I. Obecná část
1. Popis obsahu návrhu právního předpisu s uvedením důvodů, které k jeho předložení vedou, a shrnutí základních zásad a nejdůležitějších změn, které oproti stávající právní úpravě zavádí, a zhodnocení platného právního stavu
Vyhláška zakotvuje technické a organizační podmínky používání portálu kritické infrastruktury, který je zaveden § 20 zákona č. 266/2025 Sb., o odolnosti subjektů kritické infrastruktury a o změně souvisejících zákonů (dále jen „zákon o kritické infrastruktuře“), k němuž je tato vyhláška prováděcím předpisem. Vyhláška dále stanovuje formát a způsob zpracování informací, dat, údajů a evidencí (dále jen „informace“) vkládaných do portálu kritické infrastruktury a jejich strukturu.
Hlavní principy navrhované právní úpravy jsou:
– Efektivní a bezpečný přenos informací: Navrhovaná úprava umožňuje bezpečnější a efektivnější komunikaci mezi Generálním ředitelstvím Hasičského záchranného sboru České republiky, příslušnými ministerstvy, jinými ústředními správními úřady a Českou národní bankou (dále jen „gestoři“) za jednotlivá odvětví a pododvětví kritické infrastruktury, poskytovateli základní služby a subjekty kritické infrastruktury, včetně efektivnější správy údajů. Dále umožňuje také bezpečné zasílání větších datových souborů, pro což je systém datových schránek nepraktický. Generální ředitelství Hasičského záchranného sboru České republiky bude za účelem maximální efektivity směřovat k tomu, aby s gestory, poskytovateli základní služby a subjekty kritické infrastruktury komunikovalo v rámci zákonných mezí především skrze portál kritické infrastruktury, čímže se docílí snížení administrativní náročnosti dotýkající se problematiky kritické infrastruktury. Probíhající komunikace by tak neměla být pouze jednosměrná ze strany poskytovatelů základní služby a subjektů kritické infrastruktury vůči gestorům a Generálnímu ředitelství Hasičského záchranného sboru České republiky.
– Standardizace postupů: S ohledem na významný nárůst množiny regulovaných subjektů v důsledku transpozice Směrnice Evropského parlamentu a Rady (EU) 2022/2557 ze dne 14. prosince 2022 o odolnosti kritických subjektů a o zrušení směrnice Rady 2008/114/ES (dále jen „směrnice CER“) je potřeba maximálně dbát na standardizaci a automatizaci veškerých postupů tak, aby nedošlo k nezvladatelnému administrativnímu zatížení Generálního ředitelství Hasičského záchranného sboru České republiky nebo příslušných gestorů, ale i poskytovatelů základní služby nebo subjektů kritické infrastruktury. Tímto směrem jde navrhovaná právní úprava, když standardizuje obsah, formát, strukturu a způsob poskytování informací prostřednictvím portálu kritické infrastruktury.
– Právní jistota: Standardizace postupů na úrovni zákona o kritické infrastruktuře a navrhované vyhlášky přináší právní jistotu poskytovatelům základní služby a subjektům kritické infrastruktury, resp. konkrétním uživatelům portálu kritické infrastruktury, kteří za poskytovatele základní služby a subjekty kritické infrastruktury skrze portál kritické infrastruktury předávají informace v rámci jednoho informačního systému, kterým je možno komunikovat nejen s Generálním ředitelstvím Hasičského záchranného sboru, ale i příslušnými gestory.
– Flexibilita a adaptabilita: Nastavení nezbytných parametrů pomocí vyhlášky zachovává potřebnou úroveň flexibility a adaptability zvoleného technologického řešení. V případě potřeby je možné technickým řešením standardizovat další postupy a úkony vyplývající ze zákona o kritické infrastruktuře.
Do budoucna je možné uvažovat o použití portálu kritické infrastruktury jako platformy umožňující jednotný postup pro hlášení incidentů relevantním orgánům státní správy, které takové hlášení vyžadují. Takovými relevantními orgány státní správy, které vyžadují hlášení, jsou např. Národní úřad pro kybernetickou a informační bezpečnost nebo Česká národní banka. Generální ředitelství Hasičského záchranného sboru České republiky v součinnosti s příslušnými gestory takové budoucí využití portálu kritické infrastruktury bude moci s ohledem na možnou flexibilitu zvážit v rámci dalších novelizací zákona o kritické infrastruktuře, případně v souvislosti se sjednocováním hlášení incidentů v rámci jednotné platformy (Single-Entry Point), jejíž vznik se v době přijímání tohoto předpisu řeší na unijní úrovni.
2. Zhodnocení souladu návrhu právního předpisu s ústavním pořádkem a ostatními součástmi právního řádu České republiky, zejména se zákonem, který je návrhem prováděn
Návrh vyhlášky a zákon o kritické infrastruktuře jsou vzájemně souladné a komplementární. Zatímco zákon o kritické infrastruktuře poskytuje širší regulační rámec pro kritickou infrastrukturu a je zaměřen na transpozici směrnice CER, návrh vyhlášky se konkrétněji v souladu se zmocněním věnuje realizaci těchto principů prostřednictvím portálu kritické infrastruktury.
Zákon o kritické infrastruktuře a návrh vyhlášky mají společný cíl v podobě posílení odolnosti kritické infrastruktury. Zatímco zákon o kritické infrastruktuře stanovuje širší právní rámec, návrh vyhlášky se zabývá praktickým uplatněním těchto pravidel a zajištěním efektivity a bezpečnosti v komunikaci a správě údajů.
Oba dokumenty přispívají k sjednocené vizi odolnosti kritické infrastruktury v České republice, která je v souladu s evropskými směrnicemi a standardy. Návrh vyhlášky v rámci zákonného zmocnění doplňuje zákon o kritické infrastruktuře, což umožňuje komplexní, koordinovaný a rychlý přístup k řešení aktuálních hrozeb a výzev pro kritickou infrastrukturu.
3. Zhodnocení souladu návrhu právního předpisu se závazky vyplývajícími pro Českou republiku z jejího členství v Evropské unii
Návrh vyhlášky je v souladu s předpisy Evropské unie, přičemž provádí zákon o kritické infrastruktuře, jenž transponuje do vnitrostátního právního řádu směrnici CER. Samotný návrh vyhlášky konkrétní ustanovení směrnice CER netransponuje, nicméně navazuje na recitál 25 a související článek 10, týkající se podpory poskytované subjektům kritické infrastruktury ze strany členských států a zároveň předcházení nadměrné administrativní zátěži.
V oblasti předmětné úpravy v širším smyslu nebyla doposud vytvořena žádná judikatura soudních orgánů Evropské unie.
Návrh vyhlášky je v souladu s obecnými zásadami práva Evropské unie, jako jsou např. zásada právní jistoty, zásada proporcionality a zákaz diskriminace.
4. Zhodnocení souladu návrhu právního předpisu s mezinárodními smlouvami, jimiž je Česká republika vázána
Předkládaný návrh vyhlášky je plně v souladu s mezinárodními smlouvami, jimiž je Česká republika vázána, včetně Smlouvy o Evropské unii a Smlouvy o fungování Evropské unie.
5. Předpokládaný hospodářský a finanční dopad navrhované právní úpravy na státní rozpočet, ostatní veřejné rozpočty a na podnikatelské prostředí České republiky
Dopady na státní rozpočet vyplývají především ze samotného zákona o kritické infrastruktuře, který legislativně zakotvuje vznik a fungování portálu kritické infrastruktury. Návrh vyhlášky pouze stanovuje některá související pravidla a náležitosti, tudíž sám o sobě nemá žádné dopady na státní rozpočet a ostatní veřejné rozpočty.
S pořízením a provozem portálu kritické infrastruktury budou spojeny vstupní a následně provozní výdaje, nicméně ze střednědobého i dlouhodobého hlediska jde o výdaje zcela nezbytné a účelně vynaložené. V případě absence obdobného řešení by velmi pravděpodobně došlo k výraznému administrativnímu zatížení, a to jak na straně poskytovatelů základní služby a subjektů kritické infrastruktury, tak i na straně gestorů a Generálního ředitelství Hasičského záchranného sboru České republiky, které by mohlo vyžádat navýšení personálních kapacit všech dotčených subjektů. Pro samotné Generální ředitelství Hasičského záchranného sboru České republiky i všechny další subjekty kritické infrastruktury bude zřízení portálu kritické infrastruktury představovat zefektivnění a snížení administrativního zatížení při řešení zákonem předvídaných úkonů nebo využívání nabízených služeb.
Náklady na zavedení portálu kritické infrastruktury, včetně pořízení potřebného hardwaru v rámci Ministerstva vnitra, byly vyčísleny na částku 6 000 000 Kč. Tato částka bude z 90 % financována z operačního programu EU Fondu pro vnitřní bezpečnost. Organizační a personální kapacity na jeho provoz budou pokryty z aktuálních vlastních zdrojů. Případné vniklé dodatečné náklady na zprovoznění portálu kritické infrastruktury tak budou řešeny v rámci kapitoly státního rozpočtu Ministerstva vnitra.
6. Odůvodnění jednotlivých ustanovení návrhu právního předpisu; odůvodnění obsahuje vysvětlení jejich účelu a nezbytnosti, popis právních norem v nich obsažených a z nich vyplývajících práv a povinností
Odůvodnění dílčích ustanovení návrhu vyhlášky je uvedeno ve zvláštní části důvodové zprávy.
7. Zhodnocení, zda návrh právního předpisu neobsahuje ustanovení, které by bylo svou povahou technickým předpisem podle právního předpisu upravujícího technické požadavky na výrobky, a informace o splnění oznamovací povinnosti podle tohoto právního předpisu
V souvislosti s právní úpravou portálu kritické infrastruktury lze konstatovat, že se nejedná o technický předpis ve smyslu zákona č. 22/1997 Sb., o technických požadavcích na výrobky a o změně a doplnění některých zákonů, ve znění pozdějších předpisů, ani směrnice (EU) 2015/1535. Předmětná úprava nestanoví technické požadavky na výrobky, software ani jiná technická řešení, ani neupravuje jejich vlastnosti. Její povaha je výlučně procesní a organizační, když vymezuje pravidla pro elektronickou komunikaci a výkon zákonných povinností prostřednictvím portálu kritické infrastruktury.
8. Předpokládaný dopad návrhu právního předpisu, zejména
8.1 Dopad na práva a povinnosti fyzických a právnických osob
Navrhovaná právní úprava nezakládá fyzickým a právnickým osobám žádná nová práva ani povinnosti. Práva a povinnosti jsou upraveny v zákoně o kritické infrastruktuře, který zmocňuje k vydání tohoto návrhu vyhlášky. Návrh vyhlášky představuje návrh prováděcího právního předpisu, na jehož základě vzhledem k jeho povaze nemohou být ukládány povinnosti ani vznikat nová práva. Jedná se toliko o stanovení efektivních postupů pro efektivní komunikaci mezi orgány veřejné moci a poskytovateli základní služby nebo subjekty kritické infrastruktury s cílem optimalizace administrativních procesů.
8.2 Dopad na podnikatelské prostředí České republiky
Vyhláška nezakládá nové povinnosti subjektům kritické infrastruktury nad rámec zákona o kritické infrastruktuře. Jedná se toliko o určení organizace komunikace těchto subjektů s Generálním ředitelstvím Hasičského záchranného sboru a příslušnými věcnými gestory. Dopad návrhu tak lze hodnotit jako pozitivní, neboť komunikace má probíhat primárně prostřednictvím jednoho portálu, což sníží administrativní náklady nejen orgánů veřejné moci, ale i subjektů kritické infrastruktury.
8.3 Zhodnocení, zda návrhem právního předpisu není zakládána veřejná podpora
Navrhovanou právní úpravou není zakládána veřejná podpora. Veřejná podpora je termín vycházející ze Smlouvy o fungování EU, kdy se jí rozumí každá podpora poskytnutá v jakékoli formě státem nebo z veřejných prostředků, která narušuje nebo může narušit hospodářskou soutěž tím, že zvýhodňuje určité podniky nebo určitá odvětví výroby a ovlivňuje obchod mezi členskými státy. Podpora, která splňuje uvedená kritéria, je neslučitelná se společným trhem EU, a tedy zakázaná. Návrh vyhlášky nepracuje s rozdělováním veřejných prostředků, neobsahuje přímé či nepřímé zvýhodnění určitých podniků či odvětví a nemá selektivní charakter.
8.4 Sociální dopad, včetně dopadu na specifické skupiny obyvatel, především na osoby sociálně slabé, osoby se zdravotním postižením a národnostní menšiny, a dopad na životní prostředí
Návrh vyhlášky nemá dopady na specifické skupiny obyvatel, osoby sociálně slabé, osoby se zdravotním postižením a národnostní menšiny nebo dopady na životní prostředí.
8.5 Dopad na rovnost mužů a žen, upravuje-li návrh právního předpisu postavení fyzických osob nebo se tohoto postavení dotýká
Návrh vyhlášky je z hlediska zákazu diskriminace a z hlediska rovnosti mužů a žen neutrální, resp. nemá žádný dopad, neboť danou problematiku neupravuje.
8.6 Dopad na územní samosprávné celky
Nepředpokládají se dopady na územní samosprávné celky, neboť tyto nebudou určeny za subjekty kritické infrastruktury nebo jako za orgány veřejné moci, kterých se portál kritické infrastruktury dotýká. Návrh vyhlášky nemá dále žádné územní dopady.
8.7 Dopad na ochranu práv dětí a na rodiny
Návrh vyhlášky nemá žádný dopad na ochranu práv dětí a na rodiny.
8.8 Dopad na bezpečnost nebo obranu státu
Návrh vyhlášky má jednoznačně pozitivní dopady na bezpečnost a obranu státu. Samotný portál kritické infrastruktury bude sloužit k hlášení incidentů, přičemž tento postup přitom umožní rychlejší a efektivnější reakci všech zainteresovaných orgánů a subjektů. Pozitivní dopady má také výše zmíněná dostupnost aktualizovaných dat (např. o poskytovatelích základních služeb a subjektech kritické infrastruktury či o incidentech), která obecně umožňuje lepší plánování priorit a kapacit jednotlivých gestorů a Generálního ředitelství Hasičského záchranného sboru České republiky při zajišťování bezpečnosti České republiky.
8.9 Dopad ve vztahu k ochraně soukromí a osobních údajů
Zhodnocení dopadů fungování celého portálu kritické infrastruktury a hlášení veškerých potřebných údajů ze strany poskytovatelů základní služby a subjektů kritické infrastruktury je detailně popsáno v rámci obecné části důvodové zprávy k zákonu o kritické infrastruktuře. Provedené zhodnocení dopadů navrhovaného předpisu na ochranu osobních údajů (tzv. legislativní DPIA) mj. komplexně reflektuje veškeré parametry zpracování osobních údajů v souvislosti s fungováním portálu kritické infrastruktury.
Lze přitom konstatovat, že návrh předkládané vyhlášky je předkládán v těchto mantinelech a v rozsahu zmocnění stanoveného zákonem o kritické infrastruktuře.
Základní parametry navrhovaného zpracování osobních údajů
a) Subjekt údajů
Subjektem údajů jsou kromě subjektu kritické infrastruktury (půjde-li o podnikající fyzickou osobu, což však pravděpodobně bude marginální množina subjektů, neboť zákon o kritické infrastruktuře primárně reguluje významnější právnické osoby nebo orgány veřejné moci) člen statutárního orgánu, pracovník pověřený členem statutárního orgánu, manažer kritické infrastruktury, kritičtí pracovníci a jiný pracovníci mající přístup do portálu kritické infrastruktury a kritičtí dodavatelé.
b) Druh a kategorie údajů
Návrh vyhlášky nepředpokládá žádné zpracovávání zvláštní kategorie osobních údajů. Bude tedy docházet ke zpracování standardních kategorií osobních údajů, a to v rozsahu zcela nezbytném pro účely plnění úkolů uložených zákonem o kritické infrastruktuře.
Zpracovávanými údaji budou zejména údaje identifikující subjekt kritické infrastruktury (avšak zpravidla půjde o právnickou osobu nebo orgán veřejné moci – tj. v takových případech nepůjde o osobní údaje), kritické dodavatele, kritické pracovníky, manažera kritické infrastruktury, členové statutárního orgánu poskytovatele základní služby, statutární orgány subjektu kritické infrastruktury a další pracovníky, které budou oprávněny vstupovat do portálu kritické infrastruktury.
V případě fyzických osob, jako jsou kritičtí pracovníci, manažeři kritické infrastruktury a další oprávnění uživatelé portálu kritické infrastruktury, půjde o jméno a příjmení, datum narození, telefonní číslo a adresu elektronické pošty. Údaje o členech statutárního orgánu poskytovatelů základních služeb a subjektů kritické infrastruktury budou automaticky načteny ze základních registrů, a to v podobě jména a příjmení, data narození a akademického titulu. Pokud by člen statutárního orgánu současně poskytoval informace podle § 9 odst. 1 zákona o kritické infrastruktuře, tak by uvedl také telefonní číslo a adresu elektronické pošty. V případě podnikajících fyzických osob bude zpracováván název osoby, sídlo a IČO.
Nad rámec posouzení lze pro úplnost dodat, že podle návrhu vyhlášky budou zpracovávány též identifikační údaje právnických osob, nicméně tyto údaje nejsou považovány za údaje osobní.
c) Doba zpracování osobních údajů
Ke zpracování osobních údajů bude docházet po celou dobu, kdy konkrétní subjekt kritické infrastruktury spadá do působnosti navrhované vyhlášky. Přestane-li subjekt kritické infrastruktury spadat do její působnosti, jsou údaje o něm, jeho kritických dodavatelích, kritických pracovnících, manažeru kritické infrastruktury a dalších pracovnících s přístupem do portálu dále v souvislosti s plněním povinností zpracovávány toliko po dobu nezbytnou z důvodu zajištění kontinuity evidovaných údajů pro potřeby následné kontroly či přestupkového řízení. Tato doba by zpravidla neměla přesahovat nižší jednotky let, pokud nebude stanoveno v rámci prováděcího právního předpisu vydaného na základě § 20 odst. 9 zákona o kritické infrastruktuře jinak.
d) Právní základ zpracování osobních údajů
Právním předpisem, který stanoví právní základy pro zpracování popsaných údajů, je primárně nařízení Evropského parlamentu a Rady (EU) 2016/679, ze dne 27. dubna 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). Ke zpracování bude docházet zejména na základě čl. 6 odst. 1 písm. c) a e) obecného nařízení o ochraně osobních údajů, tj. je-li zpracování osobních údajů nezbytné pro splnění právní povinnosti, která se na správce vztahuje nebo je-li nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci.
e) Účely zpracování
Konkrétní účely zpracování osobních údajů na základě návrhu vyhlášky jsou popsány v následující tabulce spolu s druhy či kategoriemi zpracovávaných údajů: účel zpracování subjekt údajů druh (rozsah) údajů poskytnutí informací podle § 9 odst. 1 zákona o kritické infrastruktuře člen statutárního orgánu jméno a příjmení, datum narození, akademický titul, telefonní číslo, e-mail poskytnutí informací podle § 9 odst. 1 zákona o kritické infrastruktuře pověřeným pracovníkem pracovník pověřený členem statutárního orgánu jméno a příjmení, datum narození, telefonní číslo, adresa elektronické pošty hlášení změn podle § 12 zákona o kritické infrastruktuře člen statutárního orgánu jméno a příjmení, datum narození, akademický titul, role při využívání portálu, telefonní číslo, adresa elektronické pošty manažer kritické infrastruktury, další oprávněné osoby s přístupem do portálu kritické infrastruktury s výjimkou člena statutárního orgánu jméno a příjmení, datum narození, role při využívání portálu, telefonní číslo, adresa elektronické pošty poskytnutí informací podle § 14 odst. 1 písm. a) zákona o kritické infrastruktuře člen statutárního orgánu jméno a příjmení, datum narození, akademický titul, role při využívání portálu, telefonní číslo, adresa elektronické pošty manažer kritické infrastruktury, další oprávněné osoby s přístupem do portálu kritické infrastruktury s výjimkou člena statutárního orgánu jméno a příjmení, datum narození, role při využívání portálu, telefonní číslo, adresa elektronické pošty vedení seznamu kritických pracovníků kritický pracovník v rámci subjektu kritické infrastruktury jméno a příjmení, datum narození, akademický titul, pracovní zařazení, telefonní číslo, adresa elektronické pošty označení a evidence kritického dodavatele kritický dodavatel název, identifikační číslo, adresa sídla, telefonní číslo, adresa elektronické pošty formulář pro hlášení incidentu kontaktní osoba subjektu kritické infrastruktury jméno a příjmení, telefonní číslo, adresa elektronické pošty subjekt kritické infrastruktury název, identifikační číslo, adresa sídla Posouzení navrhovaného řešení zpracování z hlediska nezbytnosti
Veškeré zpracování popsané výše je obecně prováděno za účelem plnění zákonem stanovených povinností a sledování veřejných zájmů i samotnými subjekty kritické infrastruktury. Je vhodné uvést, že v případě zpracování údajů o kritických pracovnících, manažeru kritické infrastruktury, nebo pracovnících podílející se na poskytování základní služby se jedná o naplnění požadavků směrnice CER, přičemž zpracování je prováděno na základě zákonného podkladu (plnění zákonné povinnosti) a z důvodu zajištění odolnosti subjektu kritické infrastruktury.
Odolnost subjektu kritické infrastruktury je veřejným zájmem, neboť v případě, kdy by došlo k narušení činnosti subjektu kritické infrastruktury, dojde s největší pravděpodobností k omezení nebo přerušení poskytování základní služby – tedy takové služby, která je nezbytná pro zachování základních funkcí státu, hospodářských činností, bezpečnosti, veřejného zdraví nebo životního prostředí.
Bez zpracovávání dotčených osobních údajů by nebylo možné vyhovět požadavkům směrnice CER, a tím pádem ani efektivně zajišťovat a zvyšovat odolnost subjektů kritické infrastruktury.
Posouzení navrhovaného řešení zpracování z hlediska přiměřenosti
Je nutné podotknout, že přiměřenost navrhovaného řešení zpracování je nutné posuzovat vzhledem k cílům, pro které má docházet ke zpracování osobních údajů. Jak již bylo předestřeno výše, zpracování je prováděno na základě zákonného podkladu a z důvodu zajištění odolnosti subjektu kritické infrastruktury. Odolnost subjektu kritické infrastruktury je veřejným zájmem, jak již bylo uvedeno shora. Narušení činnosti subjektu kritické infrastruktury má potenciál omezit nebo dokonce přerušit poskytování základní služby. Taková situace pak může mít za důsledek velmi závažné dopady pro celou Českou republiku, případně i jiné členské státy Evropské unie. Míra zásahu do „osobní sféry“ subjektu údajů je přitom v porovnání s významností chráněného zájmu a s ohledem na zamýšlený rozsah získávaných osobních údajů spíše marginální.
Je navrhováno zpracovávat standardní osobní údaje, nikoliv zvláštní kategorie osobních údajů. Z hlediska rozsahu a druhu osobních údajů, které mají být zpracovávány, lze konstatovat, že převážná většina těchto údajů představuje zcela běžně zpracovávané osobní údaje (zpracovatel je v řadě případů už zpracovává, jen z jiných důvodů – např. pro plnění pracovněprávních povinností).
Zpracování prováděná v souvislosti s návrhem vyhlášky tak předkladatel považuje z uvedených důvodů, s ohledem na vymezené účely, za přiměřené.
Posouzení rizik pro práva a svobody fyzických osob
Jako možné riziko pro práva a svobody fyzických osob byla identifikována možnost neoprávněného přístupu k osobním údajům, na základě, kterého by následně mohlo dojít ke zneužití osobních údajů za jiným účelem, než pro který mají být zpracovávány. Možná opatření ke snížení těchto rizik jsou popsána níže.
Stanovení možných opatření ke snížení rizik pro práva a svobody fyzických osob
Zpracování všech uvedených osobních údajů bude vedeno v rámci portálu kritické infrastruktury, přičemž samotný portál kritické infrastruktury představuje informační systém, ve kterém bude agregováno poměrně velké množství osobních údajů osob jednajících za subjekty kritické infrastruktury. Teoreticky tak vzniká riziko neoprávněného přístupu k těmto osobním údajům, případně narušení jejich integrity v důsledku incidentu. Na Generální ředitelství Hasičského záchranného sboru České republiky dopadá zákon č. 264/2025 Sb., o kybernetické bezpečnosti, a nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen „obecné nařízení o ochraně osobních údajů“), které ukládají adekvátní zabezpečení portálu kritické infrastruktury a veškerých navazujících systémů tak, aby došlo k maximální mitigaci hrozících rizik.
S ohledem na uvedené lze konstatovat pozitivní dopady návrhu vyhlášky pro ochranu soukromí a osobních údajů dotčených osob, jelikož tato představuje nezbytný právní základ pro zpracování potřebné množiny osobních údajů, který respektuje zásady zpracování osobních údajů vymezené v čl. 5 obecného nařízení o ochraně osobních údajů (zejména zákonnost, transparentnost, minimalizaci, přesnost a účelové omezení).
9. Zhodnocení korupčních rizik návrhu právního předpisu.
Navrhovaná právní úprava nezakládá žádná nová korupční rizika.
10. Odůvodnění případné navrhované odchylky v postupu projednání návrhu právního předpisu.
Ministr vnitra požádal s ohledem na menší rozsah návrhu a blížící se účinnost vyhlášky o zkrácení lhůty k uplatnění připomínek na 7 pracovních dnů. Předseda Legislativní rady vlády této žádosti vyhověl.
11. Informace dle zákona o regulaci lobbování
Nebyl zaznamenán, ani oznámen žádný případ lobbování.
12. Zhodnocení souladu navrhovaného řešení se zásadami tvorby digitálně přívětivé legislativy
Při vypracování návrhu vyhlášky i samotného zákona o kritické infrastruktuře byly zohledněny zásady pro tvorbu digitálně přívětivé legislativy. Návrh vyhlášky není v rozporu se zásadami tvorby digitálně přívětivé legislativy.
II. Zvláštní část
K § 1
V souladu se zmocněním uvedeným v zákoně o kritické infrastruktuře je v návrhu vyhlášky jasně vymezen předmět její úpravy. V rámci tohoto vymezení je vyhláškou stanovena forma a způsob zpracování informací, dat, údajů a evidencí vkládaných do portálu kritické infrastruktury, jejich struktura a dále také technické a organizační podmínky používání portálu kritické infrastruktury. Samotný rozsah hlášených údajů, s výjimkou údajů souvisejících s organizací, je stanoven přímo v zákoně o kritické infrastruktuře.
Z pohledu přístupu k nezbytným informacím se vychází z ustanovení § 20 odst. 2 zákona o kritické infrastruktuře, podle kterého se pro získání informací z agendových systémů použije ustanovení § 26 odst. 3 až 9 zákona č. 240/2000 Sb., o krizovém řízení a o změně některých zákonů, kterým je stanoven legislativní rámec pro informační systém krizového řízení.
K § 2
Toto ustanovení v odstavcích 1 až 3 specifikuje, jakým způsobem se oprávnění uživatelé mají přihlašovat do prostředí portálu kritické infrastruktury a jaké informace a v jakém rozsahu jsou jeho prostřednictvím zpřístupněny uživatelům.
Vzhledem k tomu, že portál kritické infrastruktury je součástí informačního systému krizového řízení, uskutečňuje se přístup do portálu kritické infrastruktury prostřednictvím informačního systému krizového řízení, a to na základě autentizace oprávněného uživatele.
V kontextu portálu kritické infrastruktury se pak za oprávněného uživatele portálu kritické infrastruktury považuje subjekt (poskytovatel základní služby, subjekt kritické infrastruktury) nebo orgán (gestor, generální ředitelství Hasičského záchranného sboru České republiky, další orgány mající specifický přístup podle zákona o kritické infrastruktuře) oprávněný využívat portál kritické infrastruktury podle zákona o kritické infrastruktuře.
Předpokládá se, že oprávnění uživatelé, tedy osoby zastupující konkrétní subjekt nebo orgán, se budou do systému přihlašovat jako fyzické osoby prostřednictvím Identity občana a s následným napojením na základní registry (ROB, ROS a REZA) jim budou přiřazena přístupová práva podle toho, zda se jedná o statutárního zástupce či pověřenou osobu. Jedná se o standardní a bezpečný způsob autentizace, který je dnes běžně používán.
Oprávněný uživatel podle tohoto ustanovení a v souladu se zákonem o kritické infrastruktuře prostřednictvím portálu kritické infrastruktury poskytuje součinnost správci portálu kritické infrastruktury a dalším oprávněným uživatelům v rozsahu nezbytném pro plnění povinností podle zákona o kritické infrastruktuře, a také hlásí incident podle tohoto zákona (konkrétně ustanovení § 18 a 19). Oprávněný uživatel vkládá do portálu kritické infrastruktury informace v rozsahu stanoveném zákonem o kritické infrastruktuře.
Pro případ, kdy není možné z objektivních příčin k plnění stanovených povinností využívat portál kritické infrastruktury a nelze tak jeho cestou poskytnout nezbytné údaje, lze v souladu se zákonem o kritické infrastruktuře tyto údaje poskytnout jiným způsobem. V takovém případě jsou tyto údaje do portálu kritické infrastruktury vloženy bez zbytečného odkladu, a to z úrovně správce, kterým je Ministerstvo vnitra, resp. Generální ředitelství Hasičského záchranného sboru České republiky.
Funkce správce se odvíjí od ustanovení § 20 zákona o kritické infrastruktuře, které uvádí již dříve zmiňovanou skutečnost, a sice že portál kritické infrastruktury je součástí informačního systému krizového řízení, přičemž podle § 26 odst. 2 krizového zákona je správcem informačního systému krizového řízení Ministerstvo vnitra, kdy konkrétní úkoly s tímto spojené plní Generální ředitelství Hasičského záchranného sboru České republiky. S ohledem na uvedené je tak nutné dovodit, že správcem portálu kritické infrastruktury je Ministerstvo vnitra, resp. Generální ředitelství Hasičského záchranného sboru České republiky.
K § 3
Toto ustanovení specifikuje identifikaci subjektu pro využití portálu..
V případě identifikace poskytovatele základní služby nebo subjektu kritické infrastruktury se jedná konkrétně o název nebo identifikační číslo osoby, sídlo, popřípadě adresa hlavní provozovny a kontaktní elektronická adresa, a také adresa provozovny v jiném členském státě Evropské unie, pokud v tomto státě poskytuje základní službu. Dále se jedná o údaje o kritických dodavatelích, manažerovi kritické infrastruktury a dalších osobách, mají-li tyto osoby přístup do portálu.
K § 4
Toto ustanovení se věnuje technickým a organizačním podmínkám používání portálu kritické infrastruktury. Rozsah uživatelských oprávnění a technické požadavky pro používání portálu kritické infrastruktury umožňující dálkový přístup má na starosti správce. Správci oznamuje oprávněný uživatel prostřednictvím portálu kritické infrastruktury okruh osob (dále jen „oprávněná osoba“), kterým bude umožněn přístup do portálu kritické infrastruktury prostřednictvím individuálních přístupových oprávnění, která jsou nepřenosná a jedinečná pro každou osobu. Přístupová práva nejsou plošná, ale jsou přizpůsobena konkrétním osobám a situacím, čímž je posílena právní odpovědnost se zaměřením na snížení rizika zneužití dat.
V případě identifikačních údajů osob, které jsou oprávněny do portálu kritické infrastruktury vkládat informace nebo jednat za oprávněnou osobu uživatele, se konkrétně jedná o jméno a příjmení, datum narození, vymezení role uživatele portálu kritické infrastruktury, telefonní číslo a adresu elektronické pošty. Těmto osobám je umožněn přístup do portálu kritické infrastruktury správcem pouze v nezbytném rozsahu z hlediska výkonu činnosti, nebo naplnění podmínek plynoucích z právní úpravy.
Informace se do portálu kritické infrastruktury vkládají skrze uživatelské rozhraní ve strukturované elektronické podobě. Stejně tak i dokumentace nebo jiné materiály, které se do portálu kritické infrastruktury vkládají, musí splňovat stanovený formát . Za správnost, úplnost a aktuálnost informací nebo dokumentaci a materiály vkládané do portálu kritické infrastruktury oprávněnou osobou je odpovědný oprávněný uživatel.
K § 5
Zákon o kritické infrastruktuře a návrh vyhlášky jsou vzájemně komplementární. Účinnost vyhlášky je navrhována na první den následující jejím vyhlášení ve Sbírce zákonů a mezinárodních smluv.
S ohledem na skutečnost, že zákon o kritické infrastruktuře, k jehož provedení je předkládaný návrh vyhlášky určen, je v účinnosti již od 19. srpna 2025, je nezbytné, aby předkládaný návrh nabyl účinnosti bez zbytečného odkladu.
Současně tato vyhláška představuje poslední prováděcí předpis k zákonu o kritické infrastruktuře. Zbylé prováděcí předpisy již byly vyhlášeny a nabyly účinnosti v uplynulých týdnech.