administrativních	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx
kontaktní osoby ve věcech technických	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx
oprávněné osoby ve věcech akceptace plnění	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx
oprávněné osoby ve věcech smluvních	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx	xxxxxxxxxxxxxxxx