Oblasťou riešenia kybernetických bezpečnostných incidentov pre všetkých správcov informačných technológií verejnej správy, oblasťou štandardu dizajnového manuálu, či oblasťou zjednotenia používateľských rozhraní a spôsobu komunikácie orgánov riadenia s používateľmi pri poskytovaní elektronických služieb sa zaoberá novela zákona o informačných technológiách vo verejnej správe.
Dňa 28. júna 2023 bol Národnou radou Slovenskej republiky prijatý zákon č. 301/2023 Z. z. (ďalej len „novela“), ktorým sa mení a dopĺňa zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon o IT“) a ktorým sa menia a dopĺňajú niektoré zákony. Okrem zákona o IT sa novelou mení a dopĺňa aj (A) zákon č. 305/2013 Z. z. o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení niektorých zákonov (zákon o e-Governmente) v znení neskorších predpisov (ďalej len „zákon o e-Governmente“) a (B) zákon č. 325/2022 Z. z., ktorým sa mení a dopĺňa zákon č. 305/2013 Z. z. o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení niektorých zákonov (zákon o e-Governmente) v znení neskorších predpisov a ktorým sa menia a dopĺňajú niektoré zákony (ďalej len „zákon č. 325/2022“).
V nasledujúcom texte sa budeme venovať prehľadu najdôležitejších zmien, ktoré novela do zákona o IT a ďalších zákonov prináša. Zároveň odkazujeme aj na plné znenie novely, v ktorom sú uvedené všetky zmeny a doplnenia zákona o IT a vyššie uvedených právnych predpisov.
- Ustanovenie § 13a zákona o IT
Jednou z najvýraznejších zmien, ktoré novela do zákona o IT prináša je doplnenie nového ustanovenia § 13a zákona o IT („Elektronizácia agendy verejnej správy a zlepšovanie kvality používateľskej skúsenosti“).
„Orgán riadenia priebežne vyhodnocuje agendu verejnej správy vo svojej pôsobnosti na účely zabezpečenia riadneho výkonu poskytovania služieb verejnej správy, služieb vo verejnom záujme a verejných služieb, zabezpečenia riadnej prevádzky informačných technológií verejnej správy a dosahovania cieľov informatizácie. Orgán riadenia pri elektronizácii agendy vo svojej pôsobnosti, najmä ak ide o vytváranie alebo zásadnú zmenu elektronických služieb určených pre koncového používateľa, v rámci riadenia v správe informačných technológií verejnej správy (A) postupuje v súlade so základnými zásadami elektronizácie agendy verejnej správy, tvorby a rozvoja elektronických služieb a používateľských rozhraní a v súlade so známymi potrebami koncového používateľa, (B) umožňuje využívať prístup k elektronizácii agendy verejnej správy z pohľadu životnej situácie, (C) určuje prioritné elektronické služby, (D) zabezpečuje jednotný vzhľad a prezentáciu grafického používateľského rozhrania elektronickej služby, webovej stránky zobrazujúcej elektronickú službu a hlavného webového sídla, (E) zabezpečuje vytvorenie verejne prístupného aplikačného programového rozhrania pre elektronické služby, ktoré sú dostupné prostredníctvom grafického používateľského rozhrania, (F) zlepšuje kvalitu používateľskej skúsenosti koncového používateľa“ (ustanovenie § 13a ods. 1 zákona o IT).
„Na umožnenie využívania prístupu k elektronizácii agendy verejnej správy z pohľadu životnej situácie orgán riadenia poskytuje súčinnosť iným orgánom riadenia pri vytváraní, zmene a poskytovaní elektronických služieb v rámci životnej situácie tak, aby predchádzajúce a nadväzujúce elektronické služby, ktoré koncový používateľ obvykle v rámci životnej situácie využíva, boli vytvorené a poskytované spôsobom, ktorý pre koncového používateľa vytvára plynulú používateľskú cestu. Na účely podľa prvej vety je orgán riadenia oprávnený požadovať potrebnú súčinnosť od iného orgánu riadenia a tento je povinný mu ju poskytnúť“ (ustanovenie § 13a ods. 2 zákona o IT).
„Elektronickú službu, ktorá z hľadiska významu pre prostredie informačných technológií verejnej správy dosahuje kritériá ustanovené v štandardoch, určí orgán riadenia za prioritnú. Elektronickú službu, ktorá dosahuje kritériá podľa predchádzajúcej vety môže za prioritnú určiť aj orgán vedenia“ (ustanovenie § 13a ods. 3 zákona o IT).
„Ak ide o prioritnú elektronickú službu, orgán riadenia je povinný predložiť zámer na vytvorenie alebo zmenu tejto služby, ktorý obsahuje podrobnosti o postupe orgánu riadenia pri elektronizácii agendy a vytváraní alebo zmene elektronickej služby, na posúdenie a schválenie orgánu vedenia. Orgán vedenia môže schváliť zámer na vytvorenie alebo zmenu elektronickej služby s podmienkou, že návrh elektronickej služby alebo jej zmeny bude vytvorený ako prototyp a poskytovanie elektronickej služby bude možné až po schválení prototypu orgánom vedenia. Orgán vedenia tiež môže určiť, že prototyp elektronickej služby bude v rámci schvaľovania prezentovaný aj odbornej verejnosti, budúcim koncovým používateľom a iným osobám, ktorých spätná väzba môže byť pre orgán vedenia prínosná. Ak sa orgán vedenia do 20 pracovných dní odo dňa predloženia úplného zámeru podľa prvej vety k zámeru nevyjadrí platí, že zámer schválil v predloženom znení“ (ustanovenie § 13a ods. 4 zákona o IT).
„Orgán vedenia sprístupňuje zoznam prioritných elektronických služieb v centrálnom metainformačnom systéme verejnej správy. Orgán riadenia plní povinnosti podľa ustanovenie § 15 ods. 8 zákona o IT osobitne k aktívam, ktorými sú prioritné elektronické služby, a to najneskôr do šiestich mesiacov odo dňa určenia elektronickej služby za prioritnú“ (ustanovenie § 13a ods. 5 zákona o IT).
„Na zabezpečenie jednotného vzhľadu a prezentácie je orgán riadenia povinný používať pri tvorbe alebo zmene grafického používateľského rozhrania elektronickej služby, webovej stránky zobrazujúcej elektronickú službu a hlavného webového sídla dizajnový manuál podľa ustanovenia § 24c zákona o IT. Povinnosť podľa predchádzajúcej vety sa (A) vzťahuje len na grafické používateľské rozhrania elektronických služieb určených verejnosti a na webové stránky, ktoré ich zobrazujú, (B) nevzťahuje na orgán riadenia podľa ustanovenia § 5 ods. 2 písm. c) a e) až h) zákona o IT, Tlačovú agentúru Slovenskej republiky, Rozhlas a televíziu Slovenska a zdravotnú poisťovňu“ (ustanovenie § 13a ods. 6 zákona o IT).
„Orgán riadenia na účely zlepšenia kvality používateľskej skúsenosti zabezpečuje priebežný zber spätnej väzby k poskytovaným prioritným elektronickým službám od koncových používateľov a jej vyhodnocovanie najmenej raz ročne. Ak o to orgán vedenia požiada, orgán riadenia mu v určenej lehote, najskôr 31. januára, predloží vyhodnotenie spätnej väzby podľa prvej vety za predchádzajúci kalendárny rok. Poznatky získané zo spätnej väzby orgán riadenia zohľadňuje v koncepcii rozvoja a v pláne postupu pre naplnenie požiadaviek na zlepšovanie kvality používateľskej skúsenosti (ďalej len „plán zlepšovania kvality“)“ (ustanovenie § 13a ods. 7 zákona o IT).
„Plán zlepšovania kvality slúži na zabezpečenie zlepšovania kvality používateľskej skúsenosti koncových používateľov pri používaní elektronických služieb a orgán riadenia ho uplatňuje v riadení informačných technológií verejnej správy. Orgán riadenia vypracúva plán zlepšovania kvality na každý kalendárny rok a sprístupňuje ho orgánu vedenia prostredníctvom centrálneho metainformačného systému verejnej správy na príslušný kalendárny rok vždy do 31. mája. Orgán vedenia môže do 30 dní odo dňa sprístupnenia vyzvať orgán riadenia na odstránenie nedostatkov plánu zlepšovania kvality a určiť primeranú lehotu na ich odstránenie a orgán riadenia je povinný nedostatky v tejto lehote odstrániť“ (ustanovenie § 13a ods. 8 zákona o IT).
„Pri plnení povinnosti podľa ustanovenia § 14 ods. 5 zákona o IT určí orgán riadenia osobu, ktorá v oblasti zlepšovania kvality používateľskej skúsenosti informačných technológií verejnej správy zodpovedá v rámci orgánu riadenia za (A) identifikovanie používateľských problémov informačných technológií verejnej správy a navrhuje riešenie týchto problémov, (B) vypracovanie plánu zlepšovania kvality a dohliada na jeho dodržiavanie, (C) komunikáciu s orgánom vedenia“ (ustanovenie § 13a ods. 9 zákona o IT).
„Právnická osoba v zakladateľskej pôsobnosti orgánu riadenia podľa ustanovenia § 5 ods. 2 písm. a) až d) zákona o IT, ktorá sa zúčastňuje na hospodárskej súťaži, aj keď nie je podnikateľom, zdravotná poisťovňa, Tlačová agentúra Slovenskej republiky a Rozhlas a televízia Slovenska, predkladajú dokumenty a informácie podľa ustanovení § 13a ods. 4, 7 a 8 zákona o IT prostredníctvom neverejnej časti centrálneho metainformačného systému verejnej správy a tieto sú prístupné len orgánu vedenia“ (ustanovenie § 13a ods. 10 zákona o IT). „Na zdravotnú poisťovňu sa nevzťahuje povinnosť vypracúvať plán zlepšovania kvality a povinnosti podľa ustanovenia § 13a ods. 9 zákona o IT“ (ustanovenie § 13a ods. 11 zákona o IT).
- Ustanovenie § 23a zákona o IT
Ďalšou významnou zmenou je doplnenie ustanovenia § 23a zákona o IT („Vedenie na úseku bezpečnosti informačných technológií verejnej správy“).
„Orgán vedenia (A) metodicky usmerňuje správcov na účely dosiahnutia a udržania bezpečnosti informačných technológii verejnej správy a zvyšuje povedomie správcov a verejnosti v oblasti kybernetickej bezpečnosti vo verejnej správe, (B) na žiadosť orgánu riadenia môže vykonať hodnotenie zraniteľností alebo posúdenie bezpečnosti informačných technológii alebo informačných systémov orgánu riadenia a s tým súvisiace činnosti“ (ustanovenie § 23a ods. 1 zákona o IT).
„Orgán vedenia prostredníctvom vládnej jednotky CSIRT (A) na žiadosť správcu vykonáva činnosti nepretržitého monitorovania informačných technológií verejnej správy v jeho správe, (B) vykonáva pravidelné neinvazívne hodnotenie zraniteľnosti služby verejnej správy, služby vo verejnom záujme, verejnej služby a ďalších služieb informačných technológií verejnej správy poskytovaných prostredníctvom siete internet alebo prostredníctvom Govnetu, (C) s predchádzajúcim súhlasom správcu vykonáva hodnotenie zraniteľnosti služby verejnej správy, služby vo verejnom záujme, verejnej služby a ďalších služieb informačných technológií verejnej správy poskytovaných prostredníctvom siete internet alebo prostredníctvom Govnetu, ktoré boli zistené pri pravidelnom neinvazívnom hodnotení zraniteľnosti podľa písmena b), (D) zbiera, spracúva a vyhodnocuje systémové informácie informačných technológií verejnej správy podľa ustanovenia § 19 ods. 1 písm. c) a § 23 ods. 3 písm. d) zákona o IT, v rozsahu ustanovenom všeobecne záväzným právnym predpisom vydaným Ministerstvom investícií, regionálneho rozvoja a informatizácie Slovenskej republiky (ďalej len „ministerstvo investícii“) a určuje periodicitu ich zberu, (E) môže na žiadosť orgánu riadenia vykonávať činnosti na účely riešenia kybernetického bezpečnostného incidentu, jeho predchádzania alebo odstraňovania a hodnotenia zraniteľnosti“ (ustanovenie § 23a ods. 2 zákona o IT).
- Dizajnový manuál
Dizajnový manuál je predmetom úpravy nového ustanovenia § 24c zákona o IT.
„Dizajnový manuál upravuje vzhľad a zobrazenie grafického používateľského rozhrania elektronickej služby, webovej stránky zobrazujúcej elektronickú službu a hlavného webového sídla“ (ustanovenie § 24c ods. 1 zákona o IT).
„Orgán vedenia (A) zodpovedá za aktualizáciu, rozvoj a správu dizajnového manuálu, (B) poskytuje orgánom riadenia podporu pri tvorbe grafického používateľského rozhrania elektronickej služby, webovej stránky zobrazujúcej elektronickú službu a hlavného webového sídla podľa štandardu dizajnového manuálu“ (ustanovenie § 24c ods. 2 zákona o IT).
„Orgán riadenia môže vyvíjať vlastné komponenty podľa princípov dizajnového manuálu, ak ide o komponenty, ktoré nie sú ustanovené v štandardoch dizajnového manuálu alebo upravovať už existujúce komponenty podľa svojej potreby na základe dohody s orgánom vedenia“ (ustanovenie § 24c ods. 3 zákona o IT).
„Ak orgán riadenia zásadne mení už existujúcu elektronickú službu určenú koncovému používateľovi, ktorý nie je orgánom riadenia a súčasťou zásadnej zmeny je aj zmena grafického používateľského rozhrania, postupuje podľa štandardov dizajnového manuálu“ (ustanovenie § 24c ods. 4 zákona o IT). „Pri zásadnej zmene vizuálnej podoby hlavného webového sídla postupuje orgán riadenia podľa štandardov dizajnového manuálu“ (ustanovenie § 24c ods. 5 zákona o IT). „Zásadnou zmenou sa na účely ustanovení § 24c ods. 4 a 5 zákona o IT rozumie zásadná zmena grafického používateľského rozhrania alebo zmena vizuálnej podoby, ktorá spočíva najmä v zmene typografie, farby a rozloženia prvkov hlavičky, farby a rozloženia prvkov päty“ (ustanovenie § 24c ods. 6 zákona o IT).
V rámci zákona o e-Governmente dochádza novelou napríklad k doplneniu nového ustanovenia § 10a zákona o e-Governmente („Sprístupňovanie údajov fyzickej osobe, fyzickej osobe podnikateľovi alebo právnickej osobe“).
„Fyzickej osobe, fyzickej osobe podnikateľovi alebo právnickej osobe sa elektronicky automatizovaným spôsobom podľa ustanovenia § 10 ods. 11 písm. j) zákona o e-Governmente a v rozsahu podľa ustanovenia § 10a ods. 2 zákona o e-Governmente sprístupňujú údaje evidované v informačných systémoch verejnej správy, notifikácie o zmenách a opravách takýchto údajov a notifikácie o skutočnosti, aký orgán verejnej moci, kedy a z akého právneho dôvodu k jej údajom pristupoval, ak sprístupňovanie takýchto údajov a súvisiacich notifikácií nevylučuje osobitný predpis“ (ustanovenie § 10a ods. 1 zákona o e-Governmente).
„Ministerstvo investícií je na účely sprístupňovania údajov fyzickej osobe, fyzickej osobe podnikateľovi alebo právnickej osobe podľa ustanovenia § 10a ods. 1 zákona o e-Governmente a na účely správy týchto údajov oprávnené určiť rozsah takto sprístupňovaných údajov. Orgán verejnej moci je povinný údaje určené v rozsahu podľa prvej vety ministerstvu investícií poskytovať, a to vždy v ich aktuálnej podobe“ (ustanovenie § 10a ods. 2 zákona o e-Governmente).
„Na účely notifikácie osoby o zmenách v jej údajoch sprístupňovaných podľa ustanovenia § 10 ods. 11 písm. j) zákona o e-Governmente a o skutočnosti, aký orgán verejnej moci, kedy a z akého právneho dôvodu k týmto údajom pristupoval, je orgán verejnej moci povinný poskytovať ministerstvu investícií notifikácie o zmenách takýchto údajov a notifikácie obsahujúce údaje o tom, aký orgán verejnej moci, kedy a z akého právneho dôvodu k jej údajom pristupoval, a to bezodkladne potom, čo k zmenám takýchto údajov alebo k pristúpeniu k takýmto údajom došlo“ (ustanovenie § 10a ods. 3 zákona o e-Governmente).
V zákone č. 325/2022 došlo k modifikácii ustanovenia § 37 zákona č. 325/2022 („Záznam o vykonanej zaručenej konverzii a osvedčovacia doložka“).
„Záznam o vykonanej zaručenej konverzii obsahuje údaje o dokumente vrátane jeho autorizácie, jej overenia a o použitých bezpečnostných prvkoch, údaje o osobe, ktorá zaručenú konverziu vykonala, údaj o čase jej vykonania a evidenčné údaje o vykonanej zaručenej konverzii. Osobné údaje o osobe, ktorá zaručenú konverziu vykonala, sa uvádzajú v rozsahu identifikátor osoby, meno, priezvisko, funkcia a pracovné zaradenie“ (ustanovenie § 37 ods. 1 zákona č. 325/2022).
„Osvedčovacia doložka obsahuje údaje identifikujúce záznam o vykonanej zaručenej konverzii v centrálnej evidencii záznamov a vyhlásenie osoby, ktorá konverziu vykonala, o dodržaní postupu podľa tohto zákona č. 325/2022“ (ustanovenie § 37 ods. 2 zákona č. 325/2022).
„Osvedčovacia doložka nemusí byť vyhotovená ako samostatný dokument, ak je vyhotovená ako samostatná časť novovzniknutého dokumentu spôsobom, ktorý bez akýchkoľvek pochybností umožní oddeliť obsah osvedčovacej doložky od obsahu zvyšnej časti novovzniknutého dokumentu; podmienka spoločnej autorizácie je splnená autorizáciou novovzniknutého dokumentu“ (ustanovenie § 37 ods. 3 zákona č. 325/2022).
„Ak sa zaručená konverzia vykonáva automatizovaným spôsobom, neuvádzajú sa údaje o fyzickej osobe, ktorá zaručenú konverziu vykonala, a vlastnoručný podpis možno nahradiť faksimile alebo obdobným spôsobom“ (ustanovenie § 37 ods. 4 zákona č. 325/2022). „Osoba vykonávajúca konverziu spracúva osobné údaje podľa ustanovenia § 37 ods. 1 zákona č. 325/2022 na účely výkonu zaručenej konverzie a plnenia povinností podľa tohto zákona č. 325/2022 v rozsahu nevyhnutnom na dosiahnutie tohto účelu a počas nevyhnutnej doby“ (ustanovenie § 37 ods. 5 zákona č. 325/2022). „Rozsah údajov podľa ustanovenia § 37 ods. 1 zákona č. 325/2022 okrem osobných údajov a vzor záznamu o vykonanej zaručenej konverzii a osvedčovacej doložky ustanoví všeobecne záväzný právny predpis, ktorý vydá ministerstvo investícií“ (ustanovenie § 37 ods. 6 zákona č. 325/2022).
- Účinnosť novely
Novela nadobúda účinnosť dňa 01. augusta 2023.
Publikované dňa 18.08.2023.