UKÁZKA, zkráceno: dokumenty podle vyhlášky č. 410/2025 Sb.

Verze obsahu: zkb-922ac89ac91e · Vygenerováno: 2026-08-26T09:00:00.000Z

Tento soubor ukazuje 10 dokumentů, které vyhláška č. 410/2025 Sb. jmenuje pro režim nižších povinností. U každého je uvedeno ustanovení, které jej vyžaduje, a jeho doslovné znění. Každý dokument je výchozí struktura, kterou vyplňuje povinná osoba; Kybriq neposuzuje, zda je opatření zavedeno.

Dokument	Vyžaduje ustanovení
Bezpečnostní politika a přehled bezpečnostní dokumentace	§ 3 odst. 3 písm. a)
Pravidla používání a manipulace s technickými aktivy	§ 3 odst. 4
Požadavky na smluvní ujednání s dodavateli	§ 3 odst. 5
Bezpečnostní požadavky pro akvizici, vývoj a údržbu technických aktiv	§ 3 odst. 6
Jmenování osoby pověřené kybernetickou bezpečností	§ 4 písm. a)
Politika bezpečného chování uživatelů	§ 5 odst. 1 písm. a)
Přehled o provedených školeních a seznamy školených osob	§ 5 odst. 3
Plán kontinuity činností a obnovy	§ 6 písm. a), § 6 písm. b), § 6 písm. c)
Metodika posuzování kybernetických bezpečnostních událostí a incidentů	§ 10 písm. b)
Kritéria únosné míry újmy a oblasti pro posouzení významnosti dopadu	§ 14 odst. 1 písm. a), § 14 odst. 1 písm. b)

Proč se tyto dokumenty na tuto firmu vztahují

Spadáte pod zákon: režim nižších povinností

Podnik třídy „střední podnik“ poskytuje službu podle příloha vyhl. 408/2025 Sb., bod 11.1 → režim nižších povinností.

Zdroje: zkb-s4-sector-list, vyh408-annex-carries-the-regimes, vyh408-row-11-1-waste-five-percent, vyh408-row-11-1-waste-lower

Vyhláška č. 410/2025 Sb. dopadá na režim nižších povinností. Dokumenty níže jsou proto ty, které tato firma vede.

Bezpečnostní politika a přehled bezpečnostní dokumentace

Verze obsahu: zkb-922ac89ac91e · Vygenerováno: 2026-08-26T09:00:00.000Z
Organizace: Vzorová odpadová s.r.o. (fiktivní ukázková firma) · IČO: 00000000 (fiktivní, takové IČO neexistuje) · Zpracoval: Marie Vzorová (fiktivní osoba)

Ustanovení, které tento dokument vyžaduje

Bezpečnostní politika je dokument, kterým povinná osoba stanoví pravidla a postupy k bezpečnostním opatřením požadovaným vyhláškou, a přehled bezpečnostní dokumentace je seznam dokumentů, ve kterých tato pravidla a postupy skutečně žijí.

§ 3 odst. 3 písm. a) vyh410-s3-3-a: „stanoví bezpečnostní politiku a bezpečnostní dokumentaci k bezpečnostním opatřením požadovaným touto vyhláškou,“

Tento dokument je výchozí struktura, kterou vyplňuje a dokončuje povinná osoba. Kybriq neposuzuje stav zavedení bezpečnostních opatření a tento dokument sám o sobě nedokládá, že povinnost byla naplněna.

1. Rozsah a závaznost

§ 3 odst. 3 písm. a) vyh410-s3-3-a: „stanoví bezpečnostní politiku a bezpečnostní dokumentaci k bezpečnostním opatřením požadovaným touto vyhláškou,“

Politika se vztahuje na regulovanou službu [doplní povinná osoba] poskytovanou organizací Vzorová odpadová s.r.o. (fiktivní ukázková firma), IČO 00000000 (fiktivní, takové IČO neexistuje), a je závazná pro vrcholné vedení, uživatele, administrátory a osobu pověřenou kybernetickou bezpečností.

2. Přehled bezpečnostní dokumentace

§ 3 odst. 3 písm. a) vyh410-s3-3-a: „stanoví bezpečnostní politiku a bezpečnostní dokumentaci k bezpečnostním opatřením požadovaným touto vyhláškou,“
§ 3 odst. 2 písm. a) vyh410-s3-2-a: „stanoví přehled bezpečnostních opatření podle přílohy č. 1 k této vyhlášce, který obsahuje přehled všech bezpečnostních opatření, která 1. byla povinnou osobou zavedena, včetně popisu jejich zavedení, 2. budou povinnou osobou zavedena, včetně termínů pro jejich zavedení, priority jejich zavedení a určení osoby odpovědné za jejich zavedení, a 3. nebyla zavedena, včetně odůvodnění jejich nezavedení,“

Vyhláška nepředepisuje jeden dokument, ale sadu pravidel a postupů. Následující tabulka je jejich rejstřík; každý řádek odkazuje na ustanovení, které dokument vyžaduje.

3. Přezkoumání a aktualizace

§ 3 odst. 3 písm. b) vyh410-s3-3-b: „pravidelně přezkoumává a aktualizuje pravidla a postupy stanovené v bezpečnostní politice a bezpečnostní dokumentaci a“

Interval přezkoumání: [doplní povinná osoba]. Kdo přezkoumání provádí: [doplní povinná osoba].

4. Vynucování pravidel

§ 3 odst. 3 písm. c) vyh410-s3-3-c: „vynucuje dodržování pravidel a postupů stanovených v bezpečnostní politice a bezpečnostní dokumentaci.“
§ 5 odst. 1 písm. d) vyh410-s5-1-d: „stanoví pravidla a postupy pro řešení případů porušení bezpečnostní politiky.“

Způsob, jakým je dodržování pravidel vynucováno (technicky i organizačně): [doplní povinná osoba].

5. Schválení

§ 3 odst. 3 písm. a) vyh410-s3-3-a: „stanoví bezpečnostní politiku a bezpečnostní dokumentaci k bezpečnostním opatřením požadovaným touto vyhláškou,“
§ 4 písm. c) vyh410-s4-c: „zajistí dostupnost zdrojů potřebných pro zajišťování kybernetické bezpečnosti v souladu s přehledem bezpečnostních opatření,“

Schválil: Karel Ukázka (fiktivní osoba) za vrcholné vedení [doplní povinná osoba], dne [doplní povinná osoba].

Pravidla používání a manipulace s technickými aktivy

Ustanovení, které tento dokument vyžaduje

Pravidla pro používání a manipulaci s technickými aktivy říkají, co smí a nesmí uživatel a administrátor dělat se zařízeními, systémy a nosiči dat, které povinná osoba používá k poskytování regulované služby.

§ 3 odst. 4 vyh410-s3-4: „Povinná osoba v rámci řízení aktiv stanoví pravidla pro používání a manipulaci technických aktiv.“

1. Rozsah pravidel

§ 3 odst. 4 vyh410-s3-4: „Povinná osoba v rámci řízení aktiv stanoví pravidla pro používání a manipulaci technických aktiv.“

Pravidla se vztahují na tato technická aktiva: [doplní povinná osoba].

2. Evidence technických aktiv

§ 3 odst. 4 vyh410-s3-4: „Povinná osoba v rámci řízení aktiv stanoví pravidla pro používání a manipulaci technických aktiv.“

Aktivum	Typ	Umístění	Správce	Datum zařazení
[doplní povinná osoba]	[doplní povinná osoba]	[doplní povinná osoba]	Marie Vzorová (fiktivní osoba)	[doplní povinná osoba]

3. Pravidla používání

§ 3 odst. 4 vyh410-s3-4: „Povinná osoba v rámci řízení aktiv stanoví pravidla pro používání a manipulaci technických aktiv.“

Povolené způsoby použití: [doplní povinná osoba].
Zakázané způsoby použití: [doplní povinná osoba].

4. Manipulace, předání a vyřazení

§ 3 odst. 4 vyh410-s3-4: „Povinná osoba v rámci řízení aktiv stanoví pravidla pro používání a manipulaci technických aktiv.“
§ 7 odst. 1 písm. f) vyh410-s7-1-f: „zajistí deaktivaci účtu a bezodkladné odebrání nebo změnu přístupových práv a oprávnění při ukončení nebo změně smluvního vztahu, na jehož základě došlo ke zřízení přístupu k aktivům.“

Postup při předání aktiva jinému uživateli: [doplní povinná osoba].
Postup při vyřazení aktiva včetně likvidace dat: [doplní povinná osoba].

5. Vazba na přístup a fyzickou bezpečnost

§ 7 odst. 1 písm. c) vyh410-s7-1-c: „zavádí bezpečnostní opatření potřebná pro bezpečné používání mobilních zařízení a jiných obdobných technických aktiv, popřípadě i bezpečnostní opatření spojená s využitím technických aktiv, která povinná osoba nemá ve své správě,“
§ 7 odst. 2 vyh410-s7-2: „Povinná osoba v rámci zajištění fyzické bezpečnosti zamezí neoprávněnému přístupu ke svým aktivům a předchází poškození, odcizení, zneužití aktiv, neoprávněným zásahům do nich a narušení bezpečnosti poskytování regulované služby.“

Pravidla pro mobilní zařízení a pro aktiva mimo správu povinné osoby: [doplní povinná osoba].

Požadavky na smluvní ujednání s dodavateli

Ustanovení, které tento dokument vyžaduje

Tento dokument je podklad pro jednání s dodavatelem: shrnuje, co vyhláška požaduje posoudit před uzavřením smlouvy, a nese checklist smluvních ujednání, která má smlouva s dodavatelem obsahovat v rozsahu, v jakém jsou pro ni relevantní.

§ 3 odst. 5 vyh410-s3-5: „Povinná osoba při uzavírání smlouvy s dodavatelem do stanoveného rozsahu podle § 12 zákona zohlední hrozby a zranitelnosti spojené s tímto dodavatelem, celkovou kvalitu produktů a postupů v oblasti kybernetické bezpečnosti tohoto dodavatele, včetně postupů bezpečného vývoje a na základě toho zajistí, aby smlouvy s tímto dodavatelem obsahovaly relevantní požadavky na smluvní ujednaní uvedené v příloze č. 2 k této vyhlášce.“

1. Kdy se požadavky uplatní

§ 3 odst. 5 vyh410-s3-5: „Povinná osoba při uzavírání smlouvy s dodavatelem do stanoveného rozsahu podle § 12 zákona zohlední hrozby a zranitelnosti spojené s tímto dodavatelem, celkovou kvalitu produktů a postupů v oblasti kybernetické bezpečnosti tohoto dodavatele, včetně postupů bezpečného vývoje a na základě toho zajistí, aby smlouvy s tímto dodavatelem obsahovaly relevantní požadavky na smluvní ujednaní uvedené v příloze č. 2 k této vyhlášce.“

Dodavatel: [doplní povinná osoba]. Předmět plnění: [doplní povinná osoba].

2. Posouzení dodavatele před uzavřením smlouvy

§ 3 odst. 5 vyh410-s3-5: „Povinná osoba při uzavírání smlouvy s dodavatelem do stanoveného rozsahu podle § 12 zákona zohlední hrozby a zranitelnosti spojené s tímto dodavatelem, celkovou kvalitu produktů a postupů v oblasti kybernetické bezpečnosti tohoto dodavatele, včetně postupů bezpečného vývoje a na základě toho zajistí, aby smlouvy s tímto dodavatelem obsahovaly relevantní požadavky na smluvní ujednaní uvedené v příloze č. 2 k této vyhlášce.“

Co vyhláška ukládá zohlednit	Zjištění	Kdo posoudil	Dne
Hrozby spojené s dodavatelem	[doplní povinná osoba]	[doplní povinná osoba]	[doplní povinná osoba]
Zranitelnosti spojené s dodavatelem	[doplní povinná osoba]	[doplní povinná osoba]	[doplní povinná osoba]

3. Checklist smluvních ujednání podle přílohy č. 2

příloha č. 2 vyh410-annex2-lead: „Povinné osoby mohou uzavírat jen takové smlouvy, které budou zohledňovat následující relevantní ustanovení:“
příloha č. 2 písm. a) vyh410-annex2-a: „ustanovení o bezpečnosti informací z pohledu důvěrnosti (včetně ustanovení o mlčenlivosti), integrity a dostupnosti,“
příloha č. 2 písm. b) vyh410-annex2-b: „ustanovení o auditu dodavatele související s plněním smlouvy,“
příloha č. 2 písm. c) vyh410-annex2-c: „ustanovení o řetězení dodavatelů,“
příloha č. 2 písm. d) vyh410-annex2-d: „ustanovení upravující tzv. exit strategii, podmínky ukončení smluvního vztahu z pohledu bezpečnosti informací,“
příloha č. 2 písm. e) vyh410-annex2-e: „ustanovení o sankcích za porušení smluvních povinností,“
příloha č. 2 písm. f) vyh410-annex2-f: „ustanovení o oprávnění užívat data,“
příloha č. 2 písm. g) vyh410-annex2-g: „ustanovení o autorství programového kódu, případně o programových licencích,“
příloha č. 2 písm. h) vyh410-annex2-h: „ustanovení o důvěrnosti smluvního vztahu,“
příloha č. 2 písm. i) vyh410-annex2-i: „ustanovení o povinnosti dodavatele dodržovat bezpečnostní politiky povinné osoby nebo ustanovení o odsouhlasení bezpečnostních politik dodavatele (nebo odsouhlasení pro dodavatelský vztah relevantních částí bezpečnostních politik) povinnou osobou,“
příloha č. 2 písm. j) vyh410-annex2-j: „ustanovení o řízení změn,“
příloha č. 2 písm. k) vyh410-annex2-k: „ustanovení o kybernetických bezpečnostních incidentech souvisejících s plněním smlouvy,“
příloha č. 2 písm. l) vyh410-annex2-l: „ustanovení upravující zajištění řízení kontinuity činností,“
příloha č. 2 písm. m) vyh410-annex2-m: „náležitosti smlouvy o úrovni služeb (SLA) a způsobu a úrovni realizace bezpečnostních opatření,“
příloha č. 2 písm. n) vyh410-annex2-n: „ustanovení o dodržování pravidel bezpečného vývoje.“

Příloha vyjmenovává čtrnáct okruhů ujednání. Ke každému uveďte, zda je pro tuto smlouvu relevantní, a kde je ve smlouvě upraven. Nerelevantní okruh odůvodněte; prázdný řádek znamená nevyplněno, nikoli nepoužije se.

4. Incidenty a kontinuita u dodavatele

příloha č. 2 písm. k) vyh410-annex2-k: „ustanovení o kybernetických bezpečnostních incidentech souvisejících s plněním smlouvy,“
příloha č. 2 písm. l) vyh410-annex2-l: „ustanovení upravující zajištění řízení kontinuity činností,“
§ 10 písm. a) vyh410-s10-a: „zajistí, že uživatelé, administrátoři, osoby pověřené kybernetickou bezpečností a další zaměstnanci budou oznamovat neobvyklé chování technických aktiv a podezření na jakékoliv zranitelnosti,“

Jak dodavatel hlásí incidenty související s plněním smlouvy a komu: Eva Vzorková (fiktivní osoba).

5. Evidence smluv a přezkoumání

§ 3 odst. 5 vyh410-s3-5: „Povinná osoba při uzavírání smlouvy s dodavatelem do stanoveného rozsahu podle § 12 zákona zohlední hrozby a zranitelnosti spojené s tímto dodavatelem, celkovou kvalitu produktů a postupů v oblasti kybernetické bezpečnosti tohoto dodavatele, včetně postupů bezpečného vývoje a na základě toho zajistí, aby smlouvy s tímto dodavatelem obsahovaly relevantní požadavky na smluvní ujednaní uvedené v příloze č. 2 k této vyhlášce.“
§ 3 odst. 3 písm. b) vyh410-s3-3-b: „pravidelně přezkoumává a aktualizuje pravidla a postupy stanovené v bezpečnostní politice a bezpečnostní dokumentaci a“

Dodavatel	Smlouva	Účinnost od	Nejbližší přezkoumání	Odpovídá
[doplní povinná osoba]	[doplní povinná osoba]	[doplní povinná osoba]	[doplní povinná osoba]	Marie Vzorová (fiktivní osoba)

Bezpečnostní požadavky pro akvizici, vývoj a údržbu technických aktiv

Ustanovení, které tento dokument vyžaduje

Tento dokument stanoví bezpečnostní požadavky, které povinná osoba uplatní při plánované akvizici, vývoji a údržbě technických aktiv, a způsob, jakým jejich dodržování vymáhá.

§ 3 odst. 6 vyh410-s3-6: „Povinná osoba v souvislosti s plánovanou akvizicí, vývojem a údržbou technických aktiv stanoví bezpečnostní požadavky v oblasti kybernetické bezpečnosti a vymáhá jejich dodržování, přičemž vychází z požadavků na bezpečnostní opatření podle této vyhlášky.“

1. Kdy se požadavky uplatní

§ 3 odst. 6 vyh410-s3-6: „Povinná osoba v souvislosti s plánovanou akvizicí, vývojem a údržbou technických aktiv stanoví bezpečnostní požadavky v oblasti kybernetické bezpečnosti a vymáhá jejich dodržování, přičemž vychází z požadavků na bezpečnostní opatření podle této vyhlášky.“

Požadavky se uplatní na tyto případy pořízení, vývoje a údržby: [doplní povinná osoba].

2. Katalog bezpečnostních požadavků

§ 3 odst. 6 vyh410-s3-6: „Povinná osoba v souvislosti s plánovanou akvizicí, vývojem a údržbou technických aktiv stanoví bezpečnostní požadavky v oblasti kybernetické bezpečnosti a vymáhá jejich dodržování, přičemž vychází z požadavků na bezpečnostní opatření podle této vyhlášky.“

Vyhláška ukládá vyjít z požadavků na bezpečnostní opatření podle této vyhlášky. Sloupec „Opatření podle vyhlášky“ proto vyplňte odkazem na konkrétní ustanovení, nikoli obecným popisem.

3. Vymáhání dodržování

§ 3 odst. 6 vyh410-s3-6: „Povinná osoba v souvislosti s plánovanou akvizicí, vývojem a údržbou technických aktiv stanoví bezpečnostní požadavky v oblasti kybernetické bezpečnosti a vymáhá jejich dodržování, přičemž vychází z požadavků na bezpečnostní opatření podle této vyhlášky.“
§ 3 odst. 3 písm. c) vyh410-s3-3-c: „vynucuje dodržování pravidel a postupů stanovených v bezpečnostní politice a bezpečnostní dokumentaci.“

Způsob ověření požadavků před nasazením: [doplní povinná osoba].

4. Vazba na dodavatele

§ 3 odst. 5 vyh410-s3-5: „Povinná osoba při uzavírání smlouvy s dodavatelem do stanoveného rozsahu podle § 12 zákona zohlední hrozby a zranitelnosti spojené s tímto dodavatelem, celkovou kvalitu produktů a postupů v oblasti kybernetické bezpečnosti tohoto dodavatele, včetně postupů bezpečného vývoje a na základě toho zajistí, aby smlouvy s tímto dodavatelem obsahovaly relevantní požadavky na smluvní ujednaní uvedené v příloze č. 2 k této vyhlášce.“

Je-li aktivum pořizováno od dodavatele, promítnou se požadavky do smlouvy postupem podle dokumentu „Požadavky na smluvní ujednání s dodavateli“.

5. Aplikační bezpečnost a kryptografie

§ 12 písm. a) vyh410-s12-a: „zajistí bezodkladné aplikování schválených bezpečnostních aktualizací vydaných pro technická aktiva,“
§ 13 odst. 1 písm. a) vyh410-s13-1-a: „používá aktuálně odolné kryptografické algoritmy,“

Vyvíjí-li nebo provozuje povinná osoba vlastní aplikace, uplatní na ně i pravidla podle § 12 a § 13 vyhlášky. Jak jsou tato pravidla u vás nastavena: [doplní povinná osoba].

Jmenování osoby pověřené kybernetickou bezpečností

Ustanovení, které tento dokument vyžaduje

Tímto dokumentem vrcholné vedení určuje osobu pověřenou kybernetickou bezpečností, svěřuje jí pravomoci, které vyhláška vyjmenovává, a zaznamenává, kterou z obou cest k odbornosti tato osoba jde.

§ 4 písm. a) vyh410-s4-a: „určí osobu pověřenou kybernetickou bezpečností, které svěří pravomoci potřebné k řízení a rozvoji kybernetické bezpečnosti, dohledu nad stavem kybernetické bezpečnosti a komunikaci s vrcholným vedením, přičemž pro výkon této činnosti 1. absolvuje bez zbytečného odkladu odborné školení podle § 5 odst. 2 písm. d), nebo 2. prokáže odbornou znalost v kybernetické bezpečnosti,“

1. Určení osoby

§ 4 písm. a) vyh410-s4-a: „určí osobu pověřenou kybernetickou bezpečností, které svěří pravomoci potřebné k řízení a rozvoji kybernetické bezpečnosti, dohledu nad stavem kybernetické bezpečnosti a komunikaci s vrcholným vedením, přičemž pro výkon této činnosti 1. absolvuje bez zbytečného odkladu odborné školení podle § 5 odst. 2 písm. d), nebo 2. prokáže odbornou znalost v kybernetické bezpečnosti,“

Vrcholné vedení [doplní povinná osoba] určuje osobou pověřenou kybernetickou bezpečností: [doplní povinná osoba].

2. Svěřené pravomoci

§ 4 písm. a) vyh410-s4-a: „určí osobu pověřenou kybernetickou bezpečností, které svěří pravomoci potřebné k řízení a rozvoji kybernetické bezpečnosti, dohledu nad stavem kybernetické bezpečnosti a komunikaci s vrcholným vedením, přičemž pro výkon této činnosti 1. absolvuje bez zbytečného odkladu odborné školení podle § 5 odst. 2 písm. d), nebo 2. prokáže odbornou znalost v kybernetické bezpečnosti,“

Vyhláška vyjmenovává pravomoci, které je nutné svěřit. Ke každé z nich uveďte, jak je u vás vykonávána.

3. Doložení odbornosti

§ 4 písm. a) vyh410-s4-a: „určí osobu pověřenou kybernetickou bezpečností, které svěří pravomoci potřebné k řízení a rozvoji kybernetické bezpečnosti, dohledu nad stavem kybernetické bezpečnosti a komunikaci s vrcholným vedením, přičemž pro výkon této činnosti 1. absolvuje bez zbytečného odkladu odborné školení podle § 5 odst. 2 písm. d), nebo 2. prokáže odbornou znalost v kybernetické bezpečnosti,“
§ 5 odst. 2 písm. d) vyh410-s5-2-d: „potřebná odborná teoretická i praktická školení administrátorů a osoby pověřené kybernetickou bezpečností v souladu s jejich pracovní náplní.“

Vyhláška připouští pro výkon této činnosti dvě cesty a je nutné zvolit jednu z nich:

4. Podpora ze strany vrcholného vedení

§ 4 písm. e) vyh410-s4-e: „prosazuje neustálé zlepšování zajišťování kybernetické bezpečnosti a za tímto účelem podporuje osobu pověřenou kybernetickou bezpečností a jiné relevantní osoby a“
§ 4 písm. c) vyh410-s4-c: „zajistí dostupnost zdrojů potřebných pro zajišťování kybernetické bezpečnosti v souladu s přehledem bezpečnostních opatření,“

Jak vrcholné vedení tuto osobu podporuje a jaké zdroje pro kybernetickou bezpečnost zpřístupnilo: [doplní povinná osoba].

Politika bezpečného chování uživatelů

Ustanovení, které tento dokument vyžaduje

Politika bezpečného chování uživatelů je dokument, kterým povinná osoba stanoví, jak se mají uživatelé chovat při práci s technickými aktivy, a ve kterém zohledňuje relevantní témata vyjmenovaná v příloze č. 3 vyhlášky.

§ 5 odst. 1 písm. a) vyh410-s5-1-a: „stanoví politiku bezpečného chování uživatelů, v jejímž rámci zohledňuje relevantní témata uvedená v příloze č. 3 k této vyhlášce,“

1. Rozsah a závaznost

§ 5 odst. 1 písm. a) vyh410-s5-1-a: „stanoví politiku bezpečného chování uživatelů, v jejímž rámci zohledňuje relevantní témata uvedená v příloze č. 3 k této vyhlášce,“

Politika je závazná pro uživatele a administrátory organizace Vzorová odpadová s.r.o. (fiktivní ukázková firma), IČO 00000000 (fiktivní, takové IČO neexistuje), a pro osoby v obdobném postavení uvedené zde: [doplní povinná osoba].

2. Témata podle přílohy č. 3

§ 5 odst. 1 písm. a) vyh410-s5-1-a: „stanoví politiku bezpečného chování uživatelů, v jejímž rámci zohledňuje relevantní témata uvedená v příloze č. 3 k této vyhlášce,“
příloha č. 3 písm. a) vyh410-annex3-a: „Techniky zabezpečení zařízení.“
příloha č. 3 písm. b) vyh410-annex3-b: „Firewall, antivirový program a jejich omezení.“
příloha č. 3 písm. c) vyh410-annex3-c: „Škodlivé programy a jejich projevy.“
příloha č. 3 písm. d) vyh410-annex3-d: „Rizika stahování programů a aplikací.“
příloha č. 3 písm. e) vyh410-annex3-e: „Aktualizace software.“
příloha č. 3 písm. f) vyh410-annex3-f: „Rizika povolení a zakázání spouštění maker.“
příloha č. 3 písm. g) vyh410-annex3-g: „Rizika spustitelných souborů.“
příloha č. 3 písm. h) vyh410-annex3-h: „Zásady zabezpečení uživatelských účtů.“
příloha č. 3 písm. i) vyh410-annex3-i: „Používání, tvorba a správa hesel.“
příloha č. 3 písm. j) vyh410-annex3-j: „Vícefaktorová autentizace.“
příloha č. 3 písm. k) vyh410-annex3-k: „Techniky sociálního inženýrství.“
příloha č. 3 písm. l) vyh410-annex3-l: „On-line identita, digitální stopa a její minimalizace.“
příloha č. 3 písm. m) vyh410-annex3-m: „Zásady práce v počítačové síti.“
příloha č. 3 písm. n) vyh410-annex3-n: „Používání vzdáleného připojení (VPN).“
příloha č. 3 písm. o) vyh410-annex3-o: „Bezpečná elektronická komunikace.“
příloha č. 3 písm. p) vyh410-annex3-p: „Bezpečnost webových stránek.“
příloha č. 3 písm. q) vyh410-annex3-q: „Zálohování, ukládání a šifrování dat.“
příloha č. 3 písm. r) vyh410-annex3-r: „Bezpečné používání přenosných technických nosičů dat.“
příloha č. 3 písm. s) vyh410-annex3-s: „Využívání služeb cloud computingu.“
příloha č. 3 písm. t) vyh410-annex3-t: „Pravidla a postupy pro oznamování neobvyklého chování technických aktiv a podezření na jakékoliv zranitelnosti.“
příloha č. 3 písm. u) vyh410-annex3-u: „Základní postup při reakci na kybernetickou bezpečnostní událost nebo kybernetický bezpečnostní incident.“
příloha č. 3 písm. v) vyh410-annex3-v: „Zásady bezpečného používání pracovních zařízení pro soukromé účely.“
příloha č. 3 písm. w) vyh410-annex3-w: „Zásady bezpečného používání soukromých zařízení pro pracovní účely (tzv. BYOD).“
příloha č. 3 písm. x) vyh410-annex3-x: „Osobní odpovědnost zaměstnance při dodržování zásad kybernetické bezpečnosti.“
příloha č. 3 písm. y) vyh410-annex3-y: „Aktuální hrozby v kybernetické bezpečnosti.“

Ke každému tématu uveďte, zda je pro vaše prostředí relevantní, a kde je ve vaší dokumentaci nebo ve školení upraveno. Prázdný řádek znamená nevyplněno, nikoli nepoužije se.

3. Bezpečnostní povědomí a hesla

§ 5 odst. 1 písm. b) vyh410-s5-1-b: „stanoví pravidla rozvoje bezpečnostního povědomí vrcholného vedení, uživatelů, administrátorů a osoby pověřené kybernetickou bezpečností, včetně pravidel pro tvorbu hesel,“

Pravidla rozvoje bezpečnostního povědomí vrcholného vedení, uživatelů, administrátorů a osoby pověřené kybernetickou bezpečností: [doplní povinná osoba].

4. Kontrola dodržování

§ 5 odst. 1 písm. c) vyh410-s5-1-c: „zajistí kontrolu dodržování bezpečnostní politiky ze strany uživatelů, administrátorů a osoby pověřené kybernetickou bezpečností a“

Jak a jak často se dodržování politiky kontroluje: [doplní povinná osoba].

5. Řešení porušení politiky

§ 5 odst. 1 písm. d) vyh410-s5-1-d: „stanoví pravidla a postupy pro řešení případů porušení bezpečnostní politiky.“

Postup při porušení politiky: [doplní povinná osoba].

6. Seznámení uživatele

§ 5 odst. 2 písm. b) vyh410-s5-2-b: „vstupní školení v oblasti kybernetické bezpečnosti,“
§ 5 odst. 3 vyh410-s5-3: „Povinná osoba vede přehledy o provedených školeních a seznamy školených osob podle odstavce 2.“

Jméno	Role	Seznámen dne	Podpis nebo záznam
Marie Vzorová (fiktivní osoba)	[doplní povinná osoba]	[doplní povinná osoba]	[doplní povinná osoba]

Přehled o provedených školeních a seznamy školených osob

Ustanovení, které tento dokument vyžaduje

Tento dokument je evidencí: přehled o provedených školeních a seznamy školených osob, vedené k druhům školení, které vyhláška vyjmenovává. Vyplněné řádky vznikají až po skutečně provedeném školení.

§ 5 odst. 3 vyh410-s5-3: „Povinná osoba vede přehledy o provedených školeních a seznamy školených osob podle odstavce 2.“

1. Druhy školení, které vyhláška vyjmenovává

§ 5 odst. 2 písm. a) vyh410-s5-2-a: „poučení vrcholného vedení o jeho povinnostech a o bezpečnostní politice, zejména v oblasti zajišťování kybernetické bezpečnosti, formou vstupních a pravidelných školení,“
§ 5 odst. 2 písm. b) vyh410-s5-2-b: „vstupní školení v oblasti kybernetické bezpečnosti,“
§ 5 odst. 2 písm. c) vyh410-s5-2-c: „pravidelná školení v oblasti kybernetické bezpečnosti a“
§ 5 odst. 2 písm. d) vyh410-s5-2-d: „potřebná odborná teoretická i praktická školení administrátorů a osoby pověřené kybernetickou bezpečností v souladu s jejich pracovní náplní.“

Ustanovení	Druh školení	Komu je určeno	Četnost u vás
§ 5 odst. 2 písm. a)	Poučení vrcholného vedení	Vrcholné vedení	[doplní povinná osoba]
§ 5 odst. 2 písm. b)	Vstupní školení	Uživatelé a administrátoři	[doplní povinná osoba]

2. Přehled o provedených školeních

§ 5 odst. 3 vyh410-s5-3: „Povinná osoba vede přehledy o provedených školeních a seznamy školených osob podle odstavce 2.“

Datum	Druh školení	Téma	Lektor	Forma	Doklad
[doplní povinná osoba]	[doplní povinná osoba]	[doplní povinná osoba]	[doplní povinná osoba]	[doplní povinná osoba]	[doplní povinná osoba]

3. Seznam školených osob

§ 5 odst. 3 vyh410-s5-3: „Povinná osoba vede přehledy o provedených školeních a seznamy školených osob podle odstavce 2.“

Jméno	Role	Školení	Datum	Záznam o absolvování
Marie Vzorová (fiktivní osoba)	[doplní povinná osoba]	[doplní povinná osoba]	[doplní povinná osoba]	[doplní povinná osoba]

4. Školení vrcholného vedení a pověřené osoby

§ 4 písm. b) vyh410-s4-b: „absolvuje prokazatelně školení podle § 5 odst. 2 písm. a),“
§ 4 písm. a) vyh410-s4-a: „určí osobu pověřenou kybernetickou bezpečností, které svěří pravomoci potřebné k řízení a rozvoji kybernetické bezpečnosti, dohledu nad stavem kybernetické bezpečnosti a komunikaci s vrcholným vedením, přičemž pro výkon této činnosti 1. absolvuje bez zbytečného odkladu odborné školení podle § 5 odst. 2 písm. d), nebo 2. prokáže odbornou znalost v kybernetické bezpečnosti,“

Vrcholné vedení [doplní povinná osoba], poslední poučení dne [doplní povinná osoba], doklad [doplní povinná osoba].

Plán kontinuity činností a obnovy

Ustanovení, které tento dokument vyžaduje

Plán kontinuity činností a obnovy říká, v jakém pořadí a jakým postupem se obnovují technická aktiva po výpadku nebo incidentu, kdo za jednotlivé kroky odpovídá a jak se zálohuje to, bez čeho obnova není možná.

§ 6 písm. a) vyh410-s6-a: „stanoví prioritu technických aktiv, pořadí a postupy jejich obnovy a zohlední přitom stanovenou prioritu relevantního primárního aktiva podle § 4 písm. f),“
§ 6 písm. b) vyh410-s6-b: „stanoví povinnosti a odpovědnost konkrétních osob za jednotlivé činnosti pro zajištění kontinuity činností a k obnově podle písmene a) a“
§ 6 písm. c) vyh410-s6-c: „vytváří pravidelné zálohy informací, dat, konfigurací a nastavení technických aktiv nezbytných zejména pro účely obnovy regulované služby pro případ kybernetického bezpečnostního incidentu.“

1. Priorita technických aktiv a postupy obnovy

§ 6 písm. a) vyh410-s6-a: „stanoví prioritu technických aktiv, pořadí a postupy jejich obnovy a zohlední přitom stanovenou prioritu relevantního primárního aktiva podle § 4 písm. f),“
§ 4 písm. f) vyh410-s4-f: „stanoví prioritu obnovy primárních aktiv.“

Vyhláška váže prioritu technických aktiv na prioritu relevantního primárního aktiva, kterou stanoví vrcholné vedení. Nejprve tedy vyplňte primární aktiva.

2. Odpovědnosti za jednotlivé činnosti

§ 6 písm. b) vyh410-s6-b: „stanoví povinnosti a odpovědnost konkrétních osob za jednotlivé činnosti pro zajištění kontinuity činností a k obnově podle písmene a) a“

Činnost	Odpovídá	Zastupuje	Kontakt
Vyhlášení obnovy	Marie Vzorová (fiktivní osoba)	[doplní povinná osoba]	Eva Vzorková (fiktivní osoba)
Řízení obnovy	[doplní povinná osoba]	[doplní povinná osoba]	Eva Vzorková (fiktivní osoba)

3. Zálohování

§ 6 písm. c) vyh410-s6-c: „vytváří pravidelné zálohy informací, dat, konfigurací a nastavení technických aktiv nezbytných zejména pro účely obnovy regulované služby pro případ kybernetického bezpečnostního incidentu.“

Co se zálohuje	Četnost	Umístění zálohy	Doba uchování	Odpovídá
[doplní povinná osoba]	[doplní povinná osoba]	[doplní povinná osoba]	[doplní povinná osoba]	Marie Vzorová (fiktivní osoba)

4. Vazba na řešení incidentu

§ 10 písm. f) vyh410-s10-f: „zajistí vytvoření závěrečné zprávy o vyřešení kybernetického bezpečnostního incidentu s významným dopadem podle § 16 zákona.“

Obnova po kybernetickém bezpečnostním incidentu s významným dopadem končí závěrečnou zprávou. Kdo ji zpracovává: [doplní povinná osoba].

5. Přezkoumání plánu

§ 3 odst. 3 písm. b) vyh410-s3-3-b: „pravidelně přezkoumává a aktualizuje pravidla a postupy stanovené v bezpečnostní politice a bezpečnostní dokumentaci a“

Plán je součástí bezpečnostní dokumentace, a proto se přezkoumává a aktualizuje.

Metodika posuzování kybernetických bezpečnostních událostí a incidentů

Ustanovení, které tento dokument vyžaduje

Metodika popisuje, jak se u povinné osoby posuzují kybernetické bezpečnostní události a incidenty, včetně posouzení významnosti dopadu incidentu, a navazuje na kritéria únosné míry újmy podle § 14.

§ 10 písm. b) vyh410-s10-b: „vytvoří metodiku pro posuzování kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů, včetně posuzování významnosti dopadu kybernetického bezpečnostního incidentu v souladu s § 14,“

1. Účel a rozsah metodiky

§ 10 písm. b) vyh410-s10-b: „vytvoří metodiku pro posuzování kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů, včetně posuzování významnosti dopadu kybernetického bezpečnostního incidentu v souladu s § 14,“
§ 10 vyh410-s10-title: „Řešení kybernetických bezpečnostních incidentů“

Metodiku vydává Vzorová odpadová s.r.o. (fiktivní ukázková firma), IČO 00000000 (fiktivní, takové IČO neexistuje), s účinností od [doplní povinná osoba].

2. Oznamování neobvyklého chování a podezření na zranitelnost

§ 10 písm. a) vyh410-s10-a: „zajistí, že uživatelé, administrátoři, osoby pověřené kybernetickou bezpečností a další zaměstnanci budou oznamovat neobvyklé chování technických aktiv a podezření na jakékoliv zranitelnosti,“
příloha č. 3 písm. t) vyh410-annex3-t: „Pravidla a postupy pro oznamování neobvyklého chování technických aktiv a podezření na jakékoliv zranitelnosti.“

Komu se oznamuje: Eva Vzorková (fiktivní osoba). Jakým kanálem: [doplní povinná osoba].

3. Detekce událostí

§ 10 písm. c) vyh410-s10-c: „zajistí detekci kybernetických bezpečnostních událostí,“
§ 9 odst. 1 písm. a) vyh410-s9-1-a: „ověření a kontrolu přenášených dat na perimetru komunikační sítě, včetně blokování nežádoucí komunikace,“

Jaké zdroje detekce jsou k dispozici a kdo je sleduje: [doplní povinná osoba].

4. Posuzování události a incidentu

§ 10 písm. b) vyh410-s10-b: „vytvoří metodiku pro posuzování kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů, včetně posuzování významnosti dopadu kybernetického bezpečnostního incidentu v souladu s § 14,“
§ 10 písm. d) vyh410-s10-d: „zajistí posuzování kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů v souladu s metodikou podle písmene b),“

Postup posouzení, krok za krokem, a kdo jej provádí:

5. Posouzení významnosti dopadu

§ 14 odst. 2 písm. a) vyh410-s14-2-a: „přesáhne povinnou osobou stanovenou únosnou míru újmy způsobenou kybernetickým bezpečnostním incidentem podle odstavce 1 písm. a) a současně“
§ 14 odst. 2 písm. b) vyh410-s14-2-b: „je oblast pro posouzení významnosti dopadu podle odstavce 1 písm. b) posouzena jako významná.“

Vyhláška spojuje obě podmínky. Kritéria únosné míry újmy a oblasti pro posouzení významnosti dopadu vede povinná osoba v samostatném dokumentu.

6. Hlášení a závěrečná zpráva

§ 10 písm. e) vyh410-s10-e: „zajistí hlášení kybernetického bezpečnostního incidentu s významným dopadem podle § 15 zákona,“
§ 10 písm. f) vyh410-s10-f: „zajistí vytvoření závěrečné zprávy o vyřešení kybernetického bezpečnostního incidentu s významným dopadem podle § 16 zákona.“

Hlášení incidentu s významným dopadem podává [doplní povinná osoba] postupem podle § 15 zákona. Kdo jej schvaluje před odesláním: Karel Ukázka (fiktivní osoba).

Kritéria únosné míry újmy a oblasti pro posouzení významnosti dopadu

Ustanovení, které tento dokument vyžaduje

Tento dokument stanoví únosnou míru újmy a oblasti, podle kterých povinná osoba posuzuje významnost dopadu kybernetického bezpečnostního incidentu. Prahy si stanoví povinná osoba sama; vyhláška je nečísluje a Kybriq je proto nedoplňuje.

§ 14 odst. 1 písm. a) vyh410-s14-1-a: „únosnou míru újmy způsobené kybernetickým bezpečnostním incidentem, v jehož důsledku ještě není ohrožen život nebo zdraví osob nebo schopnost povinné osoby dostát svým závazkům,“
§ 14 odst. 1 písm. b) vyh410-s14-1-b: „oblasti pro posouzení významnosti dopadu kybernetických bezpečnostních incidentů zohledňující zejména 1. provozní dopad kybernetického bezpečnostního incidentu na povinnou osobu a její schopnost poskytovat regulovanou službu, 2. množství uživatelů regulované služby a jiných orgánů a osob zasažených kybernetickým bezpečnostním incidentem, 3. časové, lidské a technické zdroje, které jsou potřebné k obnově poskytování zasažené regulované služby, 4. typ a umístění aktiv dotčených kybernetickým bezpečnostním incidentem, 5. citlivost informací a dat zasažených kybernetickým bezpečnostním incidentem a újmu, jakou může narušení bezpečnosti těchto informací a dat způsobit povinné osobě nebo jinému orgánu nebo osobě, a 6. přímou příčinu kybernetického bezpečnostního incidentu, je-li povinné osobě známo, zda se jedná o lidskou chybu, technickou závadu nebo úmyslné jednání.“

1. Únosná míra újmy

§ 14 odst. 1 písm. a) vyh410-s14-1-a: „únosnou míru újmy způsobené kybernetickým bezpečnostním incidentem, v jehož důsledku ještě není ohrožen život nebo zdraví osob nebo schopnost povinné osoby dostát svým závazkům,“

Únosná míra újmy je hranice, pod kterou ještě není ohrožen život nebo zdraví osob ani schopnost povinné osoby dostát svým závazkům. Konkrétní hodnoty stanovte vy.

2. Oblasti pro posouzení významnosti dopadu

§ 14 odst. 1 písm. b) vyh410-s14-1-b: „oblasti pro posouzení významnosti dopadu kybernetických bezpečnostních incidentů zohledňující zejména 1. provozní dopad kybernetického bezpečnostního incidentu na povinnou osobu a její schopnost poskytovat regulovanou službu, 2. množství uživatelů regulované služby a jiných orgánů a osob zasažených kybernetickým bezpečnostním incidentem, 3. časové, lidské a technické zdroje, které jsou potřebné k obnově poskytování zasažené regulované služby, 4. typ a umístění aktiv dotčených kybernetickým bezpečnostním incidentem, 5. citlivost informací a dat zasažených kybernetickým bezpečnostním incidentem a újmu, jakou může narušení bezpečnosti těchto informací a dat způsobit povinné osobě nebo jinému orgánu nebo osobě, a 6. přímou příčinu kybernetického bezpečnostního incidentu, je-li povinné osobě známo, zda se jedná o lidskou chybu, technickou závadu nebo úmyslné jednání.“

Vyhláška vyjmenovává oblasti, které je nutné zohlednit zejména. Text v levém sloupci je citací vyhlášky; vyplňujete jen sloupce vpravo.

3. Kdy je dopad významný

§ 14 odst. 2 písm. a) vyh410-s14-2-a: „přesáhne povinnou osobou stanovenou únosnou míru újmy způsobenou kybernetickým bezpečnostním incidentem podle odstavce 1 písm. a) a současně“
§ 14 odst. 2 písm. b) vyh410-s14-2-b: „je oblast pro posouzení významnosti dopadu podle odstavce 1 písm. b) posouzena jako významná.“

Obě podmínky musí nastat současně. Kdo posouzení provádí: [doplní povinná osoba].

4. Přezkoumání kritérií

§ 3 odst. 3 písm. b) vyh410-s3-3-b: „pravidelně přezkoumává a aktualizuje pravidla a postupy stanovené v bezpečnostní politice a bezpečnostní dokumentaci a“

Kritéria jsou součástí bezpečnostní dokumentace, a proto se přezkoumávají a aktualizují. Interval: [doplní povinná osoba]. Poslední přezkoumání: [doplní povinná osoba].