VYHLÁŠKA 179/2020 Z. z. ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy

§ 1

Základné ustanovenia

(1)

Táto vyhláška ustanovuje

a)

kategórie informačných technológií verejnej správy a podrobnosti o spôsobe zaraďovania

do týchto kategórií s použitím klasifikácie informácií a kategorizácie sietí a informačných

systémov podľa osobitného predpisu

1

)

podľa

§ 11 ods. 4 zákona

,

b)

podrobnosti o bezpečnosti informačných technológií verejnej správy podľa

§ 18 až 23 zákona

, obsahu bezpečnostných opatrení, obsahu a štruktúre bezpečnostného projektu a rozsahu

bezpečnostných opatrení v závislosti od klasifikácie informácií a od kategorizácie

sietí a informačných systémov.

(2)

Aktíva informačných technológií verejnej správy sa identifikujú a udržiavajú podľa

prílohy č. 1

so zreteľom na ich nedostupnosť alebo zníženú kvalitu, ktoré môžu mať zásadný vplyv

na poskytovanie služieb verejnej správy, služieb vo verejnom záujme alebo verejných

služieb.

(3)

Vo vzťahu k informačným technológiám verejnej správy sú realizované bezpečnostné

opatrenia aspoň na úrovni minimálnych bezpečnostných opatrení danej kategórie.

(4)

Na splnenie požiadaviek zákona a tejto vyhlášky sa poskytne správcovi súbor materiálov,

ktorý obsahuje šablóny a vzory dokumentácie bezpečnosti informačných technológií verejnej

správy, návody, školiace materiály a ukážky.

§ 2

Bezpečnostné opatrenia

(1)

Bezpečnostné opatrenia informačných technológií verejnej správy tvoria minimálne

bezpečnostné opatrenia troch kategórií pre jednotlivé oblasti podľa

prílohy č. 2

.

(2)

Pri duplicite alebo nekompatibilite minimálnych bezpečnostných opatrení rôznych kategórií,

ktoré môžu byť aplikované na konkrétne informačné technológie verejnej správy, majú

prednosť ustanovenia upravujúce opatrenia vyššej kategórie.

(3)

Ak sa aplikuje bezpečnostné opatrenie aj podľa osobitného predpisu,

2

)

aplikuje sa bezpečnostné opatrenie podľa zákona, ak jeho cieľom je dosiahnuť vyššiu

úroveň bezpečnosti sietí a informačných systémov ako podľa osobitného predpisu.

2

)

(4)

Bezpečnostný projekt informačných systémov verejnej správy sa vypracuje a implementuje

podľa

prílohy č. 3

.

§ 3

Minimálne bezpečnostné opatrenia

(1)

Minimálne bezpečnostné opatrenia upravuje

príloha č. 2

a sú rozdelené do Kategórie I, Kategórie II a Kategórie III v rámci jednotlivých

oblastí kybernetickej bezpečnosti a informačnej bezpečnosti.

(2)

Minimálne bezpečnostné opatrenia Kategórie I jednotlivých oblastí kybernetickej bezpečnosti

a informačnej bezpečnosti vo vzťahu k informačným technológiám verejnej správy sa

vzťahujú na

a)

obec do 6000 obyvateľov,

b)

obec so štatútom mesta do 6000 obyvateľov,

c)

právnickú osobu v zriaďovateľskej pôsobnosti alebo zakladateľskej pôsobnosti orgánu

riadenia podľa

§ 5 ods. 2 písm. a) až d) zákona

, ktorá nie je uvedená v odsekoch 3 a 4,

d)

osobu podľa

§ 5 ods. 2 písm. g) zákona

,

e)

komoru podľa

§ 5 ods. 2 písm. f) zákona

.

(3)

Minimálne bezpečnostné opatrenia Kategórie I a Kategórie II jednotlivých oblastí

kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahu k informačným technológiám

verejnej správy sa vzťahujú na

a)

obec nad 6000 obyvateľov,

b)

obec so štatútom mesta nad 6000 obyvateľov okrem krajských miest,

3

)

c)

mestskú časť s právnou subjektivitou,

4

)

d)

Kanceláriu verejného ochrancu práv,

e)

Úrad komisára pre deti,

f)

Úrad komisára pre osoby so zdravotným postihnutím,

g)

Radu pre vysielanie a retransmisiu,

h)

prevádzkovateľa základných služieb podľa osobitného predpisu,

2

)

ktorého siete a informačné systémy sú zaradené do Kategórie I alebo Kategórie II

podľa osobitného predpisu

1

)

neuvedeného v odseku 4.

(4)

Minimálne bezpečnostné opatrenia Kategórie I, Kategórie II a Kategórie III jednotlivých

oblastí kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahu k informačným

technológiám verejnej správy sa vzťahujú na

a)

obec, ktorá je aj krajským mestom,

3

)

b)

samosprávny kraj,

c)

ministerstvo a ostatný ústredný orgán štátnej správy,

5

)

d)

Úrad pre reguláciu sieťových odvetví,

e)

Úrad pre reguláciu elektronických komunikácií a poštových služieb,

f)

Najvyšší kontrolný úrad Slovenskej republiky,

g)

Úrad pre dohľad nad zdravotnou starostlivosťou,

h)

Úrad na ochranu osobných údajov Slovenskej republiky,

i)

Generálnu prokuratúru Slovenskej republiky,

j)

Dopravný úrad,

k)

Ústav pamäti národa,

l)

Tlačovú agentúru Slovenskej republiky,

m)

Rozhlas a televíziu Slovenska,

n)

Kanceláriu Súdnej rady Slovenskej republiky,

o)

Kanceláriu Najvyššieho súdu Slovenskej republiky,

p)

Kanceláriu Ústavného súdu Slovenskej republiky,

q)

Kanceláriu prezidenta Slovenskej republiky,

r)

Kanceláriu Národnej rady Slovenskej republiky,

s)

Finančné riaditeľstvo Slovenskej republiky,

t)

Národnú agentúru pre sieťové a elektronické služby,

u)

Zbor väzenskej a justičnej stráže,

v)

DataCentrum Ministerstva financií Slovenskej republiky,

w)

DataCentrum elektronizácie územnej samosprávy Slovenska,

x)

Sociálnu poisťovňu,

y)

zdravotnú poisťovňu,

z)

Národné centrum zdravotníckych informácií,

aa)

prevádzkovateľa základných služieb podľa osobitného predpisu,

2

)

ktorého siete a informačné systémy sú zaradené do Kategórie III podľa osobitného

predpisu.

1

)

(5)

Minimálne bezpečnostné opatrenia konkrétnej kategórie vo vzťahu k informačným technológiám

verejnej správy podľa odsekov 2 až 4 sa môžu určiť aj pre iný štátny orgán.

§ 4

Spoločné ustanovenia

(1)

Za bezpečnosť informačných technológií verejnej správy je zodpovedný jeho správca.

Ak je na bezpečnosť informačných technológií verejnej správy vhodné prijať iný súbor

opatrení, ako sú opatrenia uvedené v tejto vyhláške, zmeny v rozsahu opatrení správca

zadokumentuje, odôvodní a tieto zmeny schválené štatutárnym orgánom zašle orgánu vedenia.

(2)

Ak sa v tejto vyhláške ustanovuje použitie postupu podľa technickej normy, slovenskej

technickej normy, európskeho normalizačného produktu alebo európskej normy, je možné

postupovať aj podľa ich ekvivalentu, ak sa takýmto postupom dosiahne rovnaký výsledok

a dodržia sa požiadavky podľa tejto vyhlášky. Pri pochybnostiach o vhodnosti použitia

ekvivalentnej normy alebo špecifikácie podľa prvej vety je rozhodujúce vyjadrenie

orgánu vedenia k možnosti ich použitia.

§ 5

Prechodné ustanovenia

(1)

V organizácii správcu, ktorý je zriadený alebo založený pred dňom účinnosti tejto

vyhlášky, sa táto vyhláška vykoná do dvoch rokov odo dňa nadobudnutia účinnosti tejto

vyhlášky.

(2)

V organizácii správcu, ktorý je zriadený alebo založený po nadobudnutí účinnosti

tejto vyhlášky, sa táto vyhláška vykoná do 12 mesiacov odo dňa zriadenia alebo založenia

organizácie.

(3)

V organizácii správcu podľa

§ 3 ods. 2

sa prijmú vnútorné riadiace akty vo forme dokumentov schválených vedením podľa prílohy

č. 2 do jedného roka odo dňa podľa

§ 1 ods. 4

; tým nie je dotknutá lehota podľa odseku 1.

§ 6

Zrušovacie ustanovenie

Zrušuje sa výnos Ministerstva financií Slovenskej republiky č.

55/2014 Z. z.

o štandardoch pre informačné systémy verejnej správy v znení výnosu č. 276/2014 Z.

z., výnosu č. 137/2015 Z. z., opatrenia č. 1521/2018/oLG-5 (oznámenie č. 78/2018 Z.

z.), opatrenia č. 311/2018 Z. z., opatrenia č. 56/2019 Z. z. a opatrenia č. 78/2020

Z. z.

§ 7

Účinnosť

Táto vyhláška nadobúda účinnosť dňom vyhlásenia.