# 19/2008 Sb. - Vyhláška, kterou se mění vyhláška č. 528/2005 Sb., o fyzické bezpečnosti a certifikaci technických prostředků - Úplná citace: Vyhláška č. 19/2008 Sb., kterou se mění vyhláška č. 528/2005 Sb., o fyzické bezpečnosti a certifikaci technických prostředků - Stav: Platný - Znění: Aktuální znění - ELI: /eli/cz/sb/2008/19/2008-02-15 - Datum vyhlášení: 5. 2. 2008 - Účinnost od: 15. 2. 2008 - Částka: 9/2008 19 VYHLÁŠKA ze dne 25. ledna 2008, kterou se mění vyhláška č. 528/2005 Sb., o fyzické bezpečnosti a certifikaci technických prostředků Národní bezpečnostní úřad stanoví podle § 33 a § 53 písm. a), c), d), f) a j) zákona č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti: ## Čl. I Vyhláška č. 528/2005 Sb., o fyzické bezpečnosti a certifikaci technických prostředků, se mění takto: 1. V § 2 se na konci písmene l) tečka nahrazuje čárkou a doplňuje se písmeno m), které zní: m) útočníkem fyzická osoba, která vyvíjí činnost s cílem překonat technické prostředky a další překážky sloužící k zabezpečení ochrany utajovaných informací.. 2. V § 3 se za odstavec 6 vkládá nový odstavec 7, který zní: (7) K zajištění ochrany zabezpečených oblastí kategorie Vyhrazené se používají certifikované nebo necertifikované technické prostředky.. Dosavadní odstavce 7 až 11 se označují jako odstavce 8 až 12. 3. V § 3 odst. 8 se za slova zabezpečených oblastí vkládají slova kategorie Důvěrné a vyšší. 4. V § 3 odstavec 9 zní: (9) Utajovaná informace se ukládá v zabezpečené oblasti, popřípadě v úschovném objektu, je-li jeho bodová hodnota uplatněna v projektu fyzické bezpečnosti pro příslušnou zabezpečenou oblast.. 5. § 5 včetně nadpisu zní: ## § 5 Zabezpečení technického zařízení (1) Technické zařízení obsahující utajovanou informaci stupně utajení Důvěrné a vyšší se ukládá v zabezpečené oblasti. Hranici této zabezpečené oblasti a její zařazení do příslušné kategorie a třídy stanoví provozovatel objektu. Hranici objektu stanoví provozovatel objektu. (2) Zabezpečení zabezpečené oblasti a hranice objektu podle odstavce 1 je zajišťováno kombinací opatření fyzické bezpečnosti podle odstavců 3 až 10 anebo podle § 3 odst. 2. (3) Rozsah a způsob použití technických prostředků a dalších překážek k zabezpečení ochrany utajovaných informací v technických zařízeních stanovuje provozovatel objektu tak, aby zajistil informování ostrahy o narušení bezpečnosti ze strany útočníka a zpomalil jej na cestě k utajované informaci v technickém zařízení. (4) K zajištění ochrany zabezpečené oblasti a objektu podle odstavce 1 se mohou použít certifikované i necertifikované technické prostředky. Nejblíže k technickému zařízení se zpravidla umísťuje nejodolnější technický prostředek. (5) Pro ostrahu technického zařízení obsahujícího utajovanou informaci stupně utajení Důvěrné je stanovena ostraha typu 4 nebo vyšší podle přílohy č. 1 této vyhlášky. Pro ostrahu technického zařízení obsahujícího utajovanou informaci stupně utajení Tajné je stanovena ostraha typu 4 s pravidelnými obchůzkami v intervalu ne větším než 4 hodiny nebo ostraha vyšší podle přílohy č. 1 této vyhlášky. Pro ostrahu technického zařízení obsahujícího utajovanou informaci stupně utajení Přísně tajné je stanovena ostraha typu 5 podle přílohy č. 1 této vyhlášky. (6) Provozovatel objektu stanovuje časové limity pro ostrahu, které musí dodržet při zásahu proti útočníkovi na základě počtu a druhu jednotlivých technických prostředků a dalších překážek, které musí útočník překonat při cestě k utajované informaci v technickém zařízení. (7) Zásah ostrahy proti útočníkovi je prováděn minimálně dvěma fyzickými osobami v jakémkoli místě objektu nebo zabezpečené oblasti, kde došlo k narušení ochrany utajované informace v technickém zařízení nebo k vyhlášení poplachového nebo nouzového signálu, aniž by byla oslabena ochrana utajovaných informací na jiném místě. (8) Ostraha provádí zásah proti útočníkovi v časovém limitu, který stanovil provozovatel objektu podle odstavce 9, aby znemožnil získat útočníkovi utajovanou informaci, která se nachází v technickém zařízení. Stanovené časové limity musí být pravidelně prověřovány a upravovány na základě nových skutečností. (9) Časové limity provozovatel objektu uvádí v projektu fyzické bezpečnosti. Tabulka bodového ohodnocení opatření fyzické bezpečnosti v zabezpečené oblasti stanovená v části 14.3.1 přílohy č. 1 k této vyhlášce se v tomto případě nezpracovává. (10) Projekt fyzické bezpečnosti zabezpečené oblasti, ve které se ukládají technická zařízení, schvaluje odpovědná osoba nebo bezpečnostní ředitel. (11) V případech, kdy je technické zařízení zabezpečováno podle § 3 odst. 2, jsou bodové hodnoty technického zařízení stanoveny v příloze č. 1 této vyhlášky.. 6. V § 8 odst. 2 se slova zabezpečené oblasti, jednací oblasti a úschovnému objektu nahrazují slovy jednací oblasti, a dále k zabezpečené oblasti a úschovnému objektu, kde se ukládá utajovaná informace stupně utajení Vyhrazené, která vyžaduje zvláštní režim nakládání, a utajovaná informace stupně utajení Důvěrné nebo vyššího,. 7. V § 8 se za odstavec 2 vkládá nový odstavec 3, který zní: (3) Režim manipulace s klíči a identifikačními daty k zabezpečené oblasti a k úschovnému objektu, kde se ukládá utajovaná informace stupně utajení Vyhrazené, stanoví provozovatel objektu.. Dosavadní odstavce 3 a 4 se označují jako odstavce 4 a 5. 8. V příloze č. 1 se za bod 1.1.9. vkládá nový bod 1.1.10., který zní:
1.1.10. Úschovný objekt typ 0:
S1 = 0 bodů
Úschovný objekt typu 0 je pevné konstrukce (např. schránka, kancelářský nábytek) a je opatřen zámkem, který je uzamykán. Nesmí vykazovat takové znaky poškození nebo opotřebení, které by znemožnily identifikovat pokusy o neoprávněný vstup. Úschovný objekt typu 0 není certifikovaný Úřadem. Shodu vlastností těchto úschovných objektů s výše uvedenými požadavky potvrzuje provozovatel objektu v projektu fyzické bezpečnosti.. 9. V příloze č. 1 se za bod 2.1.4. vkládá nový bod 2.1.5., který zní:
2.1.5. Zabezpečená oblast typ 0:
SS3 = 0 bodů
Stěny, průlezné otvory, podlahy a stropy jsou lehké stavební konstrukce z materiálů jako například: - sádrokartónu, - lehké zděné stavební konstrukce, - dřeva, dřevotřískových desek, - plastických tvrzených hmot, - profilovaného nebo vlnitého plechu, - skla. Průlezné otvory nemusí být zabezpečeny mechanickými zábrannými prostředky, které poskytují stejný stupeň odolnosti jako zbývající části hranice zabezpečené oblasti typu 0, ale musí umožňovat kontrolu pohybu osob a vozidel. Mechanické zábranné prostředky nesmí vykazovat takové znaky poškození nebo opotřebení, které by znemožnily identifikovat pokusy o neoprávněný vstup. Shodu s výše uvedenými požadavky potvrzuje provozovatel objektu v projektu fyzické bezpečnosti.. 10. V příloze č. 1 se za bod 2.2.4. vkládá nový bod 2.2.5., který zní:
2.2.5. Uzamykací systém typ 0:
SS4 = 0 bodů
Uzamykací systém typu 0 není certifikovaný Úřadem.. 11. V příloze č. 1 se za bod 3.4. vkládá nový bod 3.5., který zní:
3.5. Objekt typ 0:
S3 = 0 bodů
Objekt má viditelně vymezenou hranici, v jejichž rámci existuje možnost kontroly jednotlivých osob a vozidel.. 12. V příloze č. 1 v poznámce k bodu 5.1. se na konec třetího odstavce doplňuje věta Pokud se v zabezpečené oblasti ukládá technické zařízení obsahující utajovanou informaci podle § 5 vyhlášky, provádí se zásah ostrahy v časovém limitu, který stanovil provozovatel objektu (§ 5 odst. 9), bez ohledu na umístění stanoviště stálé ostrahy.. 13. V příloze č. 1 bod 11. včetně nadpisu zní: 11. PODMÍNKY POUŽÍVÁNÍ TECHNICKÝCH PROSTŘEDKŮ PO UPLYNUTÍ DOBY PLATNOSTI JEJICH CERTIFIKÁTŮ Po uplynutí doby platnosti certifikátu nesmí být technický prostředek pro ochranu utajovaných informací pořízen a nově nasazen. Tento technický prostředek může být nadále nasazován jen v případě, pokud je doloženo, že byl pořízen a nasazen v době platnosti certifikátu u stejného orgánu státu, právnické osoby nebo podnikající fyzické osoby, u které je prováděno další nasazení. Jeho další nasazení je dále podmíněno provedením funkční zkoušky technického prostředku ke dni nasazení; zápis o výsledku funkční zkoušky se ukládá u provozovatele objektu. Po uplynutí doby platnosti certifikátu mohou být technické prostředky používány za podmínky, že jsou plně funkční. Toto musí být ověřeno funkční zkouškou. U mechanických zábranných prostředků a zařízení fyzického ničení informací se funkční zkouška doloží zápisem podepsaným provozovatelem objektu nebo jím pověřenou osobou. U ostatních technických prostředků se funkční zkouška doloží protokolem o zkoušce nebo záznamem v provozní knize. Časové intervaly jsou stanoveny v § 10 vyhlášky.. 14. V příloze č. 1 bodě 12.1. čtvrtá tabulka zní:
ZABEZPEČENÁ OBLAST KATEGORIE
Vyhrazené
sloužící k ukládání utajované informace, která vyžaduje zvláštní režim nakládání (např. KRYPTO)
Povinné: (S1) + (S2) + (S3) 2
Nepovinné : (S4) + (S5) + (S6) 1
Celkový výsledek 3.
15. V příloze č. 1 bodě 12.1. se za čtvrtou tabulku doplňuje tabulka, která zní:
ZABEZPEČENÁ OBLAST KATEGORIE
Vyhrazené
S1 = Úschovný objekt typu 0
S2 = Zabezpečená oblast typu 0 a Uzamykací systém typu 0
S3 = Objekt typu 0.
16. V příloze č. 1 se v poznámce k bodu 12.1. za text Stanovený objekt, zabezpečenou oblast může využívat k činnosti související s ochranou utajovaných informací pouze jeden orgán státu, právnická nebo podnikající fyzická osoba. vkládá na samostatný řádek nový text U zabezpečené oblasti kategorie Vyhrazené - pouze jedna ze stanovených podmínek (S1), (S2) nebo (S3) se nemusí realizovat. V případě, že je hranice zabezpečené oblasti a objektu shodná, realizuje se opatření stanovené pro zabezpečenou oblast; v tomto případě již není přípustné, aby nebyla realizována opatření na úschovném objektu.. 17. V příloze č. 1 se v poznámce k bodu 12.1. věta Pouze jedna z hodnot (S1), (S2) nebo (S3) může být rovna 0. nahrazuje větou U zabezpečené oblasti kategorie Vyhrazené sloužící k ukládání utajované informace, která vyžaduje zvláštní režim nakládání, a u zabezpečené oblasti kategorie Důvěrné a vyšší - pouze jedna z hodnot (S1), (S2) nebo (S3) může být rovna 0.. 18. V příloze č. 1 nadpis bodu 13.2.3. zní: 13.2.3. Skartace nosičů dat. 19. V příloze č. 1 v bodě 13.2.3. se slova Požadavky na ničení disket a kompaktních disků: - požadavky na zařízení určených výhradně k fyzickému ničení disket a kompaktních disků, pro všechny stupně utajení: nahrazují slovy Požadavky na zařízení určená výhradně k fyzickému ničení disket a kompaktních disků, pro všechny stupně utajení:
13.2.4. Skartace nosičů dat typ PC:
bez bodového hodnocení.
20. V příloze č. 1 v bodě 13.2.3. se slova - požadavky na ničení magnetických pásek, paměťových čipů a pevných disků: nahrazují slovy Požadavky na ničení magnetických pásek, paměťových čipů a pevných disků:
13.2.5. Skartace nosičů dat typ PC1:
bez bodového hodnocení.
21. V příloze č. 1 se v nadpisu části 14. za slovo BEZPEČNOSTI vkldádají slova V PŘÍPADECH, KDY SE V OBJEKTU NACHÁZÍ ZABEZPEČENÉ OBLASTI KATEGORIE DŮVĚRNÉ A VYŠŠÍ. 22. V příloze č. 1 části 14. se poznámka k bodu 14. zrušuje. 23. V příloze č. 1 se za část 14. doplňuje část 15., která včetně nadpisu zní: ## Část 15. - STRUKTURA PROJEKTU FYZICKÉ BEZPEČNOSTI V PŘÍPADECH, KDY SE V OBJEKTU NACHÁZÍ ZABEZPEČENÉ OBLASTI KATEGORIE VYHRAZENÉ 15.1. URČENÍ OBJEKTŮ, ZABEZPEČENÝCH OBLASTÍ VČETNĚ JEJICH HRANIC A TŘÍD ZABEZPEČENÝCH OBLASTÍ ○ Stanovení hranic objektu (umístění v areálu/budově, vstupy, výška oken, stálé stanoviště ostrahy). ○ Hranici objektu zakreslit do výkresové části Technické dokumentace fyzické bezpečnosti (bod 15.2. přílohy). ○ Stanovení zabezpečených oblastí, které se v objektu nacházejí a jejich třídu. Je nutné rozlišit, jestli se jedná o úložny utajovaných informací, pracoviště s informačním systémem, oblasti s trvalou přítomností zde pracujících osob nebo kombinace těchto typů. ○ Stanovení hranic zabezpečených oblastí (umístění v objektu, síla zdí, vstupy, výška spodního okraje průlezných otvorů nad okolním terénem) a zakreslit do výkresové části Technické dokumentace fyzické bezpečnosti (bod 15.2. přílohy). 15.2. TECHNICKÁ DOKUMENTACE FYZICKÉ BEZPEČNOSTI Tato dokumentace se člení do těchto částí: ○ Výkresová dokumentace, která obsahuje zejména vyznačení hranice objektu, hranic jednotlivých zabezpečených oblastí a rozmístění technických prostředků určených k ochraně utajovaných informací v objektu a zabezpečených oblastech. ○ Dokumentace technických prostředků, která obsahuje zejména výčet (název, počet a v případě více typů jednoho druhu technického prostředku i umístění) a základní údaje: a) Certifikované technické prostředky - kopie certifikátu a přílohy z doby instalace (pokud není příloha, vypsat typ a ohodnocení technického prostředku). b) Necertifikované technické prostředky - zápis o posouzení shody z doby instalace (uvést specifikaci a způsob použití). ○ Ověřování funkčnosti technických prostředků za podmínek, které stanovil provozovatelem objektu. Poznámka k bodu 15.: U zabezpečené oblasti, kde se ukládá utajovaná informace stupně utajení Vyhrazené, která vyžaduje zvláštní režim nakládání, se dále zpracovává podle bodu 14.3.1. tabulka bodového ohodnocení opatření fyzické bezpečnosti zabezpečené oblasti.. ## Čl. II Účinnost Tato vyhláška nabývá účinnosti dnem 15. února 2008. Ředitel: Ing. Navrátil v. r. --- [Kanonická webová stránka](https://pravnianalyza.cz/zakony/sb/2008/19)