XI. Obecné požadavky na prostředí, v němž je elektronický nástroj provozován

1. Kvalita provozu elektronického nástroje
Základním kvalitativním požadavkem na provoz elektronického nástroje je prokázání důvěryhodnosti jeho provozování. Tato důvěryhodnost je měřena přes důvěrnost, dostupnost a integritu informací, které jsou prostřednictvím elektronického nástroje v daném prostředí zpracovávány. Měření kvality probíhá podle níže uvedených požadavků na systém řízení provozu elektronického nástroje, za který odpovídá žadatel. Žadatel pro potřeby certifikace prostředí prokáže plnění požadavků této vyhlášky.

3.1. Požadavky na prostředí
Žadatel musí dokumentovaným způsobem stanovit požadavky na prostředí, a to zejména hardware, software a prostory nezbytné pro provozování elektronického nástroje v zamýšleném rozsahu. Musí vést záznamy o tom, že jsou tyto požadavky při provozu elektronického nástroje plněny. Rozsah požadavků je závislý na složitosti elektronického nástroje (tj. kompatibilitě funkcionality).

4.1. Požadavky na řízení provozu
Žadatel musí dokumentovaným způsobem zabezpečit dostupnost, integritu a důvěrnost, a to aplikováním vybraných postupů mezinárodních norem v oblasti bezpečnosti informací a kvality služeb v IT, které jsou etalonem pro naplnění níže uvedených požadavků.
Žadatel musí v pravidelných intervalech, minimálně jednou ročně a při každé větší změně:
• Provádět, řídit a hodnotit aktiva a rizika;
• Zpracovávat a naplňovat plán zvládání rizik;
• Přehodnocovat již přijatá opatření;
• Provádět kontrolu a vyhodnocení procesů a činností prováděných jinými stranami, které mají dopad na provoz elektronického nástroje;
• Vytvářet, udržovat a řídit dokumenty a záznamy nezbytné pro provoz elektronického nástroje;
• Plánovat, realizovat, monitorovat a přezkoumávat postupy pro řízení provozu elektronického nástroje;
• Provádět interní audity a přezkoumání vedením včetně přezkoumání shody s požadavky zákona a jeho prováděcích předpisů a dalších normativních a smluvních závazků.
Dále musí:
• Řídit proces plánování změn provozu elektronického nástroje;
• Řídit proces provozu elektronického nástroje a poskytovat zadavateli operativní i pravidelné měsíční informace o stavu provozu včetně všech anomálií, nedostupností a dalších informací, které jsou z pohledu provozu elektronického nástroje pro zadavatele významné;
• Mít zpracovány a funkční plány kontinuity a dostupnosti;
• Řídit prostředky a kapacity v čase a místě tak, aby nedocházelo k ohrožení provozu elektronického nástroje;
• Prokazatelně seznamovat pracovníky zadavatele se změnami v provozu elektronického nástroje;
• Řídit vztahy se zadavateli i účastníky zadávacích řízení v rozsahu provozovaného elektronického nástroje;
• Řídit incidenty, problémy, konfigurace a změny
a vést o nich prokazatelné záznamy.

2. Deklarace systému řízení
Žadatel musí stanovit politiku provozu elektronického nástroje, která bude obsahovat minimálně:
• Vymezení postupu zajišťování dostatečných zdrojů pro provoz elektronického nástroje vedením společnosti žadatele;
• Rozsah provozovaných funkčních vlastností elektronického nástroje;
• Výčet požadavků stanovených v zákoně, normativních a smluvních požadavků aplikovaných na provoz elektronického nástroje;
• Stanovení odpovědných rolí za provoz elektronického nástroje včetně jejich pravomocí a odpovědností;
• Vymezení postupu řízení služeb jiných stran, které mají dopad na provoz elektronického nástroje;
• Vymezení postupu pravidelného ohodnocování a řízení aktiv a rizik spojených s provozem elektronického nástroje;
• Vymezení kontrolních mechanismů k monitorování provozu elektronického systému a způsobu zajištění včasné a efektivní identifikace nových hrozeb a rizik.

3.2. Požadavky na procesy řízení lidských zdrojů
Žadatel musí provést taková opatření v oblasti řízení lidských zdrojů, která minimalizují negativní vliv pracovníků na provoz elektronického nástroje ve stanoveném rozsahu při dodržení všech stanovených požadavků. Způsob naplnění níže uvedených požadavků musí být dokumentován a musí existovat záznamy jako důkazy o plnění požadavků.
Žadatel musí minimálně:
• Stanovit role, jejich popis, pracovní povinnosti, odpovědnosti a pravomoci;
• Stanovit požadavky na odbornou způsobilost pracovníka pro danou roli;
• Stanovit způsob ustanovení pracovníka do role a způsob jeho proškolení;
• Plánovat v pravidelných intervalech vzdělávací aktivity a následně je podle plánu realizovat;
• Stanovit pravidla uplatňování odpovědnosti a udělování sankcí za porušení stanovených povinností při provozu elektronického nástroje;
• Stanovit pravidla ukončení práce pracovníka v roli.
Před započetím práce s elektronickým nástrojem nebo v provozním prostředí elektronického nástroje žadatel provádí výběr vhodných pracovníků do rolí podle požadavků na roli, stanovené odborné způsobilosti a dalších vlastností, které žadatel určí pro danou roli.
Před započetím práce s elektronickým nástrojem nebo v provozním prostředí elektronického nástroje žadatel ověří kvalifikaci a proškolení nových pracovníků pro role nutné pro provozování elektronického nástroje, jejich odpovědnosti, pravomoci a požadavky na odbornou způsobilost, a to před ustanovením pracovníka do role.
Během práce s elektronickým nástrojem nebo v provozním prostředí elektronického nástroje žadatel plánuje a zajišťuje vzdělávací aktivity, prostřednictvím nichž zajistí, že pracovníci trvale splňují požadavky na odbornou způsobilost stanovenou pro zastávanou roli. V případě, že jsou činnosti zajištěny smluvní stranou, žadatel vyžaduje naplnění tohoto požadavku po smluvní straně.
Žadatel řeší s pracovníkem případy porušení stanovených povinností při provozu elektronického nástroje v souladu se stanovenými pravidly uplatňování odpovědnosti a udělování sankcí.
Při ukončení práce s elektronickým nástrojem nebo v provozním prostředí elektronického nástroje
Žadatel stanoví konkrétní časový plán pro řádný průběh ukončení práce pracovníka s elektronickým nástrojem (včetně ukončení případných smluvních vztahů), které zahrnují zejména odevzdání přidělených aktiv a odejmutí přístupových práv k elektronickému nástroji.

4.2. Požadavky na kvalitu řešení
Pro potřeby certifikace je jako akceptovatelná úroveň provozu elektronického nástroje stanovena:
• Celková roční dostupnost elektronického nástroje je nejméně 98 %, přičemž jednotlivý výpadek provozu nesmí překročit 3 hodiny v pracovní dny a 12 hodin ve dnech pracovního volna;
• Zálohovací plán musí být nastaven tak, aby při jeho dodržování došlo v případě incidentu ke ztrátě dat v elektronickém nástroji maximálně jeden kalendářní den.

3. Požadavky na řízení zdrojů
Žadatel musí určovat a zajistit dostatečné zdroje potřebné pro efektivní a účinný provoz elektronického nástroje. Zdroje pro účely tohoto standardu tvoří:

1. prostředí, ve kterém je elektronický nástroj provozován a které zahrnuje hardware, operační systémy a další systémové programové vybavení a prostory nezbytné pro zajištění požadovaných parametrů elektronického nástroje a

2. lidské zdroje, které jsou nezbytné pro provozování elektronického nástroje (správu a obsluhu) v zamýšleném rozsahu a pro dodržování stanovených požadavků na elektronický nástroj. Žadatel musí specifikovat požadavky na řízení zdrojů (provozního prostředí a lidských zdrojů) a jeho části tak, aby bylo zajištěno, že elektronický nástroj plní stanovené požadavky při jeho provozování v provozním prostředí v zamýšleném rozsahu.

4. Systémové požadavky na elektronický nástroj
Prostřednictvím systémových požadavků na elektronické nástroje zajišťuje žadatel plnění požadavků stanovených v zákoně již v průběhu návrhu a vývoje elektronického nástroje a po celou dobu provozování elektronického nástroje.