vznesené Pripomienky v rámci medzirezortného pripomienkového konania

Návrh legislatívneho zámeru zákona o informačnej bezpečnosti

Spôsob pripomienkového konania | Bežný postup (15. 12. 2009 – 8. 1. 2010)
Zoznam oslovených subjektov: | Predseda vlády SR pre vedomostnú spoločnosť, európske záležitosti , ľudské práva a menšiny, Úrad vlády SR,  Úrad vlády SR - Odbor vládnej agendy, Ministerstvo zahraničných vecí SR, Ministerstvo hospodárstva SR, Ministerstvo práce, sociálnych vecí a rodiny SR, Ministerstvo životného prostredia SR, Ministerstvo pôdohospodárstva SR, Ministerstvo výstavby a regionálneho rozvoja SR, Ministerstvo zdravotníctva SR, Ministerstvo vnútra SR, Ministerstvo obrany SR, Ministerstvo kultúry SR, Ministerstvo spravodlivosti SR, Ministerstvo školstva SR, Splnomocnenec vlády SR pre informačnú spoločnosť,  Protimonopolný úrad SR, Štatistický úrad SR, Národný bezpečnostný úrad, Úrad geodézie, kartografie a katastra SR, Úrad pre normalizáciu, metrológiu a skúšobníctvo SR, Úrad priemyselného vlastníctva SR, Úrad jadrového dozoru SR, Úrad pre verejné obstarávanie, Správa štátnych hmotných rezerv SR, Národná banka Slovenska, Najvyšší kontrolný úrad SR, Najvyšší súd SR, Generálna prokuratúra SR
Počet vznesených pripomienok / z toho zásadných: | 66/7
Počet vyhodnotených pripomienok: | 66
Počet akceptovaných pripomienok / z toho zásadných: | 54/7
Počet čiastočne akceptovaných pripomienok, z toho zásadných: | 1/0

Počet neakceptovaných pripomienok, z toho zásadných:

Rezorty, ktoré nemali pripomienky:

Rezorty, ktoré nezaslali pripomienky:

Rezorty s dodatočne riešenými pripomienkami (po termíne):
Počet neodstránených rozporov:

10/0

MZV SR, ÚPV SR, MPSVR SR, KOZ SR, ÚVO, NKÚ, PMÚ SR, MS SR, AZZZ SR, ÚGKK SR, NBS, ÚSVIS, ÚJD SR, MVRR SR, SŠHR SR, MZ SR, MŽP SR, MŠ SR   

0

0

Subjekt | Pripomienka | Typ | Vyhodnotenie | Poznámka

MK SR

V legislatívnom zámere zákona o informačnej bezpečnosti nie je jasne vymedzený priestor,  na ktorý sa bude tento zákon vzťahovať. 
Bude sa nový zákon o informačnej bezpečnosti vzťahovať na informačné systémy verejnej správy SR, alebo sa bude vzťahovať aj na celý informačný (digitálny) priestor v SR?

O

A

V II. kapitole  „Ciele“ v ods. 1 je  jasne vymedzené, že zákon o IB bude riešiť dva okruhy problémov, a to zaistenie ochrany pre informačné systémy verejnej správy a vytvorenie všeobecného právneho rámca pre ochranu celého digitálneho priestoru Slovenskej republiky. 
Cieľom zákona o informačnej bezpečnosti je vytvoriť ucelený, koordinovaný a efektívny systém ochrany informačných systémov verejnej správy Slovenskej republiky. Keďže informačné systémy verejnej správy sú súčasťou širšieho digitálneho priestoru, ktorého značná časť je v súkromných rukách, zákon vytvára podmienky na zvyšovanie úrovne informačnej bezpečnosti v celom digitálnom priestore Slovenskej republiky prostredníctvom štandardizácie informačnej bezpečnosti.

MDPT SR

K Prvej kapitole - Zhodnotenie platnej právnej úpravy a dôvody vypracovania zákona o informačnej bezpečnosti 
V bode  I. Vývoj právnej úpravy do textu ôsmeho odseku žiadam zapracovať slová „smernica Európskeho parlamentu a Rady 2002/58/ES týkajúca sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií transponovaná do zákona č. 610/2003 Z. z. o elektronických komunikáciách v znení neskorších predpisov,“.

Odôvodnenie: 
Do textu  sa dopĺňa  zásadná smernica týkajúca sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií a jej transpozícia do národnej legislatívy, ktorá v návrhu chýba.

Z

A

MDPT SR

K Prvej kapitole - Zhodnotenie platnej právnej úpravy a dôvody vypracovania zákona o informačnej bezpečnosti 
V bode II.B Súčasná právna úprava žiadam text doplniť o slová „smernica Európskeho parlamentu a Rady 2009/136/ES, ktorou sa mení a dopĺňa smernica 2002/22/ES o univerzálnej službe a právach užívateľov týkajúcich sa elektronických komunikačných sietí a služieb, smernica 2002/58/ES týkajúca sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií a nariadenie (ES) č. 2006/2004 o spolupráci medzi národnými orgánmi zodpovednými za vynucovanie právnych predpisov na ochranu spotrebiteľa. V roku 2011 bude transponovaná do novely zákona č. 610/2003 Z. z. o elektronických komunikáciách v znení neskorších predpisov.
Odôvodnenie: 
Do textu sa týmto dopĺňa citácia zásadnej smernice, ktorou sa novelizuje smernica o spracovávaní osobných údajov a ochrany súkromia v sektore elektronických komunikácií.

Z

A

MDPT SR

K Druhej kapitole -  Ciele a obsah navrhovaného zákona  
3. V bode II. 12. časti žiadam slová „Schválením novely smernice 2002/58/EC o spracovaní osobných údajov a ochrane súkromia v sektore elektronických komunikácií bola vytvorená právna povinnosť národných parlamentov implementovať právnu úpravu povinnej notifikácie únikov dát alebo porušení bezpečnosti.“ nahradiť slovami „Schválením smernice 2009/136/ES, ktorou sa novelizuje smernice 2002/58/EC o spracovaní osobných údajov a ochrane súkromia v sektore elektronických komunikácií bola členským štátom určená povinnosť do 25. mája 2011 uverejniť zákony, iné právne predpisy a správne opatrenia potrebné na dosiahnutie súladu s touto smernicou, t.j. okrem iného aby v prípade porušenia ochrany osobných údajov poskytovateľ verejne dostupných elektronických komunikačných služieb oznámil bez zbytočného meškania porušenie ochrany osobných údajov príslušnému národnému orgánu.“.
Odôvodnenie: 
Za transpozíciu predpisov EÚ nie sú zodpovedné národné parlamenty, ale členské štáty.

Z

A

SIS

K Druhej kapitole, bodu II, 1. časti  
Navrhujeme v Základných ustanoveniach doplniť na konci prvého odseku vetu: 
„Vymedzí sa zároveň pojem a základný právny rámec inštitútu citlivej informácie“ a  v zdôvodnení doplniť text: 
„Vymedzenie pojmu a všeobecného právneho rámca citlivej informácie je potrebné v lex generalis pre informačnú bezpečnosť z dôvodu, že ide o informácie, ktorých rozširovanie je limitované z bezpečnostných dôvodov (napr. informácie o zabezpečení ochrany kritickej infraštruktúry) alebo vzhľadom na záväzok ochrany informácií ktorých pôvodcom je orgán iného štátu alebo medzinárodnej organizácie (napr. informácie klasifikované ako EU limité). Citlivá informácia bude informácia s nižšou mierou ochrany pred jej nedovoleným rozširovaním v porovnaní s utajovanou skutočnosťou bez toho že by podliehala formalizovanému ochrannému režimu utajovaných skutočností. Okruh osôb oprávnených sa s ňou oboznamovať bude určovaný jej pôvodcom bez potreby osobitného bezpečnostného preverovania pre vznik oprávnenia. Nakladanie s ňou bude podliehať ochranným opatreniam, o ktorých rozhodne subjekt ktorý s informáciou nakladá na základe uváženia vhodnosti a dostatočnosti pre zaistenie ich ochrany bez nutnosti dodržiavania striktný režim vzťahujúci sa  na utajované skutočnosti. Pre určité kategórie citlivých informácií upravia v prípade potreby špecifiká režimu ich ochrany a nakladania s nimi osobitné právne predpisy (napr. zákon o kritickej infraštruktúre), ale je vhodné, aby ich rámcovú právnu úpravu vymedzil jeden zákon, ktorý je všeobecným právnym predpisom pre informačnú bezpečnosť. Nevyhnutnosť vymedzenia pojmu citlivá informácia v právnom poriadku je daná napr. aj potrebami vyplývajúcimi z aplikácie zákona č. 211/2000 Z. z. (povinná osoba podľa tohto zákona sprístupňuje informácie, ktoré má k dispozícii, okrem informácií, na ktoré sa vzťahujú obmedzenia zverejňovania informácií ustanovené týmto zákonom). V prípade zavedenia osobitnej kategórie informácií, by bola povinným osobám daná možnosť rozhodnúť, na základe aplikácie správneho uváženia, o sprístupnení danej informácie a zároveň by povinná osoba nebola viazaná povinnosťou ich sprístupnenia. 

Odôvodnenie: 

Ku skutočnostiam, ktoré navrhujeme doplniť v Zdôvodnení, uvádzame, že potreba zákonného zakotvenia inštitútu citlivej informácie existuje už dlhšie. V súvislosti s prípravou legislatívnych návrhov v rôznych oblastiach sa diskutovalo o možnosti vymedzenia citlivej informácie a pravidiel pre nakladanie s ňou. Nebolo by však podľa nášho názoru vhodné upraviť definíciu citlivej informácie a právny režim nakladania s ňou ad hoc na účely právnych predpisov upravujúcich osobitné oblasti, v ktorých existuje potreba jej zákonného vymedzenia. Takéto riešenie by viedlo k vytvoreniu viacerých nezávislých právnych inštitútov citlivých informácie účelovo viazaných na špecifické oblasti právnej úpravy bez ich vzájomnej súvislosti. 
Oveľa systematickejšie a účelnejšie je vymedzenie takéhoto právneho inštitútu v jednom zákone, ktorý stanoví všeobecný právny rámec s možnosťou právnej úpravy špecifík alebo podrobností o nakladaní s citlivou informáciou v konkrétnej oblasti alebo špecifického charakteru v osobitnom právnom predpise (ako lex specialis k zákonu vymedzujúcemu citlivú informáciu všeobecne) riešiacou právnu reguláciu v oblasti, v ktorej dochádza k nakladaniu s informáciami vyžadujúcimi takú mieru ochrany, ktorú im najvhodnejšie môže poskytnúť ich klasifikácia ako citlivých informácií. 
Okrem toho samotný text legislatívneho zámeru predpokladá, že zákon ustanoví minimálne prvky systému informačnej bezpečnosti v oblasti posudzovania rizík a stanovenia citlivosti informácie alebo systému, takže aj v nadväznosti na takúto predpokladanú zákonnú úpravu by bolo vhodné v zákone definovať citlivú informáciu. 
Ako jedno z možných vymedzení právneho pojmu citlivá informácia v samotnom zákone, uvádzame nasledovný návrh definície: „Citlivou informáciou je informácia určená pre úradné účely alebo pre vnútorné služobné účely orgánu verejnej moci, ktorá nie je utajovanou skutočnosťou podľa osobitného predpisu, ak ju ako citlivú označí orgán verejnej moci, ktorý je jej pôvodcom, z dôvodu, že na obmedzení jej sprístupnenia je dôležitý verejný záujem. Citlivou informáciou je aj informácia, ktorú ako citlivú označí pôvodca, ktorý nie je orgánom verejnej moci, ak tak ustanovuje osobitný predpis.“ 
Samozrejme výsledné znenie definície bude závislé na konsenze vo vzťahu k okruhu informácií, ktoré by mali byť chránené takýmto spôsobom a najmä k okruhu pôvodcov, ktorí budú môcť informáciu kvalifikovať ako citlivú. 
Bude potrebné zvážiť, či medzi tieto subjekty budú patriť len verejnoprávne subjekty alebo aj iné, napr. subjekty, ktoré majú zákonné povinnosti pri ochrane kritickej infraštruktúry. Nakoľko obmedzenie sprístupnenia je motivované aj bezpečnostným záujmom a nielen záujmom ochrany napr. obchodného tajomstva, je účelné uplatniť na poskytovanie dotknutých informácií ochranu formou priznania im charakteru citlivých informácií. Taktiež je potrebné zvážiť striktnosť záruk zabezpečujúcich nezneužívania priznávania charakteru citlivej informácie jej pôvodcom bez dostatočného dôvodu. 
Pri vymedzovaní pojmu citlivej informácie odporúčame vziať do úvahy aj ustanovenia legislatívy EÚ/ES vzťahujúce sa na výnimky sprístupňovania dokumentov orgánov EÚ pre vnútornú potrebu, t.j. označené ako LIMITÉ (čl. 4 ods. 3 nariadenia  Európskeho parlamentu a Rady (ES) č. 1049/2001 z 30. mája 2001 o prístupe verejnosti k dokumentom Európskeho parlamentu, Rady a Komisie) a pravidlá uplatňované v rámci NATO vo vzťahu k informáciám označeným ako NATO UNCLASSIFIED (NATO Information Management Policy PO(99)47) s ich prispôsobením pre potreby právneho poriadku Slovenskej republiky.

O

ČA

Akceptované iným spôsobom (v 3. časti „Kategorizácia informačných systémov verejnej správy“).

ŠÚ SR

Materiál 

1/ K prvej kapitole, časť II. Súčasná právna úprava, B - Ďalšie záväzné legislatívne predpisy vyplývajúce Slovenskej  republike z členstva v medzinárodných organizáciách Európskej únie, Organizácie pre ekonomickú spoluprácu a rozvoj, Organizácie Spojených národov a Severoatlantickej obrannej aliancie – odporúčame doplniť právne predpisy pre oblasť štatistiky: 

- Nariadenie Európskeho parlamentu a Rady (ES) č. 223/2009 z 11. marca 2009 o európskej štatistike a o zrušení nariadenia (ES, Euratom) č. 1101/2008 o prenose dôverných štatistických údajov Štatistickému úradu Európskych spoločenstiev, nariadenia Rady (ES) č. 322/97 o štatistike Spoločenstva a rozhodnutia Rady 89/382/EHS, Euratom o založení Výboru pre štatistické programy Európskych spoločenstiev (Ú. v. EÚ L 87, 31. 3. 2009) 
- Nariadenie Komisie (ES) č. 831/2002 zo 17. mája 2002, ktorým sa vykonáva nariadenie Rady (ES) č. 322/97 o štatistike Spoločenstva so zreteľom na prístup k dôverným údajom na výskumné účely v platnom znení.

O

A

MP SR

Celý materiál 
Slovné spojenie "informačno-komunikačné technológie" odporúčame nahradiť slovami "informačné a komunikačné technológie" vzhľadom na zaužívaný terminologický obsah uvedeného slovenského spojenia 
v odbornej verejnosti.

O

A

MP SR

Vlastný materiál 
Odporúčame zvážiť potrebu predloženia navrhovaného zákona do ďalšieho legislatívneho procesu vo vzťahu napr. k čl. 2 ods. 1 platných a účinných Legislatívnych pravidiel vlády Slovenskej republiky ("Cieľom legislatívnych prác je pripraviť a schváliť taký zákon, ktorý sa stane funkčnou súčasťou vyváženého, prehľadného a stabilného právneho poriadku zlučiteľného s právom Európskych spoločenstiev a právom Európskej únie.") 
Keďže oblasť informačných systémov a všeobecne digitálneho priestoru Slovenskej republiky je predmetom právnej úpravy už dnes pomerne veľkého počtu všeobecne záväzných právnych predpisov, máme za to, že ďalší právny predpis upravujúci danú oblasť by sa stal "funkčnou súčasťou vyváženého, prehľadného a stabilného právneho poriadku" iba vtedy, ak by niektoré z uvedených právnych predpisov nahradil a predstavoval by tak komplexnú a prehľadnú právnu úpravu danej oblasti.

O

N

Vypracovanie legislatívneho zámeru zákona vyplýva ministerstvu financií priamo z úlohy B.3. UZV SR 570/2008. Zákon o IB bude generálnym zákonom v oblasti IB, čo v súčasnosti v právnom systéme absentuje. Tento zákon  nebude zasahovať do špecifických oblastí IB, upravených osobitnými predpismi. Cieľom je zjednotiť terminológiu v IB, doplniť iné oblasti IB a 
vytvoriť ucelený systém riadenia informačnej bezpečnosti v SR.

OVA

m. č. MF/030558/2009-132 
I. Materiál: 
Podľa Metodického pokynu na prípravu a predkladanie materiálov na rokovanie vlády SR (bod 2.4.. ods. (2), 8. zar.) na zdôrazňovanie nemožno používať verzály. 
str. 1, ods. 1, 3. zar.: „maximalizáciu“ nahradiť „maximalizácia“ 
ods. 2, 6. r.: „komunikačných“ nahradiť „-komunikačných“ 
za „to,“ vynechať čiarku 
ods. 3, 2. r.: „dopad“ nahradiť „dosah“ – aj vo všetkých ďalších prípadoch a 
gramatických pádoch, keď nejde o fyzický dopad 
ods. 4, 2. r.: komunikačných“ nahradiť „-komunikačných“ 
ods. 5, 2. r.: „nakoľko“ nahradiť „keďže“ 
str. 2, I., ods. 1, 3. r.: „v legislatíve ako aj“ nahradiť „v legislatíve, ako aj“ 
str. 3, ods. 2, 1. r.: „Trestný zákon“ nahradiť „trestný zákon“ – aj vo všetkých ďalších prípadoch a gramatických pádoch 
3. r.: za „2001“ doplniť čiarku 
ods. 4, 1. r.: „spoločenstva“ nahradiť „Spoločenstva“ 
2. r.: medzi slová „podpisy transponovaná“ 
4. r.: za „údajov“ vložiť čiarku 
str. 5, B., 7. zar., 2. r.: medzi slová „povahy spáchaných“ vložiť čiarku 
8. zar., 3. r.: za „2005“ vložiť čiarku 
str. 6, III., ods. 1, 3. r.: „Nakoľko“ nahradiť „Keďže“ 
str. 9, 3. r.: medzi slová „slovníka vydávaného“ vložiť čiarku 
ods. 2, 1. r.: „zadefinovanie“ nahradiť „definovanie“ – aj vo všetkých ďalších 
prípadoch a gramatických tvaroch 
ods. 3, b), 2. r.: medzi slovami „komisie, alebo“ vynechať čiarku 
str. 10, ods. 3, 9. r.: „komunikačných“ nahradiť „-komunikačných“ 
ods. 4, 4. r.: medzi slová „aspekty ako“ vložiť čiarku 
str. 12, ods. 1, 4. r.: medzi slová „rozhrania ako“ vložiť čiarku 
pozn.7, 2. r.: „komunikačných“ nahradiť „-komunikačných“ 
str. 13, ods. 1, 1. zar., 1. r.: medzi slovami „varovania, ako“ vynechať čiarku 
5., ods. 1, 8. r.: „systému ako aj“ nahradiť „systému, ako aj“ 
9. r.: medzi slovami „správy, tak“ vynechať čiarku 
ods. 2, 2. r.: medzi slovami „údajov, alebo“ vynechať čiarku 
ods. 3, 6. r.: medzi slová „bezpečnosti spĺňajúci“ vložiť čiarku 
7. r.: medzi slová „štandardov vytvorených“ vložiť čiarku 
str. 14, 7., ods. 1, 7. zar., 1. r.: „Európskymi“ nahradiť „európskymi“ 
str. 15, ods. 1, 2. zar., 1. r.: „na“ nahradiť „od“ 
2. r.: „službách“ nahradiť „služieb“ 
ods. 2, 1. r.: medzi slovami „internetu, ako“ vynechať čiarku 
9., ods. 1, 4. r.: „Jedná sa“ nahradiť „Ide“ 
10., ods. 1, 3. r.: „za účelom“ nahradiť „s cieľom“ 
str. 16, ods. 2, 2. r.: medzi slová „postupov alebo“ vložiť čiarku 
str. 17, 12., ods. 2, 4. r.: „únie ako aj“ nahradiť „únie, ako aj“ 

II. Predkladacia správa: 
ods. 1, 9. r.: medzi slová „noriem týkajúcich“ vložiť čiarku 
ods. 2, 2. r.: „na základe ktorého“ nahradiť „na ktorého základe“ 
ods. 4, 2. r.: viazaná ako aj“ nahradiť „viazaná, ako aj“ 

III. Komuniké: 
3. r.: na základe ktorého“ nahradiť „na ktorého základe“.

O

A

Upravené v zmysle pripomienok.

NBÚ

V úvode na strane 2 je uvedené „Návrh neupravuje špecifickú oblasť utajovaných skutočností. Táto oblasť je vymedzená osobitným predpisom.“ 
V prvej kapitole, časť I, odsek 3 „Ochrana utajovaných skutočností predstavuje...“ nie je zrejmé o čo ide v druhej vete tohto odseku. Odporúčame upraviť alebo vypustiť.

O

A

NBÚ | V texte pri uvádzaní zákona č. 215/2002 Z. z. všade chýba záver „v znení neskorších predpisov“ – čo by znamenalo, že nereflektujú sa jeho novely. | O | A |
NBÚ | Pri tvorbe štandardizačných dokumentov by bolo vhodné spolupracovať so SUTN, kde je komisia č.37 zameraná práve na informačnú bezpečnosť. | O | A | MF SR spolupracuje s ÚNMS SR, ktorého súčasťou je aj SÚTN.
NBÚ | Str. 1 „ohrozenie informačného systému a jeho obsahu je problém ...“- v rámci logickej stavby vety nie je jasné, čo je to obsah informačného systému? | O | A |

NBÚ

Str. 2 „potrebu informačnej bezpečnosti si začínajú uvedomovať ....“. 
Máme za to, že túto potrebu si dávno uvedomili (minimálne NATO) a uskutočňujú v tejto oblasti konkrétne opatrenia (cyberdefence), čiže uvedené tvrdenie vecne nesprávne interpretuje súčasný vývoj v informačnej bezpečnosti (dokonca NATO ide ešte ďalej a zavádza pojem „Information assurance“ – voľný preklad – záruky informačnej bezpečnosti, ktorým pokrýva širšiu oblasť eliminácie bezpečnostných rizík, ktoré majú dopad na úroveň zaistenia informačnej bezpečnosti).

O

A

NBÚ | tr. 10 „keďže väčšina informačno-komunikačných technológií kybernetického priestoru sú štandardné komerčne dostupné systémy ...“ toto tvrdenie je nesprávne a neprípustne zjednodušuje, pretože pravdepodobne z neznalosti opomína „šifrovacie „technológie“, ďalej „technológie“, ktoré musia spĺňať tempest kritériá, príp. špeciálny softvér, ktoré v žiadnom prípade nie sú komerčne dostupné produkty (komerčne vo význame bežne dostupné). Preto navrhujeme preformulovať uvedené znenie. | O | A |
TÚ SR | Ministerstvo financií SR nezaradilo na Portáli právnych predpisov Telekomunikačný úrad Slovenskej republiky medzi ďalšie povinne pripomienkujúce subjekty, hoci je TÚ SR podľa zákona č. 610/2003 Z. z. o elektronických komunikáciách regulátorom v oblasti elektronických komunikácií, teda aj v oblasti informačnej bezpečnosti, ako je napokon uvedené aj v materiáli o legislatívnom zámere. V dôsledku toho sa TÚ SR dozvedel o MPK tohto materiálu iba náhodou a neskôr, než bolo začaté. Je potrebné, aby v budúcnosti Ministerstvo financií SR v závislosti od typu legislatívneho alebo nelegislatívneho materiálu zvolilo alebo nezvolilo zaradenie príslušnej inštitúcie do zoznamu povinne pripomienkujúcich subjektov. | O | A |

TÚ SR

strana č. 1 časť "Úvod" 
V časti „Úvod“ navrhujeme nadefinovať informačnú bezpečnosť aj v súlade s bezpečnostnými štandardami EÚ a NATO, nielen podľa ISO/IEC 27001. 

Odôvodnenie: Keďže Slovenská republika je členom EÚ aj NATO, je potrebné nadefinovať informačnú bezpečnosť nielen podľa normy 27001, ale aj z pohľadu požiadaviek a medzinárodných štandardov EÚ a NATO.

O

N

Na účely legislatívy je vhodná práve definícia podľa uvedenej normy. Samotné znenie má iba informatívny charakter. Legislatívny zámer nie je koncepčným materiálom, ktorý má vytvárať prehľad existujúcej pojmológie, a preto je takýto obsah nevhodný. Navyše bezpečnostné štandardy EÚ pre informačnú bezpečnosť ako takú zatiaľ neexistujú, NATO definuje pojmy, ktoré sa v SR týkajú najmä utajovaných skutočností.

TÚ SR

str. č. 3 bod 1. Vývoj právnej úpravy 
navrhujeme doplniť v poznámke č. 3 pod čiarou text: „Zákon č. 610/2003 Z. z. o elektronických komunikáciách v znení neskorších predpisov. 

Odôvodnenie: Ochranu osobných údajov legislatívne rieši aj zákon č. 610/2003 Z. z. o elektronických komunikáciách.

O

A

TÚ SR

strana č. 17, 13. časť - Dohľad a správne konanie 
text „Orgánom dohľadu bude ministerstvo financií“ navrhujeme nahradiť znením „Orgánom dohľadu bude medzirezortná skupina vytvorená najmä zo zložiek uvedených v bode 2b tohto dokumentu“. 

Odôvodnenie: Pretože ide o komplexnú problematiku, ktorá vychádza z viacerých platných zákonov SR vrátane záväzkov voči EÚ a NATO, dohliadajúci orgán pre oblasť riadenia informačnej bezpečnosti vo verejnej správe musí byť medzirezortný.

O

N

Právne záväzný dohľad musí vykonávať inštitúcia, ktorej je gestorsky pridelený zákon. A práve týmto zákonom bude ministerstvu financií ustanovená kompetencia dohľadu nad dodržiavaním zákona o IB.

OAP SVL ÚV SR

Všeobecne k predloženému materiálu 
Požadujeme upraviť citácie právnych aktov Európskej únie v celom texte predloženého materiálu a zosúladiť ich citovanie s prílohou č. 1b k Legislatívnym pravidlám vlády Slovenskej republiky (uvádzať úplné citácie právnych aktov; presné názvy tak, ako boli publikované v Úradnom vestníku EÚ; novelizované smernice uvádzať v znení noviel).

O

A

OAP SVL ÚV SR

K úvodu 
Vzhľadom na nadobudnutie platnosti Lisabonskej zmluvy, ktorou sa mení a dopĺňa Zmluva o Európskej únii a Zmluva o založení Európskeho spoločenstva, požadujeme vypustiť slová „a Európskych spoločenstiev“ nachádzajúce sa v texte úvodu na strane 2.

O

A

OAP SVL ÚV SR

K druhej kapitole 
V druhej kapitole v 12. časti v zdôvodnení požadujeme konkrétne uviesť, o ktorú novelu smernice Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002, týkajúcej sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) ide.

O

A

OAP SVL ÚV SR

K doložke zlučiteľnosti 
Do doložky zlučiteľnosti požadujeme doplniť právne akty Európskej únie, ktoré predkladateľ uvádza v texte materiálu, ktoré sa priamo dotýkajú oblasti informačnej bezpečnosti.

O

A

GP SR

1. Všeobecne 
Predložený materiál si vyžaduje dôslednejšiu jazykovú a štylistickú úpravu. Odporúčame používať v právnom poriadku ustálené pojmy a terminológiu. Napríklad odporúčame slovo „mandatórny“ nahradiť slovom „povinný“ alebo „záväzný“, slovo „relevantný“ nahradiť slovom „príslušný“ a pod.

O

A

GP SR

2. K druhej kapitole, bod I. Ciele 
V odôvodnení odporúčame slová „môže a musí zaisťovať“ nahradiť slovami „je povinný zaistiť“.

O

A

GP SR

3. K druhej kapitole, bod II, 1. a 2. časť 
Odporúčame definovať pojem „citlivá informácia“. 

Odporúčame tiež upraviť výnimky pre spracovanie údajov a informácií v špecializovaných informačných systémoch využívaných napríklad orgánmi činnými v trestnom konaní v domácom a cezhraničnom styku.

O

O

N

N

Definície pojmov budú predmetom konkrétneho zákona. 

Problematiku prípadných výnimiek bude riešiť konkrétny zákon, a to podľa kategorizácie informačných systémov a kategorizácie údajov, ktorá je načrtnutá v II. kapitole v 3. časti obsahu leg. zámeru.

MO SR

K názvu 
Názov legislatívneho zámeru odporúčam upraviť v súlade s bodom B.3. uznesenia vlády Slovenskej republiky č. 570 z 27. augusta 2008 „predložiť na rokovanie vlády návrh legislatívneho zámeru zákona o informačnej bezpečnosti verejnej správy v SR“.

O

N

Vzhľadom na to, že zákon o IB bude upravovať IB nielen vo verejnej správe, ale ustanoví aj požiadavky na bezpečnosť internetu, bude sa týkať aj systémov s dosahom na občana, na tovary a služby atď., zvolili sme vhodnejší názov pre pripravovaný zákon.

MO SR

K úvodu 
V predposlednej vete „Návrh neupravuje špecifickú oblasť utajovaných skutočností.“ odporúčam vypustiť slovo „špecifickú“ alebo vetu preformulovať napr. takto: „Návrh neupravuje informačnú bezpečnosť v oblasti utajovaných skutočností.“ z dôvodu, že z predkladacej správy a tiež aj z obsahu materiálu, ktorý bol predmetom rokovania vlády Slovenskej republiky 27. augusta 2008 (uznesenie vlády Slovenskej republiky č. 570/2008) vyplýva, že predmetom legislatívneho zámeru a teda aj pripravovaného návrhu zákona nebude informačná bezpečnosť v oblasti utajovaných skutočností, avšak z formulácie predmetnej vety vyplýva, že návrh zákona nebude upravovať len niektorú špecifickú oblasť utajovaných skutočností a ostatné utajované skutočnosti budú predmetom jeho úpravy.

O

A

MO SR

K prvej kapitole k II. 
1. V bode A odporúčam správne uviesť, v súlade s Legislatívnymi pravidlami vlády Slovenskej republiky, názvy vyhlášok napr. „Vyhláška Národného bezpečnostného úradu č. 336/2004 Z. z. o fyzickej bezpečnosti a objektovej bezpečnosti v znení vyhlášky Národného bezpečnostného úradu č. 315/2006 Z. z.“ a vyhlášku uvedenú pri ôsmom znaku odporúčam vypustiť. 

2. V bode B odporúčam úvodné slová „Ďalšie záväzné legislatívne predpisy vyplývajúce Slovenskej republike z, členstva“ nahradiť slovami „ Ďalšie právne akty, ktoré sú pre Slovenskú republiku záväzné z dôvodu členstva“.

O

O

A

A

MO SR

K Doložke o posúdení vplyvov 
Odporúčam upraviť Doložku vplyvov z dôvodu uvádzaných cieľov a obsahu navrhovaného zákona (str. 7) napr. ustanoviť minimálne požiadavky na bezpečnosť elektronickej verejnej správy, ustanoviť minimálne požiadavky na bezpečnosť internetu, zvýšiť celkové bezpečnostné povedomia pracovníkov verejnej správy, pretože navrhované ciele predpokladajú rast finančných prostriedkov nielen na štátny rozpočet, ale hlavne na rozpočet obcí a vyšších územných celkov.

O

N

Odhad dopadov na štátny rozpočet, rozpočet obcí a VÚC bude predmetom samotného zákona o IB.  Samotný leg. zámer nezakladá zvýšené nároky na štátny rozpočet.

MO SR

K druhej kapitole k II Obsah 
1. V časti Rozsah zákona odporúčam z dôvodu spresnenia v prvom odseku v poslednej vete na konci za slovo „zákonmi“ vložiť čiarku a pripojiť slová „ktoré plnia osobitné úlohy podľa osobitných predpisov“. 

Zároveň odporúčam na konci pripojiť túto vetu: „Jednoznačne stanoví kompetencie a zodpovednosti v oblasti ochrany kybernetického priestoru pre subjekty zodpovedné za špecifické oblasti informačnej bezpečnosti definované existujúcimi osobitnými zákonmi.“. 
Uvedenú vetu požadujeme doplniť z dôvodu, aby boli jednoznačne stanovené kompetencie a zodpovednosti v oblasti ochrany kybernetického priestoru pre subjekty zodpovedné za špecifické oblasti informačnej bezpečnosti definované existujúcimi zákonmi. 

2. V 2. časti Postavenie orgánov štátnej správy,  kompetencie a koordinácia riadenia informačnej bezpečnosti odporúčam do písmena b) doplniť aj Ministerstvo obrany Slovenskej republiky z dôvodu, že aj Ministerstvo obrany Slovenskej republiky má významný podiel na rozširovaní digitálneho priestoru Slovenskej republiky najmä budovaním, prevádzkovaním a zabezpečovaním ochrany viacerých informačno-komunikačných technológií a systémov, pričom si riadenie týchto procesov vyžaduje veľmi úzku súčinnosť s viacerými štátnymi inštitúciami. 

Taktiež odporúčam v tejto časti medzi vymenované zákony (str. 11) uviesť aj zákon č. 179/1998 Z. z o obchodovaní s vojenským materiálom a o doplnení zákona č. 455/1991 Zb. o živnostenskom podnikaní (živnostenský zákon) v znení neskorších predpisov v znení neskorších predpisov, ktorý je tiež jedným zo špeciálnych zákonov v súvislosti s informačnou bezpečnosťou. 

3. V 4. časti Jednotka pre riešenie počítačových incidentov (CSIRT.SK) v Slovenskej republike v nadväznosti na obsah tejto časti odporúčam v poznámke pod čiarou v odkaze 6 doplniť slová „Ministerstvo obrany Slovenskej republiky (licenčné konanie). V budúcnosti sa zavedie systém pre elektronické podávanie licenčných žiadostí, prípadne aj vydávanie úradných povolení.

O

O

O

O

O

A

N

A

A

A

Vzhľadom na to, že kompetencie relevantných subjektov v špecifických oblastiach IB sú zadefinované už v existujúcich zákonoch, ktoré nebudú menené ani zrušené zákonom o IB, nepovažujeme za potrebné túto vetu uvádzať v texte materiálu. Išlo by o duplicitné  ustanovenia, čo je v rozpore s LPV SR. Navyše pojem „kybernetický priestor“ bude ešte len zadefinovaný  zákonom o ochrane utajovaných informácií.

2. časť písm. b) leg. zámeru bola prepracovaná na základe riešenia vznesenej pripomienky v rámci MPK, pričom MO SR je zahrnuté medzi OŠS v oblasti riadenia IB v tejto časti materiálu.

ÚV SR

K Legislatívnemu zámeru zákona o informačnej bezpečnosti : 
V druhej kapitole navrhujeme doplniť nasledovné: 
V I. odseku ciele navrhuje doplniť do textu slová v zátvorke - Zákon o informačnej bezpečnosti bude riešiť dva okruhy problémov, a to zaistenie ochrany pre informačné systémy verejnej správy (a vládnej dátovej siete GOVNET ) a vytvorenie všeobecného právneho rámca pre ochranu celého digitálneho priestoru Slovenskej republiky. 

V 5 zarážke v I. odseku navrhuje doplniť do textu slová v zátvorke - zaviesť proces riadenia informačnej bezpečnosti vo verejnej správe, (ktorú prepája vládna dátová sieť GOVNET)

O

O

A

A

Vysvetlenie: Vládna dátová sieť GOVNET je súčasťou riešeného okruhu, nakoľko je časťou informačného systému verejnej správy (viď. zákon č. 275/2006 Z. z.), t.j. GOVNET je súčasťou riešeného priestoru.

ÚV SR

K Legislatívnemu zámeru zákona o informačnej bezpečnosti  
V druhej kapitole navrhujeme doplniť nasledovné: 
V II. odseku obsah navrhuje doplniť do textu nasledovnú vetu „V tejto súvislosti treba posilniť vládnu dátovú sieť GOVNET po každej stránke, najmä však po stránke ľudského potenciálu, zvýšením kapacity liniek, vybavením najnovšími technológiami najmä pre oblasť IT bezpečnosti a fyzickej bezpečnosti v technologických priestoroch jednotlivých uzlov GOVNET v zmysle bezpečnostných štandardov.“. 
Zdôvodnenie. Zákon o informačnej bezpečnosti predstavuje lex generalis pre informačnú bezpečnosť v Slovenskej republike. Vytvorí ucelený systém riadenia informačnej bezpečnosti. 
Z pozície lex generalis bude definovať základné ciele a procesy riadenia informačnej bezpečnosti vo verejnej správe a zjednocovať riadenie informačnej bezpečnosti u povinných osôb. Ostatné zákony čiastkovo upravujúce požiadavky informačnej bezpečnosti (lex specialis) budú definovať aktíva, ustanovovať parametre a určovať špecifické opatrenia informačnej bezpečnosti pre aktíva v oblasti svojej pôsobnosti v nadväznosti na zákon o informačnej bezpečnosti.

Z

A

Pripomienka stiahnutá (navrhovaný text nie je predmetom materiálu).

ÚV SR

K Legislatívnemu zámeru zákona o informačnej bezpečnosti  
V 2. časti v odseku b) navrhujeme do textu doplniť v zátvorke nasledovné: 
b) formu a spôsob koordinácie prostredníctvom medzirezortného zoskupenia, napríklad výboru, komisie, alebo orgánu zloženého z vedúcich predstaviteľov dotknutých subjektov, ktorými sú najmä ministerstvo financií,( Úrad vlády Slovenskej republiky), Národný bezpečnostný úrad......

O

A

Príslušný text bol prepracovaný na základe rokovania s predkladateľom pripomienky.

ÚV SR

K Legislatívnemu zámeru zákona o informačnej bezpečnosti 
 
str. 1 – poznámku pod čiarou preformulovať nasledovne: 

„Kritickou informačnou infraštruktúrou sú prostriedky a siete informačno-komunikačných technológií, súvisiace hodnoty a elektronické služby, ktorých zničenie alebo znefunkčnenie v dôsledku pôsobenia rizikového faktora spôsobí ohrozenie alebo narušenie politického a hospodárskeho chodu štátu alebo ohrozenie života a zdravia obyvateľstva“. 

Zdôvodnenie: 
Navrhovaná definícia vychádza z definície kritickej infraštruktúry, uvedenej v Koncepcii kritickej infraštruktúry v Slovenskej republike a spôsob jej ochrany a obrany, ktorá bola schválená uznesením vlády SR č. 120 zo dňa 14. 2. 2007.

O

A

Text upravený v zmysle pripomienky.

ÚV SR

K Legislatívnemu zámeru zákona o informačnej bezpečnosti 
Všeobecná pripomienka – do materiálu odporúčame doplniť časť, ktorá bude riešiť vzťahy medzi orgánmi krízového riadenia a prvkami systému riadenia informačnej bezpečnosti. 

Zdôvodnenie: 
Informačnú bezpečnosť je potrebné chápať ako súčasť bezpečnostného systému SR. V prípade ohrozenia bezpečnosti štátu na riešenie vzniknutej krízovej situácie, resp. pre prípad bezprostrednej hrozby jej vzniku, sú príslušnými všeobecne záväznými právnymi predpismi určené orgány krízového riadenia, ktoré prijímajú opatrenia v rámci svojich pôsobností. 
Z uvedeného dôvodu bude potrebné v zákone o informačnej bezpečnosti riešiť vzťahy medzi orgánmi krízového riadenia a prvkami systému riadenia informačnej bezpečnosti.

O

N

Problematike je venovaná osobitná časť. Vzťahy medzi orgánmi krízového riadenia bude riešiť Jednotka pre riešenie počítačových incidentov (CSIRT.SK) v SR, popísaná v časti 4. návrhu leg. zámeru.

ÚV SR

K Legislatívnemu zámeru zákona o informačnej bezpečnosti 2. časť - Postavenie orgánov štátnej správy, kompetencie a koordinácia riadenia informačnej bezpečnosti  
Oprava z: 
formu a spôsob koordinácie prostredníctvom medzirezortného zoskupenia, napríklad výboru, komisie, alebo orgánu zloženého z vedúcich predstaviteľov dotknutých subjektov, ktorými sú najmä ministerstvo financií, Národný bezpečnostný úrad, Ministerstvo vnútra Slovenskej republiky (ďalej len „ministerstvo vnútra“), Ministerstvo hospodárstva Slovenskej republiky (ďalej len „ministerstvo hospodárstva“), Ministerstvo spravodlivosti Slovenskej republiky (ďalej len „ministerstvo spravodlivosti“), Ministerstvo dopravy, pôšt a telekomunikácií Slovenskej republiky (ďalej len „ministerstvo dopravy, pôšt a telekomunikácií“), Telekomunikačný úrad Slovenskej republiky (ďalej len „telekomunikačný úrad“), Úrad na ochranu osobných údajov Slovenskej republiky (ďalej len „úrad na ochranu osobných údajov“). 
Oprava na 
a) 
formu a spôsob koordinácie prostredníctvom medzirezortného zoskupenia, napríklad výboru, komisie, alebo orgánu zloženého z vedúcich predstaviteľov dotknutých subjektov, ktorými sú najmä ministerstvo financií, Národný bezpečnostný úrad, Národná agentúra pre sieťové a elektronické služby ( ďalej len „NASES“ ), Ministerstvo vnútra Slovenskej republiky (ďalej len „ministerstvo vnútra“), Ministerstvo hospodárstva Slovenskej republiky (ďalej len „ministerstvo hospodárstva“), Ministerstvo spravodlivosti Slovenskej republiky (ďalej len „ministerstvo spravodlivosti“), Ministerstvo dopravy, pôšt a telekomunikácií Slovenskej republiky (ďalej len „ministerstvo dopravy, pôšt a telekomunikácií“), Telekomunikačný úrad Slovenskej republiky (ďalej len „telekomunikačný úrad“), Úrad na ochranu osobných údajov Slovenskej republiky (ďalej len „úrad na ochranu osobných údajov“). 

Zdovodnenie: 
NASES ako subjekt zodpovedajúcim za sektor kritickej infraštruktúry „štátna administratíva“ musí mať možnosť participovať na spolupráci medzi subjektmi zodpovedajúcimi za jednotlivé sektory kritickej infraštruktúry pri špecifikácii požiadaviek na bezpečnosť informačno-komunikačných technológií podporujúcich systémy kritickej infraštruktúry. 
NASES rieši bezpečnú komunikáciu medzi elektronickými službami a registrami verejnej správy. Bezpečnostné opatrenia pre základné prístupové komponenty elektronickej verejnej správy. 
NASES rieši a zodpovedá bezpečnostné požiadavky na rozhrania aplikácií typu „komunikácia medzi orgánmi verejnej správy“, identifikáciu a autentifikáciu spojenú s poskytovaním a využívaním služieb elektronickej verejnej správy, bezpečné elektronické cezhraničné a medzisektorové interakcie medzi Európskymi inštitúciami verejnej správy.

Z

A

Príslušný text bol prepracovaný na základe rokovania s predkladateľom pripomienky. 

Poznámka k zdôvodneniu ÚV SR: 
1.	NASES je príspevková organizácie a nie orgán štátnej správy. 
2.	Sektor kritickej infraštruktúry „štátna administratíva“ v SR neexistuje.
3.	Za sektory kritickej infraštruktúry môžu byť zodpovedné len ústredné orgány št. správy, a nie príspevková organizácia.
Problematiku kritickej infraštruktúry rieši MV SR, ktoré takýto sektor podľa našich znalostí nezaviedlo.

ÚV SR

K Legislatívnemu zámeru zákona o informačnej bezpečnosti -Zdôvodnenie: Na zabezpečovaní ochrany....... 
Oprava z: 
Spolupráca Národného bezpečnostného úradu a ministerstva financií je potrebná pri riešení ochrany hranice kybernetického priestoru, t. j. systémov, ktoré do kybernetického priestoru nepatria, ale s ním komunikujú. 
Na 
Spolupráca Národného bezpečnostného úradu , ministerstva financií a NASES je potrebná pri riešení ochrany hranice kybernetického priestoru, t. j. systémov, ktoré do kybernetického priestoru nepatria, ale s ním komunikujú. 

Zdovodnenie: 
NASES ako subjekt zodpovedajúcim za sektor kritickej infraštruktúry „štátna administratíva“ musí mať možnosť participovať na spolupráci medzi subjektmi zodpovedajúcimi za jednotlivé sektory kritickej infraštruktúry pri špecifikácii požiadaviek na bezpečnosť informačno-komunikačných technológií podporujúcich systémy kritickej infraštruktúry. 
NASES rieši bezpečnú komunikáciu medzi elektronickými službami a registrami verejnej správy. Bezpečnostné opatrenia pre základné prístupové komponenty elektronickej verejnej správy. 
NASES rieši a zodpovedá bezpečnostné požiadavky na rozhrania aplikácií typu „komunikácia medzi orgánmi verejnej správy“, identifikáciu a autentifikáciu spojenú s poskytovaním a využívaním služieb elektronickej verejnej správy, bezpečné elektronické cezhraničné a medzisektorové interakcie medzi Európskymi inštitúciami verejnej správy.

Z

A

Príslušný text bol prepracovaný na základe rokovania s predkladateľom pripomienky. 

Poznámka k zdôvodneniu ÚV SR: 
1.	NASES je príspevková organizácie a nie orgán štátnej správy. 
2.	Sektor kritickej infraštruktúry „štátna administratíva“ v SR neexistuje.
3.	Za sektory kritickej infraštruktúry môže byť zodpovedné len ústredné orgány štátnej správy.
Problematiku kritickej infraštruktúry rieši MV SR, ktoré takýto sektor podľa našich znalostí nezaviedlo.

ÚV SR

K Legislatívnemu zámeru zákona o informačnej bezpečnosti  
Oprava z : 
Zákon č. 610/2003 Z. z. o elektronických komunikáciách v znení neskorších predpisov zaraďuje internet a počítačové siete medzi elektronické komunikačné siete. Podľa uvedeného zákona má ministerstvo dopravy, pôšt a telekomunikácií a telekomunikačný úrad rozsiahle regulačné a kontrolné právomoci. Z hľadiska informačnej bezpečnosti ide o aspekty ako sú fyzická bezpečnosť sietí, dodržiavanie technických noriem, prevádzková bezpečnosť, elektromagnetické vyžarovanie, úprava podmienok odpočúvania komunikácie, šírenie reklamných správ, ochrana osobných údajov a údajov spojených s prevádzkou komunikačných sietí. Telekomunikačný úrad sa nezaoberá obsahom komunikácie, hoci sa spomína povinnosť prevádzkovateľa obmedziť prenos signálu s nezákonným obsahom a zabezpečiť verejné siete pred neoprávneným prístupom. Telekomunikačný úrad je kľúčovou inštitúciou aj z hľadiska kritickej infraštruktúry. 

Na: 
Zákon č. 610/2003 Z. z. o elektronických komunikáciách v znení neskorších predpisov zaraďuje internet a počítačové siete medzi elektronické komunikačné siete. Podľa uvedeného zákona má ministerstvo dopravy, pôšt a telekomunikácií a telekomunikačný úrad rozsiahle regulačné a kontrolné právomoci. Z hľadiska informačnej bezpečnosti ide o aspekty ako sú fyzická bezpečnosť sietí, dodržiavanie technických noriem, prevádzková bezpečnosť, elektromagnetické vyžarovanie, úprava podmienok odpočúvania komunikácie, šírenie reklamných správ, ochrana osobných údajov a údajov spojených s prevádzkou komunikačných sietí. Telekomunikačný úrad sa nezaoberá obsahom komunikácie, hoci sa spomína povinnosť prevádzkovateľa obmedziť prenos signálu s nezákonným obsahom a zabezpečiť verejné siete pred neoprávneným prístupom. Telekomunikačný úrad je kľúčovou inštitúciou aj z hľadiska kritickej infraštruktúry. NASES zodpovedá za správu, prevádzku a rozvoj vládnej dátovej siete GOVNET a tiež aj prevádzku a rozvoj služieb Ústredného portálu verejnej správy, ako základných nástrojov informatizácie verejnej správy na Slovensku, elektronické cezhraničné a medzisektorové interakcie medzi Európskymi inštitúciami verejnej správy. 

Zdovodnenie: 
NASES ako subjekt zodpovedajúcim za sektor kritickej infraštruktúry „štátna administratíva“ musí mať možnosť participovať na spolupráci medzi subjektmi zodpovedajúcimi za jednotlivé sektory kritickej infraštruktúry pri špecifikácii požiadaviek na bezpečnosť informačno-komunikačných technológií podporujúcich systémy kritickej infraštruktúry. 
NASES rieši bezpečnú komunikáciu medzi elektronickými službami a registrami verejnej správy. Bezpečnostné opatrenia pre základné prístupové komponenty elektronickej verejnej správy. 
NASES rieši a zodpovedá bezpečnostné požiadavky na rozhrania aplikácií typu „komunikácia medzi orgánmi verejnej správy“, identifikáciu a autentifikáciu spojenú s poskytovaním a využívaním služieb elektronickej verejnej správy, bezpečné elektronické cezhraničné a medzisektorové interakcie medzi Európskymi inštitúciami verejnej správy.

Z

A

Príslušný text bol prepracovaný na základe rokovania s predkladateľom pripomienky. 

Poznámka k zdôvodneniu ÚV SR: 
1.	Sektor kritickej infraštruktúry „štátna administratíva“ v SR neexistuje.
2.	Za sektory kritickej infraštruktúry môžu byť zodpovedné len ústredné orgány št. správy, a nie príspevkové organizácie. (Podľa § 6 zákona č. 610/2003 Z. z. o elektronických komunikáciách v znení neskorších predpisov sú orgánmi štátnej správy v oblasti elektronických komunikácií MDPT SR a TÚ SR).

Verejnosť

Vlastnému materiálu 
V materiáli nie je uvedený navrhovaný spôsob úpravy vzťahu zákona o informačnej bezpečnosti a zákona č. 211/2000 Z. z. o slobodnom prístupe k informáciám a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej aj "ZSPI"). 

ZSPI ustanovuje povinnosť sprístupniť verejnosti všetky informácie, okrem presne vymedzeného okruhu informácií. Z uvedeného dôvodu nie je efektívne zavádzať klasifikáciu systémov a informácií nad rámec existujúcej právnej úpravy, ktorá však nepokrýva všetky skutočne informácie citlivé z hľadiska bezpečnosti (vo väčšine prípadov sa to vzťahuje napr. na administrátorské heslá, systémovú dokumentáciu, ...). 

Vzhľadom na to považujem za potrebné vopred si ozrejmiť vzájomné vzťahy medzi zákonom o informačnej bezpečnosti a ZSPI a popísať ich v legislatívnom zámere.

O

A

Verejnosť

celému dokumentu 
Všimol som si v tom dokumente odkazy na bezpečnostnú CIA triádu (Confidentiality, Integrity, Availability) http://en.wikipedia.org/wiki/Information_security#Key_concepts 

Pričom namiesto "Confidentiality", čo sa dá preložiť ako "dôvernosť" alebo "utajenie" používa slovenský termín "autentickosť", čo je podľa mňa niečo iné. Osobne si myslím, že "autentickosť" spadá do integrity (napríklad tam podla mňa spadá digitálny podpis, čo je vec integrity ako aj autentickosti). 

Osobne by som teda v celom tom dokumente nahradil "autentickosť" za nejaký zmysluplný slovenský preklad "Confidentiality". 

Podobne som si všimol, že v celom dokumente sa píše "internet" s malým "i", pokým ale ide o medzinárodnu jednu sieť, nemá sa písať s veľkým "I", teda Internet?

O

O

A

N

Slovo „Internet“ sa v legislatívnom materiáli píše s malým „i“.

Verejnosť

1.strana 
"Účelom informačnej bezpečnosti je eliminovať možnosti uplatnenia sa hrozieb a v prípade vzniknutých následkov minimalizovať ich dopad, čo je nevyhnutnou podmienkou tak pre verejnú správu, súkromnú sféru a obzvlášť pre kritickú 
informačnú infraštruktúru" 

"Účelom informačnej bezpečnosti" - myslím, že lepšie je "Snahou" alebo "Cieľom" 

Bolo by tam lepšie nahradiť "eliminovať" za "minimalizovať alebo úplne eliminovať" - to je určite presnejšie. 

Zmenil by som "obzvlášť pre kritickú informačnú infraštruktúru" na "obzvlášť pre jej kritickú informačnú infraštruktúru" - infraštruktúra totiž môže byť kritická v akejkoľvek sfére/správe. 

Alebo ak sa tým myslí infraštruktúra SR (čo sa asi podľa dolnej poznámky myslí), tak aby to dávalo zmysel, tak by som to zmenil na: 
"....podmienkou tak pre verejnú správu, súkromnú sféru a obzvlášť pre kritickú informačnú infraštruktúru Slovenskej republiky", čo je podstatne zmysluplnejšie

O

O

O

A

A

A

Verejnosť

1.strana 
"Z hľadiska vlastníkov a prevádzkovateľov je najdôležitejší spoľahlivý prístup k informačným zdrojom...." 

spoľahlivý prístup je lepšie nahradiť nevyhnutnosťou dostupnosti (availability) 
 
5.strana 
Veta "Absencia takého zákona sa prejavuje napríklad v nekonzistentnosti terminológie, používaní bezpečnostných štandardov, v prekrývajúcich sa kompetenciách štátnych orgánov a v neúplnosti pokrytia informačnej bezpečnosti 
právnymi predpismi a kompetenciami." 

predpokladám, že je tam preklep a správne má byť "nepoužívaní bezpečnostných štandardov"

O

O

A

A

Verejnosť

6.strana  
Nemá byť správne "zbierať" namiesto "zberať"?

O

A

Verejnosť

12.strana 
"....založených na citlivosti spracúvaných dát podľa aspektov dôvernosti, integrity, dostupnosti, autentickosti a súkromnosti " 

"autentickosť" je podľa mňa zahrnutá v integrite a "súkromnosť" je podľa mňa nezmysel (neviem, čo si mám pod tým predstaviť) 

"povinnosť povinných osôb" - toto mi príde ako dosť nešťastný zvrat 

"klasifikácie na základe hodnoty informačných aktív, ktorými sú spracúvané dáta" by som nahradil len za "hodnoty informačných aktív, ktorými sú spracúvané dáta"

O

O

O

A

A

A

Verejnosť

15. strana 
- preklep "verejnenj"

O

A

Verejnosť

16. strana - 9.cast 
Nikde tam nevidím slovíčko RFID, to je tak kritická vec, že by to tam určite malo byť. 

- "mandatórnych" - nechápem, prečo tam nemôže byť slovenský preklad "povinných".  

Ťažkopádnosť dokumentu 
Veľa vecí je v dokumente popísaných veľmi ťažkopádne a ani človek s vysokou školou a 12-ročnou praxou v IT Security má problém to pochopiť, napríklad veta: 

"Cieľom je, aby rámec mohol slúžiť ako dobrovoľný referenčný rámec pre ostatné 
entity, ktorými sú primárne súkromné entity, pri úprave ich zmluvných vzťahov 
v rámci zmluvnej slobody." 

tie latinské/francúzske názvy typu "lex specialis derogat legi generali" nechápem, čo tieto slová hľadajú v slovenských zákonoch (ale nevidím do toho, takže asi je to štandard)

O

O

O

O

A

A

A

A

RFID sú upravené v časti 9. „Bezpečnosť špecifických technológií“. Do textu bola doplnená skratka, aj keď podľa LPV SR by sa skratky zo začiatočných písmen nemali používať.

MV SR

V časti „Úvod“ je v poslednom odseku zvýraznená skutočnosť, že neupravuje oblasť utajovaných skutočností.
Keďže zámer má za cieľ riešiť dva okruhy problémov, a to zaistenie ochrany pre ISVS a vytvorenie všeobecného rámca pre ochranu celého digitálneho priestoru SR, odporúčame v zámere zohľadniť aj niektoré spoločné ciele z Koncepcie ochrany utajovaných skutočností SR z roku 2007, ktoré sa javia ako totožné so zámerom (najmä zaviesť jednotnú terminológiu základných pojmov z oblasti IB, napr. vymedzenie priestoru digitálny/kybernetický , zaviesť spoločnú kategorizáciu informačných systémov verejnej správy v závislosti od klasifikácie spracúvaných informácií (obyčajné, citlivé až utajované), zjednotiť budovanie znalostných centier IB).

O

A

Pripomienka zapracovaná do II. kapitoly  2. časti na str. 10.

MV SR | V druhej kapitole, 2. časť, písm. b) odporúčame do medzirezortného zoskupenia orgánov štátnej správy pre oblasť IB zaradiť okrem vymenovaných subjektov aj MO SR, ako jeden dôležitý abonent IB s bohatou znalostnou bázou. | O | A | Pripomienka bola zapracovaná v druhej kapitole 2. časti iným spôsobom.

ÚNMS

všeobecne 
Vzhľadom na zavedenú dohodu medzi komisiou na tvorbu štandardov informačného systému štátnej a verejnej správy treba aj v tomto dokumente presne rozlišovať , kedy sa použije termín štandard a štandardizácia a kedy sa v súlade so zákonom č. 264/1999 Z.z. použije termín norma. Preto: 

1) V úvodnej vete treba v súlade s § 6 ods. 1 zákona č. 264/1999 Z.z. zameniť pomenovanie dokumentu „ medzinárodného štandardu ISO/IEC 27001“ názvom „ medzinárodnej normy“. 
2) Na strane 2, v časti kde sa spomínajú organizácie nahradiť "Medzinárodná štandardizačná organizácia" všeobecnejším a správnejším "medzinárodné a európske normalizačné organizácie". 

Dôvodom na doplnenie je to, že z členstva SR v EÚ nám vyplýva prioritná povinnosť preberať do sústavy normy vydávané európskymi normalizačnými organizáciami CEN, CENELEC a ETSI. Takže národná norma bude vo väčšine prípadov prevzatím EN, aj keď ide o prevzatie noriem pôvodne z ISO/IEC. Nesmie sa tiež zabudnúť, že JTC 1, ktorá tvorí normy ICT je spoločnou TC dvoch medzinárodných normalizačných organizácií ISO -Medzinárodná normalizačná organizácia a IEC -Medzinárodná elektrotechnciká komisia. Všetky tieto organizácie môžu samostatne alebo spoločne vytvárať štruktúry a systémy na informačnú bezpečnosť. Preto bude podľa nášho názoru lepšie v materiáli namiesto jednej (Medzinárodná štandardizačná organizácia) uviesť všeobecnejšie medzinárodné a európske normalizačné organizácie. 

V ďalšom texte v prípade, že sa text vzťahuje alebo sa týka technickej normy alebo technickej normalizácie podľa zákona 264/1999 Z.z. treba používať termín norma a nie štandard, a ak ide o štandardizáciu postupov alebo požiadaviek na informačný systém a informačnú bezpečnosť tak ako je napr. uvedené v časti 5: štandardizačná činnosť, používať termín štandardizácia a štandardy. 

Samozrejme, že pri štandardizácii postupov alebo vo vytvorených štandardoch na informačnú bezpečnosť informácií sa pri odkaze na normatívny dokument spĺňajúci definíciu technickej normy podľa zákona č. 264/1999 Z.z. musí použiť termín norma.

O

A

Vysvetlivky  k použitým skratkám v tabuľke:
O – obyčajná
Z – zásadná
N – neakceptovaná

A – akceptovaná
ČA – čiastočne akceptovaná