+PŘÍLOHA Technické a metodické požadavky uvedené v článku 2 tohoto nařízení
---+1. Politika bezpečnosti sítí a informačních systémů (čl. 21 odst. 2 písm. a) směrnice (EU) …
------+1.1. Politika bezpečnosti sítí a informačních systémů
---------+1.1.1. Pro účely čl. 21 odst. 2 písm. a) směrnice (EU) 2022/2555 politika bezpečnosti sítí a …
---------+1.1.2. Bezpečnostní politiku v oblasti sítí a informačních systémů řídící orgány přezkoumávají a v …
------+1.2. Úkoly, odpovědnosti a pravomoci
---------+1.2.1. Příslušné subjekty v rámci své politiky bezpečnosti sítí a informačních systémů uvedené v …
---------+1.2.2. Příslušné subjekty vyžadují, aby všichni zaměstnanci a třetí strany uplatňovali bezpečnost …
---------+1.2.3. Řídícím orgánům je v otázkách bezpečnosti sítí a informačních systémů přímo podřízena …
---------+1.2.4. V závislosti na velikosti příslušných subjektů spadá bezpečnost sítí a informačních systémů …
---------+1.2.5. Kolidující povinnosti a protichůdné oblasti odpovědnosti budou v příslušných případech …
---------+1.2.6. Řídící orgány úkoly, odpovědnosti a pravomoci přezkoumávají a v případě potřeby aktualizují …
---+2. Politika řízení rizik (čl. 21 odst. 2 bod a) směrnice (EU) 2022/2555)
------+2.1. Rámec pro řízení rizik
---------+2.1.1. Pro účely čl. 21 odst. 2 písm. a) směrnice (EU) 2022/2555 příslušné subjekty zřídí a …
---------+2.1.2. Pro účely bodu 2.1.1 příslušné subjekty stanoví postupy pro identifikaci, analýzu, posouzení …
---------+2.1.3. Při identifikování vhodných možností a opatření k ošetření rizik a stanovení pořadí jejich …
---------+2.1.4. Příslušné subjekty výsledky posouzení rizik a plán ošetření rizik přezkoumají a v případě …
------+2.2. Sledování souladu
---------+2.2.1. Příslušné subjekty pravidelně přezkoumávají dodržování svých politik bezpečnosti sítí a …
---------+2.2.2. Příslušné subjekty zavedou účinný systém podávání zpráv o dodržování souladu, který bude …
---------+2.2.3. Příslušné subjekty provádějí sledování souladu v plánovaných intervalech a při výskytu …
------+2.3. Nezávislý přezkum bezpečnosti informací a sítí
---------+2.3.1. Příslušné subjekty nezávisle přezkoumávají svůj přístup k řízení bezpečnosti sítí a …
---------+2.3.2. Příslušné subjekty vypracovávají a spravují postupy pro provádění nezávislých přezkumů …
---------+2.3.3. Výsledky nezávislých přezkumů, včetně výsledků sledování souladu podle bodu 2.2 a …
---------+2.3.4. Nezávislé přezkumy se provádějí v plánovaných intervalech a při výskytu významných incidentů …
---+3. Řešení incidentů (čl. 21 odst. 2 písm. b) směrnice (EU) 2022/2555)
------+3.1. Politika řešení incidentů
---------+3.1.1. Pro účely čl. 21 odst. 2 písm. b) směrnice (EU) 2022/2555 příslušné subjekty vypracují a …
---------+3.1.2. Politika uvedená v bodě 3.1.1 musí být v souladu s plánem kontinuity provozu a plánem pro …
---------+3.1.3. Úkoly, odpovědnosti a postupy stanovené v politice se testují, přezkoumávají a v případě …
------+3.2. Monitorování a vedení protokolů
---------+3.2.1. Příslušné subjekty stanoví postupy a používají nástroje pro činnosti v rámci monitorování a …
---------+3.2.2. Monitorování musí být v proveditelném rozsahu automatizované a v závislosti na kapacitách …
---------+3.2.3. Na základě postupů uvedených v bodě 3.2.1 příslušné subjekty vedou, dokumentují a …
---------+3.2.4. Protokoly se pravidelně přezkoumávají, zda se v nich neobjevují neobvyklé nebo nežádoucí …
---------+3.2.5. Příslušné subjekty uchovávají a zálohují protokoly po předem stanovenou dobu a chrání je …
---------+3.2.6. Příslušné subjekty v proveditelném rozsahu zajistí, aby všechny systémy měly synchronizované …
---------+3.2.7. Postupy i seznam aktiv, o kterých mají být vedeny protokoly, se přezkoumávají a v případě …
------+3.3. Oznamování událostí
---------+3.3.1. Příslušné subjekty zavedou jednoduchý mechanismus, který umožní jejich zaměstnancům …
---------+3.3.2. Příslušné subjekty v případě potřeby informují své dodavatele a zákazníky o mechanismu pro …
------+3.4. Hodnocení a klasifikace událostí
---------+3.4.1. Příslušné subjekty posoudí podezřelé události, aby určily, zda se jedná o incidenty, a pokud …
---------+3.4.2. Pro účely bodu 3.4.1 postupují příslušné subjekty takto: a) provedení hodnocení na základě …
------+3.5. Reakce na incident
---------+3.5.1. Příslušné subjekty reagují na incidenty včas a v souladu se zdokumentovanými postupy.
---------+3.5.2. Postupy reakce na incident zahrnují tyto fáze: a) zamezení šíření incidentu s cílem předejít …
---------+3.5.3. Příslušné subjekty stanoví komunikační plány a postupy: a) s týmy pro reakce na počítačové …
---------+3.5.4. Příslušné subjekty vedou protokoly o činnostech v rámce reakce na incident v souladu s …
---------+3.5.5. Příslušné subjekty v plánovaných intervalech testují své postupy reakce na incidenty.
------+3.6. Přezkumy po incidentu
---------+3.6.1. V případě potřeby příslušné subjekty provádějí po obnově přezkumy po incidentu. Přezkumy po …
---------+3.6.2. Příslušné subjekty zajistí, aby přezkumy po incidentu přispěly ke zlepšení jejich přístupu k …
---------+3.6.3. Příslušné subjekty v plánovaných intervalech přezkoumávají, zda incidenty vedly k přezkumu …
---+4. Kontinuita podnikání a krizové řízení (čl. 21 odst. 2 písm. c) směrnice (EU) 2022/2555)
------+4.1. Plán kontinuity provozu a obnovy provozu po havárii
---------+4.1.1. Pro účely čl. 21 odst. 2 písm. c) směrnice (EU) 2022/2555 příslušné subjekty stanoví a …
---------+4.1.2. Provoz příslušných subjektů se obnoví v souladu s plánem kontinuity provozu a obnovy provozu …
---------+4.1.3. Příslušné subjekty provedou analýzu obchodního dopadu, aby posoudily potenciální dopady …
---------+4.1.4. Plán kontinuity provozu a obnovy provozu po havárii se testuje, přezkoumává a v případě …
------+4.2. Správa zálohování a redundance
---------+4.2.1. Příslušné subjekty uchovávají záložní kopie údajů a poskytují dostatečné dostupné zdroje …
---------+4.2.2. Na základě výsledků posouzení rizik provedeného podle bodu 2.1 a plánu kontinuity provozu …
---------+4.2.3. Příslušné subjekty provádějí pravidelné kontroly integrity záložních kopií.
---------+4.2.4. Na základě výsledků posouzení rizik provedeného podle bodu 2.1 a plánu kontinuity provozu …
---------+4.2.5. Příslušné subjekty v případě potřeby zajistí, aby sledování a přizpůsobení zdrojů, včetně …
---------+4.2.6. Příslušné subjekty provádějí pravidelné testování obnovy záložních kopií a redundancí, aby …
------+4.3. Krizové řízení
---------+4.3.1. Příslušné subjekty zavedou postup pro krizové řízení.
---------+4.3.2. Příslušné subjekty zajistí, aby postup krizových řízení zahrnoval alespoň tyto prvky: a) …
---------+4.3.3. Příslušné subjekty zavedou postup pro správu a využívání informací obdržených od týmů CSIRT …
---------+4.3.4. Příslušné subjekty plán krizového řízení pravidelně nebo po významných incidentech nebo …
---+5. Bezpečnost dodavatelského řetězce (čl. 21 odst. 2 písm. d) směrnice (EU) 2022/2555)
------+5.1. Politika bezpečnosti dodavatelského řetězce
---------+5.1.1. Pro účely čl. 21 odst. 2 písm. d) směrnice (EU) 2022/2555 příslušné subjekty stanoví …
---------+5.1.2. V rámci politiky bezpečnosti dodavatelského řetězce uvedené v bodě 5.1.1 stanoví příslušné …
---------+5.1.3. Při vytváření své politiky bezpečnosti dodavatelského řetězce příslušné subjekty v …
---------+5.1.4. Na základě politiky bezpečnosti dodavatelského řetězce a s přihlédnutím k výsledkům …
---------+5.1.5. Příslušné subjekty zohlední prvky uvedené v bodech 5.1.2 a 5.1.3 v rámci procesu výběru …
---------+5.1.6. Příslušné subjekty politiku bezpečnosti dodavatelského řetězce přezkoumávají, sledují a …
---------+5.1.7. Pro účely bodu 5.1.6 příslušné subjekty: a) v příslušných případech pravidelně monitorují …
------+5.2. Seznam dodavatelů a poskytovatelů služeb
---+6. Zabezpečení pořizování, vývoje a údržby sítí a informačních systémů (čl. 21 odst. 2 písm. e) …
------+6.1. Zabezpečení pořizování služeb IKT nebo produktů IKT
---------+6.1.1. Pro účely čl. 21 odst. 2 písm. e) směrnice (EU) 2022/2555 příslušné subjekty stanoví a …
---------+6.1.2. Pro účely bodu 6.1.1 procesy uvedené v bodě 6.1.1 zahrnují: a) bezpečnostní požadavky, které …
---------+6.1.3. Příslušné subjekty procesy přezkoumávají a v případě potřeby aktualizují v plánovaných …
------+6.2. Životní cyklus bezpečného vývoje
---------+6.2.1. Před vývojem sítě a informačního systému, včetně softwaru, stanoví příslušné subjekty …
---------+6.2.2. Pro účely bodu 6.2.1 příslušné subjekty: a) provádějí analýzu bezpečnostních požadavků ve …
---------+6.2.3. Při externě zajišťovaném vývoji sítí a informačních systémů příslušné subjekty uplatňují …
---------+6.2.4. Příslušné subjekty v plánovaných intervalech přezkoumají a, je-li to nutné, aktualizují svá …
------+6.3. Správa konfigurace
---------+6.3.1. Příslušné subjekty přijmou vhodná opatření k vytvoření, zdokumentování, zavedení a …
---------+6.3.2. Pro účely bodu 6.3.1 příslušné subjekty: a) stanoví a zajistí bezpečnost konfigurací pro …
---------+6.3.3. Příslušné subjekty konfigurace přezkoumávají a v případě potřeby aktualizují v plánovaných …
------+6.4. Řízení změn, opravy a údržba
---------+6.4.1. Při řízení změn v sítích a informačních systémech příslušné subjekty uplatňují postupy …
---------+6.4.2. Postupy uvedené v bodě 6.4.1. se uplatní na vydání, úpravy a mimořádné změny jakéhokoli …
---------+6.4.3. V případě, že nebylo možné dodržet standardní postupy řízení změn z důvodu mimořádné …
---------+6.4.4. Příslušné subjekty postupy přezkoumávají a v případě potřeby aktualizují v plánovaných …
------+6.5. Testování bezpečnosti
---------+6.5.1. Příslušné subjekty stanoví, zavedou a uplatňují politiku a postupy pro testování bezpečnosti.
---------+6.5.2. Příslušné subjekty: a) na základě posouzení rizik provedeného podle bodu 2.1 stanoví …
---------+6.5.3. Příslušné subjekty své politiky testování bezpečnosti přezkoumají a v případě potřeby …
------+6.6. Řízení bezpečnostních záplat
---------+6.6.1. Příslušné subjekty stanoví a uplatňují postupy, které jsou v souladu s postupy řízení změn …
---------+6.6.2. Odchylně od bodu 6.6.1 písm. a) se příslušné subjekty mohou rozhodnout bezpečnostní záplaty …
------+6.7. Bezpečnost sítí
---------+6.7.1. Příslušné subjekty přijmou vhodná opatření na ochranu svých sítí a informačních systémů před …
---------+6.7.2. Pro účely bodu 6.7.1 příslušné subjekty: a) v komplexní a aktuální podobě zdokumentují …
---------+6.7.3. Příslušné subjekty tato opatření přezkoumávají a v případě potřeby aktualizují v plánovaných …
------+6.8. Segmentace sítě
---------+6.8.1. Příslušné subjekty rozdělí systémy na sítě nebo zóny v souladu s výsledky posouzení rizik …
---------+6.8.2. Za tímto účelem příslušné subjekty: a) zohlední funkční, logické a fyzické vztahy mezi …
---------+6.8.3. Příslušné subjekty segmentaci sítě přezkoumávají a v případě potřeby aktualizují v …
------+6.9. Ochrana před škodlivým a neautorizovaným softwarem
---------+6.9.1. Příslušné subjekty chrání své sítě a informační systémy před škodlivým a neautorizovaným …
---------+6.9.2. Za tímto účelem příslušné subjekty zejména zavedou opatření, která odhalí nebo zabrání …
------+6.10. Řešení a zveřejňování zranitelností
---------+6.10.1. Příslušné subjekty získají informace o technických zranitelnostech svých sítí a …
---------+6.10.2. Pro účely bodu 6.10.1 příslušné subjekty: a) sledují informace o zranitelnostech …
---------+6.10.3. Pokud je to odůvodněno potenciálním dopadem zranitelnosti, příslušné subjekty vypracují a …
---------+6.10.4. Příslušné subjekty přezkoumají a v případě potřeby v plánovaných intervalech aktualizují …
---+7. Politiky a postupy za účelem posouzení účinnosti opatření k řízení kybernetických bezpečnostních …
------+7.1. Pro účely čl. 21 odst. 2 písm. f) směrnice (EU) 2022/2555 příslušné subjekty stanoví, zavedou …
------+7.2. Politika a postupy uvedené v bodě 7.1. zohledňují výsledky posouzení rizik podle bodu 2.1. a …
------+7.3. Příslušné subjekty politiku a postupy přezkoumávají a v případě potřeby aktualizují v …
---+8. Základní postupy v oblasti kybernetické hygieny a bezpečnostní školení (čl. 21 odst. 2 písm. g) …
------+8.1. Zvyšování povědomí a základní postupy v oblasti kybernetické hygieny
---------+8.1.1. Pro účely čl. 21 odst. 2 písm. g) směrnice (EU) 2022/2555 příslušné subjekty zajistí, aby si …
---------+8.1.2. Pro účely bodu 8.1.1 poskytnou příslušné subjekty svým zaměstnancům, včetně členů řídících …
---------+8.1.3. Program zvyšování povědomí se v případě potřeby testuje z hlediska účinnosti. Program …
------+8.2. Bezpečnostní školení
---------+8.2.1. Příslušné subjekty určí zaměstnance, jejichž funkce vyžadují dovednosti a odborné znalosti v …
---------+8.2.2. Příslušné subjekty vytvoří, zavedou a použijí program školení v souladu s politikou …
---------+8.2.3. Školení uvedené v bodě 8.2.1 musí být relevantní pro pracovní funkci zaměstnance a musí být …
---------+8.2.4. Příslušné subjekty vztáhnou školení na zaměstnance, kteří přecházejí na nové pozice nebo …
---------+8.2.5. Program je pravidelně aktualizován a prováděn s přihlédnutím k platným politikám a …
---+9. Kryptografie (čl. 21 odst. 2 písm. h) směrnice (EU) 2022/2555)
------+9.1. Pro účely čl. 21 odst. 2 písm. h) směrnice (EU) 2022/2555 příslušné subjekty stanoví, zavedou …
------+9.2. Politika a postupy uvedené v bodě 9.1 stanoví: a) v souladu s klasifikací aktiv příslušných …
------+9.3. Příslušné subjekty v plánovaných intervalech přezkoumávají a v případě potřeby aktualizují své …
---+10. Bezpečnost lidských zdrojů (čl. 21 odst. 2 písm. i) směrnice (EU) 2022/2555)
------+10.1. Bezpečnost lidských zdrojů
---------+10.1.1. Pro účely čl. 21 odst. 2 písm. i) směrnice (EU) 2022/2555 příslušné subjekty zajistí, aby …
---------+10.1.2. Požadavek uvedený v bodě 10.1.1 musí zahrnovat: a) mechanismy, které zajistí, aby všichni …
---------+10.1.3. Příslušné subjekty v plánovaných intervalech, nejméně však jednou ročně, přezkoumají …
------+10.2. Ověření spolehlivosti
---------+10.2.1. Příslušné subjekty v proveditelném rozsahu zajistí, aby se u jejich zaměstnanců a v …
---------+10.2.2. Pro účely bodu 10.2.1 příslušné subjekty: a) zavedou kritéria, která stanoví, které úkoly …
---------+10.2.3. Příslušné subjekty tuto politiku v plánovaných intervalech přezkoumávají a v případě …
------+10.3. Postup při ukončení nebo změně pracovního poměru
---------+10.3.1. Příslušné subjekty zajistí, aby byly smluvně vymezeny a vymáhány odpovědnosti a povinnosti …
---------+10.3.2. Pro účely bodu 10.3.1 příslušné subjekty začlení do pracovních podmínek, smlouvy nebo …
------+10.4. Disciplinární řízení
---------+10.4.1. Příslušné subjekty zavedou, sdělí a udržují disciplinární postup pro řešení porušení …
---------+10.4.2. Příslušné subjekty v plánovaných intervalech a v případě potřeby v důsledku právních změn …
---+11. Kontrola přístupu (čl. 21 odst. 2 písm. i) a j) směrnice (EU) 2022/2555)
------+11.1. Postup kontroly přístupu
---------+11.1.1. Pro účely čl. 21 odst. 2 písm. i) směrnice (EU) 2022/2555 příslušné subjekty stanoví …
---------+11.1.2. Politiky uvedené v bodě 11.1.1: a) řeší přístup ze strany osob, včetně zaměstnanců …
---------+11.1.3. Příslušné subjekty tyto politiky přezkoumávají a v případě potřeby aktualizují v …
------+11.2. Správa přístupových práv
---------+11.2.1. Příslušné subjekty poskytují, upravují, odebírají a dokumentují přístupová práva k sítím a …
---------+11.2.2. Příslušné subjekty: a) přidělují a odebírají přístupová práva podle zásady „potřeba vědět“ …
---------+11.2.3. Příslušné subjekty v plánovaných intervalech přezkoumávají přístupová práva a upravují je …
------+11.3. Administrátorské účty a účty pro správu systému
---------+11.3.1. Příslušné subjekty udržují politiky pro správu administrátorských účtů a účtů pro správu …
---------+11.3.2. Politiky uvedené v bodě 11.3.1: a) zavádějí silnou identifikaci, autentizaci, jako je např. …
---------+11.3.3. Příslušné subjekty v plánovaných intervalech přezkoumávají přístupová práva …
------+11.4. Systémy správy
---------+11.4.1. Příslušné subjekty omezí a řídí používání systémů pro správu systému v souladu s politikou …
---------+11.4.2. Za tímto účelem příslušné subjekty: a) používají systémy pro správu systému pouze pro účely …
------+11.5. Identifikace
---------+11.5.1. Příslušné subjekty řídí celý životní cyklus identit sítí a informačních systémů a jejich …
---------+11.5.2. Za tímto účelem příslušné subjekty: a) nastaví jedinečné identity pro sítě a informační …
---------+11.5.3. Příslušné subjekty povolí identitu přidělenou více osobám, například sdílenou identitu …
---------+11.5.4. Příslušné subjekty pravidelně přezkoumávají identity sítí a informačních systémů a jejich …
------+11.6. Ověření
---------+11.6.1. Příslušné subjekty zavedou bezpečné ověřovací postupy a technologie založené na omezení …
---------+11.6.2. Za tímto účelem příslušné subjekty: a) zajistí, aby úroveň ověření odpovídala klasifikaci …
---------+11.6.3. Příslušné subjekty v proveditelném rozsahu používají nejmodernější metody ověřování, a to v …
---------+11.6.4. Příslušné subjekty v plánovaných intervalech přezkoumávají postupy a technologie ověřování.
------+11.7. Vícefaktorová autentizace
---------+11.7.1. Příslušné subjekty zajistí, aby uživatelé byli při přístupu do sítě a informačních systémů …
---------+11.7.2. Příslušné subjekty zajistí, aby úroveň ověření odpovídala klasifikaci aktiva, k němuž má …
---+12. Správa aktiv (čl. 21 odst. 2 písm. i) směrnice (EU) 2022/2555)
------+12.1. Klasifikace aktiv
---------+12.1.1. Pro účely čl. 21 odst. 2 písm. i) směrnice (EU) 2022/2555 příslušné subjekty stanoví stupně …
---------+12.1.2. Pro účely bodu 12.1.1 příslušné subjekty: a) stanoví systém stupňů utajení aktiv; b) …
---------+12.1.3. Příslušné subjekty provádějí pravidelné přezkumy stupňů utajení aktiv a v případě potřeby …
------+12.2. Zacházení s aktivy
---------+12.2.1. Příslušné subjekty vytvoří, zavedou a uplatňují politiku správného zacházení s aktivy …
---------+12.2.2. Tato politika: a) pokrývá celý životní cyklus aktiv, včetně pořízení, používání …
---------+12.2.3. Příslušné subjekty tuto politiku přezkoumávají a v případě potřeby aktualizují v …
------+12.3. Politika týkající se vyměnitelných médií
---------+12.3.1. Příslušné subjekty stanoví, zavedou a uplatňují politiku správy vyměnitelných paměťových …
---------+12.3.2. Tato politika: a) stanoví technický zákaz připojení vyměnitelných médií, pokud pro použití …
---------+12.3.3. Příslušné subjekty tuto politiku přezkoumávají a v případě potřeby aktualizují v …
------+12.4. Soupis aktiv
---------+12.4.1. Příslušné subjekty vypracují a udržují úplný, přesný, aktuální a ucelený soupis svých …
---------+12.4.2. Podrobnost soupisu aktiv by měla být na úrovni odpovídající potřebám příslušných subjektů. …
---------+12.4.3. Příslušné subjekty pravidelně přezkoumávají a aktualizují soupis a svá aktiva a dokumentují …
------+12.5. Uložení, vrácení nebo smazání aktiv po ukončení pracovního poměru
---+13. Environmentální a fyzická bezpečnost (čl. 21 odst. 2 písm. c), e) a i) směrnice (EU) 2022/2555)
------+13.1. Podpůrné služby
---------+13.1.1. Pro účely čl. 21 odst. 2 písm. c) směrnice (EU) 2022/2555 příslušné subjekty zabrání …
---------+13.1.2. Za tímto účelem příslušné subjekty v případě potřeby: a) chrání zařízení před výpadky …
---------+13.1.3. Příslušné subjekty pravidelně nebo po významných incidentech nebo významných změnách …
------+13.2. Ochrana před fyzickými a environmentálními hrozbami
---------+13.2.1. Pro účely čl. 21 odst. 2 písm. e) směrnice (EU) 2022/2555 příslušné subjekty na základě …
---------+13.2.2. Za tímto účelem příslušné subjekty v případě potřeby: a) navrhují a provádějí ochranná …
---------+13.2.3. Příslušné subjekty pravidelně nebo po významných incidentech nebo významných změnách …
------+13.3. Kontrola vnějšího a fyzického přístupu
---------+13.3.1. Pro účely čl. 21 odst. 2 písm. i) směrnice (EU) 2022/2555 příslušné subjekty předcházejí …
---------+13.3.2. Za tímto účelem příslušné subjekty: a) na základě posouzení rizik provedeného podle bodu …
---------+13.3.3. Příslušné subjekty opatření ke kontrole fyzického přístupu testují, přezkoumávají a v …
|
PŘÍLOHA Technické a metodické požadavky uvedené v článku 2 tohoto nařízení
PŘÍLOHA Technické a metodické požadavky uvedené v článku 2 tohoto nařízení
1. Přehled
1.1 Odkazy
1.2 Identifikované požadavky
1.3 Související standardy
2. Identifikované požadavky
Požadavky
| Zdroj |
Požadavek |
3. Související standardy
Standardy
| Zdroj |
Požadavek |
|