Procurement observatory.

<!-- PAGE 1 -->**Příloha č. 2 – Bezpečnostní požadavky**

# Kybernetická bezpečnost a ochrana dat

Obecná pravidla

Tato příloha tvoří nedílnou součást Smlouvy.

Není-li dále stanoveno jinak nebo nevyplývá-li jinak z kontextu, mají pojmy počínající velkým písmenem v této příloze shodný význam, jaký mají ve Smlouvě.

# Data objednatele

Veškerá data, která Objednatel Poskytovateli zpřístupní, předá nebo která v souvislosti s plněním Smlouvy vzniknou, zůstávají v plné dispozici a pod kontrolou Objednatele a Poskytovatel je smí užít pouze v rozsahu nezbytném k plnění Smlouvy a podle pokynů Objednatele.

Poskytovatel není oprávněn data Objednatele použít pro vlastní účely, zejména k jejich vytěžování, profilování, testování mimo prostředí Objednatele, obchodnímu využití ani k trénování modelů, pokud to Objednatel výslovně předem písemně neschválí.

Pokud není ve Smlouvě dohodnut formát předání dat, je Poskytovatel povinen data Objednatele Objednateli bez zbytečného odkladu na jeho žádost zpřístupnit nebo předat ve strukturovaném, běžně používaném, strojově čitelném a interoperabilním formátu.

Po ukončení Smlouvy Poskytovatel podle volby Objednatele data Objednateli vrátí, nebo je bezpečně vymaže, včetně jejich kopií, ledaže jejich další uchování vyžaduje právní předpis. Výmaz dat Objednatele bude proveden způsobem znemožňujícím jejich obnovení forenzními postupy. O provedení výmazu Poskytovatel na žádost Objednatele vystaví písemné potvrzení.

Poskytovatel je povinen zajistit, aby data Objednatele byla zpracovávána a ukládána pouze na území členských států Evropské unie nebo Evropského hospodářského prostoru, ledaže Objednatel předem písemně schválí jiný režim, a současně budou splněny podmínky právních předpisů upravujících ochranu osobních údajů a předávání dat do třetích zemí.

Poskytovatel je povinen bez zbytečného odkladu informovat Objednatele o jakékoli žádosti orgánu veřejné moci cizího státu o zpřístupnění, předání nebo poskytnutí dat Objednatele, která jsou zpracovávána mimo území České republiky. Tato povinnost se neuplatní v rozsahu, v němž by poskytnutí takové informace odporovalo právním předpisům státu, jehož orgán žádost uplatnil, nebo jiným závazným právním předpisům vztahujícím se ke zpracování těchto dat. V takovém případě je Poskytovatel povinen informovat Objednatele v maximálním možném rozsahu s tím, že omezení informační povinnosti má být vykládáno restriktivně, aby byla v souladu s příslušnými právními předpisy jiného státu zajištěna alespoň obecná informační povinnost Poskytovatele.

Poskytovatel je oprávněn zpřístupnit, předat nebo jinak umožnit přístup k datům Objednatele na základě žádosti orgánu veřejné moci, soudu nebo jiného oprávněného subjektu cizího státu týkající se dat Objednatele zpracovávaných na území cizího státu pouze tehdy, pokud je takové zpřístupnění nebo předání vyžadováno právně závazným a vykonatelným rozhodnutím vydaným v souladu s právním řádem příslušného státu a současně není v rozporu s českým právním řádem nebo přímo použitelnými právními předpisy Evropské unie. Poskytovatel se dále zavazuje:

přezkoumat zákonnost, závaznost a rozsah takové žádosti,

vynaložit veškeré úsilí, které lze po Poskytovateli spravedlivě požadovat, k odmítnutí, omezení nebo napadení takové žádosti, pokud existují důvodné pochybnosti o její zákonnosti nebo slučitelnosti s právem České republiky nebo Evropské unie,

poskytnout Objednateli maximální možnou součinnost za účelem ochrany dat Objednatele, a

zpřístupnit nebo předat data v minimálním rozsahu nezbytném ke splnění právní povinnosti Poskytovatele.

# Oprávněné osoby a přístupy

Osoby, které plní Smlouvu na straně Poskytovatele musí mít potřebné kvalifikační předpoklady, zkušenosti a znalosti. Poskytovatel musí zajistit, aby osoby, které plní Smlouvu na straně Poskytovatele, měly příslušná právní oprávnění dle právních předpisů, které se na činnost jimi vykonávanou vztahují.

K datům Objednatele, jeho informačním systémům a související infrastruktuře mohou v nezbytně nutném rozsahu přistupovat pouze osoby, které to nezbytně potřebují pro plnění Smlouvy, a které jsou řádně poučeny a jsou vázány povinností mlčenlivosti. Poskytovatel je povinen vést průběžnou evidenci těchto přístupů, obsahující alespoň identifikaci osoby, rozsah a dobu přístupu, a tuto evidenci na vyžádání bez zbytečného odkladu, nejpozději do konce následujícího pracovního dne, poskytnout Objednateli.

Poskytovatel zajistí, aby přístupová oprávnění byla přidělována individuálně, v rozsahu nezbytném pro výkon konkrétní činnosti, průběžně přezkoumávána a bez zbytečného odkladu odebírána, jakmile důvod přístupu pomine. Poskytovatel je povinen vést aktuální přehled osob, kterým byla přístupová oprávnění udělena, včetně rozsahu těchto oprávnění, a tento přehled na vyžádání bez zbytečného odkladu, nejpozději do konce následujícího pracovního dne, poskytnout Objednateli.

Poskytovatel nesmí umožnit sdílení uživatelských účtů ani autentizačních prostředků mezi více osobami.

Poskytovatel je povinen zajistit, aby osoby podílející se na plnění Smlouvy, které přistupují do interní sítě, informačních systémů nebo komunikační infrastruktury Objednatele, chránily autentizační prostředky, přístupové údaje a další bezpečnostní prvky před zneužitím, ztrátou nebo zpřístupněním neoprávněným osobám.

Poskytovatel bere na vědomí, že opakované neúspěšné pokusy o autentizaci mohou být vyhodnoceny jako bezpečnostní incident a v takovém případě je Objednatel oprávněn přijmout přiměřená bezpečnostní opatření, včetně omezení nebo odebrání přístupových oprávnění osob Poskytovatele.

# Bezpečnostní opatření

Poskytovatel je povinen zavést a po celou dobu plnění Smlouvy udržovat a dokumentovat přiměřená technická a organizační bezpečnostní opatření odpovídající povaze plnění a rizikům pro důvěrnost, integritu, dostupnost, autenticitu a nepopiratelnost dotčených systémů a dat.

Poskytovatel nesmí do prostředí Objednatele nebo do předmětu plnění dodat funkce, kód nebo prostředky, jejichž účelem je neoprávněné získání přístupu, narušení provozu, obcházení bezpečnostních mechanismů nebo neoprávněné nakládání s daty.

Dojde-li po uzavření Smlouvy ke změně právních předpisů, vydání nebo změně závazného aktu orgánu veřejné moci nebo jiné obdobné skutečnosti mající dopad na bezpečnostní opatření Poskytovatele nebo Objednatele, zavazují se Smluvní strany poskytnout si nezbytnou součinnost za účelem promítnutí takových požadavků do svých bezpečnostních opatření a plnění dle Smlouvy.

Vyžaduje-li taková změna změnu závazku ze Smlouvy, postupují Smluvní strany v souladu se ZZVZ a Smlouvou.

# Bezpečnostní události

Poskytovatel je povinen bez zbytečného odkladu, nejpozději do 24 hodin od zjištění, oznámit Objednateli každou bezpečnostní událost, incident nebo významné slabé místo, které souvisí s plněním Smlouvy nebo může mít dopad na data Objednatele, jeho informační systémy nebo poskytování jeho služeb (dále jen „**Relevantní událost**“).

Oznámení podle předchozího odstavce musí obsahovat alespoň popis zjištěné skutečnosti, čas zjištění, předpokládaný dopad, dotčená aktiva nebo data, přijatá nebo navržená opatření a kontaktní osobu Poskytovatele.

Pokud se Relevantní událost týká osobních údajů, je Poskytovatel povinen ji oznámit Objednateli bez zbytečného odkladu tak, aby Objednatel mohl splnit své zákonné oznamovací povinnosti.

Poskytovatel je povinen bez zbytečného odkladu přijmout přiměřená opatření ke zmírnění dopadů Relevantní události a poskytnout Objednateli veškerou potřebnou součinnost při šetření, nápravě, obnově provozu, oznamování a plnění dalších zákonných povinností.

# Součinnost a změny

Poskytovatel se zavazuje poskytnout Objednateli veškerou nezbytnou součinnost ke splnění povinností Objednatele dle ZKB, zejména při analýze souvisejících rizik, přijímání opatření za účelem snížení všech nepříznivých dopadů spojených se změnami, aktualizaci bezpečnostní dokumentace, souvisejícím testováním a zajištění možnosti navrácení do původního stavu.

Poskytovatel se zavazuje dodržovat požadavky Objednatele na řízení kontinuity činností v souladu se Smlouvou.

Poskytovatel se zavazuje se zahájením plnění Smlouvy informovat Objednatele o způsobu řízení rizik na straně Poskytovatele a o zbytkových rizicích souvisejících s plněním Smlouvy.

Poskytovatel je povinen Objednatele předem informovat o zamýšlené změně ve způsobu plnění Smlouvy, která může mít podstatný dopad na kybernetickou nebo informační bezpečnost plnění, dostupnost služeb, integritu, nebo důvěrnost dat Objednatele (dále jen „**Změna s dopadem na KB**“). Zejména se jedná o změnu poddodavatele, místa zpracování nebo ukládání dat, klíčových aktiv použitých k plnění Smlouvy, nebo bezpečnostní architektury řešení.

Změnu s dopadem na KB lze provést pouze po posouzení jejích dopadů a po projednání s Objednatelem, a to výhradně v časech stanovených Smlouvou, nejsou-li takové časy ve Smlouvě upraveny, tak v časech dohodnutých s Objednatelem. Poskytovatel musí mít zpracovaný plán návratu v případě selhání změny. O provedené změně Poskytovatel vyhotoví záznam, který neprodleně po provedení změny předá Objednateli. Vyžaduje-li taková změna úpravu Smlouvy, postupují Smluvní strany v souladu se ZZVZ a Smlouvou.

Poskytovatel je povinen uchovávat dokumentaci o Změně s dopadem na KB po dobu minimálně 5 let od jejího provedení.

Poskytovatel je povinen bezodkladně informovat Objednatele o významné změně kontroly nad Poskytovatelem nebo o změně kontroly nad zásadními aktivy využívanými Poskytovatelem k plnění podle Smlouvy, přičemž

významnou změnou kontroly se rozumí změna ovládající osoby dle § 74 a násl. zákona č. 90/2012 Sb., o obchodních společnostech a družstvech (zákon o obchodních korporacích), ve znění pozdějších předpisů, a

zásadními aktivy se rozumí aktiva, (i) s jejichž pomocí je možné přímo či nepřímo ovlivňovat bezpečnost služeb, systémů Objednatele nebo Dat Objednatele v nich obsažených, (ii) která obsahují Data Objednatele, nebo (iii) skrze která je možné proniknout do systémů Objednatele a která jsou zásadní pro realizaci Smlouvy.

Poskytovatel je povinen pravidelně přezkoumávat, minimálně však 1x ročně, stav plnění povinností Poskytovatele dle těchto Bezpečnostních požadavků a předat Objednateli na vyžádání o takovém přezkoumání bez zbytečného odkladu písemnou zprávu.

# Audit

Poskytovatel je povinen umožnit Objednateli provedení přezkoumání činností a procesů Poskytovatele za účelem ověření souladu bezpečnostních opatření Poskytovatele s právními předpisy, Smlouvou a těmito Bezpečnostními požadavky (dále jen „**Audit**“).

Objednatel je oprávněn provádět Audit i prostřednictvím třetí osoby. Taková třetí osoba nesmí být v soutěžním postavení vůči Poskytovateli. Objednatel je povinen zavázat takovou třetí osobu mlčenlivostí minimálně ve stejném rozsahu, v jakém je dle Smlouvy zavázán Objednatel.

Poskytovatel je povinen poskytnout k Auditu přiměřenou součinnost, zejména je povinen poskytnout auditorovi nezbytnou dokumentaci, záznamy a přístup do prostor nezbytných pro plnění Smlouvy. Stejnou součinnost je Poskytovatel povinen zajistit i u svých poddodavatelů.

Objednatel je oprávněn provést Audit jednou za kalendářní rok. Objednatel je dále oprávněn provést mimořádný Audit při důvodném podezření na porušení povinností ze Smlouvy či těchto Bezpečnostních požadavků nebo po bezpečnostním incidentu.

Objednatel oznámí Poskytovateli záměr provést Audit s dostatečným předstihem, minimálně však 30 dní předem. Uvedené neplatí pro mimořádný Audit.

Audit musí být přiměřený a omezený na plnění podle Smlouvy. Poskytovatel se zavazuje vynaložit přiměřené úsilí, aby prováděním Auditu nedošlo k nepřiměřenému narušení činnosti Poskytovatele.

Objednatel vyhotoví o výsledcích Auditu závěrečnou zprávu (dále jen „**Závěrečná zpráva**“), ve které uvede zjištěné nedostatky.

Poskytovatel má právo se do deseti pracovních dní od doručení Závěrečné zprávy vyjádřit k nedostatkům v ní uvedených. Objednatel se zavazuje zohlednit v nejvyšší možné míře takto uplatněné připomínky Poskytovatele a zapracovat je do Závěrečné zprávy.

Poskytovatel je povinen ve lhůtě 10 pracovních dní od obdržení Závěrečné zprávy upravené v souladu s předchozím odstavcem sdělit Objednateli, jaká navrhuje nápravná opatření a termín, kdy je provede. Termín pro provedení nápravných opatření je Poskytovatel povinen stanovit přiměřeně dle druhu a rozsahu zjištěného nedostatku. Objednatel tato nápravná opatření a termín pro jejich provedení bud’ schválí, nebo je vrátí Poskytovateli s připomínkami k přepracování. Tento proces se opakuje do doby, než Objednatel souhlasí s navrhovanými nápravnými opatřeními a termínem pro jejich provedení.

Poskytovatel se zavazuje v termínu dle předchozího odstavce zajistit realizaci dohodnutých nápravných opatření a do 5 pracovních dní od dokončení této realizace předat Objednateli zprávu o provedených nápravných opatřeních.

Jakákoliv data, informace nebo jiná aktiva získaná při Auditu mohou být Objednatelem použita výhradně pro účely Auditu, vyhodnocení jeho výsledků, přijetí nápravných opatření a pro další potřeby Objednatele související s řízením vztahu s Poskytovatelem. 

Každá ze Smluvních stran nese vlastní náklady související s provedením Auditu.

Page 1

**Příloha č. 2 – Bezpečnostní požadavky**

# Kybernetická bezpečnost a ochrana dat

Obecná pravidla

Tato příloha tvoří nedílnou součást Smlouvy.

Není-li dále stanoveno jinak nebo nevyplývá-li jinak z kontextu, mají pojmy počínající velkým písmenem v této příloze shodný význam, jaký mají ve Smlouvě.

# Data objednatele

Veškerá data, která Objednatel Poskytovateli zpřístupní, předá nebo která v souvislosti s plněním Smlouvy vzniknou, zůstávají v plné dispozici a pod kontrolou Objednatele a Poskytovatel je smí užít pouze v rozsahu nezbytném k plnění Smlouvy a podle pokynů Objednatele.

Poskytovatel není oprávněn data Objednatele použít pro vlastní účely, zejména k jejich vytěžování, profilování, testování mimo prostředí Objednatele, obchodnímu využití ani k trénování modelů, pokud to Objednatel výslovně předem písemně neschválí.

Pokud není ve Smlouvě dohodnut formát předání dat, je Poskytovatel povinen data Objednatele Objednateli bez zbytečného odkladu na jeho žádost zpřístupnit nebo předat ve strukturovaném, běžně používaném, strojově čitelném a interoperabilním formátu.

Po ukončení Smlouvy Poskytovatel podle volby Objednatele data Objednateli vrátí, nebo je bezpečně vymaže, včetně jejich kopií, ledaže jejich další uchování vyžaduje právní předpis. Výmaz dat Objednatele bude proveden způsobem znemožňujícím jejich obnovení forenzními postupy. O provedení výmazu Poskytovatel na žádost Objednatele vystaví písemné potvrzení.

Poskytovatel je povinen zajistit, aby data Objednatele byla zpracovávána a ukládána pouze na území členských států Evropské unie nebo Evropského hospodářského prostoru, ledaže Objednatel předem písemně schválí jiný režim, a současně budou splněny podmínky právních předpisů upravujících ochranu osobních údajů a předávání dat do třetích zemí.

Page 2

Poskytovatel je povinen bez zbytečného odkladu informovat Objednatele o jakékoli žádosti orgánu veřejné moci cizího státu o zpřístupnění, předání nebo poskytnutí dat Objednatele, která jsou zpracovávána mimo území České republiky. Tato povinnost se neuplatní v rozsahu, v němž by poskytnutí takové informace odporovalo právním předpisům státu, jehož orgán žádost uplatnil, nebo jiným závazným právním předpisům vztahujícím se ke zpracování těchto dat. V takovém případě je Poskytovatel povinen informovat Objednatele v maximálním možném rozsahu s tím, že omezení informační povinnosti má být vykládáno restriktivně, aby byla v souladu s příslušnými právními předpisy jiného státu zajištěna alespoň obecná informační povinnost Poskytovatele.

Poskytovatel je oprávněn zpřístupnit, předat nebo jinak umožnit přístup k datům Objednatele na základě žádosti orgánu veřejné moci, soudu nebo jiného oprávněného subjektu cizího státu týkající se dat Objednatele zpracovávaných na území cizího státu pouze tehdy, pokud je takové zpřístupnění nebo předání vyžadováno právně závazným a vykonatelným rozhodnutím vydaným v souladu s právním řádem příslušného státu a současně není v rozporu s českým právním řádem nebo přímo použitelnými právními předpisy Evropské unie. Poskytovatel se dále zavazuje:

přezkoumat zákonnost, závaznost a rozsah takové žádosti,

vynaložit veškeré úsilí, které lze po Poskytovateli spravedlivě požadovat, k odmítnutí, omezení nebo napadení takové žádosti, pokud existují důvodné pochybnosti o její zákonnosti nebo slučitelnosti s právem České republiky nebo Evropské unie,

poskytnout Objednateli maximální možnou součinnost za účelem ochrany dat Objednatele, a

zpřístupnit nebo předat data v minimálním rozsahu nezbytném ke splnění právní povinnosti Poskytovatele.

# Oprávněné osoby a přístupy

Osoby, které plní Smlouvu na straně Poskytovatele musí mít potřebné kvalifikační předpoklady, zkušenosti a znalosti. Poskytovatel musí zajistit, aby osoby, které plní Smlouvu na straně Poskytovatele, měly příslušná právní oprávnění dle právních předpisů, které se na činnost jimi vykonávanou vztahují.

K datům Objednatele, jeho informačním systémům a související infrastruktuře mohou v nezbytně nutném rozsahu přistupovat pouze osoby, které to nezbytně potřebují pro plnění Smlouvy, a které jsou řádně poučeny a jsou vázány povinností mlčenlivosti. Poskytovatel je povinen vést průběžnou evidenci těchto přístupů, obsahující alespoň identifikaci osoby, rozsah a dobu přístupu, a tuto evidenci na vyžádání bez zbytečného odkladu, nejpozději do konce následujícího pracovního dne, poskytnout Objednateli.

Poskytovatel zajistí, aby přístupová oprávnění byla přidělována individuálně, v rozsahu nezbytném pro výkon konkrétní činnosti, průběžně přezkoumávána a bez zbytečného odkladu odebírána, jakmile důvod přístupu pomine. Poskytovatel je povinen vést aktuální přehled osob, kterým byla přístupová oprávnění udělena, včetně rozsahu těchto oprávnění, a tento přehled na vyžádání bez zbytečného odkladu, nejpozději do konce následujícího pracovního dne, poskytnout Objednateli.

Poskytovatel nesmí umožnit sdílení uživatelských účtů ani autentizačních prostředků mezi více osobami.

Page 3

Poskytovatel je povinen zajistit, aby osoby podílející se na plnění Smlouvy, které přistupují do interní sítě, informačních systémů nebo komunikační infrastruktury Objednatele, chránily autentizační prostředky, přístupové údaje a další bezpečnostní prvky před zneužitím, ztrátou nebo zpřístupněním neoprávněným osobám.

Poskytovatel bere na vědomí, že opakované neúspěšné pokusy o autentizaci mohou být vyhodnoceny jako bezpečnostní incident a v takovém případě je Objednatel oprávněn přijmout přiměřená bezpečnostní opatření, včetně omezení nebo odebrání přístupových oprávnění osob Poskytovatele.

# Bezpečnostní opatření

Poskytovatel je povinen zavést a po celou dobu plnění Smlouvy udržovat a dokumentovat přiměřená technická a organizační bezpečnostní opatření odpovídající povaze plnění a rizikům pro důvěrnost, integritu, dostupnost, autenticitu a nepopiratelnost dotčených systémů a dat.

Poskytovatel nesmí do prostředí Objednatele nebo do předmětu plnění dodat funkce, kód nebo prostředky, jejichž účelem je neoprávněné získání přístupu, narušení provozu, obcházení bezpečnostních mechanismů nebo neoprávněné nakládání s daty.

Dojde-li po uzavření Smlouvy ke změně právních předpisů, vydání nebo změně závazného aktu orgánu veřejné moci nebo jiné obdobné skutečnosti mající dopad na bezpečnostní opatření Poskytovatele nebo Objednatele, zavazují se Smluvní strany poskytnout si nezbytnou součinnost za účelem promítnutí takových požadavků do svých bezpečnostních opatření a plnění dle Smlouvy.

Vyžaduje-li taková změna změnu závazku ze Smlouvy, postupují Smluvní strany v souladu se ZZVZ a Smlouvou.

# Bezpečnostní události

Poskytovatel je povinen bez zbytečného odkladu, nejpozději do 24 hodin od zjištění, oznámit Objednateli každou bezpečnostní událost, incident nebo významné slabé místo, které souvisí s plněním Smlouvy nebo může mít dopad na data Objednatele, jeho informační systémy nebo poskytování jeho služeb (dále jen „**Relevantní událost**“).

Oznámení podle předchozího odstavce musí obsahovat alespoň popis zjištěné skutečnosti, čas zjištění, předpokládaný dopad, dotčená aktiva nebo data, přijatá nebo navržená opatření a kontaktní osobu Poskytovatele.

Pokud se Relevantní událost týká osobních údajů, je Poskytovatel povinen ji oznámit Objednateli bez zbytečného odkladu tak, aby Objednatel mohl splnit své zákonné oznamovací povinnosti.

Page 4

Poskytovatel je povinen bez zbytečného odkladu přijmout přiměřená opatření ke zmírnění dopadů Relevantní události a poskytnout Objednateli veškerou potřebnou součinnost při šetření, nápravě, obnově provozu, oznamování a plnění dalších zákonných povinností.

# Součinnost a změny

Poskytovatel se zavazuje poskytnout Objednateli veškerou nezbytnou součinnost ke splnění povinností Objednatele dle ZKB, zejména při analýze souvisejících rizik, přijímání opatření za účelem snížení všech nepříznivých dopadů spojených se změnami, aktualizaci bezpečnostní dokumentace, souvisejícím testováním a zajištění možnosti navrácení do původního stavu.

Poskytovatel se zavazuje dodržovat požadavky Objednatele na řízení kontinuity činností v souladu se Smlouvou.

Poskytovatel se zavazuje se zahájením plnění Smlouvy informovat Objednatele o způsobu řízení rizik na straně Poskytovatele a o zbytkových rizicích souvisejících s plněním Smlouvy.

Poskytovatel je povinen Objednatele předem informovat o zamýšlené změně ve způsobu plnění Smlouvy, která může mít podstatný dopad na kybernetickou nebo informační bezpečnost plnění, dostupnost služeb, integritu, nebo důvěrnost dat Objednatele (dále jen „**Změna s dopadem na KB**“). Zejména se jedná o změnu poddodavatele, místa zpracování nebo ukládání dat, klíčových aktiv použitých k plnění Smlouvy, nebo bezpečnostní architektury řešení.

Změnu s dopadem na KB lze provést pouze po posouzení jejích dopadů a po projednání s Objednatelem, a to výhradně v časech stanovených Smlouvou, nejsou-li takové časy ve Smlouvě upraveny, tak v časech dohodnutých s Objednatelem. Poskytovatel musí mít zpracovaný plán návratu v případě selhání změny.  O provedené změně Poskytovatel vyhotoví záznam, který neprodleně po provedení změny předá Objednateli. Vyžaduje-li taková změna úpravu Smlouvy, postupují Smluvní strany v souladu se ZZVZ a Smlouvou.

Poskytovatel je povinen uchovávat dokumentaci o Změně s dopadem na KB po dobu minimálně 5 let od jejího provedení.

Poskytovatel je povinen bezodkladně informovat Objednatele o významné změně kontroly nad Poskytovatelem nebo o změně kontroly nad zásadními aktivy využívanými Poskytovatelem k plnění podle Smlouvy, přičemž

významnou změnou kontroly se rozumí změna ovládající osoby dle § 74 a násl. zákona č. 90/2012 Sb., o obchodních společnostech a družstvech (zákon o obchodních korporacích), ve znění pozdějších předpisů, a

zásadními aktivy se rozumí aktiva, (i) s jejichž pomocí je možné přímo či nepřímo ovlivňovat bezpečnost služeb, systémů Objednatele nebo Dat Objednatele v nich obsažených, (ii) která obsahují Data Objednatele, nebo (iii) skrze která je možné proniknout do systémů Objednatele a která jsou zásadní pro realizaci Smlouvy.

Page 5

Poskytovatel je povinen pravidelně přezkoumávat, minimálně však 1x ročně, stav plnění povinností Poskytovatele dle těchto Bezpečnostních požadavků a předat Objednateli na vyžádání o takovém přezkoumání bez zbytečného odkladu písemnou zprávu.

# Audit

Poskytovatel je povinen umožnit Objednateli provedení přezkoumání činností a procesů Poskytovatele za účelem ověření souladu bezpečnostních opatření Poskytovatele s právními předpisy, Smlouvou a těmito Bezpečnostními požadavky (dále jen „**Audit**“).

Objednatel je oprávněn provádět Audit i prostřednictvím třetí osoby. Taková třetí osoba nesmí být v soutěžním postavení vůči Poskytovateli. Objednatel je povinen zavázat takovou třetí osobu mlčenlivostí minimálně ve stejném rozsahu, v jakém je dle Smlouvy zavázán Objednatel.

Poskytovatel je povinen poskytnout k Auditu přiměřenou součinnost, zejména je povinen poskytnout auditorovi nezbytnou dokumentaci, záznamy a přístup do prostor nezbytných pro plnění Smlouvy. Stejnou součinnost je Poskytovatel povinen zajistit i u svých poddodavatelů.

Objednatel je oprávněn provést Audit jednou za kalendářní rok. Objednatel je dále oprávněn provést mimořádný Audit při důvodném podezření na porušení povinností ze Smlouvy či těchto Bezpečnostních požadavků nebo po bezpečnostním incidentu.

Objednatel oznámí Poskytovateli záměr provést Audit s dostatečným předstihem, minimálně však 30 dní předem. Uvedené neplatí pro mimořádný Audit.

Audit musí být přiměřený a omezený na plnění podle Smlouvy. Poskytovatel se zavazuje vynaložit přiměřené úsilí, aby prováděním Auditu nedošlo k nepřiměřenému narušení činnosti Poskytovatele.

Objednatel vyhotoví o výsledcích Auditu závěrečnou zprávu (dále jen „**Závěrečná zpráva**“), ve které uvede zjištěné nedostatky.

Poskytovatel má právo se do deseti pracovních dní od doručení Závěrečné zprávy vyjádřit k nedostatkům v ní uvedených. Objednatel se zavazuje zohlednit v nejvyšší možné míře takto uplatněné připomínky Poskytovatele a zapracovat je do Závěrečné zprávy.

Poskytovatel je povinen ve lhůtě 10 pracovních dní od obdržení Závěrečné zprávy upravené v souladu s předchozím odstavcem sdělit Objednateli, jaká navrhuje nápravná opatření a termín, kdy je provede. Termín pro provedení nápravných opatření je Poskytovatel povinen stanovit přiměřeně dle druhu a rozsahu zjištěného nedostatku. Objednatel tato nápravná opatření a termín pro jejich provedení bud’ schválí, nebo je vrátí Poskytovateli s připomínkami k přepracování. Tento proces se opakuje do doby, než Objednatel souhlasí s navrhovanými nápravnými opatřeními a termínem pro jejich provedení.

Page 6

Poskytovatel se zavazuje v termínu dle předchozího odstavce zajistit realizaci dohodnutých nápravných opatření a do 5 pracovních dní od dokončení této realizace předat Objednateli zprávu o provedených nápravných opatřeních.

Jakákoliv data, informace nebo jiná aktiva získaná při Auditu mohou být Objednatelem použita výhradně pro účely Auditu, vyhodnocení jeho výsledků, přijetí nápravných opatření a pro další potřeby Objednatele související s řízením vztahu s Poskytovatelem. 

Každá ze Smluvních stran nese vlastní náklady související s provedením Auditu.