Procurement observatory.

<!-- PAGE 1 --># Bezpečnostní pravidla pro dodavatele se vzdáleným přístupem

Cílem těchto bezpečnostních pravidel je snižování kybernetických rizik a zvyšování účinnosti bezpečnostních opatření chránící Aktiva regulované služby Výkon svěřených pravomocí (dále jen „**objednatel**“), ke kterým mají přístup Dodavatelé dle ustanovení § 13 odst. 5 zákona č. 264/2025 Sb. (o kybernetické bezpečnosti; dále jenom „ZoKB“), v platném znění (dále jen „**Zákon**“), ve spojení v přílohou č. 5 k resp. vyhlášce č. 409/2025 Sb. (vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností) (dále jen „**Vyhláška**“).

## Základní odpovědnosti Dodavatele

Dodavatel řešení: 

1. Je povinen postupovat v souladu s platnými právními předpisy, zejména pak v souladu s požadavky vyplývajícími pro objednatele, jakožto správce a provozovatele Významného informačního systému, ze Zákona a Vyhlášky a reflektovat případné novely uvedených právních předpisů či novou právní úpravu;
2. Odpovídá za své řešení/dodávku/správu tak, aby respektovalo požadavky na bezpečnost Objednatel, zabránilo bezpečnostním incidentům a krizovým situacím;
3. Odpovídá za dodávku a implementaci řešení v požadované kvalitě i z pohledu bezpečnosti.
4. Je povinen zajistit, aby předmět plnění nebyl nevyhovující z hlediska informační bezpečnosti, přičemž za nevyhovující je považováno jakékoli plnění, které obsahuje technologie/klíčové prvky, vůči jejichž výrobcům příslušný správní orgán vydal opatření v souladu se Zákonem, a které dle analýzy rizik představují vysoké riziko;
5. Je povinen provádět analýzu a hodnocení rizik informační infrastruktury, která je součástí předmětu Smlouvy (dodávaného řešení) a na základě výsledků navrhovat a předkládat Objednatel ke schválení opatření na minimalizaci nebo odstranění zjištěných rizik;
6. Je povinen zabezpečit veškerý přenos dat a informací z pohledu bezpečnostních požadavků na jejich důvěrnost, integritu a dostupnost během poskytování plnění pro Objednatele;
7. Ručí za trvalé zachování mlčenlivosti všech svých pracovníků i po ukončení smluvního vztahu s Objednatelem.

## Ochrana Aktiv

1. Dodavatel se před vlastním **přístupem** k datům a informacím Objednatele musí zavázat mlčenlivostí. Tzn., že platí povinnost Dodavatele se zavázat a také povinnost pracovníků Objednatele zavázat Dodavatele a nezpřístupnit data a informace Dodavateli dříve, než dojde k jeho závazku mlčenlivosti (tj. podpisu NDA – Non Disclosure Agreement či CA – Confidentiality Agreement).

## Řízení přístupu k ICT/IS

1. Přihlášení Dodavatele do sítě Objednatele musí podléhat kontrole přístupu na základě autorizace po předchozí autentizaci.
2. Dodavatel se zavazuje, že před připojením koncového zařízení, mobilní koncového zařízení nebo aktivního síťového prvku jako síťové switche, WiFi access pointy, routery či huby do počítačové sítě zažádá o schválení připojení kontaktní osobu na straně Objednatele. 
3. Dodavatel se zavazuje, že vzdálený přístup do systému Objednatele bude vždy uskutečněn pouze prostřednictvím zabezpečeného připojení VPN. 
4. Dodavatel se zavazuje, že bez zbytečného odkladu deaktivuje všechny nevyužívané zakončení sítě anebo nepoužívané porty aktivního síťového prvku. 
5. Dodavatel se zavazuje, že nebude instalovat a používat zejména typy nástrojů Keylogger, Sniffer, Analyzátor zranitelností a Port Scanner, Backdoor, rootkit a trojský kůň nebo jinou podobu malware. 
6. Dodavatel se zavazuje zajistit, aby osoby podílející se na poskytování plnění Objednatele, kteří přistupují do interní sítě nebo informačního systému Objednatele, měli v externím zařízení typu notebook/počítač aplikovány bezpečnostní záplaty a nainstalovanou, spuštěnou a aktualizovanou antivirovou ochranu. 
7. Dodavatel se zavazuje, že udělený přístup nesmí být sdílen více zaměstnanci Dodavatele nebo Poddodavatele. 
8. Dodavatel bere na vědomí, že v případě neúspěšných pokusů o autentizaci uživatele (osoby za stranu Dodavatele) může být příslušný účet zablokován a řešen jako bezpečnostní incident a mohou být uplatněny příslušné postupy zvládání bezpečnostního incidentu.

## Poddodavatelé

1. Dodavatel nezapojí do poskytování plnění dle této Smlouvy žádného dalšího Poddodavatele bez předchozího konkrétního nebo obecného povolení Objednatele.
2. Dodavatel je povinen předat Objednateli kontaktní údaje všech osob dodávajících systémovou a technickou podporu pro řešení.

## Monitorování činností

1. Dodavatel bere na vědomí, že veškerá jeho aktivita realizovaná v informačních systémech, může být Objednatelem průběžně a pravidelně monitorována. 
2. Předmět plnění musí poskytovat auditní záznamy (logy) o činnostech v něm provedených, v rozsahu stanoveném Vyhláškou, které umožní jednoznačně určit uživatele, čas a provedenu činnost.
3. Dodavatel se zavazuje, že umožní přístup k auditním údajům (systémové a aplikační logy) v takové podobě a formátu, který je možné dále zpracovávat v rámci systému nástrojů SIEM (Security Information Event Management) a jejich archivaci.

## Zvládání kybernetických bezpečnostních incidentů

1. Dodavatel se zavazuje, že bude hlásit všechny nestandardní situace, bezpečnostní slabiny, kybernetické bezpečnostní události a incidenty včetně případů porušení zabezpečení osobních údajů bez zbytečného odkladu po jejich detekci Objednateli.
2. Hlášení provádí Dodavatel na helpdesk UP https://www.helpdesk.upol.cz. Součástí oznámení musí být popis povahy případu.
3. Pokud dojde ke kybernetické bezpečnostní události nebo ke kybernetickému bezpečnostnímu incidentu a následnému zvládání a vyhodnocování kybernetického bezpečnostního incidentu na bezpečnostní incident na straně Objednatele, poskytne Dodavatel požadovanou součinnost např.: poskytne logy a identifikační údaje (např. IP adresa, MAC adresa, HW typ, sériové číslo případně IMEI) dotyčného koncového zařízení nebo mobilního koncového zařízení, k analýze obsahu, případně bez zbytečného odkladu zrealizuje opatření požadovaná Objednatelem). 
4. Dodavatel má povinnost provést analýzu příčin kybernetické bezpečnostní události nebo kybernetického bezpečnostního incidentu a navrhne opatření s cílem zamezit jeho opakování v případě, že Dodavatel bezpečnostní incident zapříčinil nebo se na jeho vzniku podílel.
5. Dodavatel má povinnost uchovávat informace o kybernetických bezpečnostních událostech a incidentech pro budoucí použití s ohledem na požadavky platné české a evropské legislativy.

## Informační povinnost dodavatele

1. Dodavatel má povinnost bez zbytečného odkladu informovat Objednatele o významné změně ovládání Dodavatele podle zákona č. 90/2012 Sb., o obchodních společnostech a družstvech (zákon o obchodních korporacích) nebo změně vlastnictví základních aktiv, jakož i změně v oprávnění Dodavatele nakládat s aktivy, které jsou využívány k plnění předmětu Smlouvy.
2. Dodavatel má povinnost informovat Objednatele o způsobu řízení rizik, jakož i o zbytkových rizicích souvisejících s plněním předmětu Smlouvy.

## Řízení kontinuity činností

1. Dodavatel se zavazuje zejména:

1. určit minimální úroveň poskytovaných služeb přijatelnou z hlediska zajištění kontinutity poskytovaných činností;
2. určit dobu obnovení chodu, během které bude po bezpečnostním incidentu obnovena minimální úroveň poskytovaných služeb dle písm. b);
3. určit časové období, za které musí být zpětně obnovena data po kybernetickém bezpečnostním incidentu nebo po selhání;
4. vypracovat, aktualizovat a pravidelně testovat plány kontinuity činnosti a havarijní plány související s poskytováním předmětu plnění.

1. Objednatel má oprávnění zapojit Dodavatele do řízení kontinuity činností, a to zejména oprávnění k zahrnutí Dodavatele do plánu kontinuity činností včetně jeho testování, který souvisí s VIS a souvisejících služeb a/nebo zahrnutí Dodavatele do havarijního plánu Objednatele. 
2. Dodavatel předloží Objednateli metodiku zálohování a obnovy dat ve formě zálohovacího plánu, testovacího scénáře obnovy dat, systému evidence, zajištění integrity a autenticity zálohovacího média. Záloha jako taková musí být šifrována. 

## Povinnosti při ukončení smlouvy

1. Dodavatel se zavazuje poskytnout Objednateli veškerou potřebnou součinnost, dokumentaci a informace, účastnit se jednání s Objednateli a popřípadě třetími osobami za účelem plynulého a řádného převedení všech činností spojených s provozem, podporou a rozvojem předmětu Smlouvy na Objednatele a/nebo nového dodavatele, ke kterému dojde po skončení účinnosti této Smlouvy, a to vše dle pokynů Objednatele (dále jen „**Ukončení smlouvy**“). 
2. Dodavatel se zavazuje za tímto účelem vypracovat a nejpozději spolu s provozní dokumentací ke každému předávanému dílčímu plnění předat Objednateli dokumentaci, která bude stanovovat postup při Ukončení smlouvy (dále jen „**Plán**“). Dodavatel se zavazuje Plán po dobu trvání této Smlouvy průběžně aktualizovat a Objednatele vždy při změně jakékoliv skutečnosti uvedené v Plánu předat aktualizovanou verzi Plánu zohledňující tuto změnu. 
3. Dodavatel je povinen poskytnout plnění nezbytná k realizaci tohoto Plánu za přiměřeného použití vhodných ustanovení této Smlouvy. Závazek dle tohoto ustanovení platí i po ukončení této Smlouvy. 
4. Strany se dohodly, že cena za vypracování Plánu a poskytnutí plnění nezbytného k realizaci Plánu je součástí ceny dle této Smlouvy.

Tato Bezpečnostní pravidla jsou v souladu s platnými právními předpisy České republiky. Pokud se jakékoli ustanovení těchto Bezpečnostních pravidel stane neplatným či nevymahatelným, nebude to mít vliv na platnost a vymahatelnost ostatních ustanovení těchto Bezpečnostních pravidel a rovněž Smlouvy. Strany se zavazují nahradit neplatné nebo nevymahatelné ustanovení novým ustanovením, jehož znění bude odpovídat úmyslu vyjádřenému původním ustanovením a těchto Bezpečnostních pravidel jako celkem.

Page 1

# Bezpečnostní pravidla pro dodavatele se vzdáleným přístupem

Cílem těchto bezpečnostních pravidel je snižování kybernetických rizik a zvyšování účinnosti bezpečnostních opatření chránící Aktiva regulované služby Výkon svěřených pravomocí (dále jen „**objednatel**“), ke kterým mají přístup Dodavatelé dle ustanovení § 13 odst. 5 zákona č. 264/2025 Sb. (o kybernetické bezpečnosti; dále jenom „ZoKB“), v platném znění (dále jen „**Zákon**“), ve spojení v přílohou č. 5 k resp. vyhlášce č. 409/2025 Sb. (vyhláška o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností) (dále jen „**Vyhláška**“).

## Základní odpovědnosti Dodavatele

Dodavatel řešení: 

  1. Je povinen postupovat v souladu s platnými právními předpisy, zejména pak v souladu s požadavky vyplývajícími pro objednatele, jakožto správce a provozovatele Významného informačního systému, ze Zákona a Vyhlášky a reflektovat případné novely uvedených právních předpisů či novou právní úpravu;
  2. Odpovídá za své řešení/dodávku/správu tak, aby respektovalo požadavky na bezpečnost Objednatel, zabránilo bezpečnostním incidentům a krizovým situacím;
  3. Odpovídá za dodávku a implementaci řešení v požadované kvalitě i z pohledu bezpečnosti.
  4. Je povinen zajistit, aby předmět plnění nebyl nevyhovující z hlediska informační bezpečnosti, přičemž za nevyhovující je považováno jakékoli plnění, které obsahuje technologie/klíčové prvky, vůči jejichž výrobcům příslušný správní orgán vydal opatření v souladu se Zákonem, a které dle analýzy rizik představují vysoké riziko;
  5. Je povinen provádět analýzu a hodnocení rizik informační infrastruktury, která je součástí předmětu Smlouvy (dodávaného řešení) a na základě výsledků navrhovat a předkládat Objednatel ke schválení opatření na minimalizaci nebo odstranění zjištěných rizik;
  6. Je povinen zabezpečit veškerý přenos dat a informací z pohledu bezpečnostních požadavků na jejich důvěrnost, integritu a dostupnost během poskytování plnění pro Objednatele;
  7. Ručí za trvalé zachování mlčenlivosti všech svých pracovníků i po ukončení smluvního vztahu s Objednatelem.

## Ochrana Aktiv

1. Dodavatel se před vlastním **přístupem** k datům a informacím Objednatele musí zavázat mlčenlivostí. Tzn., že platí povinnost Dodavatele se zavázat a také povinnost pracovníků Objednatele zavázat Dodavatele a nezpřístupnit data a informace Dodavateli dříve, než dojde k jeho závazku mlčenlivosti (tj. podpisu NDA – Non Disclosure Agreement či CA – Confidentiality Agreement).

## Řízení přístupu k ICT/IS

1. Přihlášení Dodavatele do sítě Objednatele musí podléhat kontrole přístupu na základě autorizace po předchozí autentizaci.
2. Dodavatel se zavazuje, že před připojením koncového zařízení, mobilní koncového zařízení nebo aktivního síťového prvku jako síťové switche, WiFi access pointy, routery či huby do počítačové sítě zažádá o schválení připojení kontaktní osobu na straně Objednatele.

Page 2

3. Dodavatel se zavazuje, že vzdálený přístup do systému Objednatele bude vždy uskutečněn pouze prostřednictvím zabezpečeného připojení VPN. 
4. Dodavatel se zavazuje, že bez zbytečného odkladu deaktivuje všechny nevyužívané zakončení sítě anebo nepoužívané porty aktivního síťového prvku. 
5. Dodavatel se zavazuje, že nebude instalovat a používat zejména typy nástrojů Keylogger, Sniffer, Analyzátor zranitelností a Port Scanner, Backdoor, rootkit a trojský kůň nebo jinou podobu malware. 
6. Dodavatel se zavazuje zajistit, aby osoby podílející se na poskytování plnění Objednatele, kteří přistupují do interní sítě nebo informačního systému Objednatele, měli v externím zařízení typu notebook/počítač aplikovány bezpečnostní záplaty a nainstalovanou, spuštěnou a aktualizovanou antivirovou ochranu. 
7. Dodavatel se zavazuje, že udělený přístup nesmí být sdílen více zaměstnanci Dodavatele nebo Poddodavatele. 
8. Dodavatel bere na vědomí, že v případě neúspěšných pokusů o autentizaci uživatele (osoby za stranu Dodavatele) může být příslušný účet zablokován a řešen jako bezpečnostní incident a mohou být uplatněny příslušné postupy zvládání bezpečnostního incidentu.

## Poddodavatelé

1. Dodavatel nezapojí do poskytování plnění dle této Smlouvy žádného dalšího Poddodavatele bez předchozího konkrétního nebo obecného povolení Objednatele.
2. Dodavatel je povinen předat Objednateli kontaktní údaje všech osob dodávajících systémovou a technickou podporu pro řešení.

## Monitorování činností

1. Dodavatel bere na vědomí, že veškerá jeho aktivita realizovaná v informačních systémech, může být Objednatelem průběžně a pravidelně monitorována. 
2. Předmět plnění musí poskytovat auditní záznamy (logy) o činnostech v něm provedených, v rozsahu stanoveném Vyhláškou, které umožní jednoznačně určit uživatele, čas a provedenu činnost.
3. Dodavatel se zavazuje, že umožní přístup k auditním údajům (systémové a aplikační logy) v takové podobě a formátu, který je možné dále zpracovávat v rámci systému nástrojů SIEM (Security Information Event Management) a jejich archivaci.

## Zvládání kybernetických bezpečnostních incidentů

1. Dodavatel se zavazuje, že bude hlásit všechny nestandardní situace, bezpečnostní slabiny, kybernetické bezpečnostní události a incidenty včetně případů porušení zabezpečení osobních údajů bez zbytečného odkladu po jejich detekci Objednateli.
2. Hlášení provádí Dodavatel na helpdesk UP https://www.helpdesk.upol.cz. Součástí oznámení musí být popis povahy případu.
3. Pokud dojde ke kybernetické bezpečnostní události nebo ke kybernetickému bezpečnostnímu incidentu a následnému zvládání a vyhodnocování kybernetického bezpečnostního incidentu na bezpečnostní incident na straně Objednatele, poskytne Dodavatel požadovanou součinnost např.: poskytne logy a identifikační údaje (např. IP adresa, MAC adresa, HW typ, sériové číslo případně IMEI) dotyčného koncového zařízení nebo mobilního koncového zařízení, k analýze obsahu, případně bez zbytečného odkladu zrealizuje opatření požadovaná Objednatelem). 
4. Dodavatel má povinnost provést analýzu příčin kybernetické bezpečnostní události nebo kybernetického bezpečnostního incidentu a navrhne opatření s cílem zamezit jeho opakování v případě, že Dodavatel bezpečnostní incident zapříčinil nebo se na jeho vzniku podílel.

Page 3

5. Dodavatel má povinnost uchovávat informace o kybernetických bezpečnostních událostech a incidentech pro budoucí použití s ohledem na požadavky platné české a evropské legislativy.

## Informační povinnost dodavatele

1. Dodavatel má povinnost bez zbytečného odkladu informovat Objednatele o významné změně ovládání Dodavatele podle zákona č. 90/2012 Sb., o obchodních společnostech a družstvech (zákon o obchodních korporacích) nebo změně vlastnictví základních aktiv, jakož i změně v oprávnění Dodavatele nakládat s aktivy, které jsou využívány k plnění předmětu Smlouvy.
2. Dodavatel má povinnost informovat Objednatele o způsobu řízení rizik, jakož i o zbytkových rizicích souvisejících s plněním předmětu Smlouvy.

## Řízení kontinuity činností

1. Dodavatel se zavazuje zejména:
    1. určit minimální úroveň poskytovaných služeb přijatelnou z hlediska zajištění kontinutity poskytovaných činností;
    2. určit dobu obnovení chodu, během které bude po bezpečnostním incidentu obnovena minimální úroveň poskytovaných služeb dle písm. b);
    3. určit časové období, za které musí být zpětně obnovena data po kybernetickém bezpečnostním incidentu nebo po selhání;
    4. vypracovat, aktualizovat a pravidelně testovat plány kontinuity činnosti a havarijní plány související s poskytováním předmětu plnění.
2. Objednatel má oprávnění zapojit Dodavatele do řízení kontinuity činností, a to zejména oprávnění k zahrnutí Dodavatele do plánu kontinuity činností včetně jeho testování, který souvisí s VIS a souvisejících služeb a/nebo zahrnutí Dodavatele do havarijního plánu Objednatele. 
3. Dodavatel předloží Objednateli metodiku zálohování a obnovy dat ve formě zálohovacího plánu, testovacího scénáře obnovy dat, systému evidence, zajištění integrity a autenticity zálohovacího média. Záloha jako taková musí být šifrována. 

## Povinnosti při ukončení smlouvy

1. Dodavatel se zavazuje poskytnout Objednateli veškerou potřebnou součinnost, dokumentaci a informace, účastnit se jednání s Objednateli a popřípadě třetími osobami za účelem plynulého a řádného převedení všech činností spojených s provozem, podporou a rozvojem předmětu Smlouvy na Objednatele a/nebo nového dodavatele, ke kterému dojde po skončení účinnosti této Smlouvy, a to vše dle pokynů Objednatele (dále jen „**Ukončení smlouvy**“). 
2. Dodavatel se zavazuje za tímto účelem vypracovat a nejpozději spolu s provozní dokumentací ke každému předávanému dílčímu plnění předat Objednateli dokumentaci, která bude stanovovat postup při Ukončení smlouvy (dále jen „**Plán**“). Dodavatel se zavazuje Plán po dobu trvání této Smlouvy průběžně aktualizovat a Objednatele vždy při změně jakékoliv skutečnosti uvedené v Plánu předat aktualizovanou verzi Plánu zohledňující tuto změnu. 
3. Dodavatel je povinen poskytnout plnění nezbytná k realizaci tohoto Plánu za přiměřeného použití vhodných ustanovení této Smlouvy. Závazek dle tohoto ustanovení platí i po ukončení této Smlouvy. 
4. Strany se dohodly, že cena za vypracování Plánu a poskytnutí plnění nezbytného k realizaci Plánu je součástí ceny dle této Smlouvy.

Page 4

Tato Bezpečnostní pravidla jsou v souladu s platnými právními předpisy České republiky. Pokud se jakékoli ustanovení těchto Bezpečnostních pravidel stane neplatným či nevymahatelným, nebude to mít vliv na platnost a vymahatelnost ostatních ustanovení těchto Bezpečnostních pravidel a rovněž Smlouvy. Strany se zavazují nahradit neplatné nebo nevymahatelné ustanovení novým ustanovením, jehož znění bude odpovídat úmyslu vyjádřenému původním ustanovením a těchto Bezpečnostních pravidel jako celkem.