Prověřování osob v kritické infrastruktuře podle zákona 266/2025 Sb.

• 1. Vymezené pozice a osoby v rozsahuMáte seznam pozic a kategorií pracovníků, kteří se podílejí na poskytování základní služby nebo mají přímý či vzdálený přístup do prostor, k informacím nebo do kontrolních systémů. Počítáte i s uchazeči o zaměstnání.§ 17 odst. 1 a 2 zákona; § 10 odst. 2 vyhlášky č. 122/2026 Sb.
• 2. Dodavatelé a jejich osobyKritické dodavatele máte označené a víte, které jejich osoby (technici, servis, správci systémů) mají k vám přístup. Povinnost ověření je promítnutá do smluv.§ 2 odst. 1 písm. j) a l), § 14 odst. 1 písm. j) zákona
• 3. Právní titul a informování osob (GDPR)Máte určený právní titul zpracování, záznam o činnostech zpracování a osoby jsou předem informovány o rozsahu, účelu a době uchování údajů. U rozsáhlého zpracování zvažte posouzení vlivu (DPIA).§ 14 odst. 2 písm. b) zákona; čl. 6, 10 a 13 GDPR
• 4. Stanovený rozsah ověřeníPro každou kategorii pozic víte, co se ověřuje. Zákonným minimem je totožnost a bezúhonnost; další kroky (např. sankční seznamy) volte přiměřeně riziku pozice.
• 5. Součinnost a souhlas osobyJe jasné, jak osoba doklady předkládá, kde je potřeba její souhlas nebo součinnost (např. vyžádání výpisu za ni) a co se stane, pokud součinnost odmítne.
• 6. Zdroje: totožnost a rejstříky trestůOvěřujete doklad totožnosti a výpis z rejstříku trestů ČR. U cizinců a osob, které v posledních 3 letech pobývaly v jiném státě nepřetržitě déle než 3 měsíce, i obdobný doklad tohoto státu.§ 17 odst. 2 písm. a) zákona
• 7. Manažer kritické infrastrukturyManažer splňuje podmínky pro výkon citlivé činnosti podle zákona o ochraně utajovaných informací a požadavky odborné praxe.§ 16 odst. 2 a § 17 odst. 2 písm. b) a odst. 3 zákona
• 8. Vyhodnocení a rozhodnutíMáte kritéria, které záznamy jsou pro danou pozici relevantní, kdo o výsledku rozhoduje, jak se eskaluje sporný případ a jaká opatření následují (neudělení nebo omezení přístupu).
• 9. Evidence a uchování záznamůEvidujete, kdo, kdy a s jakým výsledkem byl ověřen. Uchováváte jen nezbytné údaje (ne nutně kopie výpisů), máte stanovenou dobu uchování a omezený přístup.
• 10. Cyklus opakovaného ověřeníMáte stanovenou četnost opakované kontroly podle rizikovosti pozic a spouštěče mimořádného ověření (změna pozice, rozšíření přístupu, důvodná pochybnost).§ 10 odst. 2 písm. b) bod 2 vyhlášky č. 122/2026 Sb.
• 11. Odpovědná osoba a interní směrnicePostup ověřování je popsaný v interní směrnici schválené vedením a provázaný s plánem odolnosti. Je určeno, kdo kontrolu dokladů provádí a kdo za proces odpovídá.§ 10 odst. 2 písm. b) bod 3 vyhlášky č. 122/2026 Sb.
• 12. Audit trail pro kontroluPři kontrole ze strany ministerstva doložíte celý proces: aktuální seznam osob v rozsahu, provedená ověření, rozhodnutí a jejich odůvodnění, termíny dalších kontrol.§ 22 zákona (kontrola)

Článek [X] – Ověřování spolehlivosti osob dodavatele

1. Dodavatel bere na vědomí, že Objednatel je subjektem kritické infrastruktury podle zákona č. 266/2025 Sb., o odolnosti subjektů kritické infrastruktury a o změně souvisejících zákonů (zákon o kritické infrastruktuře), a je povinen ověřovat spolehlivost osob, které se podílejí na poskytování základní služby nebo jsou pověřeny přímým nebo vzdáleným přístupem do jeho prostor, k jeho informacím nebo do jeho kontrolních systémů. Takové osoby Dodavatele, jeho poddodavatelů a dalších osob, jejichž prostřednictvím Dodavatel plní tuto smlouvu, se dále označují jako „Osoby s přístupem“.

2. Dodavatel se zavazuje k plnění této smlouvy použít pouze takové Osoby s přístupem, které před udělením přístupu prokázaly Objednateli, popřípadě Objednatelem určené osobě, svou totožnost a bezúhonnost výpisem z evidence Rejstříku trestů ne starším než [3 měsíce]; u osob, které nejsou státními občany České republiky nebo které se v posledních 3 letech zdržovaly v jiném státě nepřetržitě déle než 3 měsíce, též obdobným dokladem vydaným tímto státem (dále jen „Ověření“). Další rozsah Ověření a kritéria jeho vyhodnocení stanoví Příloha č. [X].

3. Ověření se opakuje nejméně jednou za [24 měsíců] a dále vždy při změně rozsahu přístupu Osoby s přístupem nebo vznikne-li důvodná pochybnost o její spolehlivosti.

4. Dodavatel poskytne Objednateli veškerou součinnost potřebnou k Ověření, zejména zajistí, aby Osoby s přístupem byly předem informovány o zpracování svých osobních údajů a aby Objednateli předložily požadované doklady. Osobu, která součinnost odmítne, není Dodavatel oprávněn k plnění vyžadujícímu přístup použít.

5. Dodavatel předá Objednateli před zahájením plnění a dále bez zbytečného odkladu po každé změně seznam Osob s přístupem v rozsahu jméno, příjmení, datum narození, pracovní zařazení a požadovaný rozsah přístupu.

6. Dodavatel oznámí Objednateli bez zbytečného odkladu, nejpozději do [3 pracovních dnů], ukončení spolupráce s Osobou s přístupem, změnu jejího zařazení nebo rozsahu přístupu a jakoukoli jemu známou skutečnost, která může zpochybnit její spolehlivost. Objednatel je oprávněn přístup takové osoby s okamžitou účinností pozastavit nebo ukončit.

7. Dodavatel vede evidenci Osob s přístupem a provedených Ověření (datum, rozsah, výsledek a osoba, která Ověření provedla) a uchovává ji po dobu trvání této smlouvy a [X let] po jejím skončení, nejdéle však po dobu nezbytnou podle předpisů o ochraně osobních údajů.

8. Objednatel nebo jím pověřená osoba vázaná mlčenlivostí je oprávněna po předchozím oznámení nejméně [10 pracovních dnů] ověřit plnění povinností podle tohoto článku, a to i u poddodavatelů. Při kontrole Objednatele orgánem veřejné moci podle zákona č. 266/2025 Sb. poskytne Dodavatel součinnost bez zbytečného odkladu.

9. Dodavatel zaváže ke stejným povinnostem všechny své poddodavatele, jejichž osoby mají být Osobami s přístupem, a za jejich splnění odpovídá, jako by plnil sám.

10. Smluvní strany zpracovávají osobní údaje Osob s přístupem pouze v rozsahu nezbytném pro účely tohoto článku a v souladu s nařízením (EU) 2016/679 (GDPR) a zákonem č. 110/2019 Sb., o zpracování osobních údajů. Údaje o bezúhonnosti zpřístupní pouze pověřeným osobám vázaným mlčenlivostí.

11. Poruší-li Dodavatel povinnost podle tohoto článku, je Objednatel oprávněn a) odepřít nebo odejmout přístup dotčené Osobě s přístupem, b) požadovat její nahrazení osobou splňující podmínky tohoto článku, c) požadovat smluvní pokutu ve výši [X Kč] za každý jednotlivý případ porušení a d) při podstatném nebo opakovaném porušení od této smlouvy odstoupit. Nárok na náhradu újmy není zaplacením smluvní pokuty dotčen.