Author: gkrajcovicova
Last saved by: MFSR

Vyhodnotenie pripomienkového konania

Spôsob pripomienkového konania:	bežný postup na pripomienkové konanie (16. apríla 2008 – 30. apríla 2008)
Zoznam oslovených subjektov:	
1.	Kancelária podpredsedu vlády SR pre vedomostnú spoločnosť, európske záležitosti, ľudské práva a menšiny
2.	Ministerstvo zahraničných vecí SR
3.	Ministerstvo vnútra SR
4.	Ministerstvo hospodárstva SR
5.	Ministerstvo dopravy, pôšt a telekomunikácií SR
6.	Ministerstvo kultúry SR
7.	Ministerstvo obrany SR
8.	Ministerstvo školstva SR
9.	Ministerstvo zdravotníctva SR
10.	Ministerstvo výstavby a regionálneho rozvoja SR
11.	Ministerstvo spravodlivosti SR
12.	Ministerstvo práce sociálnych vecí a rodiny SR
13.	Ministerstvo pôdohospodárstva SR

14.	Ministerstvo životného prostredia SR
15.	Úrad vlády SR
16.	Odbor vládnej agendy Úradu vlády SR
17.	Splnomocnenec vlády SR pre informačnú spoločnosť
18.	Úrad pre normalizáciu, metrológiu a skúšobníctvo SR
19.	Štatistický úrad SR
20.	Predseda Úradu na ochranu osobných údajov
21.	Riaditeľ národného bezpečnostného úradu
22.	Riaditeľ Slovenskej informačnej služby
23.	Slovenská banková asociácia

Počet oslovených subjektov:					23
Zaslali do stanoveného termínu:					19
Zaslali po termíne:					  0
Vôbec nezaslali:					  4

Subjekty, ktoré nemali pripomienky:	Splnomocnenec vlády SR pre informatizáciu, MVRR SR, SBA, Sociálna poisťovňa,
Zoznam subjektov, ktoré mali zásadné
pripomienky:					ÚV SR, MŠ SR, MDPT SR, MO SR, NBÚ, SIS,

Počet vznesených pripomienok/z toho počet zásadných: 	77/24

Počet zásadných pripomienok akceptovaných / neakceptovaných	  6/18

Počet obyčajných akceptovaných (A + Č ) /neakceptovaných :			38/15

Zásadná pripomienka povinne pripomienkujúceho subjektu,
ktorá bola na rozporovom konaní vysvetlená, dohodnutá  resp.	
bola zo strany jej predkladateľa stiahnutá (S = stiahnutá):			     18

Pripomienka ktorá má odporúčajúci charakter:					       4

Rozporové konania (zásadné pripomienky)	riešené z:			MDPT SR, MŠ SR, MO SR, NBÚ, SIS

Materiál sa na rokovanie vlády predkladá bez rozporov.
Subjekt | Pripomienka | Typ | Vyh. | Spôsob vyhodnotenia
KPVVS | 1.	Navrhujeme zmeniť v bode 4.3.3 formuláciu „Financovanie úloh bude riešené“ na „Financovanie predpokladá riešenie ...“ | O | A | Doplnené
Splnomocnenec vlády SR pre informatizáciu | Bez pripomienok | | |
MZV SR | 1.	V materiály navrhujeme upraviť abreviáciu spojenia "informačné a komunikačné štruktúry" IKI na: "IKS" alebo použiť jej anglickú verziu "ICI". | O | N | Skratka IKI – znamená:  „informačná a komunikačná infraštruktúra“ (pozri v uvedených skratkách)

MV SR

1.	Predložený dokument NSIB vhodným spôsobom vymedzuje základný rámec informačnej bezpečnosti Slovenskej republiky, s možnosťou jeho rozšírenia v špecifických oblastiach kritickej infraštruktúry rezortov obrany, vnútra, spravodajské služby a iné.

2.	Medzi špecifické oblasti kritickej infraštuktúry považujeme oblasť informačnej bezpečnosti a kompetencie Národného bezpečnostného úradu v pôsobnosti oblasti ochrany utajovaných skutočností a elektronického podpisu. V odseku 2.4 dokumentu NSIB sa určitým spôsobom spochybňuje preferencia historickej koncepcie dvojakej oddelenej informačnej bezpečnosti – bezpečnosti pre klasifikovanú informáciu a bezpečnosti pre neklasifikovanú informáciu, čo z nášho pohľadu nepovažujeme za komplikáciu v prístupe k ochrane celého digitálneho priestoru SR. Treba si uvedomiť, že bezpečnosti klasifikovaných informácií sa už v historickej minulosti kládol zvýšený záujem, bola preferovaná ich ochrana utajením (kódovaním, neskôr šifrovaním), čo nie je v rozpore s NSIB, ale naopak, dajú sa vhodne využiť získané teoretické, prevádzkové a praktické skúsenosti z oblasti kryptografie a elektronického podpisu, tak ako sú zadefinované aj v pripravovanej Koncepcii šifrovej ochrany informácií Slovenskej republiky na roky 2008 až 2013. Doporučujeme uvedený návrh Koncepcie č. p.: IBEP-D-49-4/2008-ŠOI do dokumentu NSIB premietnuť, zapracovať základné postuláty štátnej doktríny pre ochranu informácií v štátnom záujme s cieľom zabezpečiť bezpečnosť národného kyberpriestoru.

O

Jedná sa len o pracovný materiál, ktorý je utajovaný. V čase tvorby materiálu NSBI neboli MF SR poskytnuté žiadne informácie o pripravovanom materiáli „Koncepcia šifrovanej ochrany informácií v SR“ zo strany jeho tvorcu.

MK SR

1.	V úlohe B.2 Návrh Akčného plánu na roky 2008 až 2013 navrhujeme zmeniť rok 2008 na rok 2009 vzhľadom na termín predloženia materiálu na rokovanie vlády SR (do 30.11.2008)
 
2.	Odporúčame zverejňovať na internetovej stránke www.informatizacia.sk informácie, resp. záznamy zo zasadnutí Komisie pre informačnú bezpečnosť pri MF SR.

3.	Jazykové pripomienky

O

O

A

A

Upravené

MO SR

1.	MO SR navrhuje stratégiu predkladať na rokovanie vlády SR po schválení Bezpečnostnou radou SR.

Zdôvodnenie: MF SR predkladá stratégiu na rokovanie vlády SR ako iniciatívny materiál, pričom stratégia obsahuje ciele, priority a najdôležitejšie problémy Slovenskej republiky v oblasti informačnej bezpečnosti s východiskami pre jej ďalší rozvoj a hlavne kompetenčným rozložením právomocí na národnej úrovni. MO SR považuje stanovisko BR SR k predkladanej stratégii vo väzbe na určené kompetencie v oblasti riadenia kybernetickej ochrany na národnej úrovni za kľúčové.

Z

N(S)

Pripomienka bola po prerokovaní siahnutá.

MZ SR

1.	na str. 7 materiálu v kapitole 3.3.1 do piatej vety treba doplniť „MZ SR“, ktoré tak ako už uvedené štátne orgány tiež zodpovedá za špecifické oblasti informačnej bezpečnosti v oblasti zdravotníctva. Túto skutočnosť potvrdzuje aj dikcia uvedená v ods. 3.2.5 v tom, že zdravotníctvo spadá do kritickej infraštruktúry štátu, 
2.	za str. 12 materiálu v časti „Použité skratky v texte“ treba pri skratke MZ SR opraviť, že táto skratka neznamená Ministerstvo zahraničných vecí SR, ale Ministerstvo zdravotníctva SR.

O

O

A

A

Doplnené

Upravené

MVRR SR | Bez pripomienok | | |

MPSVR SR

-	odporúčame  na strane 2,  bod 2.1,  prvý odsek, v  druhej vete v zátvorke za slovo   „zdravotníctvo“  doplniť slová „sociálne zabezpečenie“,
-	odporúčame na strane 7,  bod 3.2.5  v druhej vete za slovo „ zdravotníctve“ doplniť slová  „sociálnom zabezpečení“,
-	požadujeme odstrániť preklepy v texte (napr. str. 4, tretí riadok)

O

A

Doplnené

MP SR

1.	Až v závere materiálu je uvedené, že zriadená firma CSIT.SK /zriaďovateľ MF SR/ určená na riešenie bezpečnostných incidentov /BI/ bude pôsobiť na základe komerčných zmluvných vzťahov „dodávateľ - odberateľ“. Z materiálu nie je jasné či rezorty budú mať povinnosť uzavrieť s CSIRT.SK zmluvný vzťah a tým potrebu vytvárať na tento účel  finančné krytie alebo budú mať možnosť riešiť IB pomocou svojich vlastných bezpečnostných odborníkov.

2.	Predpoklad zamestnávania študentov VŠ v organizácii CSIRT.SK nie je správny. Úlohou študenta je úspešne ukončiť semester, študent spravidla nemá odborné skúsenosti v IB a nie je použiteľný kontinuálne, nemá ešte vyzretú osobnosť, čo môže spôsobiť problémy pri kontakte s dôvernými údajmi klienta.

3.	Tabuľka použitých skratiek je zmätočná, skratky nie sú zoradené abecedne. Vyskytuje sa duplicita skratiek, napr. CERT.

O

O

O

A

CSIRT.SK nebude firmou pôsobiacou na základe komerčných zmluvných vzťahov. Takéto tvrdenie v materiáli nie je nikde uvedené. Rezorty v súčasnosti nedisponujú dostatkom vlastných odborníkov v oblasti IB na to, aby mohli účinne riešiť IB.

Ide o subjektívny názor predkladateľa  vznesenej pripomienky. Študenti nebudú prichádzať do styku s dôvernými údajmi klientov.

Upravené v zmysle pripomienky.

MŽP SR

1.	V bode 2.1 -opraviť text, alebo skratku „IKI“- text: informačnú a komunikačnú štruktúru na informačnú a komunikačnú infraštruktúru:
-	vynechať vetu: “Návrat k tradičným metódam spracovania informácií nie je z kapacitných dôvodov možný“ .Ide o konštatovanie bez súvislostí k téme materiálu.

-	v treťom odseku výraz „bezporuchový“ nahradiť slovom „spoľahlivý“, poruchy sú náhodne sa vyskytujúce javy, nedajú sa predvídať a nemožno im zabrániť a ani ich úplne  eliminovať.

2.	V bode 2.2-upraviť nadpis nasledovne: “Informačná bezpečnosť z pohľadu EÚ a nadnárodných organizácií“. V texte uvedené organizácie: OSN, G8, OECD, ISO nie sú organizáciami EÚ.

-	úvodný odsek odporúčame prepracovať. Prvá a druhá veta vyjadrujú dvojakým spôsobom ten istý problém.

3.	V bode 2.3 doplniť legislatívne dokumenty o Výnos MDPT SR zo 14.júla 2006 č.1706 M-2006 o štandardoch pre IS verejnej správy kde piata časť definuje bezpečnostné štandardy. Ide o základný v súčasnosti platný dokument v súvislosti s bezpečnosťou IS verejnej správy. Uvedený výnos je spomenutý až v bode 4.2 kde sa v rámcovom návrhu plnenia úloh v roku 2008 hovorí o prepracovaní piatej časti “Bezpečnostné štandardy“ 

4.	Bod 2.4 Oblasti informačnej bezpečnosti a kompetencie:
-	v druhom odseku na konci kurzívou písanej vety o existujúcich platných bezpečnostných štandardoch pre informačné systémy verejnej správy uviesť vyššie spomenutý Výnos MDPT SR,
-	odporúčame  bod doplniť o špecifiká a legislatívu pokiaľ ide o informačné systémy špecializovanej štátnej správy ktoré spracovávajú a uchovávajú dáta tajného a prísne tajného charakteru, alebo ak nie je úlohou  stratégie riešiť túto oblasť uviesť explicitne túto skutočnosť v materiáli.

5.	V bode 3.2-rozpísať prvýkrát použitú skratku NIKI a zaradiť ju aj do prílohy 6 Použité skratky v texte.

6.	V bode 3.2.1-v prvom odseku v štvrtej vete vynechať slovo „preto“, pretože posledná časť vety sa vzťahuje na predložku „na“ v prvej časti vety.

-	v druhom odseku opraviť text druhej vety nasledovne:
Normou najvyššej právnej sily vzťahujúcou sa na ochranu ľudských práv pri zaisťovaní digitálneho priestoru je Listina ľudských práv a slobôd, ktorá občanom priznáva právo na nedotknuteľnosť osoby a jej súkromia...
                        
-	v druhom odseku písm. b) odporúčame vynechať, pretože problematiku rieši zákon NR SR č.428/2002 Z. z. o ochrane osobných údajov.

7.	V bode3.2.2- upraviť text druhého odseku nasledovne: Z hľadiska možných hrozieb je preto na zaistenie ochrany digitálneho prístupu nevyhnutné dosiahnuť potrebnú úroveň....atď.

8.	Bod 3.2.4 Zefektívnenie riadenia informačnej bezpečnosti, odporúčame doplniť o písmeno g) s textom: povinnosť vypracovať pre každý informačný systém verejnej správy prevádzkový poriadok zohľadňujúci zásady predošlých bodov.

9.	V bode 3.3.2-rozpísať skratku CSIRT.SK/je to skratka pomenovania národného strediska v angličtine, v texte je slovenský preklad/

10.	Na www stránke MF SR v obsahu materiálu je uvedených len 5 bodov/bez príloh/,v predkladacej správe sú súčasťou materiálu  aj prílohy .

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

A

A

A

N

N

N

N

A

A

A

N

A

N

N

Prvá veta vyjadruje v stručnosti vznik problému, pričom 2. veta hovorí o nutnosti jeho riešenia. Z uvedeného vyplýva, že nejde o ten istý problém.

Pokračovanie bodu 2.3 je v prílohe č.1, kde je uvedený aj Výnos č. 1706 M-2006.

Ide o citáciu zo štatútu komisie pre IB, ktorá navrhované doplnenie neobsahuje.

Bod 2.4 obsahuje oblasti do ktorých uvedené IS patria (sú ich podmnožinou), vrátane legislatívy.

Zaradené do skratiek

Zákon však nerieši konkrétnosť bodu b)

Formulácia upravená

Ide o zefektívnenie riadenia zo strany manažmentu a nie o ukladanie povinností prevádzkovateľom jednotlivých IS. Ukaldanie konkrétnych úloh prevádzkovateľom IS nie je predmetom tohto koncepčného materiálu.

Je obsahom použitých skratiek uvedených v prílohe.

ÚV SR

Kapitola 2.4 – Oblasti informačnej bezpečnosti a kompetencie
1)	Sme toho názoru, ak inštitúcia zodpovedná za informatizaciu spoločnosti vydáva štandardy, ktoré majú definovať uvedenú oblasť, mala by vzniknúť vo vzťahu k rezortom (povinným osobám) i inštitúcia, ktorá bude vykonávať kontrolu dodržovania štandardov (ideálne iná inštitúcia, nie totožná). V súvislosti s funkčnými komunikačnými a technologickými infraštruktúrami, kde je oblasť informačnej bezpečnosti záležitosťou každodenného života, by bola úloha kontroly zachovaná u správcu siete, prip. IS, vo  vzťahu k jej partikulárnym uzlom (iným inštitúciám). (Str. 4- odsek Normy a štandardy).

Kapitola 2.1 – Význam informačnej spoločnosti
2)	Navrhujeme doplniť znenie v kurzíve: ...prostredníctvom ktorej sa v súčasnosti vykonávajú operácie prakticky vo všetkých oblastiach života spoločnosti (vlastný výkon verejnej správy, doprava, finančníctvo a bankovníctvo, telekomunikácie, zdravotníctvo, obrana, bezpečnosť, vzdelávanie, kultúra a pod.). (Str.2- odsek prvý).

3)	Odporúčame doplniť znenie v kurzíve: ... Z hľadiska používateľov sú pri spracovaní informácie najdôležitejšie tieto faktory: účel a obsah informácií, presnosť, aktuálnosť, autenticita, prístupnosť, usporiadanie, integrita a kvalita informácií. (str.2, odsek druhý).

4)	Žiadame upraviť vetu nasledovne – „Bezpečnostné aspekty sa môžu vyskytnúť aj v štandardoch vydávaných inými ústrednými orgánmi verejnej správy, napríklad MZ SR pre vedenie zdravotnej dokumentácie, ÚV SR pre správu a prevádzku nadrezortnej siete GOVNET“. (Str.4-odsek Normy a štandardy).

Z

O

O

O

C

A

A

N

V súčasnosti kontrola dodržiavania štandardov v zmysle platnej legislatívy patrí MF SR. Vzhľadom na rozsah nie je vylúčené, že touto činnosťou v budúcnosti nebudú poverené aj iné subjekty. Doplnená formulácia do časti „3.4.2 Koordinácia štandardizačnej činnosti.“ v poslednej vete. Pripomienka nemá charakter zásadnej pripomienky.

Doplnené

Doplnené

Štandardy sa vydávajú vykonávacím právnym predpisom. Súčasná legislatíva neumožňuje ÚV SR, ako inštitúcii, vydávať štandardy.

ÚV SR (OVA) | Gramatické a štylistické pripomienky. | O | A | Zapracované podľa pripomienok.

ŠU SR

1.	V prílohe č. 1: odporúčame doplniť zákon č. 540/2001 Z. z. o štátnej štatistike v znení neskorších predpisov.

2.	V prílohe č. 2 v bode 2.12.2 Česká republika – Organizačné zabezpečenie odporúčame skratku „MV SR“ nahradiť skratkou “MV ČR“.

3.	V prílohe č. 3 v bode 3.2 Všeobecný rámec NIKI a KIŠ písm. b) odporúčame preštylizovať prvú vetu.

4.	Odporúčame upraviť jednotné číslovanie tabuliek v celom materiáli.

5.	Odporúčame uvádzať odkazy na poznámky pod čiarou a poznámky pod čiarou k príslušným odkazom v súlade s Legislatívnymi pravidlami vlády SR. Odporúčame poznámky uvádzať v slovenčine a zvážiť vypustenie niektorých poznámok.

O

O

O

O

O

A

A

A

A

A

MŠ SR

1.	Odporúčame v  návrhu uznesenia  bod B.5. zrušiť. Návrh systému vzdelávania v oblasti informačnej bezpečnosti  s vypracovaním harmonogramu je potrebné  prerokovať so zástupcami Ministerstva školstva SR. Odporúčame najprv vypracovať analýzu kvalifikačných potrieb SR. Na základe výsledkov analýzy vypracovať návrh systému vzdelávania.

2.	Odporúčame do tabuľky na str. 11 doplniť termín v bode Návrh systému vzdelávania až po rokovaní s Ministerstvom školstva SR vo väzbe na zásadnú pripomienku č. 1. Navrhovaný termín 31.10.2008 žiadame vypustiť.

3.	Odporúčame v  návrhu uznesenia  bod B.1. dať do súladu termín vytvorenia CSIRT.SK až po výsledkoch analýzy stavu informačnej bezpečnosti v SR (viď. Rámcový odhad nákladov a časovej náročnosti rok 2008 kap. 4.3.1) a po prijatí legislatívneho zámeru zákona o informačnej bezpečnosti verejnej správy v SR.

4.	Odporúčame v časti textu 4.3.1 tabuľku Rámcového odhadu nákladov a časovej náročnosti na rok 2008 usporiadať nasledovne: 1. Analýza stavu IB v SR, 2. Prehľad stavu štandardizačnej činnosti (stav, normy), 3. Akčný plán k stratégii, 4. Návrh CSIRT. SK, 5. Legislatívny zámer zákona, 6. Návrh systému vzdelávania, 7. Terminologický slovník

5.	Odporúčame do zoznamu použitých skratiek uviesť skratky NIKI, KIŠ a ďalšie.

Z

Z

Z

O

O

N(S)

N(S)

N(S)

A

A

Podpredseda vlády a minister školstva z návrhu úlohy B. 5 uznesenia vypustený. Úloha bude riešená v logickom slede, kde po analýze nasleduje návrh.

Ministerstvo školstva bolo v zmysle pripomienky č. 1 z návrhu uznesenia vypustené.

V uvedenom termíne nejde o vytvorenie CSIRT.SK ale o predloženie návrhu na jeho vytvorenie. Úloha 3.c.1 bola súčasťou Akčného plánu informatizácie spoločnosti v roku 2004 a v súčasnej dobe je už podrobne rozpracovaná. Plnenie tejto prioritnej úlohy je zároveň iniciované Európskou agentúrou pre informačnú bezpečnosť ENISA.

Sled úloh usporiadaný podľa navrhovaných termínov

MDPT SR

1.	Celý materiál nemá charakter strategického dokumentu. V podstate je prípravným materiálom, ktorý uvádza východiská a definuje úlohy na vytvorenie stratégie na zavedenie modernej informačnej bezpečnosti. Po organizačnej stránke materiál nemá jasne oddelené a popísané časti popisujúce napr. súčasný stav a pripravovaný nový stav. Chýbajú jasne definované princípy nového prístupu. Tento materiál v súčasnej podobe neodporúčame prijať pod súčasným názvom. Odporúčame jeho zásadné prepracovanie a doplnenie.

2.	V materiáli na druhej strane v poznámke č. 1sa uvádza: „pojem digitálny priestor zodpovedá pojmu „cyberspace“, pre ktorý sa však nehodí doslovný slovenský preklad (kybernetický priestor), pretože tento má užší význam“, s ohľadom na citáciu tejto poznámky nie je jasné, prečo sa v prílohe 5 nachádzajú definície dvoch osobitných pojmov: „cyberspace“, „digitálny priestor“, ak podľa tejto poznámky ide o ekvivalentné pojmy. Navrhujeme zosúladiť.

3.	Na strane 3 v bode 2.1 v texte „informačnú a komunikačnú štruktúru (ďalej len „IKI“),“, zrejme vypadlo  „infra“. Správne má byť „informačnú a komunikačnú infraštruktúru (ďalej len „IKI“),“.

4.	Na strane 2 a 3 pod nadpisom kapitoly: „2.2 Informačná bezpečnosť z pohľadu EÚ“ sa v texte uvádza: „Slovenská republika sa oficiálne prihlásila k iniciatíve eEurope+ uznesením vlády SR č. 522 z 13. júna 2001, ktorým bol schválený základný dokument v oblasti informatizácie spoločnosti: „Politika informatizácie spoločnosti v  SR“. Na základe uvedeného uznesenia vlády SR bol predložený aj „Návrh Stratégie informatizácie spoločnosti v podmienkach SR a Akčného plánu“, ktorý bol schválený vládou SR uznesením vlády SR č. 43 zo dňa  21. januára 2004.“, s ohľadom na nadpis by sa nemala popisovať situácia v SR, pretože obsah kapitoly by mal plne korešpondovať s nadpisom kapitoly. Odporúčame upraviť alebo vypustiť. V opačnom prípade to zhoršuje celkovú orientáciu v dokumente. 

5.	Na strane  3 v bode 2.3 k textu „V pôsobnosti tejto komisie je  „odborná príprava návrhov a stanovísk pre oblasť informačnej bezpečnosti“, v rámci čoho komisia o. i.  „navrhuje zavedenie bezpečnostných štandardov, zmenu alebo zrušenie existujúcich platných bezpečnostných štandardov pre informačné systémy verejnej správy.“, na lepšie pochopenie odporúčame doplniť internetovú linku na komisiu, resp. doteraz zverejnené práce.

6.	Na strane 4 v texte „V záujme ochrany digitálneho priestoru SR bude preto treba zvážiť, ako zosúladiť procesy riadenia na ochranu klasifikovanej informácie (utajovaných skutočností) a informačnú bezpečnosť celej celého digitálneho priestoru SR.“, vypustiť slovo „celej“. Text je nejasne formulovaný. Kto a kedy to zváži? Odporúčame spresniť po konzultácii s NBÚ SR, ktorý má v tejto problematike kompetencie od orgánov SR.

7.	Všeobecne ku kapitole 2: Za účelom lepšieho pochopenia materiálu by sa mala táto kapitola obmedziť len na popis existujúceho stavu a neuvádzať žiadne návrhy riešenia. Tie by sa mali uvádzať ďalej, zreteľne, jednoznačne a tak, aby tvorili podstatu tohto strategického dokumentu.

8.	Na strane 4 v bode 3 v texte: „Hlavnou úlohou v oblasti informačnej bezpečnosti  je vytvoriť jednotnú platformu budovania informačnej spoločnosti postavenú na právnych základoch so zabezpečením primeranej ochrany a dôveryhodnosti digitálneho priestoru Slovenska.“, text je príliš všeobecný. Nie je jasné ako sa má vytvoriť a čo je podstatou platformy. Autor materiálu by ho mal doplniť aj o požiadavku na zmenu nevyhovujúcej súčasnej organizačnej štruktúry v oblasti informačnej bezpečnosti.

9.	Na strane 6 v bode 3.2 v texte: „NSIB definuje 7 základných strategických priorít,...“ medzi priority odporúčame zaradiť aj požiadavku na vytvorenie vhodnej národnej organizačnej infraštruktúry.

10.	Na strane 9 v bode 3.3.2: „Podrobnejší postup riešenia informačnej bezpečnosti v SR bude obsahom Akčného plánu k NSIB v SR, ktorý bude vypracovaný do konca roku 2008.“, súčasťou NSIB by mala byť aj konkrétna predstava vytvorenia NÚIB SR a rámcové definovanie foriem budúcich aktivít tejto inštitúcie. Celý zámer uvedený v tomto bode zosúladiť s kompetenciami, zámermi a úlohami NBÚ SR.

11.	Tamtiež v texte: „Ďalším krokom je vytvorenie...“, nahradiť vhodnejším výrazom „Ďalším krokom bude vytvorenie...“ a to v celom materiáli.

12.	Na strane 9 v bode 3.4.1 „CSIRT.SK“: Nie je logicky jasná väzba na kapitolu 3.2 – Strategické priority, taktiež súčasťou NSIB by mala byť aj konkrétna predstava vytvorenia CSIRT.SK a jej väzby na NÚIB.

13.	Tamtiež v texte: „.SK uvažuje s využitím kapacít pracovníkov iných organizácií, resp. vysokoškolských študentov.“, odporúčame tento text vypustiť, nepatria do strategického dokumentu. 

14.	Na strane 9 v bode 4.1 v texte: „uvedených v časti 3.4 Kľúčové úlohy, vypracovaním“, je nesúlad referencie na bod 3.4 s vlastným názvom kapitoly.  Odporúčame zosúladiť.

15.	Tamtiež v texte „vypracovaním Akčného plánu SR v informačnej bezpečnosti na roky 2008-2013 a jeho schválení vládou SR.“, s ohľadom na predkladaný obsah NSIB, ktorý je dosť abstraktný, odporúčame, aby sa nevytvárali dva osobitné dokumenty (NSIB a Akčný plán), ale vytvoriť jeden spoločný - konkrétnejší.

16.	Na strane 10. v bode 4.2 v texte: „Vypracovať Návrh organizačného, personálneho a materiálno-technického a finančného zabezpečenia na vytvorenie špecializovanej jednotky (CSIRT.SK) pre na riešenie počítačových incidentov v Slovenskej republike. CSIRT.SK bude inštitúciou, ktorá bude:“, vypustiť z textu „...(CSIRT.SK) pre na riešenie...“ predložku „na“, CSIRT.SK by sa nemal zriadiť izolovane, ale ako špecializovaný útvar v rámci budúceho NÚIB. Odporúčame túto skutočnosť do materiálu vhodne zapracovať.

17.	Na strane 12 v bode 5 v texte: „...zneužitiu informácií, alebo ohrozenie...“, odporúčame opraviť na „...zneužitia informácií, alebo ohrozenia...“, a v texte „...Hodnotenie dopadov informačnej...“ odporúčame opraviť na„...Hodnotenie vplyvov informačnej...“

k prílohe č.3: 
18.	Na strane 1 v bode 3.2 v texte: „„Slovensko podobne ako iné krajiny v súčasnosti prechádza informatizáciou spoločnosti.“, nejasná formulácia, odporúčame vypustiť.

19.	Na strane 8 v bode 3.9 v poslednom odseku: „V SR najmä chýba“, v hlavnom materiáli sa zdôrazňovalo, že treba zriadiť NÚIB. Táto skutočnosť by mala byť uvedená z dôvodu konzistencie aj na tomto mieste. Odporúčame doplniť o ďalšiu odrážku: „Národný úrad pre informačnú bezpečnosť.“

20.	Tamtiež: Verejná správa a podniky potrebujú aj praktické informácie, ako konkrétne realizovať informačnú bezpečnosť. Po vzore iných krajín (napr. Nemecka, Rakúska) by im pomohlo, keby sa vypracovali praktické dokumenty na zabezpečenie IB. Odporúčame doplniť o ďalšiu odrážku: „príručka informačnej bezpečnosti.“

k prílohe č.5:
21.	Všeobecne k prílohe: Niektoré pojmy definované v tejto kapitole obsahujú voľné (približné) definície, čo môže predstavovať problém v budúcnosti. Odporúčame doplniť vysvetlenie, z čoho sa vychádzalo pri definovaní uvádzaných pojmov.

22.	Na strane 3 v texte: „údaje (data) forma zápisu informácie. Informácia tvorí obsah údajov.“, nepresné a nezrozumiteľné, odporúčame spresniť alebo vypustiť.

Z

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

O

N(S)

A

A

A

A

C

N

N

N

N

A

A

A

C

C

A

A

A

N

N

A

Materiál bol prerokovaný a vysvetlený.

Zosúladené úpravou poznámky pod čiarou a doplnením definície kybernetického priestoru na str. v časti 2.1 ods. 1.

Doplnené

Text presunutý do časti 2.3 Legislatíva a vzťah k iným dokumentom.

Doplnená adresa stránky zverejňovania dokumentov o IB.

Kompetencie sú určené v prvom rade kompetenčným zákonom a ďalšími právnymi normami.

Kapitola neuvádza žiadne návrhy riešenia, iba popisuje súčasný stav.

Jedná o všeobecnú úvodnú definíciu. Návrh novej možnej organizačnej štruktúry je naznačený v kapitole 3.3 Štruktúra riadenia IB. Požiadavka na zmenu nie je predmetom tohto materiálu.

Organizačná zložka je predmetom priorít 3 a 4, resp. aj ďalších. Nie je dôvod ju preto uvádzať zvlášť.

Ide o návrh „možného“ nového usporiadania, v horizonte min. 5 rokov. V súčasnej dobe nie je dôvod riešiť konkrétnosti vytvorenia a náplne novej inštitúcie. Zámer vychádza z kompetencií stanovených súčasnou legislatívou.

Vysvetlenie: Strategické priority sú širšie koncipované a obsahujú množstvo konkrétnych úloh. Aktuálna priorita (CSIRT.SK) je konkrétna úloha, ktorá je podmnožinou strategických priorít.

Text upravený

Zosúladené referencie.

Stratégia IB predstavuje základný dokument IB v SR, ktorý v SR absentuje. Z časového hľadiska budú niektoré úlohy presunuté do celkového Akčného plánu v roku 2009, nepovažujeme však za vhodné odkladať všetky riešenie úloh toho dokumentu až na rok 2009.

Otázka zriaďovania CSIRT.SK bude predmetom iného materiálu.

Opravené

Vypustené

Bod doplnený

Príloha obsahuje popis súčasného stavu IB v SR. Vytváranie metodických materiálov je stručne zachytené v nosnej časti materiálu v časti 3.2. 

Nie je uvedené konkrétne o ktoré pojmy sa jedná.

Preformulované

NBÚ

1.	Navrhujeme návrh stiahnuť a v spolupráci so zainteresovanými orgánmi (MF SR, MV SR, MH SR, MDPT SR, MO SR, NBÚ a SIS) vypracovať návrh nový.

Zdôvodnenie:
Návrh stratégie vychádza z neúplných poznatkov (absencia riešení NATO, ktoré je v oblasti informačnej bezpečnosti naďalej, absencia už schválených uznesení vlády), na ich základe je vykonaná nedokonalá analýza stavu a navrhujú sa nekorektné riešenia.

2.	Vypustiť text na konci vety: „ako aj prvým krokom k riešeniu problematiky informačnej bezpečnosti na Slovensku“ z textu v Úvode „Správne vymedzenie pojmu informačnej bezpečnosti je dôležité z hľadiska vytvárania primárnych legislatívnych pravidiel v uvedenej oblasti, ako aj prvým krokom k riešeniu problematiky informačnej bezpečnosti na Slovensku.“

Zdôvodnenie:
Navrhovaný text predpokladá, že na Slovensku neexistuje informačná bezpečnosť, čo sa nezakladá na pravde. S takýmto náhľadom na stav informačnej bezpečnosti na Slovensku nie je možné súhlasiť.

3.	Text „Zavedením informačnej bezpečnosti v SR“  nahradiť textom „Prijatím opatrení, ktoré stratégia navrhuje“ v časti „Zavedením informačnej bezpečnosti v SR sa zároveň zvýši dôveryhodnosť elektronických služieb, elektronického obchodu, konkurencieschopnosť a vážnosť nášho štátu voči zahraničiu.“

Zdôvodnenie:
Navrhovaný text predpokladá, že na Slovensku neexistuje informačná bezpečnosť, čo sa nezakladá na pravde. S takýmto náhľadom na stav informačnej bezpečnosti na Slovensku nie je možné súhlasiť

4.	Vypustiť text „Vzhľadom na to, že zaistenie informačnej bezpečnosti si vyžaduje komplexný prístup, je treba definovať jej základnú úroveň s možnosťou rozšírenia v špecifických oblastiach (obrana, spravodajské služby a iné“

Zdôvodnenie:
Najvyšší stupeň informačnej bezpečnosti má oblasť utajovaných informácií. Tvrdenie „základná úroveň s možnosťou rozšírenia“  nie je prijateľná. Napr. ochrana pred NEV sa nedá doplniť ako dodatok k akejsi základnej informačnej bezpečnosti.

5.	Text „kompetenčné rozloženie právomocí“ vypustiť z časti „Obsahom stratégie sú východiská, kompetenčné rozloženie právomocí, návrh smerovania, priorít a krokov k dosiahnutiu stanoveného cieľa.“

Zdôvodnenie:
Kompetencie nemôžu byť určované týmto dokumentom. 

6.	Pojem „digitálny priestor“ nahradiť pojmom „kybernetický priestor“  v celom dokumente

Zdôvodnenie:
Bezpečnostná rada uznesením č. 218/2008 určila NBÚ ako národnú autoritu pre riadenie kybernetickej ochrany. Materiál predložený na rokovanie BR SR, ako aj terminológia NATO hovorí o „kybernetickom priestore“. Pojem „digitálny priestor“ je príliš široký a zahrňuje všetky zariadenia, ktoré pracujú s digitálnymi údajmi (teda aj digitálny teplomer).

7.	Celý uvedený text vypustiť z 2.3 Legislatíva a vzťah k iným dokumentom 
„Zákon č. 215/2004 Z. z. o ochrane utajovaných skutočností a o zmene a doplnení niektorých zákonov v znení neskorších predpisov“

Zdôvodnenie:
Stratégia práve zákon č. 215/2004 Z. z. do úvahy neberie.

8.	Vypustiť „NBÚ“ z výpočtu v texte „Predkladaný dokument je v súlade s kľúčovými relevantnými medzinárodnými  bezpečnostnými štandardami a normami a štandardami vydanými MF SR, NBÚ, MZ SR, ÚOOÚ SR a SÚTN.“

Zdôvodnenie:
Nie je to pravda. Stratégia nehovorí o obsahu žiadnych štandardov a ani pre oblasť OUS nemôže, keďže mnohé z nich utajované.

9.	Text „Vo vzťahu k utajovaným skutočnostiam a tej časti digitálneho priestoru SR, v ktorom sa nepracuje s klasifikovanou informáciou, sa uplatňuje historická koncepcia dvojakej, oddelenej informačnej bezpečnosti – bezpečnosti pre klasifikovanú informáciu a bezpečnosti pre neklasifikovanú informáciu, čo komplikuje jednotný prístup k ochrane celého digitálneho priestoru SR. V záujme ochrany digitálneho priestoru SR bude preto treba zvážiť, ako zosúladiť procesy riadenia na ochranu klasifikovanej informácie (utajovaných skutočností) a informačnú bezpečnosť celej celého digitálneho priestoru SR.“

 nahradiť textom „Vo vzťahu k utajovaným skutočnostiam a tej časti kybernetického priestoru SR, v ktorom sa nepracuje s klasifikovanou informáciou, sa uplatňuje dvojaký systém riadenia vyplývajúci z rozdielnej zodpovednosti za obe časti. Pre neutajovanú časť absentujú záväzné normy a štandardy, pre utajovanú časť sú veľmi striktné a jasne definované. Pre neutajovanú časť absentuje autorita, ktorá štandardy vydáva, pre utajovanú časť je to vždy NBÚ. Pre neutajovanú časť neexistujú v rámci medzinárodnej spolupráce záväzné štandardy, ktorých platnosť by vyplývala z medzinárodne záväzných dokumentov, pre utajovanú časť sú v rámci NATO a EÚ prijaté záväzné dokumenty, ktorých plnenie sa Slovenská republika zaviazala plniť. Voči medzinárodným organizáciám, či inštitúciám pre neutajovanú časť neexistuje národná autorita s výkonnými právomocami, pre utajovanú časť je to vždy NBÚ ako zodpovedná inštitúcia v tom ktorom štáte.

Zdôvodnenie:
Vyplýva zo samotného textu

10.	Za text „je zastúpené“ doplniť text „v pracovných skupinách NATO a EÚ,“ „Slovensko sa v rámci svojich možností zapája do medzinárodnej spolupráce v informačnej bezpečnosti; je zastúpené v pracovnej skupine pre informačnú bezpečnosť OECD, agentúre ENISA, združení  FESA a má prístup k pripravovaným informačno-bezpečnostným normám ISO.“

Zdôvodnenie:
Vynechané sú inštitúcie EÚ a NATO.

11.	Vypustiť text „Vytvorenie jednotnej metodiky pre bezpečnostnú kategorizáciu informácie a informačných a komunikačných systémov,“

Zdôvodnenie:
Dnes existuje kategorizácia informácií v SR na utajované a neutajované a v rámci utajovaných je kategorizácia jasná podľa stupňov utajenia.

12.	Do 3.2.5 Zaistenie dostatočnej ochrany štátnej IKI a IKI podporujúcej kritickú infraštruktúru štátu doplniť súvisiace informácie z Národného programu pre ochranu a obranu kritickej infraštruktúry v SR schváleného vládou 26.marca 2008.

Zdôvodnenie:
Návrh materiálu nereflektuje daný reálny stav.

13.	Text v Návrh nového možného usporiadania „Návrh novej štruktúry vychádza z existujúcej štruktúry riadenia „vláda - MF SR -  úrady so súčasnými kompetenciami ostatných štátnych orgánov v informačnej bezpečnosti“.“ vypustiť a nahradiť ho textom „V súčinnosti s ďalšími participujúcimi orgánmi (MF SR, MV SR, SIS, NBÚ, SÚTN, a pod.) bude nutné definovať nový návrh systému riadenia.„

Zdôvodnenie:
NBÚ nie je na rovnakej úrovni ako navrhované rezorty, keďže jeho zodpovednosť za US národné i US NATO a EÚ je iná (aj dovnútra štátu aj medzinárodne). Nie je možné akceptovať navrhované usporiadanie.

14.	„V záverečnej fáze organizačného zabezpečenia  sa odporúča vytvoriť národnú inštitúciu pre informačnú bezpečnosť.“ po texte „...pre informačnú bezpečnosť“ doplniť „neutajovanej časti NIKI“.

Zdôvodnenie:
Najvyšší stupeň ochrany majú UI a v rámci nich je na vrchole UI NATO. Z toho vyplýva, že NBÚ môže riadiť systémy s nižším stupňom ochrany, nemôže to však robiť MFSR zdola.

15.	Text v 3.4.1 CSIRT.SK „Uvedenú skutočnosť vnímajú aj medzinárodné organizácie zaoberajúce sa IT bezpečnosťou, ktoré zdôrazňovali fakt, že nemajú v prípade IT bezpečnostných incidentov medzinárodného charakteru v SR koho kontaktovať. Vzhľadom na nedostatok odborných kapacít v informačnej bezpečnosti sa v činnosti CSIRT.SK uvažuje s využitím kapacít pracovníkov iných organizácií, resp. vysokoškolských študentov.“ Vypustiť a nahradiť ho textom Uvedený text vypustiť a nahradiť ho textom: „Zásadným v tejto oblasti bolo uznesenie Bezpečnostnej rady SR č. 218/2008, ktoré určilo NBÚ ako národnú autoritu pre riadenie kybernetickej ochrany. V spolupráci s orgánmi NATO národné autority podnikajú kroky na zabránenie zneužívaniu NIKI ako na národnej, tak aj na medzinárodnej úrovni.

Zdôvodnenie: 
NATO po kybernetických útokoch na Estónsko prijalo rozhodnutia o budovaní kapacít na zabránenie zneužívania NIKI členských krajín na útoky voči NIKI iných členských krajín. NATO je v oblasti praktických opatrení i v oblasti prijímania štandardov a odporúčaní ďaleko pred aktivitami EÚ. NATO kladie dôraz na budovanie národných autorít s výkonnými právomocami, pričom v návrhu sa počíta s už prekonaným konceptom CSIRT, ktorý je postavený okrem vládnych organizácií i na univerzitných, či neziskových kapacitách.  Tento model bol zvolený i v ČR, pričom po necelom mesiaci fungovania (od 3.4. 2008) čelí kritike kvôli absencii právomocí.

16.	V časti 3.4.4 Medzinárodná spolupráca „Koordinačným orgánom pre oblasť medzinárodnej činnosti v oblasti informačnej bezpečnosti bude Komisia pre informačnú bezpečnosť pri MF SR.“ Doplniť po texte „v oblasti informačnej bezpečnosti“ doplniť text „neutajovanej časti NIKI“.

Zdôvodnenie:
Platí len pre oblasť verejnej správy, pre ktorú má MF SR kompetencie.

17.	Text v 5. Záver vypustiť „Dokument bol vytvorený v pracovnej skupine pod stálou Komisiou pre informačnú bezpečnosť zriadenou MF SR v spolupráci s akademickým a privátnym sektorom. Jeho obsah vychádza zo strategických materiálov schválených vládou SR, smerníc, nariadení, odporúčaní a strategických materiálov EÚ/ EK. „

Zdôvodnenie:
V komisii NBÚ zastupuje jej príslušník, avšak k  spolupráci na návrhu materiálu nebol prizvaný. Návrh nevychádza zo všetkých relevantných strategických materiálov. Nie sú spomínané vôbec aktivity NATO, ktoré je na medzinárodnej úrovni v tejto oblasti naďalej.

Z

Z

Z

Z

Z

Z

Z

Z

Z

Z

Z

Z

Z

Z

Z

Z

Z

N(S)

C

A

N(S)

N(S)

N(S)

N(S)

N(S)

N(S)

A

N(S)

A

N(S)

A

N(S)

A

N(S)

Predkladateľ od pripomienky odstúpil. Materiál sa nebude zaoberať utajovanými skutočnosťami. Formulácia je doplnená v úvode materiálu do 2. odseku. 

Text Úvodu v 1. odseku upravený: zmena „prvým“ za „ďalším“

Text Úvodu 2. odseku na konci upravený. 

Doplnené: (materiál sa zaoberá neutajovanými skutočnosťami), obsah zátvorky odstránený.

Tento dokument neurčuje kompetenčné rozloženie právomocí, popisuje len súčasný stav v zmysle platných právnych predpisov. Pripomienka stiahnutá.

Doplnená formulácia do časti 2.1, ods. 1: „Špecifický charakter má kybernetický priestor, ktorého ochranu zabezpečuje NBÚ a ktorý zahŕňa oblasť utajovaných informácií, resp. ďalších skutočností, ktoré určí záväzný právny predpis (smernica EÚ/EK, nariadenie EÚ, zákon), resp. uznesenie vlády.“
Do časti 2.4 odseku 3 je doplnený kybernetický priestor.

Pred časťou zákony doplnená formulácia: „V SR sa jedná najmä o nasledovné súvisiace predpisy“

Úprava znenia: „Pre oblasť informačnej bezpečnosti existujú kľúčové relevantné medzinárodné bezpečnostné štandardy a normy a štandardy vydané MF SR, NBÚ, MZ SR, ÚOOÚ SR a ÚNMS SR.“

„Zosúladenie procesov“ z textu vypustené a text preformulovaný v zmysle spolupráce dvoch častí informačnej bezpečnosti v digitálnom priestore.

Doplnený text v znení „ ... v pracovných skupinách EÚ (v pracovnej skupine pre informačnú bezpečnosť OECD, pracovné skupiny pre certifikáciu prostriedkov a akreditáciu systémov a sietí určených pre bezpečné a prenos dát v elektronických a komunikačných systémoch EÚ a pod.), v pracovných skupinách NATO, ..... „

Doplnené „pre neutajované skutočnosti“

Doplnené v zmysle podkladov poskytnutých z NBÚ.

Predkladateľ od pripomienky odstúpil. Pomlčka za MF SR bola vypustená.

Doplnené do textu

Doplnený text: „ ... stav bude prechodný, CSIRT.SK bude disponovať obmedzenými právomocami. Bude potrebné zvážiť doplnenie výkonných právomocí, ktoré určí zákon.“

Doplnené do textu: „neutajovanej časti NIKI“

Text preformulovaný na: „Dokument bol vytvorený MF SR v spolupráci a akademickým a privátnym sektorom. Následne bol prerokovaný poradným orgánom ministra financií, ktorým je Komisia pre informačnú bezpečnosť. Obsah dokumentu vychádza zo strategických materiálov schválených vládou SR, smerníc, nariadení, odporúčaní a strategických materiálov EÚ/EK.“

SIS

1.	Predmetný materiál navrhujeme prepracovať v spolupráci s vecne príslušnými zložkami, a to najmä Národným bezpečnostným úradom, Slovenskou informačnou službou, Ministerstvom vnútra Slovenskej republiky a Ministerstvom obrany Slovenskej republiky.

Zdôvodnenie:
V predmetnom materiáli sa okrem iného navrhuje vytvorenie Národného úradu pre informačnú bezpečnosť SR ako aj národného strediska pre riešenie počítačových incidentov CSIRT.SK, teda ako vyplýva z bodu 3.4.1 špecializovanej organizácie pre riešenie, okrem iného problematiky počítačového zločinu, resp. kyberterorizmu.

Prakticky identickou problematikou sa zaoberá aj Národný bezpečnostný úrad vo svojej „Koncepcii ochrany utajovaných skutočností“, v ktorej navrhuje vybudovať CERT. Taktiež je pripravovaná novela zákona o ochrane utajovaných skutočností, ktorá by mala riešiť problematiku informačnej bezpečnosti a ochrany neutajovaných informácií.

Z uvedených skutočností vyplýva, že ide o veľmi podobnú problematiku, v niektorých bodoch identickú. V predmetnom dokumente je však používaná nejednoznačná terminológia, ktorá môže spôsobiť problémy v interpretačnej a aplikačnej praxi. Máme za to, že v takých materiáloch koncepčného charakteru, akým je aj Národná stratégia pre informačnú bezpečnosť Slovenskej republiky by mala byť používaná jednoznačná terminológia.	

Vzhľadom na skutočnosť, a ako sa aj uvádza v úvode predmetného materiálu, že zaistenie informačnej bezpečnosti si vyžaduje komplexný prístup, ktorý spočíva v tom, že je potrebné definovať základnú úroveň informačnej bezpečnosti s možnosťou rozšírenia v špecifických oblastiach (obrana, spravodajské služby a iné), považujeme za samozrejmé, že na tvorbe takéhoto materiálu budú participovať minimálne vyššie uvedené zložky.

Problematiku informačnej bezpečnosti navrhujeme riešiť komplexne, tak pre utajované ako aj neutajované skutočnosti, a to napríklad tým, že bude zriadený ústredný CERT alebo CSIRT v rámci Národného bezpečnostného úradu a to s tým, že nebude riešiť finančnú kriminalitu a kyberterorizmus. Ústredné orgány štátnej správy budú s ústredným CERT spolupracovať a vytvoria si rezortné CERT. Ústredný CERT bude okrem uvedenej spolupráce s rezortnými CERT koordinovať i medzinárodnú spoluprácu.

Z

N(S)

Materiál sa nebude zaoberať utajovanými skutočnosťami. Formulácia je doplnená v úvode materiálu v ods. 1, v ods. 2., ako aj v ďalších častiach materiálu. Predkladateľ od pripomienky odstúpil.

SBA | Bez pripomienok | | |
Sociálna poisťovňa | Bez pripomienok | | |

Vysvetlivky:
O         – obyčajná pripomienka
Z         – zásadná pripomienka
A         – akceptovaná pripomienka
C         – čiastočne akceptovaná pripomienka
N         – neakceptovaná pripomienka
N(S)	– neakceptovaná zásadná pripomienka povinne pripomienkujúceho subjektu, ktorá bola na rozporovom konaní vysvetlená, dohodnutá  resp. bola zo    
   strany jej predkladateľa stiahnutá (S = stiahnutá).