Vydávání předpisů pro technický audit elektronických podpisů a důvěryhodných služeb: Zajištění bezpečnosti a posílení důvěry v digitálním prostoru

Ministerstvo vědy a technologií právě vydalo oběžník upravující technické audity elektronických podpisů a důvěryhodných služeb s cílem posílit řízení, zajistit bezpečnost, transparentnost a spolehlivost elektronických transakcí v kontextu národní digitální transformace.

Oběžník je důležitým právním základem pro standardizaci procesů technického auditu, zajišťuje, aby systémy a organizace poskytující a používající elektronické podpisy dodržovaly technické normy a informační bezpečnost, a přispívá k posílení důvěry lidí, podniků a řídících agentur v prostředí digitálních transakcí.

Dle předpisů se tento oběžník vztahuje na organizace a jednotlivce, kteří se účastní technických auditů informačních systémů, procesů pro poskytování služeb zabezpečeného elektronického podpisu, certifikátů zabezpečeného elektronického podpisu, digitálních podpisů, certifikátů digitálního podpisu a dalších důvěryhodných služeb nebo se s nimi účastní.

Zejména agentury a organizace, které vytvářejí a používají zabezpečené elektronické podpisy, se vyzývají, aby proaktivně prováděly technické audity za účelem samohodnocení souladu a bezpečnosti svých systémů a procesů poskytování služeb. Jedná se o důležitý krok, který demonstruje ducha proaktivní prevence kybernetických rizik namísto pouhého řešení incidentů v případě, že k nim dojde.

Důvěryhodní poskytovatelé služeb jsou povinni provádět technické audity každé dva roky, aby zajistili, že systémy a procesy poskytování služeb jsou udržovány v bezpečném a stabilním stavu a splňují technické požadavky podle národních norem.

Agentury a organizace, které vytvářejí a používají zabezpečené elektronické podpisy a certifikáty zabezpečeného elektronického podpisu, se vyzývají k proaktivnímu provádění technických auditů.

Podle oběžníku je základem pro posouzení technického auditu specifické požadavky na informační systémy a procesy poskytování služeb uvedené v technických předpisech, technických normách a technických požadavcích platných pro elektronické podpisy, elektronické certifikáty a důvěryhodné služby.

Činnosti technického auditu se provádějí ve dvou hlavních fázích: Vyhodnocení informací a dokumentů během plánovacího procesu a samotné vyhodnocení v auditované organizaci. Veškerý obsah musí být objektivní, transparentní a v souladu s předem dohodnutým plánem a rozsahem.

Maximální doba trvání auditu je 6 měsíců a v případě potřeby může být prodloužena až o 45 dnů za účelem provedení nápravných opatření. Po dokončení auditu, na základě výsledků hodnocení a případných nápravných opatření, auditní organizace zváží vydání certifikátu se zprávou z technického auditu auditované organizaci. Pokud nejsou požadavky splněny, musí auditní organizace písemně informovat s uvedením důvodů a přiložením zprávy z technického auditu.

Oběžník rovněž podrobně uvádí povinný obsah zprávy z technického auditu, včetně: obecných informací o auditu, doby provedení, metody hodnocení, výsledků analýzy rizik informační bezpečnosti, výsledků testování systému, technických doporučení a podkladů pro rozhodnutí o certifikaci.

Důvěryhodní poskytovatelé služeb musí zasílat zprávy o technickém auditu Ministerstvu vědy a technologií prostřednictvím Národního centra pro elektronické ověřování (NEAC), které je ústředním bodem pro syntézu, monitorování a poskytování služeb státní správě.

Pravidelné podávání zpráv nejen pomáhá posoudit provozní stav důvěryhodných poskytovatelů služeb, ale také vytváří jednotnou databázi pro tvorbu politik, řízení rizik a podporuje státní orgány při zlepšování kvality a bezpečnosti národní infrastruktury digitálních transakcí.

Oběžník stanoví, že organizace provádějící technický audit jsou odpovědné za výkon svých práv a povinností v souladu s ustanoveními zákona o technických normách a předpisech; za zajištění nezávislosti, objektivity a plného dodržování postupů technického auditu v souladu s předpisy o kvalitě produktů a zboží a bezpečnosti síťových informací.

Národní výbor pro normy, metrologii a kvalitu v rámci Ministerstva vědy a technologie je ústředním bodem pro příjem a posuzování registračních dokumentací pro určení organizací pro technický audit a jejich předkládání ministrovi vědy a technologie k rozhodnutí o určení kvalifikovaných organizací v souladu se zákonem o normách a kvalitě.

Národní centrum pro elektronické ověřování je mezitím odpovědné za přijímání a syntézu zpráv z technických auditů od auditovaných organizací a pravidelně podává zprávy ministrovi vědy a technologií, aby sloužilo státnímu řízení poskytování spolehlivých služeb.

Vydání oběžníku o technickém auditu elektronických podpisů a důvěryhodných služeb je považováno za důležitý krok k dokončení národního právního koridoru v oblasti informační bezpečnosti, elektronického ověřování a digitální transformace.

Oběžník přispívá ke standardizaci systému nezávislého hodnocení, posílení kontroly rizik, zlepšení technologické autonomie a vytvoření digitální důvěry pro uživatele v procesu transakcí, podepisování a výměny elektronických dat.

Oběžník nabývá účinnosti 1. ledna 2026 a představuje nový krok vpřed v technické správě a zajištění bezpečnosti a spolehlivosti národní infrastruktury elektronického podpisu směřující k cíli budování bezpečné, transparentní a udržitelně rozvinuté digitální vlády, digitální ekonomiky a digitální společnosti.

Centrum pro vědeckotechnickou komunikaci

Zdroj: https://mst.gov.vn/ban-hanh-quy-dinh-kiem-toan-ky-thuat-doi-voi-chu-ky-dien-tu-va-dich-vu-tin-cay-bao-dam-an-toan-nang-cao-niem-tin-trong-khong-gian-so-197251015202125722.htm