Společnost CHEVAK Cheb a.s (dále jen „společnost“, „zadavatel“) = povinná osoba z hlediska Zákona o kybernetické bezpečnosti (dále jen „ZoKB“).
Tento dokument obsahuje závazná pravidla pro Dodavatele a smluvní partnery společnosti CHEVAK Cheb a.s., ve formě bezpečnostních opatření, jejichž dodržování je nezbytné pro naplnění požadavků ZoKB na straně zadavatele.

Obecné odpovědnosti a povinnosti smluvních partnerů
Mezi odpovědnosti smluvních partnerů a Dodavatelů patří zejména:
a)	Dodržování platných právních předpisů ČR k zajištění bezpečnosti informací;
b)	Využívání informačních systémů zadavatele a jejich komponent tak, jak vyplývá z provozní
a bezpečnostní dokumentace zadavatele;
c)	Používání informačních aktiv a ostatních aktiv zadavatele pouze v souladu s určeným rozsahem přístupových oprávnění a pouze ke schváleným účelům;
d)	Zajištění ochrany autentizačních údajů (login, heslo, identifikační předmět) k informačním systémům a zařízením zadavatele, které  byly  smluvnímu  partnerovi  svěřené,  příp.  těch,  ke kterým má přístup při naplňování smluvního vztahu;
e)	Odpovědnost za každý přístup k informačním aktivům a dalším aktivům, provedený prostřednictvím jejich autentizačních údajů;
f)	Respektování a dodržování všech bezpečnostních opatření, pravidel a procedur, stanovených vlastníkem informací, tj. zadavatelem, se kterými partnera zadavatel prokazatelně seznámí;
g)	Odpovědnost za dostatečné proškolení svých zaměstnanců a pracovníků svých subdodavatelů
v oblasti zajištění bezpečnosti informací zadavatele.

Seznam bezpečnostních opatření

1.	Zajištění bezpečnosti informací.
Informace společnosti, se kterými Dodavatel pracuje v rámci činností při realizaci předmětu smlouvy, musí být vždy spolehlivé, správné, důvěryhodné a v bezpečí před hrozbami. Proto je nezbytné, aby Dodavatel při své činnosti vždy dodržoval následující bezpečnostní principy:
i.	důvěrnost, což znamená zajištění přístupu k informacím pouze autorizovaným uživatelům s potřebným oprávněním,
ii.	integritu, jež obnáší zajištění správnosti, úplnosti a neporušenosti informací a procesů,
iii.	dostupnost, tj. že oprávnění uživatelé mají přístup k informacím tehdy, kdy je potřebují, nebo kdy jsou jimi požadovány.

2.	Ustanovení o oprávnění užívat data
Všechna data, ať už v jakékoliv podobě, a jejich hmotné nosiče, která vznikla či vzniknou při provádění Díla podle této Smlouvy, jsou výlučným vlastnictvím Zadavatele. Nejpozději do 15 pracovních dnů od

doručení žádosti Zadavatele nebo od ukončení této Smlouvy je Dodavatel povinen tato data a jejich nosiče Zadavateli předat.
Dodavatel není oprávněn použít podklady, data a hmotné nosiče předané mu pro realizaci Díla Zadavatelem pro jiné účely, než je provedení Díla podle této Smlouvy. Nejpozději do 15 pracovních dnů po ukončení této Smlouvy je Dodavatel povinen vrátit Zadavateli veškeré podklady, data a hmotné nosiče poskytnuté Zadavatelem Dodavateli ke splnění jeho povinností podle této Smlouvy.

3.	Ustanovení o autorství programového kódu, o programových licencích

K výsledku plnění nebo jiné činnosti Dodavatele prováděné dle této Smlouvy, který nebyl vytvořen výhradně pro potřeby Zadavatele, ale jedná se o tzv. standardní počítačový program Dodavatele nebo třetí strany, který požívá ochrany autorského díla podle zákona  č. 121/2000 Sb., o právu autorském,  o právech souvisejících s právem autorským a o změně některých zákonů (autorský zákon), ve znění pozdějších předpisů (dále jen „Neunikátní dílo“), nabývá Zadavatel dnem poskytnutí Neunikátního díla Dodavatelem Zadavateli k užívání nevýhradní právo užít takovéto Neunikátní dílo všemi způsoby nezbytnými k naplnění účelu vyplývajícímu z této Smlouvy, a to po celou dobu trvání autorského práva k Neunikátnímu Dílu, resp. po dobu autorskoprávní ochrany s omezením na území České republiky (dále jen „Licence 1“). Zadavatel není povinen Licenci 1 využít. Odměna za Licenci 1 je plně zahrnuta v ceně Díla dle čl. 3 této Smlouvy. Zadavatel není oprávněn postoupit Licenci 1 ani udělit sublicenci třetím osobám bez předchozího písemného souhlasu Dodavatele. Licence 1 se poskytuje v rozsahu neomezeného počtu uživatelů a bez omezení na počet koncových systémů, procesorových jader, velikost paměti a jiné hardwarové, softwarové a aplikační parametry.

K unikátním částem Díla, tj. částem, které jsou vytvořeny na základě této Smlouvy a dle § 2634 občanského zákoníku a § 61 autorského zákona výhradně pro potřeby Zadavatele (např. analýzy, dokumentace, počítačové programy, databáze apod.), Dodavatel poskytuje Zadavateli licenci nevýhradní, časově a teritoriálně neomezenou (dále jen „Licence 2“). Zadavatel je oprávněn užít tzv. unikátní části Díla ke všem způsobům, které jsou známy v době jejich vytvoření. Licence 2 se má za poskytnutou dnem poskytnutí tzv. unikátních částí Díla Zadavateli k užívání. Licence 2 se poskytuje bez množstevního omezení identit, a bez omezení na počet koncových systémů, procesorových jader, velikost paměti a jiné hardwarové, softwarové a aplikační parametry.

Ve vztahu k tzv. unikátním částem Díla je Dodavatel povinen předat Zadavateli před ukončením zkušebního provozu též zdrojové kódy (resp. jejich aktualizace), a to vložením do Zadavatelem určeného datového úložiště. Zadavatel je oprávněn tyto zdrojové kódy využít neomezeně, a to včetně předání třetím osobám.

4.	Provádění kontroly a auditu Dodavatele (pravidla zákaznického auditu)
Zadavatel je oprávněn provádět u Dodavatele kontroly dodržování požadavků kybernetické bezpečnosti a bezpečnosti informací, ke kterým se Dodavatel v této smlouvě zavázal. Dodavatel je povinen umožnit zadavateli provedení těchto kontrol a dále je povinen poskytnout zadavateli při těchto kontrolách potřebnou součinnost.

5.	Opatření upravující řetězení Dodavatelů
Pokud Dodavatel v rámci dodávky služby nebo díla bude část této dodávky realizovat prostřednictvím dalších subdodavatelů, jen povinen zajistit, že subdodavatelé se zaváží dodržovat v plném rozsahu ujednání mezi zadavatelem (v pozici povinné osoby z hlediska ZoKB) a Dodavatelem a nebudou v rozporu s požadavky zadavatele na Dodavatele definovanými touto smlouvou a jejími přílohami.

6.	Dodržování bezpečnostních politik zadavatele
Zadavatel, jenž je vázán dodržováním požadavků ZoKB, má pro jejich dodržování zpracovánu sadu bezpečnostních politik. Zadavatel prokazatelně seznámí Dodavatele s těmi politikami, které jsou relevantní pro činnost prováděnou Dodavatelem v rámci předmětu této smlouvy. Dodavatel je povinen tyto politiky dodržovat po celou dobu trvání smluvního vztahu.
Pokud Dodavatel disponuje pro oblast kybernetické bezpečnosti vlastními politikami, je třeba, aby zadavatel tyto politiky odsouhlasil.

7.	Ustanovení o řízení změn
Dodavatel je povinen při implementaci dodávky (= předmět díla) bezvýhradně dodržovat požadavky zadavatele definované v Politice řízení změn zadavatele. Zadavatel je povinen seznámit Dodavatele s touto politikou.

8.	Povinnosti Dodavatele informovat povinnou osobu
Dodavatel je povinen informovat zadavatele o:
i.	všech kybernetických bezpečnostních incidentech souvisejících s plněním smlouvy, které se u Dodavatele objeví,
ii.	způsobu řízení rizik na straně Dodavatele a o zbytkových rizicích souvisejících s plněním smlouvy,
iii.	významné změně ovládání tohoto Dodavatele podle zákona o obchodních korporacích nebo změně vlastnictví zásadních aktiv, popřípadě změně oprávnění nakládat s těmito aktivy, využívaných tímto Dodavatelem k plnění podle smlouvy se správcem,
i.	

9.	Specifikace podmínek pro formát předání dat, provozních údajů a informací po vyžádání správcem
Nejpozději do 15 pracovních dnů po ukončení této Smlouvy je Dodavatel povinen vrátit Zadavateli veškeré podklady, data a hmotné nosiče poskytnuté Zadavatelem Dodavateli ke splnění jeho povinností podle této Smlouvy.
10.	Pravidla pro likvidaci dat
Pravidla pro  likvidaci dat jsou na straně zadavatele definována v  Politice řízení aktiv  zadavatele        v kapitole „Způsoby spolehlivé likvidace, mazání nebo ničení technických nosičů dat, informací“.
Zadavatel je povinen seznámit Dodavatele s touto politikou a Dodavatel je povinen tuto politiku dodržovat.