VYHLÁŠKA ze dne 14. prosince 2005 o fyzické bezpečnosti a certifikaci technických prostředků

528

VYHLÁŠKA
ze dne 14. prosince 2005
o fyzické bezpečnosti a certifikaci technických prostředků






      Národní bezpečnostní úřad stanoví podle § 33 a § 53 písm. a), c), d), f) a j) zákona č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti, (dále jen ,,zákon"):

§ 1

Předmět úpravy

      Tato vyhláška stanoví bodové ohodnocení jednotlivých opatření fyzické bezpečnosti¹), nejnižší míru zabezpečení zabezpečené oblasti²) a jednací oblasti³), základní metodu hodnocení rizik, další požadavky na opatření fyzické bezpečnosti a náležitosti certifikace technického prostředku.

§ 2

Vymezení pojmů

      Pro účely této vyhlášky se rozumí

a)

objektem budova nebo jiný ohraničený prostor, ve kterém se nacházejí zabezpečené nebo jednací oblasti,

b)

hranicí objektu plášť budovy, fyzická bariéra (oplocení) nebo jinak viditelně vymezená hranice,

c)

hranicí zabezpečené oblasti nebo jednací oblasti stavebně nebo jinak viditelně ohraničený prostor,

d)

vstupem do objektu, zabezpečené oblasti nebo jednací oblasti místo určené pro vstup a výstup osob a místo určené pro vjezd a výjezd dopravních prostředků,

e)

dopravními prostředky pozemní, podzemní, vzdušné a vodní prostředky určené k přepravě osob, předmětů a materiálu,

f)

provozovatelem objektu odpovědná osoba⁴), popřípadě osoba jí k tomu pověřená,

g)

hrozbou možnost vyzrazení nebo zneužití utajované informace při narušení fyzické bezpečnosti,

h)

rizikem pravděpodobnost, že se určitá hrozba uskuteční,

i)

mimořádnou situací stav, kdy bezprostředně hrozí, že dojde k vyzrazení nebo zneužití utajované informace,

j)

technickým prostředkem bezpečnostní prvek, jehož použitím se zabraňuje, ztěžuje nebo oznamuje narušení ochrany objektu, zabezpečené oblasti nebo jednací oblasti, a dále ničí utajované informace,

k)

úschovným objektem trezor, uzamykatelná skříň nebo jiná schránka stanovená v příloze č. 1 této vyhlášky,

l)

technickým zařízením vojenský materiál⁵), zejména elektronická, fototechnická, chemická, fyzikálně-chemická, radiotechnická, optická a mechanická vojenská technika a vojenská výzbroj, který obsahuje utajovanou informaci.

§ 3

Zabezpečení zabezpečené oblasti

      (1) Hranici zabezpečené oblasti a její zařazení do příslušné kategorie⁶) a třídy stanoví provozovatel objektu. Hranici objektu stanoví provozovatel objektu.

      (2) Zabezpečení zabezpečené oblasti a hranice objektu je zajišťováno kombinací opatření fyzické bezpečnosti podle odstavců 3 až 11 a § 6 až 10.

      (3) Rozsah použití technických prostředků k zabezpečení zabezpečené oblasti se stanoví v závislosti na kategorii a třídě dané zabezpečené oblasti a vyhodnocení rizik podle § 10 odst. 3

a)

pro kategorii Vyhrazené -- mechanické zábranné prostředky,

b)

pro kategorii Důvěrné -- mechanické zábranné prostředky a zařízení elektrické zabezpečovací signalizace,

c)

pro kategorii Tajné a Přísně tajné -- mechanické zábranné prostředky, systémy pro kontrolu vstupů, zařízení elektrické zabezpečovací signalizace, speciální televizní systémy, zařízení elektrické požární signalizace.

      (4) Speciální televizní systémy v odstavci 3 písm. c) lze nahradit tísňovými systémy.

      (5) Bodové hodnoty nejnižší míry zabezpečení zabezpečené oblasti jsou stanoveny v příloze č. 1 této vyhlášky.

      (6) Zabezpečené oblasti kategorie Důvěrné a vyšší, v nichž je zajištěna trvalá přítomnost zde pracujících osob, se zabezpečují zejména mechanickými zábrannými prostředky a zařízením elektrické zabezpečovací signalizace a nebo tísňovým systémem. Plní-li tyto zabezpečené oblasti současně úlohu stanovišť určených pro stálý výkon ostrahy, nemusí být vybaveny zařízeními elektrické zabezpečovací signalizace. Při použití speciálních televizních systémů nesmí být narušena ochrana utajovaných informací.

      (7) K zajištění ochrany zabezpečených oblastí se používají certifikované technické prostředky. Necertifikované technické prostředky lze použít pouze za předpokladu, že nesníží úroveň ochrany požadované pro daný stupeň utajení.

      (8) Utajovaná informace se ukládá v zabezpečené oblasti, popřípadě v úschovném objektu podle bodové hodnoty nejnižší míry zabezpečení zabezpečené oblasti, která je stanovena v příloze č. 1 této vyhlášky.

      (9) Zabezpečení zabezpečené oblasti se dále provádí na hranici objektu, ve kterém se tato oblast nachází. Rozsah použití technických prostředků je stanoven v závislosti na nejvyšší kategorii zabezpečené oblasti, která se nachází v objektu, na základě vyhodnocení rizik podle § 10 odst. 3 a dále s ohledem na charakter hranice objektu

a)

pro zabezpečenou oblast kategorie Vyhrazené -- mechanické zábranné prostředky,

b)

pro zabezpečenou oblast kategorie Důvěrné a Tajné -- mechanické zábranné prostředky a zařízení elektrické zabezpečovací signalizace,

c)

pro zabezpečenou oblast kategorie Přísně tajné -- mechanické zábranné prostředky, zařízení elektrické zabezpečovací signalizace a speciální televizní systémy.

      (10) V objektu se umísťuje zařízení fyzického ničení nosičů informací.

      (11) V případě, že hranice objektu je totožná s hranicí zabezpečené oblasti, je rozsah použití opatření fyzické bezpečnosti určen požadavky na kategorii dané zabezpečené oblasti.

§ 4

Zabezpečení jednacích oblastí

      (1) Hranici jednací oblasti a hranici objektu stanoví provozovatel objektu.

      (2) Zabezpečení jednací oblasti a hranice objektu je zajišťováno kombinací opatření fyzické bezpečnosti podle odstavců 3 až 11 a § 6 až 10.

      (3) Rozsah použití opatření fyzické bezpečnosti k zabezpečení jednací oblasti se stanoví v závislosti na stupni utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, a na vyhodnocení rizik podle § 10 odst. 3.

      (4) Jednací oblasti pro pravidelné projednávání utajovaných informací stupňů utajení Tajné a Přísně tajné se zabezpečují mechanickými zábrannými prostředky, systémy pro kontrolu vstupů, zařízeními elektrické zabezpečovací signalizace, speciálními televizními systémy, zařízeními elektrické požární signalizace, zařízeními proti pasivnímu a aktivnímu odposlechu utajované informace.

      (5) Speciální televizní systémy v odstavci 4 lze nahradit tísňovými systémy.

      (6) Bodové hodnoty nejnižší míry zabezpečení jednací oblasti jsou stanoveny v příloze č. 1 této vyhlášky.

      (7) Ustanovení přílohy č. 1 týkající se zabezpečení zabezpečené oblasti se obdobně vztahují na zabezpečení jednací oblasti, není-li v příloze č. 1 této vyhlášky stanoveno jinak.

      (8) K zajištění ochrany jednacích oblastí se používají certifikované technické prostředky. Necertifikované technické prostředky lze použít pouze za předpokladu, že nesníží úroveň ochrany požadované pro daný stupeň utajení.

      (9) Zabezpečení jednací oblasti se dále provádí na hranici objektu, ve kterém se tato oblast nachází. Rozsah použití technických prostředků je stanoven v závislosti na stupni utajovaných informací, které jsou v jednací oblasti pravidelně projednávány, a na základě vyhodnocení rizik podle § 10 odst. 3 a dále s ohledem na charakter hranice objektu. Hranice objektu je zabezpečena mechanickými zábrannými prostředky, zařízením elektrické zabezpečovací signalizace a speciálním televizním systémem.

      (10) V objektu se umísťuje zařízení fyzického ničení nosičů informací.

      (11) V případě, že hranice objektu je totožná s hranicí jednací oblasti, je rozsah použití opatření fyzické bezpečnosti určen požadavky na zabezpečení jednací oblasti.

§ 5

Technická zařízení
      Bodové hodnoty technického zařízení jsou stanoveny v příloze č. 1 této vyhlášky.

§ 6

Režimová opatření

      (1) Režimovými opatřeními jsou

a)

stanovení oprávnění osob a dopravních prostředků pro vstup do objektu, stanovení oprávnění osob pro vstup do zabezpečené oblasti a jednací oblasti a způsob kontroly těchto oprávnění,

b)

kontrolní opatření při vstupu do objektu, zabezpečených a jednacích oblastí a způsob kontroly těchto opatření,

c)

podmínky a způsob kontroly pohybu osob v objektu, zabezpečené oblasti a jednací oblasti a způsob kontroly a vynášení utajovaných informací z objektu, zabezpečené oblasti a jednací oblasti,

d)

režim manipulace s klíči a identifikačními daty,

e)

režim manipulace s technickými prostředky a jejich používání.

      (2) Bodové hodnoty režimových opatření jsou stanoveny v příloze č. 1 této vyhlášky.

§ 7

Režim pohybu osob a dopravních prostředků

      (1) Seznam osob a dopravních prostředků oprávněných vstupovat a vjíždět do objektu, do zabezpečené oblasti a jednací oblasti se ukládá u provozovatele objektu. Oprávnění ke vstupu do objektu, zabezpečené oblasti nebo jednací oblasti vydává provozovatel objektu nebo jím pověřená osoba.

      (2) Při vstupu osob, které nemají oprávnění pro vstup do objektu, ve kterém se nachází zabezpečená oblast kategorie Přísně tajné nebo jednací oblast pro pravidelné projednávání utajovaných informací stupňů utajení Přísně tajné, se provádí kontrola zařízením sloužícím k vyhledávání nebezpečných látek nebo předmětů.

      (3) Na vstupu do objektu, ve kterém se nachází zabezpečená oblast kategorie Důvěrné, Tajné nebo Přísně tajné nebo jednací oblast pro pravidelné projednávání utajovaných informací stupňů utajení Tajné nebo Přísně tajné, se provádí kontrola vstupu včetně evidence údajů o návštěvách a povinně se stanoví režim návštěv s doprovodem.

§ 8

Režim manipulace s klíči a identifikačními daty

      (1) Režim manipulace s klíči a identifikačními daty určuje systém a způsob označování, přidělování a odevzdávání, jejich úschovy a evidence, uložení duplikátů a způsob jejich použití.

      (2) Klíče a identifikační data k zabezpečené oblasti, jednací oblasti a úschovnému objektu musí být označeny, ukládají se způsobem, který umožňuje kontrolu jejich použití, a jejich výdej podléhá evidenci. S klíči disponuje provozovatel objektu nebo jím pověřená osoba.

      (3) Zabezpečená oblast a jednací oblast musí být v době nepřítomnosti osob, které mají povolen vstup do této zabezpečené oblasti nebo jednací oblasti, uzamčeny. Úschovný objekt musí být v době nepřítomnosti osob, které mají přístup k utajeným informacím⁷) v něm uloženým, uzamčen. Osoby disponující klíči a identifikačními daty od zabezpečených oblastí, jednacích oblastí a úschovných objektů ukládají klíče a identifikační data v objektu, kde se zabezpečené nebo jednací oblasti nacházejí, pokud jiné místo jejich uložení neurčí provozovatel objektu nebo jím pověřená osoba.

      (4) Ztráta klíčů a identifikačních dat musí být neprodleně oznámena provozovateli objektu nebo jím pověřené osobě, která zajistí nápravu.

§ 9

Ostraha

      Bodové hodnoty ostrahy u objektu jsou stanoveny v příloze č. 1 této vyhlášky.

§ 10

Ověřování opatření fyzické bezpečnosti a vyhodnocení rizik

      (1)  Ověření, zda jednotlivá použitá opatření fyzické bezpečnosti a vyhodnocení rizik odpovídají projektu fyzické bezpečnosti a právním předpisům v oblasti ochrany utajovaných informací, provádí provozovatel objektu nebo jím pověřená osoba průběžně, nejméně však každých 12 měsíců.

      (2) Podmínkou pro ověření podle odstavce 1 v případě technických prostředků uvedených v § 30 odst. 1 zákona je provedení funkční zkoušky podle přílohy č. 1 této vyhlášky.

      (3) Vyhodnocení rizik se provádí

a)

identifikací stupňů utajovaných informací a zjištěním množství utajovaných informací, které se v objektu vyskytují nebo budou vyskytovat, zejména z hlediska následku jejich vyzrazení nebo zneužití,

b)

popisem a vyhodnocením hrozeb, kterým jsou tyto utajované informace vystaveny,

c)

popisem a vyhodnocením zranitelnosti utajovaných informací vůči těmto hrozbám,

d)

stanovením míry rizika, jako ,,malé", ,,střední" nebo ,,velké", na základě vyhodnocení hrozeb a zranitelnosti utajovaných informací.

      (4) V případě změny opatření fyzické bezpečnosti provozovatel objektu nebo jím pověřená osoba neprodleně zajistí shodu s projektem fyzické bezpečnosti.

      (5) Struktura projektu fyzické bezpečnosti je stanovena v příloze č. 1 této vyhlášky.

§ 11

Náležitosti žádosti o certifikaci technického prostředku

      (1)  Žádost o certifikaci technického prostředku obsahuje

a)

identifikaci žadatele

      1. obchodní firmou, popřípadě názvem, sídlem a identifikačním číslem, je-li žadatelem právnická osoba,

      2. obchodní firmou, popřípadě jménem a příjmením, případně odlišujícím dodatkem, trvalým pobytem a místem podnikání, liší-li se od trvalého pobytu, datem narození a identifikačním číslem, je-li žadatelem fyzická osoba, která je podnikatelem, nebo

      3. názvem, sídlem, identifikačním číslem a jménem a příjmením odpovědné osoby, jde-li o orgán státu,

b)

výčet a označení technických prostředků a seznam předkládané dokumentace.

      (2) K žádosti podle odstavce 1 se přiloží tato dokumentace

a)

specifikace a popis technického prostředku,

b)

prohlášení o nezávadnosti či shodě technického prostředku⁸),

c)

certifikát shody nebo prohlášení o stejném složení a provedení technického prostředku, které obsahuje prohlášení výrobce, že technický prostředek bude vyráběn ve stejném složení a provedení, jak byl specifikován v posudku podle § 46 odst. 14 zákona,

d)

posudek podle § 46 odst. 14 zákona.

§ 12

      Doba platnosti certifikátu je odvozena od doby platnosti posudku podle § 46 odst. 14 zákona.

§ 13

      Vzor certifikátu technického prostředku je uveden v příloze č. 2 této vyhlášky.

§ 14

      Technické prostředky podle § 30 odst. 1 zákona se mohou po uplynutí doby platnosti jejich certifikátů používat způsobem a za podmínek, které jsou uvedeny v příloze č. 1 této vyhlášky.

§ 15

Náležitosti žádosti o uzavření smlouvy o zajištění činnosti

      Žádost o uzavření smlouvy o zajištění činnosti⁹) obsahuje

a)

identifikaci žadatele podle § 11 odst. 1 písm. a),

b)

jméno a příjmení kontaktního pracovníka žadatele a kontaktní spojení,

c)

identifikaci příslušného odborného pracoviště žadatele (předmět činnosti a podrobná specifikace umístění pověřovaného pracoviště, jméno a příjmení kontaktního pracovníka a kontaktní spojení),

d)

specifikace činností, které mají být prováděny podle smlouvy o zajištění činnosti,

e)

výpis z obchodního rejstříku nebo živnostenského rejstříku a ověřenou kopii platného rozhodnutí nebo osvědčení:

      1. Rozhodnutí o udělení autorizace, v němž rozsah činností při posuzování shody zahrnuje technický prostředek (technické prostředky) uvedený v § 30 odst. 1 zákona, které vydává Úřad pro technickou normalizaci, metrologii a státní zkušebnictví¹⁰),

      2. Osvědčení o akreditaci včetně přílohy, v němž předmět akreditace zahrnuje certifikaci technického prostředku (technických prostředků) uvedeného v § 30 odst. 1 zákona, které vydává Český institut pro akreditaci¹¹), nebo

      3. Osvědčení o akreditaci včetně přílohy, v němž předmět akreditace zahrnuje provádění zkoušek technického prostředku (technických prostředků) uvedeného v § 30 odst. 1 zákona, které vydává Český institut pro akreditaci¹¹).
§ 16

Účinnost

      Tato vyhláška nabývá účinnosti dnem 1. ledna 2006.




Ředitel:


Mgr. Mareš v. r.

––––––––––––––––––––

¹)

§ 27 zákona č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti.

²)

§ 24 odst. 3 zákona č. 412/2005 Sb.

³)

§ 24 odst. 4 zákona č. 412/2005 Sb.

⁴)

§ 2 písm. e) zákona č. 412/2005 Sb.

⁵)

§ 2 odst. 7 zákona č. 219/1999 Sb., o ozbrojených silách České republiky, ve znění pozdějších předpisů.

⁶)

§ 25 odst. 1 zákona č. 412/2005 Sb.

⁷)

§ 6 odst. 1 a § 11 odst. 1 zákona č. 412/2005 Sb.

⁸)

Zákon č. 22/1997 Sb., o technických požadavcích na výrobky a o změně a doplnění některých zákonů, ve znění pozdějších předpisů. Zákon č. 102/2001 Sb., o obecné bezpečnosti výrobků a o změně některých zákonů (zákon o obecné bezpečnosti výrobků), ve znění pozdějších předpisů.

⁹)

§ 46 odst. 15 a § 52 zákona č. 412/2005 Sb.

¹⁰)

§ 13 zákona č. 505/1990 Sb., o metrologii, ve znění pozdějších předpisů.

¹¹)

§ 14 zákona č. 22/1997 Sb. Sdělení Ministerstva průmyslu a obchodu č. 272/1998 Sb.