§ 4
Zařazení poptávaného cloud computingu do bezpečnostní úrovně
(1) Zařazení poptávaného cloud computingu do bezpečnostní úrovně provede orgán veřejné moci podle přílohy k této vyhlášce. Orgán veřejné moci zhodnotí naplnění úrovně dopadu, které je poptávaný cloud computing schopen dosáhnout v rámci každé oblasti dopadu. Úroveň dopadu je v rámci každé oblasti dopadu dána nejhorším možným dopadem kybernetického bezpečnostního incidentu.
(2) Při zjišťování nejhoršího možného dopadu kybernetického bezpečnostního incidentu zohlední orgán veřejné moci možné narušení důvěrnosti, integrity a dostupnosti poptávaného cloud computingu a povahu informačního nebo komunikačního systému, který je poptávaným cloud computingem, jako celku. V případě, že je poptávaným cloud computingem pouze určitá část informačního nebo komunikačního systému, zohlední také vztah této části k bezpečnostní úrovni informačního nebo komunikačního systému jako celku.
(3) Bezpečnostní úroveň pro využívání poptávaného cloud computingu orgánem veřejné moci je shodná s nejvyšší úrovní dopadu, které poptávaný cloud computing dosáhne při hodnocení jednotlivých oblastí dopadu.
(4) Informační nebo komunikační systém, který je významným informačním systémem podle zákona, odpovídá vysoké bezpečnostní úrovni, pokud je poptávaným cloud computingem tento informační nebo komunikační systém jako celek, a pokud nebude orgánem veřejné moci postupem podle předchozích odstavců zařazen do kritické bezpečnostní úrovně.
(5) Informační nebo komunikační systém, který je kritickou informační infrastrukturou podle zákona, odpovídá kritické bezpečnostní úrovni, pokud je poptávaným cloud computingem tento informační nebo komunikační systém jako celek.
(6) Nejvyšší stanovená bezpečnostní úroveň informačního nebo komunikačního systému jako celku musí být stanovena alespoň pro jednu část informačního nebo komunikačního systému, který je poptávaným cloud computingem.
(7) O procesu stanovení bezpečnostní úrovně poptávaného cloud computingu podle předchozích odstavců provede orgán veřejné moci písemný záznam. Vzor písemného záznamu zveřejní Národní úřad pro kybernetickou a informační bezpečnost na svých internetových stránkách.