(1) Táto vyhláška ustanovuje

a) kategórie informačných technológií verejnej správy a podrobnosti o spôsobe zaraďovania do týchto kategórií s použitím klasifikácie informácií a kategorizácie sietí a informačných systémov podľa osobitného predpisu 1) podľa [§ 11 ods. 4 zákona] ,

b) podrobnosti o bezpečnosti informačných technológií verejnej správy podľa [§ 18 až 23 zákona] , obsahu bezpečnostných opatrení, obsahu a štruktúre bezpečnostného projektu a rozsahu bezpečnostných opatrení v závislosti od klasifikácie informácií a od kategorizácie sietí a informačných systémov.

(2) Aktíva informačných technológií verejnej správy sa identifikujú a udržiavajú podľa [prílohy č. 1] so zreteľom na ich nedostupnosť alebo zníženú kvalitu, ktoré môžu mať zásadný vplyv na poskytovanie služieb verejnej správy, služieb vo verejnom záujme alebo verejných služieb.

(3) Vo vzťahu k informačným technológiám verejnej správy sú realizované bezpečnostné opatrenia aspoň na úrovni minimálnych bezpečnostných opatrení danej kategórie.

(4) Na splnenie požiadaviek zákona a tejto vyhlášky sa poskytne správcovi súbor materiálov, ktorý obsahuje šablóny a vzory dokumentácie bezpečnosti informačných technológií verejnej správy, návody, školiace materiály a ukážky.

(1) Bezpečnostné opatrenia informačných technológií verejnej správy tvoria minimálne bezpečnostné opatrenia troch kategórií pre jednotlivé oblasti podľa [prílohy č. 2] .

(2) Pri duplicite alebo nekompatibilite minimálnych bezpečnostných opatrení rôznych kategórií, ktoré môžu byť aplikované na konkrétne informačné technológie verejnej správy, majú prednosť ustanovenia upravujúce opatrenia vyššej kategórie.

(3) Ak sa aplikuje bezpečnostné opatrenie aj podľa osobitného predpisu, 2) aplikuje sa bezpečnostné opatrenie podľa zákona, ak jeho cieľom je dosiahnuť vyššiu úroveň bezpečnosti sietí a informačných systémov ako podľa osobitného predpisu. 2)

(4) Bezpečnostný projekt informačných systémov verejnej správy sa vypracuje a implementuje podľa [prílohy č. 3] .

(1) Minimálne bezpečnostné opatrenia upravuje [príloha č. 2] a sú rozdelené do Kategórie I, Kategórie II a Kategórie III v rámci jednotlivých oblastí kybernetickej bezpečnosti a informačnej bezpečnosti.

(2) Minimálne bezpečnostné opatrenia Kategórie I jednotlivých oblastí kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahu k informačným technológiám verejnej správy sa vzťahujú na

a) obec do 6000 obyvateľov,

b) obec so štatútom mesta do 6000 obyvateľov,

c) právnickú osobu v zriaďovateľskej pôsobnosti alebo zakladateľskej pôsobnosti orgánu riadenia podľa [§ 5 ods. 2 písm. a) až d) zákona] , ktorá nie je uvedená v odsekoch 3 a 4,

d) osobu podľa [§ 5 ods. 2 písm. g) zákona] ,

e) komoru podľa [§ 5 ods. 2 písm. f) zákona] .

(3) Minimálne bezpečnostné opatrenia Kategórie I a Kategórie II jednotlivých oblastí kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahu k informačným technológiám verejnej správy sa vzťahujú na

a) obec nad 6000 obyvateľov,

b) obec so štatútom mesta nad 6000 obyvateľov okrem krajských miest, 3)

c) mestskú časť s právnou subjektivitou, 4)

d) Kanceláriu verejného ochrancu práv,

e) Úrad komisára pre deti,

f) Úrad komisára pre osoby so zdravotným postihnutím,

g) Radu pre vysielanie a retransmisiu,

h) prevádzkovateľa základných služieb podľa osobitného predpisu, 2) ktorého siete a informačné systémy sú zaradené do Kategórie I alebo Kategórie II podľa osobitného predpisu 1) neuvedeného v odseku 4.

(4) Minimálne bezpečnostné opatrenia Kategórie I, Kategórie II a Kategórie III jednotlivých oblastí kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahu k informačným technológiám verejnej správy sa vzťahujú na

a) obec, ktorá je aj krajským mestom, 3)

b) samosprávny kraj,

c) ministerstvo a ostatný ústredný orgán štátnej správy, 5)

d) Úrad pre reguláciu sieťových odvetví,

e) Úrad pre reguláciu elektronických komunikácií a poštových služieb,

f) Najvyšší kontrolný úrad Slovenskej republiky,

g) Úrad pre dohľad nad zdravotnou starostlivosťou,

h) Úrad na ochranu osobných údajov Slovenskej republiky,

i) Generálnu prokuratúru Slovenskej republiky,

j) Dopravný úrad,

k) Ústav pamäti národa,

l) Tlačovú agentúru Slovenskej republiky,

m) Rozhlas a televíziu Slovenska,

n) Kanceláriu Súdnej rady Slovenskej republiky,

o) Kanceláriu Najvyššieho súdu Slovenskej republiky,

p) Kanceláriu Ústavného súdu Slovenskej republiky,

q) Kanceláriu prezidenta Slovenskej republiky,

r) Kanceláriu Národnej rady Slovenskej republiky,

s) Finančné riaditeľstvo Slovenskej republiky,

t) Národnú agentúru pre sieťové a elektronické služby,

u) Zbor väzenskej a justičnej stráže,

v) DataCentrum Ministerstva financií Slovenskej republiky,

w) DataCentrum elektronizácie územnej samosprávy Slovenska,

x) Sociálnu poisťovňu,

y) zdravotnú poisťovňu,

z) Národné centrum zdravotníckych informácií,

aa) prevádzkovateľa základných služieb podľa osobitného predpisu, 2) ktorého siete a informačné systémy sú zaradené do Kategórie III podľa osobitného predpisu. 1)

(5) Minimálne bezpečnostné opatrenia konkrétnej kategórie vo vzťahu k informačným technológiám verejnej správy podľa odsekov 2 až 4 sa môžu určiť aj pre iný štátny orgán.

(1) Za bezpečnosť informačných technológií verejnej správy je zodpovedný jeho správca. Ak je na bezpečnosť informačných technológií verejnej správy vhodné prijať iný súbor opatrení, ako sú opatrenia uvedené v tejto vyhláške, zmeny v rozsahu opatrení správca zadokumentuje, odôvodní a tieto zmeny schválené štatutárnym orgánom zašle orgánu vedenia.

(2) Ak sa v tejto vyhláške ustanovuje použitie postupu podľa technickej normy, slovenskej technickej normy, európskeho normalizačného produktu alebo európskej normy, je možné postupovať aj podľa ich ekvivalentu, ak sa takýmto postupom dosiahne rovnaký výsledok a dodržia sa požiadavky podľa tejto vyhlášky. Pri pochybnostiach o vhodnosti použitia ekvivalentnej normy alebo špecifikácie podľa prvej vety je rozhodujúce vyjadrenie orgánu vedenia k možnosti ich použitia.

(1) V organizácii správcu, ktorý je zriadený alebo založený pred dňom účinnosti tejto vyhlášky, sa táto vyhláška vykoná do dvoch rokov odo dňa nadobudnutia účinnosti tejto vyhlášky.

(2) V organizácii správcu, ktorý je zriadený alebo založený po nadobudnutí účinnosti tejto vyhlášky, sa táto vyhláška vykoná do 12 mesiacov odo dňa zriadenia alebo založenia organizácie.

(3) V organizácii správcu podľa [§ 3 ods. 2] sa prijmú vnútorné riadiace akty vo forme dokumentov schválených vedením podľa prílohy č. 2 do jedného roka odo dňa podľa [§ 1 ods. 4] ; tým nie je dotknutá lehota podľa odseku 1.

Zrušuje sa výnos Ministerstva financií Slovenskej republiky č. [55/2014 Z. z.] o štandardoch pre informačné systémy verejnej správy v znení výnosu č. [276/2014 Z. z.], výnosu č. [137/2015 Z. z.], opatrenia č. 1521/2018/oLG-5 (oznámenie č. [78/2018 Z. z.]), opatrenia č. [311/2018 Z. z.], opatrenia č. [56/2019 Z. z.] a opatrenia č. [78/2020 Z. z.]

Táto vyhláška nadobúda účinnosť dňom vyhlásenia.