Důvodová zpráva k vyhlášce č. 122/2026 Sb.

Ustanovení v rozsahu zákonného zmocnění podle § 14 odst. 6, § 15 odst. 2 a § 19 odst. 5 zákona o kritické infrastruktuře vymezuje předmět právní úpravy – konkrétně je věcná působnost návrhu vyhlášky vymezena pro definování náležitostí a způsobu zpracování plánu odolnosti a posouzení rizik subjektu kritické infrastruktury, obsahu opatření pro posilování odolnosti a o podrobnostech souvisejících s hlášením incidentů.

Technická opatření představují prostředky pro ochranu vnitřních a vnějších prostor objektů vlastněných nebo provozovaných subjektem kritické infrastruktury. Potřeba a případný rozsah jejich zavedení se odvíjí od výsledků hodnocení rizik, tj. stanovuje si subjekt kritické infrastruktury na základě vlastního posouzení. Smyslem je přitom snížení pravděpodobnosti vzniku incidentu jejich implementací, případně snížení dopadů incidentu.

Organizační opatření souvisí se stanovením režimových opatření v rozsahu subjektem kritické infrastruktury stanovených pokynů, příkazů, omezení a postupů, jejichž cílem je mj. zajistit vzájemné vazby mezi zavedenými opatřeními a uživateli objektu. Režimová opatření se týkají činnosti pracovníků uvnitř organizace (vlastních zaměstnanců), pohybu a chování externích osob (návštěv, dodavatelů apod.), oběhu dokladů a informací uvnitř organizace (administrativní nebo spisový řád) a vstupů a výstupů informací, dat a dokumentů vně subjektu. Režimová opatření lze dále rozdělit na stálá a doplňková. Příkladem stálých režimových opatření může být režim vstupu a výstupu osob (např. zaměstnanci, externí pracovníci, návštěvy), režim pohybu osob a vozidel v objektu, režim nakládání s identifikačními prvky (např. klíče, PIN kódy, identifikační karty) nebo opatření a postupy pro nežádoucí události. Za doplňková režimová opatření lze poté označit například dočasné omezení vstupů a vjezdů vozidel, dostupnost vybraného okruhu pracovníků nebo periodické kontroly objektů.

Bezpečnostní opatření je takové opatření sloužící k zajištění odolnosti subjektu kritické infrastruktury, které nemá charakter technického nebo organizačního opatření.

Fyzická bezpečnost zahrnuje soubor opatření, jehož cílem je ochránit zejména majetek a infrastrukturu subjektu kritické infrastruktury, a také osoby vstupující či se nalézající v jeho objektu nebo areálu. Cílem opatření v rámci fyzické bezpečnosti je snížení rizika narušení poskytování základní služby související s neoprávněnou manipulací s majetkem a infrastrukturou, nebo se zajištěním bezpečnosti osob.

Objekt představuje budovu nebo areál budov, stavbu, technologické zařízení, komunikaci, infrastrukturu, pozemek nebo vnitřní prostor v budově. Jedná se tedy o určité hmotné aktivum vlastněné nebo provozované subjektem kritické infrastruktury, které v souvislosti se svou činností užívá. Fyzická ochrana objektu je zajišťována prostřednictvím technických opatření. V případě, že vlastníkem objektu není subjekt kritické infrastruktury, jsou opatření fyzické ochrany přijímána tak, aby nedošlo k narušení majetkoprávních vztahů mezi subjektem kritické infrastruktury a vlastníkem objektu

Bezpečnostní perimetr označuje hranicí vymezenou oblast v okolí kritické infrastruktury, ve kterém je zajišťována fyzická bezpečnost. Cílem této hranice je včasná detekce a zamezení přístupu neoprávněným osobám. Fyzická hranice bezpečnostního perimetru může být vymezena například plotem, zdí, bariérou nebo oplocením. Kontrolními body pro vstup nebo vjezd do bezpečnostního perimetru mohou být například vstupní brány a vjezdy, turnikety nebo kontrolní stanoviště. Uvnitř bezpečnostního perimetru pak mohou být stanovena technická nebo organizační opatření. Zároveň je potřeba vnímat bezpečnostní perimetr jako trojrozměrnou hranici, tzn. že k jejímu narušení může dojít také například neoprávněným vniknutím do vzdušného prostoru v okolí objektu.

Nežádoucí událost značí jakoukoliv událost, která může mít negativní vliv na poskytování základní služby. Jinou činností se přitom rozumí jakákoliv činnost, která souvisí s poskytováním základní služby. Při naplnění stanovené prahové hodnoty 35 % je nežádoucí událost považována za incident.

Mimo uvedené pojmy, které jsou definovány v návrhu vyhlášky, se v této oblasti pracuje i s dalšími pojmy, které vycházejí v dané oblasti např. z technických norem. Jedná se o následující pojmy.

Řízení rizik, kterým se označuje činnost subjektu kritické infrastruktury, která přímo navazuje na identifikaci a popis rizik v rámci provedení opatření pro jeho zvládnutí. Řízením rizik se tak rozumí veškerá činnosti subjektu kritické infrastruktury, která souvisí s prováděním opatření pro posilování jeho odolnosti.

Kontinuita činností, která představuje zachování nebo obnovení poskytování základní služby ze strany subjektu kritické infrastruktury. Zachování poskytování základní služby je primárním cílem zákona o kritické infrastruktuře a za tímto účelem má subjekt kritické infrastruktury přijímat opatření v rozsahu stanoveném subjektem kritické infrastruktury v rámci plánu zajištění kontinuity činností.

Odezva na incidenty je pojem označující činnost vykonávanou subjektem kritické infrastruktury při vzniku incidentu, kdy primárním cílem snížení nebo zamezení jeho dopadů a obnovení poskytování základní služby ve stanoveném rozsahu. Může se jednat například o nastavení postupů, zavedení interních pravidel nebo přidělení pravomocí a odpovědnosti konkrétním zaměstnancům nebo pozicím. Cílem je, aby měl subjekt kritické infrastruktury dopředu stanoveny uvedené úkony a byl tak co možná nejlépe připraven na případný incident.

Řízení bezpečnosti pracovníků je činnost subjektu kritické infrastruktury, jejímž účelem je stanovení oprávnění a povinností pracovníků v souvislosti se zajištěním bezpečnosti subjektu kritické infrastruktury. V kontextu návrhu vyhlášky se jedná konkrétně o vytvoření postupu pro identifikaci a určování kritických pracovníků, vytvoření postupu pro identifikaci osob dotčených ověřováním jejich spolehlivosti, stanovením činnosti manažera kritické infrastruktury a činnosti související s plánem rozvoje bezpečnostního povědomí a plánem kontrolní činnosti.

Řízení bezpečnosti dodavatelského řetězce souvisí se zajištěním odolnosti subjektu kritické infrastruktury v rámci vztahu se svými dodavateli. Bezpečnost dodavatelského řetězce představuje jeden z klíčových aspektů odolnosti subjektu kritické infrastruktury, který zároveň silně ovlivňuje zajištění kontinuálního poskytování základní služby. V rámci návrhu vyhlášky je proto uvedena sada úkonů, které má subjekt kritické infrastruktury za účelem zajištění své odolnosti v souvislosti s opatřeními ve vztahu k dodavatelskému řetězci přijímat. Tyto úkony přitom necílí pouze na kritické dodavatele, což je nový instrument zavedený zákonem, ale na dodavatele obecně. Důvodem je potřeba se zaměřit na bezpečnost dodavatelského řetězce v celém svém rozsahu.

K ČÁSTI DRUHÉ – POSOUZENÍ RIZIK SUBJEKTU KRITICKÉ INFRASTRUKTURY A PLÁN ODOLNOSTI

Při zpracování dokumentace posouzení rizik subjektu kritické infrastruktury lze vycházet z ČSN ISO 31000, přičemž stěžejní jsou zejména skutečnosti uvedené v kapitole 6 - Proces, která mimo jiné definuje tři posloupné úkony v rámci posouzení rizik – identifikaci rizika, analýzu rizika a hodnocení rizika. Takové zpracování dokumentace posouzení rizik je považováno za souladné s požadavky tohoto návrhu vyhlášky. Následně je zde definováno ošetření rizika. Uvedené úkony jsou součástí této vyhlášky.

Dokumentací posouzení rizik se rozumí písemné zaznamenání samotného posouzení rizik subjektu kritické infrastruktury a souvisejících náležitostí, jako jsou vypracovaná metodika pro identifikaci, analýzu, hodnocení a ošetření rizika a popis zvolené techniky posuzování rizika, včetně její aplikace, vycházející například z přílohy B ČSN EN IEC 31010, která obsahuje přehled a popis jednotlivých metod použitelných pro zmiňované čtyři úkony. Zároveň může subjekt kritické infrastruktury použít i jinou vhodnou metodu (například specifikou pro dané odvětví nebo pododvětví).

Identifikace rizik je úvodním krokem posouzení rizik. Jejím účelem je stanovení hrozeb, které mohou narušit poskytování základní služby daným subjektem kritické infrastruktury. Za tímto účelem využije subjekt kritické infrastruktury výstupů z posouzení rizik České republiky, konkrétně z části věnující se nepřijatelným rizikům v rámci odvětví nebo pododvětví, ve kterém poskytuje základní službu. Tato nepřijatelná rizika převezme a v rámci posouzení rizik s nimi dále pracuje. Pro potřeby posouzení rizik subjektu kritické infrastruktury jsou pro následný postup považovány za hrozby. Současně subjekt kritické infrastruktury stanoví specifické hrozby pro jím poskytovanou základní službu, například vyplývající z provozu dané kritické infrastruktury nebo ze stanovených pracovních postupů. Za účelem identifikace rizik specifických pro daný subjekt kritické infrastruktury lze využít i metody a postupy pro ověření úrovně zabezpečení, jako jsou například penetrační testy fyzické ochrany nebo simulace nežádoucích událostí.

Při analýze rizik subjekt kritické infrastruktury u identifikovaných rizik stanoví pravděpodobnost jejich vzniku a dopady (následky) jejich případného výskytu na poskytovanou základní službu, přičemž v rámci tohoto úkonu posoudí alespoň skutečnosti podle odstavce 5. Pravděpodobnost vzniku hrozby je stanovena primárně na základě jejího statistického výskytu za určité období a predikce jejího budoucího výskytu na základě relevantních zdrojů. V případě nedostatku dat nebo jejich celkové absence se využije expertního odhadu. S tímto se pojí také posouzení povahy a typu nejistot souvisejících s rizikem, přičemž příkladem může být nedostatek dat nebo omezené informace, nepřesná měření, případně proměnlivost podmínek. V takovýchto případech pak může být použit konzervativní přístup založený na nejhorším realistickém scénáři nebo naplánováno další měření nebo monitoring za účelem zpřesnění. V případě, že je posouzení povahy a typu nejistoty součástí již samotné použité metodiky pro analýzu rizik, postačí tuto skutečnost uvést v dokumentaci posouzení rizik. Stanovení dopadů konkrétní hrozby na poskytovanou základní službu se odvíjí od zranitelnosti dané kritické infrastruktury vůči této hrozbě. Pro následný výpočet úrovně rizika se využijí bodové hodnoty (1-5) z tabulky č. 1 a tabulky č. 2 v příloze č. 1 k této vyhlášce odpovídající pravděpodobnosti a dopadům konkrétní hrozby. Samotný výpočet je proveden součinem zmiňovaných bodových hodnot.

Podstatou hodnocení rizik je stanovení jejich přijatelnosti. Subjekt kritické infrastruktury tak učiní pomocí tabulky č. 3 v příloze č. 1 k této vyhlášce, a to na základě vypočítané úrovně rizika (bodová hodnota 1-25). Při stanovení přijatelnosti rizik přitom subjekt kritické infrastruktury zohlední již zavedená opatření k eliminaci nebo omezení působení rizik, případně ke snížení pravděpodobnosti jejich výskytu. Za přijatelná rizika jsou považována taková rizika, která odpovídají bodové hodnotě 1-2. Těmto rizikům není potřeba nadále věnovat zvýšenou pozornost. Rizika v bodové hodnotě

3-12 jsou považována za podmínečně přijatelná – v případě možného snížení rizika méně náročnými opatřeními (např. lehkou úpravou postupů nebo zavedením jednoduchých bezpečnostních opatření) subjekt kritické infrastruktury takováto opatření přijme. V případě, že by snížení rizika v uvedeném bodovém rozpětí bylo možné pouze za předpokladu přijetí opatření s vyšší náročností (např. nákupem nových technologií nebo celkovou restrukturalizací organizace) se takováto opatření nepřijmou a riziko je považováno za přijatelné. Rizika v bodové hodnotě

13-25 jsou považována za nepřijatelná a subjekt kritické infrastruktury musí neprodleně zahájit kroky k jejich odstranění (např. okamžitým zavedením konkrétních režimových opatření nebo výstavbou mechanických zábranných prostředků). Subjekt kritické infrastruktury dále při hodnocení rizik předběžně stanoví možný rozsah dopadů nepřijatelných rizik pro potřeby identifikace incidentu (vizte § 12 – Parametry incidentu).

Ošetření rizik představuje činnosti subjektu kritické infrastruktury související s řízením nepřijatelných rizik a podmínečně přijatelných rizik. Cílem je definovat opatření, která je za účelem eliminace nebo omezení rizik potřeba přijmout. Subjekt kritické infrastruktury současně popíše, na základě čeho se pro dané opatření rozhodl a jakým způsobem jej bude realizovat.

Při zpracování posouzení rizik subjektem kritické infrastruktury je nezbytné zohlednit skupiny rizik uvedené v tomto odstavci. Cílem tohoto požadavku je zahrnout do posouzení rizik subjektu kritické infrastruktury rizika ze všech relevantních skupin rizik tak, aby bylo možné provést komplexní posouzení všech rizik, která jsou pro dané odvětví nebo pododvětví, ve kterém je poskytována základní služba, relevantní. Uvedené skupiny rizik přitom vycházejí primárně ze směrnice CER. Jednou z hrozeb, které by v rámci posouzení rizik měla být s ohledem na aktuální bezpečnostní situaci věnována pozornost, je rušení nebo podvržení GNSS signálu.

Subjekty kritické infrastruktury mohou využít jiný postup posouzení rizik, včetně metod s vyšší mírou detailu nebo víceúrovňovým vyhodnocením, než který je stanoven ve vyhlášce, pokud tento postup poskytuje objektivně přesnější, konzervativnější nebo jinak kvalitnější výstupy než postup podle vyhlášky, a to i v případě, že výsledky posouzení rizik nejsou přímo numericky shodné s výsledky podle přílohy č. 1. Pokud subjekt kritické infrastruktury neprokáže, že jím zvolený postup poskytuje vyšší míru detailu a přesnosti, použije se postup podle přílohy č. 1.

Obsahem § 4 a 5 je popis struktury a způsobu zpracování plánu odolnosti. Plán odolnosti představuje stěžejní dokumentaci pro posilování odolnosti subjektů kritické infrastruktury a v plném rozsahu nahrazuje plán krizové připravenosti subjektu kritické infrastruktury, jehož vypracování ukládal subjektům kritické infrastruktury krizový zákon. Plán odolnosti lépe vystihuje nové pojetí zajišťování odolnosti subjektů kritické infrastruktury s důrazem na posilování jejich odolnosti a kontinuální poskytování základních služeb. Zároveň plně pokrývá náležitosti plynoucí ze směrnice CER.

Plán odolnosti nemá stanovenu grafickou podobu, nicméně jeho úvodní strana musí obsahovat skutečnosti uvedené v odstavci 1 a musí být vypracován v elektronické a listinné podobě v českém jazyce. Při ukládání plánu odolnosti je nutné dbát na to, aby byl v požadovaném rozsahu dostupný všem zaměstnancům, kteří jsou jim dotčeni z hlediska svého pracovního zařazení. Primární formou plánu odolnosti pro běžnou činnost v rámci subjektu kritické infrastruktury bude elektronická podoba. Listinná podoba bude využívána zejména v rámci kontroly podle § 22 a 23 zákona o kritické infrastruktuře.

Plán odolnosti je obsahově rozdělen do tří hlavních částí – informační, operativní a pomocné. Každá z těchto částí musí obsahovat náležitosti stanovené v odstavcích 2, 3 a 4.

V úvodu informační části jsou uvedeny základní informace o subjektu kritické infrastruktury, jako jsou název, adresa sídla a identifikační číslo osoby. V případě zařazení subjektu kritické infrastruktury do koncernu se rovněž uvedou případné vazby na ostatní subjekty kritické infrastruktury v daném koncernu. Dále subjekt kritické infrastruktury uvede název všech poskytovaných základní služeb a v případě svého určení subjektem evropského kritické infrastruktury také tuto skutečnost pro konkrétní poskytovanou základní službu. Uvede také postup pro identifikaci své konkrétní kritické infrastruktury a popis parametrů, na základě kterých k identifikaci došlo. Subjekt kritické infrastruktury současně posuzuje a eviduje vazby mezi funkčními celky kritické infrastruktury. Pojem „funkční celek“ je v tomto ustanovení potřeba chápat jako soubor jednotlivých aktiv, zařízení, vybavení, sítí nebo systémů, která je účelné a logické do takovéhoto souboru zařadit. Vazby jsou pak primárně posuzovány a evidovány mezi těmito funkčními celky, nikoliv mezi jednotlivými aktivy, zařízeními, vybaveními, sítěmi nebo systémy. Pokud ovšem tyto prvky jsou samy o sobě považovány za určitý funkční celek, mohou být vazby posuzovány a evidovány také mezi nimi.

V rámci tohoto posouzení se subjekt kritické infrastruktury zaměří na existenci přímého nebo nepřímého vlivu vzájemné vazby, možnost jejího nahrazení a její časovou charakteristiku. Příkladem přímého vlivu této vazby může být elektrárna, která svou výrobou elektrické energie přímo ovlivňuje ostatní klíčové provozy v rámci jedné organizace. Při nepřímém vlivu vazby dochází k ovlivnění přes jiný prvek. Nepřímým vlivem vazby může být například narušení dodávek elektrické energie, na kterých je závislá základní služba v rámci digitální infrastruktury (konkrétně napájení elektrickou energií základnových stanic veřejných mobilních komunikačních sítí), která je zase klíčová pro jinou činnost. Možnost nahrazení vazby lze demonstrovat na příkladu přístupu k náhradnímu zdroji elektrické energie při výpadku standardních dodávek. Časová charakteristika vazby určuje to, po jaký časový úsek musí působit vazba mezi kritickou infrastrukturou pro její plnohodnotnou funkci. Lze tak rozlišovat například vazbu nepřetržitou, periodickou a pohotovostní. Nepřetržitá vazba značí potřebu nepřetržitého propojení kritické infrastruktury, periodická vazba se oproti tomu vyskytuje v pravidelných časových intervalech a pohotovostní vazba působí pouze při specifických událostech či na vyžádání v případě potřeby.

Účelem tohoto ustanovení je, aby subjekt kritické infrastruktury na základě vlastních kritérií či parametrů, uvedených v metodice, identifikoval kritickou infrastrukturu, tedy určité prvky, které jsou nezbytné pro poskytování základní služby. Vychází se z předpokladu, že samotný subjekt kritické infrastruktury je nejlépe obeznámen s tím, které prvky jsou pro poskytování základní služby nezbytné. Současně je schopen posuzovat i vzájemné vazby mezi nimi. Zmíněné úkony lze považovat za významný předpoklad pro následné posouzení rizik.

Informativní část dále obsahuje seznam kritických pracovníků a přehled kritických dodavatelů, tedy pracovníků a dodavatelů, kteří byli subjektem kritické infrastruktury za kritické pracovníky a kritické dodavatele označeni. Popis zdrojů nezbytných k zajištění poskytování základní služby a informací o způsobu zabezpečení nezbytných věcných prostředků zahrnuje vlastní zdroje subjektu kritické infrastruktury a informace o tom, jakým způsobem je subjekt kritické infrastruktury zajistí, a také věcné prostředky nezbytné k zajištění poskytování základní služby během krizové situace, které subjekt kritické infrastruktury není schopen zajistit jiným způsobem.

Operativní část je klíčovou částí plánu odolnosti, ve které subjekt kritické infrastruktury uvede souvislosti týkající se nepřijatelných rizik, řízení těchto rizik a plánu komunikace a přehledu spojení. Subjekt kritické infrastruktury do této části zahrne přehled rizik, která byla vyhodnocena jako nepřijatelná a současně přehled závislosti jednotlivých odvětví, pododvětví a základních služeb na jím poskytované základní službě. Účelem tohoto posouzení meziodvětvových dopadů je stanovení případného přesahu dopadů narušení poskytování dané základní služby také do jiných odvětví, pododvětví a základních služeb. Zároveň se jedná o přípravný úkon pro případný vznik incidentu, v rámci jehož identifikace stanoví subjekt kritické infrastruktury počet základních služeb závislých na jím poskytované základní službě (kritérium F). Příkladem může být dlouhodobé narušení dodávky elektřiny, které by silně ovlivnilo poskytování základních služeb také v jiných odvětvích a pododvětvích, konkrétně potom dojde k narušení základní služby Poskytování akutní lůžkové péče nebo Poskytování služby cloud computingu. V návaznosti na nepřijatelná rizika provádí subjekt kritické infrastruktury řízení těchto rizik, a to formou přehledu opatření k zajištění odolnosti v rozsahu oblastí stanovených částí třetí tohoto návrhu vyhlášky. Plán komunikace a přehled spojení představuje přehled všech kontaktních údajů (jméno, funkce, e-mail, telefonní číslo) na osoby, které se mohou podílet na zajištění poskytování základní služby a řešení incidentů, a to jak v rámci samotného subjektu kritické infrastruktury, tak i mimo něj (kontakty na věcného gestora, orgány krizového řízení na ústřední nebo územní úrovni). Komunikační část bude popisovat způsob, nástroje a komunikační toky od subjektu směrem k orgánům veřejné moci. Plán spojení pak bude navazovat ve formě konkrétních kontaktů na jednotlivé organizační útvary v rámci daného subjektu a na jednotlivé orgány vně subjektu.

Pomocná část je doplňkovou částí plánu odolnosti, jejímž účelem je usnadnit a zpřehlednit proces zajišťování odolnosti subjektu kritické infrastruktury a stanovit pravidla pro řádné nakládání s plánem odolnosti. Za tímto účelem se zde uvede přehled právních předpisů (např. zákon č. 266/2025 Sb. a související prováděcí právní předpisy) a technické normy (např. ČSN EN ISO 22301 nebo ČSN ISO 28000), které subjekt kritické infrastruktury využil při přijímání opatření k zajištění své odolnosti, včetně případných jiných souvisejících dokumentů (např. interní předpisy). Dále se uvede odkaz na dokumentaci posouzení rizik, v rámci které je zaznamenáno posouzení rizik. Není tedy nutné zakomponovat dokumentaci posouzení rizik přímo do plánu odolnosti, postačí na něj v dané části pouze odkázat (název dokumentu a místo jeho uložení). Subjekt kritické infrastruktury uveden rovněž seznam dokumentů, které určitým způsobem souvisí s přijímáním opatření k zajištění odolnosti subjektu kritické infrastruktury, přehled geografických podkladů pro přehlednější orientaci a zásady manipulace s plánem odolnosti, jejichž obsahem je například přehled osob, které se mohou s plánem odolnosti seznamovat nebo místo jeho uložení. Seznamem dokumentů souvisejících s přijímáním opatření k zajištění odolnosti subjektu kritické infrastruktury se přitom rozumí pouze podpůrné materiály (např. technické specifikace, potvrzení o zavedení opatření nebo certifikace), které nejsou pro operativní část plánu odolnosti klíčové. Samotná přijímaná opatření již budou uvedena v operativní části. Rozsah citlivých informací uvedených v plánu odolnosti je na samotném subjektu kritické infrastruktury, stejně tak i způsob jejich zabezpečení a přístupu k nim. Obecně lze konstatovat, že subjekty kritické infrastruktury nebudou povinnými subjekty podle zákona č. 106/1999 Sb., o svobodném přístupu k informacím, a to na základě § 11 odst. 6 písm. b) tohoto zákona.

K ČÁSTI TŘETÍ – OPATŘENÍ K ZAJIŠTĚNÍ ODOLNOSTI SUBJEKTU KRITICKÉ INFRASTRUKTURY

Vstupním předpokladem pro řádné řízení rizik subjektem kritické infrastruktury je zpracované posouzení rizik, v tomto kontextu zejména hodnocení rizik. V rámci řízení rizik subjekt kritické infrastruktury realizuje ošetření rizik zavedením systému řízení rizik a provádí opatření pro zvládání nepřijatelných rizik a podmínečně přijatelných rizik. V případě již existující dostatečné úrovně odolnosti vůči vybraným rizikům může subjekt kritické infrastruktury stanovit rozsah opatření k zajištění své odolnosti nebo vyloučit zavedení opatření pro snížení jejich dopadů.

Subjekt kritické infrastruktury pro zajišťování kontinuity činností vychází z postupů a zásad stanovených v ČSN EN ISO 22301, přičemž uvedená technická norma je z pohledu této vyhlášky chápána jako indikativní. Klíčovým dokumentem v této oblasti je plán zajištění kontinuity činností, který může být v případě potřeby uložen na jiném dostupném místě a plán odolnosti, jehož je plán zajištění kontinuity činností součástí, na něj může pouze odkazovat. Zpracování plánu zajištění kontinuity činností je v tomto kontextu potřeba vnímat jako jedno z opatření pro zajištění odolnosti. Před zpracováním plánu zajištění kontinuity činností zpracuje subjekt kritické infrastruktury metodiku obsahující postup pro provedení analýzy dopadů. Metodika je v obecném slova smyslu široký pojem, v kontextu návrhu vyhlášky ale představuje určitý písemný popis přístupu, činnosti, postupu nebo východisek, které subjekt kritické infrastruktury na základě vlastního uvážení a v rámci rozsahu stanoveného návrhem vyhlášky pro daný úkon zvolil. Smyslem vypracování metodiky subjektem kritické infrastruktury je stanovení vodítek, parametrů či kritérií, na základě kterých se subjekt kritické infrastruktury rozhoduje, aby mohla být v navazujících procesech objektivně zhodnocena. V rámci plánu zajištění kontinuity činností pak subjekt kritické infrastruktury provede samotnou analýzu. Analýza dopadů představuje hodnocení dopadů různých událostí, na činnost subjektu kritické infrastruktury. V případě této vyhlášky se jedná především o dopady související s poskytováním základní služby. V rámci analýzy dopadů mnohou být rovněž určeny například kritické činnosti související s poskytováním základní služby. Při zpracování analýzy dopadů subjekt kritické infrastruktury současně vychází z poznatků nabytých během zpracování posouzení rizik subjektu kritické infrastruktury. Na základě výstupů analýzy dopadů stanoví cíle zajištění kontinuity činností. Za tímto účelem určí minimální úroveň požadavků, která je nezbytná pro poskytování základní služby, včetně například požadavků na kapacitu náhradního (záložního) zdroje elektrické v případě jejího výpadku, a dobu, během které je možno po incidentu obnovit minimální úroveň poskytované základní služby. Za minimální úroveň požadavků může být považován například minimální počet kritických pracovníků potřebných pro poskytování základní služby nebo režim směn. V rámci zmiňované doby pak subjekt kritické infrastruktury určí časové období, během kterého dojde k obnově poskytování základní služby, a to alespoň na minimální úrovni, které je pro její poskytování nezbytná. V souvislosti s tímto bude stanoven postup pro naplnění těchto cílů, a to například stanovením funkcí s rozhodovací pravomocí nebo způsobem a směřováním komunikace uvnitř dané organizace. Za účelem ověřování relevance má být plán kontinuity činností testován, a to konkrétně jednou za čtyři roky, což odpovídá rovněž cyklu aktualizace posouzení rizik subjektu kritické infrastruktury a plánu odolnosti. Vybraný způsob testování plánu kontinuity činností je přitom čistě na uvážení samotného subjektu kritické infrastruktury. K testování může přitom využít například penetrační nebo zátěžové testy.

Cílem opatření k přípravě a odezvě na incidenty je stanovení postupů a rolí při prevenci vzniku incidentů, reakci na ně v případě jejich vzniku, stejně jako vyhodnocení účinnosti opatření a využití nabytých poznatků pro další posilování odolnosti. Pro identifikaci, zaznamenávání a vyhodnocování incidentů subjekt kritické infrastruktury zpracuje vnitřní nastavení pravidel a procesů pro jednotlivé úkony. Klíčové je v tomto kontextu stanovení odpovědnosti pracovníků za identifikaci, zaznamenávání a vyhodnocování incidentu a za koordinaci řešení incidentu a jeho zvládání. Zaznamenávání incidentů může být provedeno v elektronické nebo listinné formě a jeho smyslem je vytvoření přehledu všech vzniklých incidentů, ze kterého může subjekt kritické infrastruktury vycházet při navrhování a přijímání dalších opatření. V případě vzniku incidentu subjekt kritické infrastruktury prošetří jeho příčiny, tak aby bylo možné identifikovat, proč ke vzniku incidentu došlo a v návaznosti na to případně přijmout nezbytná opatření. Podíl uživatelů ovlivněných incidentem v rámci záznamu o incidentu představuje podíl uživatelů na trhu s danou základní službou (převážně v případě soukromých subjektů), případně obecný podíl potenciálních odběratelů dané základní služby (převážně v případě základních služeb poskytovaných výhradně státními orgány, kdy potenciálními odběrateli základní služby mohou být všichni obyvatelé České republiky a jejich podíl tak odpovídá 100 %).

Klíčovými úkony subjektu kritické infrastruktury v souvislosti s fyzickou bezpečnostní jsou stanovení bezpečnostního perimetru pro kritickou infrastrukturu, jeho rozdělení do jednotlivých zón s odlišnou úrovní fyzické ochrany a stanovení technických a režimových opatření uvnitř těchto zón. Dále také stanovení systému fyzické ochrany proti neoprávněnému vniknutí do vymezených prostor a k zabezpečení kritické infrastruktury. Při stanovení bezpečnostního perimetru a případného rozdělení do jednotlivých zón s odlišnou úrovní fyzické ochrany subjekt kritické infrastruktury zohlední polohu kritické infrastruktury a požadavky na její zabezpečení. Charakter a množství technických a režimových opatření se odvíjí od stanovené úrovně fyzické ochrany. Obsah opatření souvisejících s fyzickou bezpečností se odvíjí od charakteru a specifik dané kritické infrastruktury. Lze předpokládat, že například liniové stavby vyžadují odlišný přístup k posuzování a přijímaní opatření než stavby bodové či plošné. S ohledem na uvedené je pak nutno hodnotit, zda je zavedení opatření technicky možné či účelné a následně teprve přistoupit k realizaci.

V souvislosti s opatřeními subjekt kritické infrastruktury v případě potřeby přijímá technická opatření. Příklad prostředků technických opatření je uveden v odstavci 3 písm. a) až l).

Mechanickými zábrannými prostředky se rozumí stavební konstrukce budovy, uzamykací systémy nebo bezpečnostní značení, které slouží k zamezení přístupu nebo jeho ztížení do chráněného prostoru.

Poplachovým zabezpečovacím a tísňovým systémem je myšlena prostorová ochrana budovy uvnitř bezpečnostního perimetru. Základem bezpečnosti v dané oblasti je tísňový systém a jeho ovládání nebo detektory poplachového zabezpečovacího a tísňového systému, prostřednictvím kterých je zabezpečeno včasné zjišťování, indikace a vyhodnocování neoprávněného vniknutí či napadení osob.

Dohledovými videosystémy je chápán rozsah instalace otočných a pevných kamer, ochrana přenosových dat a on-line monitorování, prostřednictvím kterých jsou zabezpečeny rychlé a spolehlivé obrazové informace pro zabezpečovací, bezpečnostní a monitorovací činnosti.

Z hlediska dokumentování pohybu v chráněných prostorech je za systém kontroly a evidence vstupu považována třída identifikace, přístupové místo, rozsah instalace a hlášení výstrah.

Systémy přivolání pomoci představují zařízení k aktivaci a provozu poplachu, přenosu signálu a zajištění komunikace.

Poplachové přenosové systémy a zařízení představují signalizaci poplachových a provozních stavů a jejich vyvedení na trvale obsluhované středisko, což umožňuje přenos informací ze zabezpečovacích zařízení.

Kombinované a integrované systémy zabezpečují přenos informací mezi jednotlivými poplachovými i nepoplachovými systémy a slouží k využití společného zařízení, vybavení a přenosových tras.

Za přístroje pro použití ve dveřních vstupních audiosystémech a videosystémech se považují audiostanice a videostanice, které umožňují zvukové nebo obrazové ověření identity nebo dálkové odblokování dveří.

Nepřetržitý dohled nad připojenými poplachovými systémy mají na starosti dohledová a poplachová přijímací centra, která mají na starosti ochranu a redundanci tras a napájení, tísňový systém a jeho vyvedení na jiná dohledová a poplachová přijímací centra.

Nouzové zvukové systémy a hlasová výstražná zařízení slouží k vysílání informací nebo také k řízení evakuace.

Bezpečnostními bezpilotními systémy k monitoringu chráněných prostor a detekčními systémy ke zjištění přítomností cizích bezpilotních systémů se rozumí především drony, které umožňují rychlý přehled o situaci, detekci narušení a záznam dat bez nutnosti fyzické přítomnosti ostrahy v dané oblasti. Právní úprava podmínek provozu bezpilotních systémů tímto není dotčena.

Pro zjištění přítomnosti cizích osob nebo zařízení, které mohou v rámci bezpečnostního perimetru negativně působit, mohou subjekty kritické infrastruktury využít k tomu určené detekční technologie.

Další příklady prostředků technických opatření uvádí například předběžná norma ČSN P 73 4450-1.

V případě, že subjekt kritické infrastruktury provozuje několik obdobných objektů, může stanovit opatření typově podle kategorií těchto objektů a jejich rizikové úrovně, a to za předpokladu, že je zajištěna přiměřenost a prokazatelnost stanovených opatření podle odstavce 1. Toto ustanovení vychází ze skutečnosti, že definování opatření může v případě subjektů s větším počet provozovaných objektů vycházet z definovaných typových standardů pro jednotlivé kategorie objektů místo individuálního návrhu perimetru pro každý objekt, což vede ke snižování zejména administrativní zátěže na straně dotčených subjektů kritické infrastruktury.

Úpravou fyzické bezpečnosti v rámci návrhu vyhlášky není dotčena právní úprava fyzické bezpečnosti v rámci ochrany utajovaných informací podle zákona č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti, ve znění pozdějších předpisů, respektive vyhlášky č. 528/2005 Sb., o fyzické bezpečnosti a certifikaci technických prostředků, ve znění pozdějších předpisů.

Opatření k řízení bezpečnosti pracovníků vychází zejména z požadavků, které v této oblasti stanovuje směrnice CER a samotný zákon o kritické infrastruktuře. V rámci těchto opatření tak subjekt přijímá a implementuje opatření, která vedou k definování specifických pozic, popřípadě kategorií pracovníků osob v rámci samotného subjektu, a to jak z pohledu jejich významu pro poskytování základní služby tímto subjektem, tak i z pohledu možných bezpečnostních rizik při vstupu do bezpečnostních perimetrů kritické infrastruktury s vyšší úrovní fyzické ochrany. Cílem těchto opatření tak je identifikování a následné (formální) určení kritických pracovníků, přičemž status kritického pracovníka je vázán na konkrétní funkci v rámci organizace, a ne na konkrétní osobu. Kritický pracovník pak je v souladu se zákonem o kritické infrastruktuře chápán jako osoba, jejíž činnost v rámci subjektu kritické infrastruktury je nezbytná pro poskytování základní služby. Kromě identifikace kritických pracovníků subjekt kritické infrastruktury musí definovat přístupová práva pracovníků k informacím citlivé povahy, nebo ke kritické infrastruktuře, a to v souladu se stanovenými úrovněmi fyzické ochrany pro jednotlivé zóny bezpečnostního perimetru. V neposlední řadě subjekt kritické infrastruktury definuje pozice, popřípadě kategorie pracovníků, u kterých bude vyžadovat ověření spolehlivosti, přičemž je na zhodnocení subjektu, zdali bude ověření spolehlivosti vyžadovat u všech kritických pracovníků, u jejich definované části, nebo i u jiných pracovníků, kteří však nemají status kritického pracovníka. Dále stanoví požadavky na odbornou přípravu a kvalifikaci pro jednotlivé definované pozice či kategorie pracovníků.

Pro potřebu ověřování spolehlivosti subjekt kritické infrastruktury stanoví oprávněnou osobu, která bude pověřena kontrolou dokumentů, které slouží k ověření spolehlivosti, tedy dokladu totožnosti a dokladu o trestní bezúhonnosti příslušného pracovníka a také stanoví jednotný postup pro provádění této kontroly.

Kromě těchto organizačních opatření subjekt kritické infrastruktury v oblasti řízení bezpečnosti pracovníků rozvíjí bezpečnostní povědomí svých pracovníků. Způsob a postup jakým subjekt kritické infrastruktury rozvíjí bezpečnostní povědomí, musí být zpracován v samostatném plánu rozvoje bezpečnostního povědomí, ve kterém je zpracován způsob, jakým je v rámci organizace prováděno poučení vedení o jeho povinnostech v systému řízení rizik a řízení kontinuity činností, a to zejména s cílem zajistit efektivnější implementaci potřebných opatření, která jsou nezbytná pro zajištění základní služby a pro předcházení incidentům. Dále je v plánu uveden způsob, jakým je prováděno poučení všech pracovníků ve smyslu zákona o kritické infrastruktuře, tedy i zaměstnanců kritických dodavatelů (pokud tito zaměstnanci přicházejí do kontaktu s kritickou infrastrukturou příslušného subjektu kritické infrastruktury). Cílem tohoto poučení je informovat všechny příslušné pracovníky o jejich povinnostech, které se vážou k zajišťování základní služby, a které vyplývají z nastavených technických a režimových opatření. V rámci plánu rozvoje bezpečnostního povědomí dále musí být jasně specifikovány osoby, které jsou v rámci organizace odpovědné za realizaci jednotlivých činností, které jsou v tomto plánu uvedeny, tedy ve smyslu kdo, v jakém rozsahu a jakou formou provádí poučení vrcholového vedení a pracovníků o jejich povinnostech. Spolu s plánem rozvoje bezpečnostního povědomí dále subjekt kritické infrastruktury zpracuje plán kontrolní činnosti pro dodržování stanovených technických, bezpečnostních a organizačních opatření ze strany pracovníků a kritických pracovníků.

O školení a poučení subjekt kritické infrastruktury musí vést příslušné přehledy a záznamy, přičemž tyto přehledy obsahují informaci o způsobu a rozsahu provedeného poučení a školení a zároveň je v tomto přehledu uveden seznam osob, které toto školení či poučení absolvovali, a to včetně uvedení data, kdy k tomuto školení či poučení došlo.

V případě opatření k řízení bezpečnosti dodavatelského řetězce je subjekt kritické infrastruktury povinen na základě výsledků svého posouzení rizik plánovat a realizovat opatření, která snižují rizika spojená s jeho kritickými dodavateli nebo dodavatelskými řetězci, a to z toho důvodu, že slabiny v jeho dodavatelském řetězci mohou výrazně ohrozit odolnost tohoto subjektu a poskytování základní služby. Takto stanovená opatření poté musí subjekt kritické infrastruktury v nezbytně nutném rozsahu komunikovat směrem ke všem svým dodavatelům. Dále v rámci přijímaných opatření v souladu s výsledky posouzení rizik eviduje své kritické dodavatele, kterými jsou dodavatelé, bez jejichž dodávek by subjekt kritické infrastruktury nemohl poskytovat základní službu a toto narušení dodávek by následně vedlo ke vzniku incidentu. Subjekt kritické infrastruktury při zavádění opatření k zajištění své odolnosti ve vztahu k dodavatelům může postupovat podle normy ISO/TS 22318.

Informace o přijatých opatřeních, které subjekt kritické infrastruktury poskytne svému kritickému dodavateli, musí obsahovat konkrétní náležitosti. V rámci této informace tak subjekt kritické infrastruktury sdělí svému kritickému dodavateli, že je subjektem kritické infrastruktury podle zákona o kritické infrastruktuře, a to z důvodu poskytování příslušné základní služby, a dále do této informace uvede skutečnost, že daný dodavatel byl, vzhledem ke svému významu pro poskytování základní služby, označen za jeho kritického dodavatele. Mimo to subjekt kritické infrastruktury zajistí mlčenlivost kritického dodavatele o zmiňovaných skutečnostech.

Pro identifikaci incidentu je nezbytné znát parametry, podle kterých je nežádoucí událost považována za incident. Parametry incidentu jsou definovány rozsahem jeho dopadů. Za účelem určení těchto parametrů subjekt kritické infrastruktury stanoví předpokládaný rozsah dopadů narušení poskytování základní služby, a to v rámci posouzení rizik. Na nepřijatelná rizika aplikuje kritéria A až G a jejich bodové hodnoty z tabulky uvedené v příloze č. 3 k této vyhlášce. Cílem tohoto kroku je předběžně stanovit rozsah dopadů nepřijatelných rizik, která mohou způsobit incident tak, aby subjekt kritické infrastruktury předem analyzoval možné dopady potenciálního incidentu. Díky tomuto úkonu vznikne u subjektu kritické infrastruktury povědomí o možných dopadech narušení poskytování základní služby (incidentu) v rozsahu zmiňovaných kritérií A až G.

Při vzniku nežádoucí události subjekt kritické infrastruktury stanoví stejným způsobem jako v případě odstavce 1 rozsah jejich dopadů. Při tom vychází z předběžného stanovení rozsahu dopadů, pokud je daná nežádoucí událost svým rozsahem a charakterem blízká některému z nepřijatelných rizik, u kterých byl rozsah dopadů předběžně stanoven.

Popsaný proces identifikace incidentu sestávající ze dvou kroků přibližuje diagram na obrázku č. 1 (vizte níže). Subjekt kritické infrastruktury nejprve předběžně stanoví rozsah dopadů nepřijatelných rizik (odstavec 1). Za tímto účelem provede posouzení rizik zahrnující identifikaci rizik, analýzu rizik, hodnocení rizik a ošetření rizik. Při identifikaci rizik stanoví hrozby vyplývající z posouzení rizik České republiky a hrozby specifické pro poskytovanou základní službu nebo kritickou infrastrukturu subjektu kritické infrastruktury. Následně provede analýzu, během které stanoví pravděpodobnosti vzniku jednotlivých hrozeb a jejich dopady. Na základě bodových hodnot těchto proměnných vypočítá úroveň rizika. V rámci hodnocení rizik stanoví přijatelnosti rizika a zároveň předběžně stanoví možný rozsah dopadů nepřijatelných rizik. V závěrečném ošetření rizik řídí nepřijatelná a podmínečně přijatelná rizika.

Při vzniku nežádoucí události (odstavec 2) subjekt kritické infrastruktury stanoví předpokládaný rozsah jejich dopadů, přičemž v případě relevance zohlední předběžný rozsah dopadů. Pokud nežádoucí událost nenaplní prahovou hodnotu 35 % úrovně významnosti jejich dopadů, je tato nežádoucí událost řešena interně, nejedná se o incident a subjekt kritické infrastruktury vznik takovéto události nehlásí. V případě naplnění prahové hodnoty 35 % je nežádoucí událost považována za incident a subjekt kritické infrastruktury zasílá hlášení incidentu.

Vizte Obrázek č. 1: „Diagram procesu identifikace incidentu“ uvedený v obecné části důvodové zprávy.

Rozsah dopadů nežádoucí události (a potenciálně incidentu) je stanoven na základě kritérií. Těmito kritérii jsou odhadovaný počet zasažených osob, velikost zasaženého území, délka trvání, ekonomické dopady, závislost jiných základních služeb a dopad na poskytování základní služby v jiném členském státě Evropské unie. Každé kritérium má svou váhu odlišující jeho význam (např. Počet zasažených osob – 0,20, Velikost zasaženého území – 0,20, Ekonomický dopad – 0,15) a parametry k určení rozsahu (např. Počet zasažených osob –10 mil. a více, 7 až méně než 10 mil. 5 až méně než 7 mil. atd.).

Ke každému parametru kritérií je přiřazena bodová hodnota (např. 30, 28, 26 atd.).

V případě, že bude zajištěna funkční rovnocennost postupu, včetně zachování relevance výstupu, bude moci subjekt kritické infrastruktury použít odlišný postup. Převážně v úvodních fázích zavádění nového systému posilování odolnosti subjektů kritické infrastruktury to ale není doporučováno.

Nežádoucí událost je tedy determinována jednotlivými parametry kritérií, přičemž souhrnně jsou označeny za parametry nežádoucí události.

Pro stanovení procentuálního odhadu úrovně významnosti dopadů nežádoucí události slouží vzorec uvedený a vysvětlený v § 15 odst. 2.

V případě naplnění prahové hodnoty 35 % úrovně významnosti dopadů nežádoucí události je nežádoucí událost považována za incident a parametry takové nežádoucí události poté za parametry incidentu. Prahová hodnota 35 % byla stanovena na základě potřeby odlišit nežádoucí události, které mohou způsobit narušení poskytování základní služby mající významné dopady. Z podstaty významnosti samotné kritické infrastruktury, která byla promítnuta také do kritérií významnosti jednotlivých základních služeb, vyplývá, že jakákoliv nežádoucí událost způsobující významné narušení poskytování základní služby je v souladu s výpočtem úrovně významnosti dopadů takové nežádoucí události považována za incident. Hodnota 35 % odpovídá přibližně narušení poskytování základní služby na území kraje s počet zasažených osob přibližně 500 000, a tedy existuje u takového narušení předpoklad, že může způsobit mimořádnou událost velkého rozsahu mající potenciál přerůst do krizové situace.

Při vzniku incidentu má subjekt kritické infrastruktury povinnost zaslat hlášení incidentu. Činí tak prostřednictvím formuláře, který obsahuje náležitosti podle odstavce 2 písm. a) až c). Kontaktními údaji (písm. b)) jsou myšleny zejména telefonní číslo a e-mailová adresa kontaktní osoby. Předpokládá se, že formulář bude dostupný v portálu kritické infrastruktury a dále bude ke stažení na webových stránkách Ministerstva vnitra, resp. generálního ředitelství Hasičského záchranného sboru České republiky pro případ, kdy by nebylo možné využít portál kritické infrastruktury (např. z důvodu technické poruchy). Z pohledu lhůt pro zaslání hlášení o incidentu pak subjekty kritické infrastruktury postupují podle lhůt stanovených v zákoně o kritické infrastruktuře.

Subjekt kritické infrastruktury při uvádění informací o incidentu uvede popis, datum a čas zjištění, místo a příčinu vzniku incidentu, dále shrnutí způsobu, jakým způsobem byl incident vyřešen, a to včetně časové posloupnosti klíčových úkonů pro jeho vyřešení. Současně popíše účinnost opatření, která pro předcházení takového incidentu přijal a jaká byla jejich účinnost. Při uvádění informací vymezující dopad incidentu podle písm. b) vychází subjekt kritické infrastruktury z parametrů kritérií A, B, C, F a G incidentu stanovených podle § 12 a 13. V rámci počtu uživatelů základní služby, kteří jsou nebo budou incidentem ovlivněni, uvede jejich podíl v rámci dané základní služby v případě, že je tato informace známá. V opačném případě subjekt kritické infrastruktury tuto informaci neuvede. Podíl uživatelů ovlivněných incidentem je přitom stejně jako v případě § 8 odst. 3 písm. h) potřeba chápat jako podíl uživatelů na trhu s danou základní službou (převážně v případě soukromých subjektů), případně obecný podíl potenciálních odběratelů dané základní služby (převážně v případě základních služeb poskytovaných výhradně státními orgány, kde potenciálními odběrateli základní služby mohou být všichni obyvatelé České republiky a jejich podíl tak odpovídá 100 %).

Pokud incident v době zaslání hlášení incidentu (tj. do 24 hodin od jeho zaznamenání) trvá, zašle subjekt kritické infrastruktury prvotní hlášení, které obsahuje informace podle odstavce 3 v rozsahu jejich dostupnosti. Následujícím krokem je zaslání závěrečné zprávy či zprávy o pokroku.

V případě trvání incidentu déle než 1 měsíc zašle subjekt kritické infrastruktury zprávu o pokroku. Ta obsahuje informace o nově zjištěných skutečnostech týkajících se incidentu v době od zaslání prvotního hlášení. Těmito skutečnostmi mohou být například zjištění skutečné příčiny vzniku incidentu nebo korekce doby trvání narušení poskytování základní služby. Subjekt kritické infrastruktury ve zprávě o pokroku dále uvede předpokládaný čas potřebný pro vyřešení incidentu a skutečnost nebo skutečnosti, kvůli kterým incident nadále trvá. V případě trvání incidentu v řádu měsíců zašle subjekt kritické infrastruktury zprávu o pokroku vždy po 1 měsíci od předchozího zaslání zprávy o pokroku, kdy tato lhůta vyplývá ze zákona o kritické infrastruktuře.

Pokud již došlo k vyřešení incidentu, subjekt kritické infrastruktury zasílá závěrečnou zprávu, a to nejpozději do 1 měsíce po skončení incidentu (lhůta stanovená zákonem o kritické infrastruktuře). V závěrečné zprávě uvede informace podle odstavce 3, které nebyly dostupné v době vypracování prvotního hlášení nebo zprávy o pokroku.

Účinnost je navrhována ke dni 1. srpna 2026.

S ohledem na skutečnost, že zákon o kritické infrastruktuře, k jehož provedení je předkládaný návrh vyhlášky určen, je v účinnosti již od 19. srpna 2025, je nezbytné, aby předkládaný návrh nabyl účinnosti bez zbytečného odkladu.

V této souvislosti lze doplnit, že povinnost subjektu kritické infrastruktury zpracovat plánovací dokumentaci nebo hlásit incidenty je zákonem o kritické infrastruktuře vázána na lhůtu (v délce 9, resp. 10 měsíců), která začíná běžet ode dne doručení rozhodnutí o zařazení na seznam subjektů kritické infrastruktury. Potřeba přijmout opatření k zajištění odolnosti subjektu kritické infrastruktury následně vychází ze zjištění učiněných při zpracování uvedené dokumentace.

Je tedy zjevné, že navrhovaný den účinnosti nebude mít negativní dopad ve vztahu k subjektům kritické infrastruktury, resp. že tyto budou mít dostatečný časový prostor pro přípravu veškerých požadovaných dokumentů nebo opatření.

Příloha 1 k této vyhlášce obsahuje tabulky se stupnicemi potřebnými pro výpočet rizika. Tabulka č. 1 slouží k hodnocení pravděpodobnosti vzniku hrozby, tabulka č. 2 k hodnocení dopadů hrozby a tabulka č. 3 k hodnocení rizika.

Na základě součinu bodových hodnot z tabulky č. 1 a tabulky č. 2 se vypočítá riziko a vyhodnotí se podle bodové hodnoty v tabulce č. 3. Přijatelnost rizika přitom vychází z popisu úrovně rizika v tabulce č. 3.

Je vysvětlen význam celkem 7 kritérií. Na základě tohoto vysvětlení je následně možné s pomocí tabulky uvedené v příloze č. 3 stanovit bodová hodnocení podle jednotlivých kritérií.

Většina kritérií užívá jasně kvantifikovatelné stupnice k určení příslušné bodové hodnoty (počty osob, základních služeb, členských států, vyčíslení ekonomických dopadů).

Výjimkou je kritérium „Dopad na životní prostředí“ využívající kvalitativní vyjádření dopadů. Příloha č. 2 zde popisuje dosažitelné hodnoty dopadů podle tohoto kritéria. V rámci počtu zasažených osob (kritérium A) se může jednat například o počet zákazníků nebo uživatelů, kteří jsou na dané poskytované základní službě závislí. Velikost zasaženého území (kritérium B) pak může být stanoveno například vymezením území, ve kterém se nachází osoby, které jsou na dané poskytované základní službě závislé.

Identifikace incidentu je založena na výpočtu úrovně významnosti dopadů nežádoucí události podle vzorce uvedeného v § 13 odst. 2. Při samotném výpočtu se pracuje s bodovými hodnotami parametrů jednotlivých kritérií a jejich váhami. Bodové hodnoty parametrů kritérií byly stanoveny s ohledem na škálu jednotlivých parametrů v kontextu České republiky. Váhy kritérií následně odpovídají jejich významu v rámci zachování základních funkcí státu, hospodářských činností, bezpečnosti, veřejného zdraví nebo životního prostředí. Důraz je přitom kladen na počet zasažených osob a velikost zasaženého území, což jsou z pohledu dopadů klíčová kritéria.⁠​‌​​​​​‌​‌‌‌‌​​‌⁠

Bodové hodnoty a váhy příslušných kritérií uvádí tabulka uvedená v této příloze.