Procurement observatory.

<!-- PAGE 1 -->ZIP Archive (8 files, 1399324 bytes)

Files: - ZD (PDF komplet).pdf (1118630 bytes) - Přílohy ZD (editovatelný formát)/ (0 bytes) - Přílohy ZD (editovatelný formát)/Příloha č. 1 ZD (Krycí list nabídky).docx (30741 bytes) - Přílohy ZD (editovatelný formát)/Příloha č. 1 Závazného vzoru smlouvy (Technická specifikace).docx (34399 bytes) - Přílohy ZD (editovatelný formát)/Příloha č. 2 ZD (Závazný návrh smlouvy).docx (61535 bytes) - Přílohy ZD (editovatelný formát)/Příloha č. 2 Závazného vzoru smlouvy (Specifikace plnění požadavků v oblasti kybernetické bezpečnosti).docx (77580 bytes) - Přílohy ZD (editovatelný formát)/Příloha č. 3 ZD (ČP ZZ).docx (32124 bytes) - Přílohy ZD (editovatelný formát)/Příloha č. 4 ZD (Seznam významných dodávek).docx (44315 bytes)


Přílohy ZD (editovatelný formát)/Příloha č. 3 ZD (ČP ZZ).docx
<!-- PAGE 1 -->**Čestné prohlášení o splnění základní způsobilosti Dodavatel:**

| Jméno / název / obchodní firma |  |
| --- | --- |
| Bydliště / sídlo / místo podnikání |  |
| Právní forma |  |
| IČO |  |

tímto v souladu s § 74 a § 75 zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů (dále jen „zákon“), v rámci zadávacího řízení na veřejnou zakázku „Podpora infrastruktury CheckPoint a ochrana koncových zařízení“ čestně prohlašuje, že splňuje podmínky základní způsobilosti pro plnění uvedené veřejné zakázky, tj. že: 

- nebyl v zemi svého sídla v posledních 5 letech před zahájením výběrového řízení pravomocně odsouzen pro trestný čin uvedený v příloze č. 3 k zákonu, nebo obdobný trestný čin podle právního řádu země sídla dodavatele; k zahlazeným odsouzením se nepřihlíží, 
- nemá v České republice nebo v zemi svého sídla v evidenci daní zachycen splatný daňový nedoplatek,
- nemá v České republice nebo v zemi svého sídla splatný nedoplatek na pojistném nebo na penále na veřejné zdravotní pojištění, 
- nemá v České republice nebo v zemi svého sídla splatný nedoplatek na pojistném nebo na penále na sociální zabezpečení a příspěvku na státní politiku zaměstnanosti, 
- není v likvidaci, nebylo proti němu vydáno rozhodnutí o úpadku, nebyla vůči němu nařízena nucená správa podle jiného právního předpisu nebo není v obdobné situaci podle právního řádu země sídla dodavatele. 

Dodavatel dále čestně prohlašuje, že podmínku podle § 74 odst. 1 písm. a) zákona splňuje zároveň každý člen jeho statutárního orgánu, přičemž je-li členem statutárního orgánu dodavatele právnická osoba, splňuje tuto podmínku tato právnická osoba, každý člen statutárního orgánu této právnické osoby a osoba zastupující tuto právnickou osobu v statutárním orgánu dodavatele. 

V ==……………………== dne ==……………==

..........................................................................................

Jméno a podpis osoby oprávněné zastupovat dodavatele


Přílohy ZD (editovatelný formát)/Příloha č. 1 Závazného vzoru smlouvy (Technická specifikace).docx
<!-- PAGE 1 -->**Technická specifikace**

| **Položka č.** | **Název položky** | **Název položky** | **Popis** | **Jednotka** | **Počet jednotek / uživatelů** |
| --- | --- | --- | --- | --- | --- |
| 1 | **Servisní podpora (support) výrobce firewallů na období od 16.11.2026 do 15.11.2030** | **Servisní podpora (support) výrobce firewallů na období od 16.11.2026 do 15.11.2030** | **Servisní podpora (support) výrobce firewallů na období od 16.11.2026 do 15.11.2030** | **Servisní podpora (support) výrobce firewallů na období od 16.11.2026 do 15.11.2030** | **Servisní podpora (support) výrobce firewallů na období od 16.11.2026 do 15.11.2030** |
| 1 | **PODPORA** | ** ** | ** ** | ** ** | ** ** |
| 1 | CPAP-SG9300-PLUS-SNBT | Check Point Force Firewall 9300 Plus Appliance | CPCES-CO-PREMIUM | 4 roky | 2 |
| 1 | CPAC-TR-10SR-D | SFP+ transceiver for 10G Fiber Ports- short range (10GBase-SR) | CPCES-CO-PREMIUM | 4 roky | 8 |
| 1 | CPAC-RAILS-9000 | Slide Rails for 9100-9400 | CPCES-CO-PREMIUM | 4 roky | 2 |
| 2 | **Licence k užívání softwaru ke dvěma (2) firewall boxům na období od 16.11.2026 do 15.11.2030** | **Licence k užívání softwaru ke dvěma (2) firewall boxům na období od 16.11.2026 do 15.11.2030** | **Licence k užívání softwaru ke dvěma (2) firewall boxům na období od 16.11.2026 do 15.11.2030** | **Licence k užívání softwaru ke dvěma (2) firewall boxům na období od 16.11.2026 do 15.11.2030** | **Licence k užívání softwaru ke dvěma (2) firewall boxům na období od 16.11.2026 do 15.11.2030** |
| 2 | **LICENCE** | ** ** |  |  |  |
| 2 | CPEBP-NGTX | Enterprise Based Protection - Sandblast Threat Prevention Pkg Including IPS, APCL, URLF, AV, ABOT, ASPM, TX, TE, ADNS, ZP blades | CPEBP-NGTX | 4 roky | 2 |
| 3 | **Servisní podpora (support) výrobce, licence a podpora ke stávající funkcionalitě vzdáleného VPN přístupu uživatelů a k v současnosti využívanému cloudovému řešení, které v reálném čase sdílí a analyzuje informace o kybernetických hrozbách a okamžitě poskytuje ochranu proti malwaru, botům a pokročilým útokům proti bezpečnostním systémům objednatele, ochrana koncových stanic a zabezpečení přístupu zaměstnanců k nástrojům AI, to vše na období od 16.11.2026 do 15.11.2030.** | **Servisní podpora (support) výrobce, licence a podpora ke stávající funkcionalitě vzdáleného VPN přístupu uživatelů a k v současnosti využívanému cloudovému řešení, které v reálném čase sdílí a analyzuje informace o kybernetických hrozbách a okamžitě poskytuje ochranu proti malwaru, botům a pokročilým útokům proti bezpečnostním systémům objednatele, ochrana koncových stanic a zabezpečení přístupu zaměstnanců k nástrojům AI, to vše na období od 16.11.2026 do 15.11.2030.** | **Servisní podpora (support) výrobce, licence a podpora ke stávající funkcionalitě vzdáleného VPN přístupu uživatelů a k v současnosti využívanému cloudovému řešení, které v reálném čase sdílí a analyzuje informace o kybernetických hrozbách a okamžitě poskytuje ochranu proti malwaru, botům a pokročilým útokům proti bezpečnostním systémům objednatele, ochrana koncových stanic a zabezpečení přístupu zaměstnanců k nástrojům AI, to vše na období od 16.11.2026 do 15.11.2030.** | **Servisní podpora (support) výrobce, licence a podpora ke stávající funkcionalitě vzdáleného VPN přístupu uživatelů a k v současnosti využívanému cloudovému řešení, které v reálném čase sdílí a analyzuje informace o kybernetických hrozbách a okamžitě poskytuje ochranu proti malwaru, botům a pokročilým útokům proti bezpečnostním systémům objednatele, ochrana koncových stanic a zabezpečení přístupu zaměstnanců k nástrojům AI, to vše na období od 16.11.2026 do 15.11.2030.** | **Servisní podpora (support) výrobce, licence a podpora ke stávající funkcionalitě vzdáleného VPN přístupu uživatelů a k v současnosti využívanému cloudovému řešení, které v reálném čase sdílí a analyzuje informace o kybernetických hrozbách a okamžitě poskytuje ochranu proti malwaru, botům a pokročilým útokům proti bezpečnostním systémům objednatele, ochrana koncových stanic a zabezpečení přístupu zaměstnanců k nástrojům AI, to vše na období od 16.11.2026 do 15.11.2030.** |
| 3 | **PODPORA** | ** ** |  |  |  |
| 3 | CPSB-MOB-50 | Mobile Access Blade for 50 concurrent connections | CPCES-CO-PREMIUM | 4 roky | 2 |
| 3 | CPSB-MOB-200 | Mobile Access Blade for 200 concurrent connections | CPCES-CO-PREMIUM | 4 roky | 2 |
| 3 | CPSM-P205 | Security Management System for 2 gateways with 5 blades | CPCES-CO-PREMIUM | 4 roky | 1 |
| 3 | CPSM-C1000 | Security Management Container for 1000 endpoints | CPCES-CO-PREMIUM | 4 roky | 1 |
| 3 | CPSB-EVNT-C1000 | Check Point SmartEvent blade for Security Management C1000 | CPCES-CO-PREMIUM | 4 roky | 1 |
| 3 | CPSB-RPRT-N-C1000 | SmartReporter blade for Security Management C1000 | CPCES-CO-PREMIUM | 4 roky | 1 |
| 3 | CPSM-NGSM5 | Next Generation Security Management System for 5 gateways | CPCES-CO-PREMIUM | 4 roky | 1 |
| 3 | CPSG-VSEC-VEN-BUN-NGTP-LICENSE | Security Gateway Virtual Edition Next Generation Threat Prevention | CPCES-CO-PREMIUM | 4 roky | 2 |
| 3 | **LICENCE** | ** ** |  |  |  |
| 3 | CPCS-REP-API-10K | Threat Cloud Prevention API for 10000 queries/month 1 year subscription | CPCS-REP-API-10K | 4 roky | 1 |
| 3 | CPSG-VSEC-VEN-BUN-NGTP-LICENSE-1Y | Security Gateway Virtual Edition Next Generation Threat Prevention 1 year subsription | CPSG-VSEC-VEN-BUN-NGTP-LICENSE-1Y | 4 roky | 2 |
| 3 | CPSB-EVS-5 | SmartEvent and SmartReporter blade for 5 gateways 4 year subscription | CPSB-EVS-5 | 4 roky | 1 |
|  | CP-HAR-EP-ADVANCED-4Y | Check Point Endpoint Security Advanced- Including Sandboxing, Browser Security, Attack Investigation, Threat Prevention, Access Control and Threat Intelligence | CP-HAR-EP-ADVANCED-4Y | 4 roky | 1200 |
|  | CP-AISEC-WORKFORCE-ESS-T2-Y | Workforce AI Security, Essentials - Discovery, governance, and protection for employee AI adoption - web applications | CP-AISEC-WORKFORCE-ESS-T2-Y | 4 roky | 870 |

**Servisní podpora zahrnuje zejména:**

- technickou podporu při provozu a správě řešení Check Point Harmony Endpoint;
- konzultace k konfiguraci, správě a optimálnímu nastavení produktu;
- podporu při vytváření a úpravách bezpečnostních politik;
- podporu při instalaci, konfiguraci a aktualizacích endpoint agentů;
- řešení provozních problémů souvisejících s funkčností produktu;
- analýzu hlášených chyb a identifikaci příčin vzniklých problémů;
- podporu při odstraňování závad a obnově standardní funkčnosti řešení;
- poskytování doporučení týkajících se bezpečnostního nastavení a osvědčených postupů výrobce;
- poskytování informací o dostupných aktualizacích, záplatách a nových verzích produktu;
- asistenci při implementaci doporučených aktualizací a oprav;
- zajištění komunikace a eskalace technických problémů na technickou podporu výrobce Check Point v rozsahu odpovídajícím úrovni partnerství a aktivnímu servisnímu programu výrobce;
- koordinaci řešení incidentů s výrobní podporou Check Point až do jejich uzavření.

**SLA servisní podpory**

| **Priorita** | **Popis** | **Reakční doba** |
| --- | --- | --- |
| P1 Kritická | Úplná nefunkčnost řešení nebo kritický problém s významným dopadem na bezpečnost či provoz | do 1 hodiny |
| P2 Vysoká | Významné omezení funkcionality řešení | do 4 hodin |
| P3 Standardní | Omezená funkčnost nebo provozní problém bez kritického dopadu | do 1 pracovního dne |
| P4 Nízká | Konzultace, změnové požadavky, dotazy k provozu | do 2 pracovních dnů |

***Poznámka:** Doby odstranění závady závisí na charakteru problému, součinnosti Objednatele a případném zapojení technické podpory výrobce Check Point.* 

*Partner garantuje reakční dobu a zahájení řešení, nikoliv dobu vydání opravy výrobcem.*


Přílohy ZD (editovatelný formát)/Příloha č. 2 Závazného vzoru smlouvy (Specifikace plnění požadavků v oblasti kybernetické bezpečnosti).docx
<!-- PAGE 1 -->**Specifikace plnění požadavků v oblasti kybernetické bezpečnosti**

Bezpečnostní opatření pro smluvní vztahy dle § 9 vyhlášky č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností

**Vymezení pojmů**

Pro potřeby této přílohy smlouvy jsou použity následující zkratky a pojmy:

**ZoKB** – zákon č. 264/2025 Sb., o kybernetické bezpečnosti.

**VoKB** – vyhláška č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností.

**Kybernetické bezpečnostní požadavky** – všechny bezpečnostní požadavky ve smyslu ZoKB a VoKB.

**Povinná osoba** – poskytovatel regulované služby v režimu vyšších povinností ve smyslu VoKB; pro účely této smlouvy se za povinnou osobu považuje objednatel.

**Významný dodavatel** – ten, kdo povinné osobě poskytuje plnění, které je významné z hlediska zajištění kybernetické bezpečnosti regulované služby; poskytovatel je pro účely této smlouvy významným dodavatelem.

**Privilegovaný uživatel** – uživatel nebo jiná osoba, jejíž činnost na technickém aktivu může mít významný dopad na bezpečnost regulované služby.

**Administrátor** – privilegovaný uživatel nebo jiná osoba zajišťující správu, provoz, užívání, údržbu a bezpečnost technického aktiva.

**IS ČTÚ** – informační systém objednatele (ČTÚ) jakožto celek složený z počítačového hardwaru a souvisejícího softwaru spolu s lidmi a procesy a navržený ke sběru, zpracování a šíření informací potřebných k plánování, rozhodování a řízení.

**Produkční prostředí** – prostředí běžně přístupné uživatelům IS ČTÚ v ostrém provozu.

**Testovací prostředí** – prostředí určené k provádění testů, vzdělávání uživatelů apod., a to v podobě, nastavení a rozsahu umožňujícím účinně zkoumat funkcionality testovacích verzí IS ČTÚ.

**Prostředí objednatele** – fyzický perimetr určený ohraničením fyzického prostoru v nájmu nebo majetku objednatele anebo logický perimetr definovaný hraničními síťovými prvky ve správě nebo majetku objednatele,

**Osoba na straně poskytovatele** – fyzická osoba podílející se na poskytování předmětu plnění a mající pracovněprávní či obdobný smluvní vztah s poskytovatelem nebo jeho poddodavateli.

**Osobní údaje** – každá informace o identifikované nebo identifikovatelné fyzické osobě (subjektu údajů), jestliže lze subjekt údajů přímo či nepřímo pomocí tohoto údaje identifikovat.

**Zpracování osobních údajů** – jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení.

# ÚVODNÍ USTANOVENÍ

1. Z důvodu nutnosti plnění povinností stanovených objednateli jakožto povinné osobě ve smyslu VoKB je dodavatel (pro účely této přílohy dále označován jen jako „poskytovatel“) povinen nad rámec dalších povinností stanovených smlouvou plnit níže uvedené povinnosti zejména součinnostního a bezpečnostního charakteru dle této přílohy smlouvy. Účelem této přílohy smlouvy tak je dodržet povinnost objednatele dle § 13 odst. 5 ZoKB, tj. zahrnout požadavky vyplývající z bezpečnostních opatření do smluvního ujednání s poskytovatelem.

Pokud není ve smlouvě výslovně uvedeno jinak, odměna za provádění povinností a opatření dle této přílohy a kybernetických bezpečnostních požadavků je součástí ceny sjednané ve smlouvě.

# SYSTÉM ŘÍZENÍ BEZPEČNOSTI INFORMACÍ

1. Poskytovatel je povinen se v rozsahu předmětu plnění smlouvy aktivně podílet na plnění povinností objednatele uvedených v § 3 a § 6 VoKB. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

1. Prosadit bezpečnostní zásady a procesy, které budou pokrývat zabezpečení dat a informací, jež mohou být vytvářeny a zpracovávány na straně poskytovatele při poskytování plnění dle smlouvy.
2. Zavést na základě bezpečnostních potřeb a výsledků hodnocení rizik příslušná bezpečnostní opatření v rozsahu předmětu poskytovaného plnění, monitorovat je, a průběžně vyhodnocovat jejich účinnost.
3. Vést záznamy o vytváření a zpracování dat a informací v rozsahu předmětu poskytovaného plnění, zaznamenávat veškeré podstatné okolnosti související se zajištěním bezpečnosti těchto dat a informací a na vyžádání tyto záznamy objednateli zpřístupnit. Na vyžádání objednatele poskytovatel doloží plnění kybernetických bezpečnostních požadavků vhodnými artefakty (např. politiky, postupy, záznamy, reporty, výsledky testů) ve lhůtě, která nebude kratší než 10 pracovních dnů, pokud se smluvní strany nedohodnou jinak.
4. Stanovit a udržovat aktuální bezpečnostní politiku, která bude pokrývat zabezpečení dat a informací, jež mohou být vytvářeny a zpracovávány na straně poskytovatele při poskytování plnění dle smlouvy. Bezpečnostní politika musí obsahovat hlavní zásady, cíle, bezpečnostní potřeby, práva a povinnosti ve vztahu k řízení bezpečnosti informací.

## Poskytovatel je dále rovněž povinen dodržovat bezpečnostní politiku objednatele, pokud s ní byl prokazatelně seznámen.

# ŘÍZENÍ AKTIV

1. Poskytovatel je povinen se v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 7 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

1. Stanovit a udržovat rozsah a seznam aktiv využívaných pro plnění této smlouvy (aktivy se rozumí např. data a informace k předmětu plnění dle této smlouvy, IS ČTÚ, moduly, hardware prvky – infrastruktura hlasové a datové komunikace, aplikace, databáze, servery, úložiště, koncová zařízení – pracovní stanice typu osobní počítač nebo notebook, mobilní koncová zařízení apod.), a tato aktiva strukturovaně popsat a objednateli předložit následně na vyžádání, a to po celou dobu trvání smlouvy.

# Řízení rizik

1. Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 8 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

4.1.1&#9;Řídit vlastní rizika, která mohou ovlivnit poskytování předmětu plnění dle smlouvy.

4.1.2&#9;V minimálním intervalu jednou ročně (nebo i v případě významných změn činností prováděných pro objednatele nebo změn spravovaných aktiv) vytvořit a bude-li to objednatel požadovat, předložit mu zprávu o hodnocení rizik, která bude minimálně pokrývat:

### Vyhodnocení stavu kybernetické bezpečnosti za hodnocený rok;

### Identifikaci a hodnocení rizik s vazbou na předmět plnění;

### Realizovaná bezpečnostní opatření;

### Nepokrytá bezpečnostní rizika a návrh opatření;

### Vyhodnocení bezpečnostních událostí a incidentů;

### Aktuální stav souladu poskytovatele s kybernetickými požadavky včetně přehledu kybernetických požadavků, které:

- nebyly aplikovány, včetně odůvodnění, a
- byly aplikovány, včetně způsobu plnění.

# Organizační bezpečnost

1. Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 4 a § 5 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

5.1.1&#9;Jmenovat nejpozději do 30 dnů ode dne účinnosti smlouvy odpovědnou kontaktní osobu/y pro potřeby zajištění plnění kybernetických bezpečnostních požadavků a související komunikace mezi smluvními stranami (dále jen „kontaktní osoba pro kybernetickou bezpečnost“). Kontaktní osobu/y pro kybernetickou bezpečnost sdělí poskytovatel písemně objednateli v téže lhůtě. 

5.1.2&#9;Využívat pro poskytování předmětu plnění smlouvy pouze oprávněných osob, které byly řádně seznámeny s příslušnými ustanoveními interních předpisů objednatele a mají ověřenou kvalifikaci, znalosti a zkušenosti k řádnému poskytování předmětu plnění dle smlouvy a stanovit bezpečnostní role těchto oprávněných osob s jasně definovanými odpovědnostmi a pravomocemi.

5.1.3&#9;Zajistit zastupitelnost kontaktní osoby pro kybernetickou bezpečnost a zřídit komunikační kanál pro hlášení bezpečnostních událostí dostupný nepřetržitě (24/7).

# Řízení dodavatelů

1. Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 9 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:&#9;

6.1.1&#9;Bude-li při poskytování předmětu plnění smlouvy využívat subdodavatele, zajistí v obdobném rozsahu dodržování kybernetických bezpečnostních požadavků rovněž ve smluvních vztazích se svými subdodavateli s tím, že za plnění povinností subdodavatelů odpovídá poskytovatel tak, jako by je plnil sám.

6.1.2&#9;Dodržovat podmínky při zpracování osobních údajů pro zapojení každého dalšího subdodavatele.

6.1.3&#9;Předložit objednateli na vyžádání aktuální seznam subdodavatelů, jejich roli, rozsah přístupu k aktivům objednatele a lokalitu zpracování dat a poskytnout objednateli součinnost k posouzení rizik dodavatelského řetězce.

6.1.4&#9;Předem písemně oznámit objednateli zapojení nového subdodavatele nebo změnu subdodavatele, který se podílí na poskytování plnění významného z hlediska kybernetické bezpečnosti. Objednatel je oprávněn z odůvodněných bezpečnostních důvodů zapojení takového subdodavatele odmítnout.

# Bezpečnost lidských zdrojů

1. Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 10 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

7.1.1&#9;Zajistit, aby kontaktní osoba pro kybernetickou bezpečnost nejpozději do 30 dnů ode dne účinnosti smlouvy potvrdila písemně objednateli, že všechny osoby podílející se na poskytování předmětu plnění smlouvy za poskytovatele byly prokazatelně seznámeny s těmito kybernetickými bezpečnostními požadavky a příslušnými ustanoveními interních předpisů objednatele.

7.1.2&#9;Dodržovat příslušná ustanovení interních předpisů objednatele v rozsahu, v jakém byl s těmito akty seznámen. Za prokazatelné seznámení se považuje:

1. proškolení pracovníků poskytovatele zajištěné objednatelem,
2. protokolární či elektronické předání příslušných předpisů nebo,
3. objednatelem zajištěný přístup na sdílené úložiště obsahující příslušné interní předpisy, jejichž konkrétní jmenovitý seznam bude poskytovateli – současně s poskytnutím přístupu – protokolárně předán.

7.1.3&#9;Zajistit, aby osoby podílející se na poskytování plnění objednateli v prostředí/nebo s prostředky objednatele, a to i tehdy, pokud jsou prostředky objednatele používány mimo jeho prostředí:

a)&#9;pro uložení a sdíleni dat a informací objednatele využívaly pouze k tomu schválené prostředky (aktiva);

b)&#9;neukládaly ani nesdílely data a informace eticky nevhodného obsahu, odporující dobrým mravům nebo poškozující dobré jméno objednatele;

c)&#9;nestahovaly, nesdílely, neukládaly, nearchivovaly ani neinstalovaly datové a spustitelné soubory v rozporu s licenčními podmínkami nebo předpisy upravující ochranu duševního vlastnictví;

d)&#9;nenavštěvovaly internetové stránky s eticky či jinak nevhodným nebo s nebezpečným obsahem;

e)&#9;nerealizovaly pokusy o neautorizovaný přístup ke zdrojům objednatele ani ke zdrojům jiných subjektů;

f)&#9;nerealizovaly pokusy o neoprávněnou modifikaci ani jiné neoprávněné zásahy do prostředků objednatele, a to ani v případě, kdy jim byl prostředek objednatele svěřen do správy;

g)&#9;nepodílely se s prostředky objednatele na šíření spamu ani škodlivého softwaru.

7.2&#9;Poskytovatel si je vědom, že součástí podmínek pro získání přístupu ke zdrojům a aktivům objednatele je na straně objednatele zpracování osobních údajů pověřených osob poskytovatele, které se podílejí na poskytování plnění dle smlouvy. Pokud nebude objednateli umožněno osobní údaje pověřených osob poskytovatele zpracovat, nebude těmto pracovníkům umožněn žádný přístup ke zdrojům objednatele.

7.3&#9;Poskytovatel zajistí, aby pracovníci před umožněním jejich přístupu k datům nebo před zapojením do činností, které by mohly ovlivnit bezpečnost poskytovaných služeb v rámci plnění, měli uzavřenou dohodu o zachování mlčenlivosti (důvěrnosti) dat s adekvátní dobou trvání povinnosti mlčenlivosti.

7.4&#9;Poskytovatel nesmí umožnit přístup k datům třetím stranám, jako např. subdodavatelům nebo obchodním partnerům, bez předcházejícího písemného souhlasu objednatele. Takový souhlas je udělen schválením subdodavatele ve smlouvě, objednávce nebo obdobným způsobem, čímž objednatel uděluje souhlas se zpřístupněním dat subdodavateli v rozsahu nezbytném pro subdodávku.

7.5&#9;Poskytovatel zajistí procesy a pravidla vedení disciplinárního řízení a v případě potřeby provádí disciplinární řízení k přijetí opatření vůči pracovníkům, kteří porušili povinnosti v oblasti kybernetické bezpečnosti.

# Řízení změn

8.1&#9;Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 11 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

8.1.1&#9;Přiměřeně reagovat na změny v oblasti kybernetické bezpečnosti na straně objednatele a upravit na své straně technická a organizační opatření tak, aby odpovídala novému stavu po provedení změny.

8.1.2&#9;Aktivně spolupracovat při testování významné změny v oblasti kybernetické bezpečnosti na straně objednatele.

# Řízení přístupu

1. Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 13 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

9.1.1&#9;Přidělovat oprávnění svým jednotlivým pracovníkům ve smyslu oprávnění k výkonu činností tak, aby byla minimalizována rizika nežádoucího přístupu k aktivům objednatele. Řízení přístupů by mělo být řešeno na základě příslušných rolí (RBAC – Role-Based Access Control) a dodržování principu minimálních oprávněn („Need To Know”).

9.1.2&#9;Zajistit, aby udělený přístup nebyl sdílen více osobami za stranu poskytovatele. V opačném případě musí poskytovatel vést evidenci využívání sdílených přístupů a tuto na vyžádání předložit objednateli kdykoli v průběhu trvání účinnosti této smlouvy a tři měsíce po jejím ukončení, ve lhůtě, která nebude kratší než 6 pracovních dnů.

9.1.3&#9;Pokud jsou v rámci plnění využívány servisní nebo technické účty, poskytovatel zajistí jejich evidenci, omezení oprávnění na nezbytné minimum, řízení a bezpečné ukládání autentizačních údajů (preferovaně prostřednictvím trezoru/PAM), pravidelnou rotaci a dohled nad jejich použitím.

9.1.4&#9;Stanovit v požadavku na přístup rozsah dat/informací, služby, účelu, pro které je přístup k IS ČTÚ požadován, a časový údaj o délce platnosti přístupu (např.: na dobu neurčitou, 1 rok, 1 měsíc apod).

9.1.5&#9;Zajistit, aby osoby podílející se na poskytování předmětu plnění smlouvy a mající přístup k informačním aktivům objednatele chránily autentizační prostředky a údaje a nikdy neposkytovaly neautorizovaný přístup dalším osobám.

9.1.6&#9;Průběžně kontrolovat a vyhodnocovat oprávněnost a potřebu přístupu, jak fyzického, tak i logického, u všech osob na straně poskytovatele, které přistupují do prostředí objednatele.

9.1.7&#9;Zavést vhodné postupy pro odebírání nebo blokování přístupových oprávnění uživatelů v případě potřeby, zejména pokud pracovník již nepotřebuje přístup k plnění svých pracovních povinností (např. pokud došlo ke změně pozice zaměstnance), nebo se ukáže potřeba přijmout mimořádné bezpečností opatření spočívající v odebrání přístupu, nebo došlo k úniku autentizačních údajů (hesla).

9.2&#9;Poskytovatel bere na vědomí, že oprávnění přístupu k IS ČTÚ je možné povolit pouze fyzické identitě zaměstnance poskytovatele/subdodavatele, a to na základě příslušného požadavku poskytovatele.

9.3&#9;Poskytovatel bere na vědomí, že přidělení oprávnění přístupu ze strany objednatele musí být řízeno principem nezbytného minima a není nárokové.

9.4&#9;Poskytovatel bere na vědomí, že v případě neúspěšných pokusů o autentizaci uživatele (osoby za stranu poskytovatele) může být příslušný účet objednatelem zablokován a řešen jako bezpečnostní incident a dále mohou být uplatněny příslušné postupy zvládání bezpečnostního incidentu (např. okamžité zrušení přístupu k informačním aktivům objednatele). 

# Akvizice, vývoj a údržba

10.1&#9;Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 12 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

10.1.1&#9;Zajistit bezpečnou implementaci, inovaci, aktualizaci a testování veškerých technických aktiv, jsou-li tato předmětem plnění dle smlouvy či jeho součástí.

10.1.2&#9;Není-li smlouvou stanoveno jinak, předat při ukončení smlouvy objednateli kompletní provozní a bezpečnostní dokumentaci předmětu plnění dle smlouvy. Ta musí být předána minimálně v následujícím rozsahu:

1. dokumentace skutečného provedení;
2. dokumentace všech bezpečnostních nastavení, funkcí a mechanismů;
3. dokumentace obsahující popis autorizačního konceptu a oprávnění;
4. dokumentace obsahující instalační a konfigurační postupy;
5. dokumentace obsahující zálohovací a archivační postupy;
6. dokumentace pro zajištění DR (obnovy po havárii), příp. pro zajištění kontinuity provozu.

Poskytovatel předá bezpečnostní dokumentaci objednateli v přiměřené lhůtě, nejpozději pak dle předchozí, prokazatelně doložitelné, dohody smluvních stran.

10.2&#9;V případě, že předmět plnění smlouvy zahrnuje, byť i jen částečně, vývoj softwaru, je poskytovatel povinen:

10.2.1&#9;Dodržovat a implementovat obecně uznávané „nejlepší praktiky“ pro bezpečný vývoj softwaru (např. u webových aplikací OWASP). Základním pravidlem zde je myslet na bezpečnost softwaru ve všech jeho vývojových fázích.

10.2.2&#9;Pokud jsou softwarové auditní činnosti a předání zdrojového kódu k softwaru součástí plnění smlouvy, umožní poskytovatel objednateli audit prováděného nebo provedeného plnění a na písemnou žádost objednatele předloží poskytovatel ve stanovené lhůtě - nejdříve však 5 pracovních dnů od podání žádosti - vyvíjený zdrojový kód na provedení tzv. codereview, a to především za účelem ověření skutečnosti, zda poskytovatel postupuje či postupoval při poskytování plnění v souladu se smlouvou a těmito bezpečnostními požadavky.

10.2.3&#9;Poskytovat objednateli v termínech stanovených objednatelem, resp. bez zbytečného odkladu požadovanou součinnost na provedení bezpečnostního testování v průběhu vývoje softwaru (nejdříve však od zahájení testovacího provozu) či kdykoli po jeho předání. 

10.2.4&#9;Pokud je součástí plnění dle smlouvy i instalace operačního systému, případně softwaru třetích stran, zajistit v průběhu jeho instalace, že budou použity předepsané verze těchto produktů kompatibilní a funkční v testovacím prostředí či produkčním prostředí objednatele.

10.2.5&#9;Zajistit bezpečnost testovacího prostředí u poskytovatele a ochranu poskytnutých testovacích dat objednatelem.

10.2.6&#9;Zajistit, že v rámci poskytovaného plnění bude dodávaný software

1. v souladu s bezpečnostními politikami a standardy objednatele;
2. otestován na soulad s bezpečnostními politikami objednatele, pokud byl s takovými bezpečnostními politikami prokazatelně seznámen.

10.2.7&#9;Instalovat software pouze na základě předem schválených migračních postupů objednatelem.

10.2.8&#9;Předat zdrojový kód objednateli bezpečnou formou, zajištující jeho prokazatelnou integritu.

10.2.9&#9;Zajistit řízení verzí zdrojového kódu, jeho zálohování a jeho uložení mimo produkční prostředí.

# Zvládání kybernetických bezpečnostních událostí a incidentů

11.1.&#9;Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 14 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy zejména:

11.1.1&#9;Stanovit a popsat na své straně činnosti, role a jejich odpovědnosti a pravomoci vedoucí k rychlému a účinnému zvládání kybernetických bezpečnostních událostí a incidentů.

11.1.2&#9;Bez zbytečného odkladu poskytovat objednateli první oznámení o kybernetické bezpečnostní události/incidentu (nejpozději však do 4 hodin od zjištění podezření), a nejpozději do 18 hodin od detekce poskytnout detailní oznámení. Hlášení se týká všech kybernetických bezpečnostních událostí a incidentů, které mají nebo by mohly mít dopad na důvěrnost, integritu nebo dostupnost poskytovaných služeb či dat objednatele, a to stanoveným komunikačním kanálem nebo prostřednictvím kontaktní osoby pro kybernetickou bezpečnost. Oznámení bude obsahovat alespoň popis kybernetické bezpečnostní události/incidentu, předpokládaný dopad, dotčená aktiva, stav mitigace a přijatá/připravovaná nápravná opatření. Poskytovatel zajistí uchování relevantních důkazů (např. logů) pro potřeby šetření.

11.1.3&#9;Vyhodnocovat informace o kybernetických bezpečnostních událostech/incidentech a uchovávat je pro budoucí použití, a to s ohledem na požadavky použitelné platné a účinné legislativy.

11.1.4&#9;V případě vzniku kybernetické bezpečnostní události a následného vyhodnocování možného kybernetického bezpečnostního incidentu a/nebo v případě podezření na možný kybernetický bezpečnostní incident, poskytnout objednateli aktivní součinnost a relevantní informace o podezřelém zařízení či podezřelém jednání osob na straně poskytovatele.

11.1.5&#9;Spolupracovat při analýze příčin kybernetického bezpečnostního incidentu a v případě, že bude prokazatelně zjištěno, že poskytovatel kybernetický bezpečnostní incident zapříčinil nebo se na jeho vzniku částečně spolupodílel, navrhnout seznam všech možných opatření s cílem zamezit možnému budoucímu opakování.

11.1.6&#9;Po dohodě s objednatelem realizovat bez zbytečného odkladu opatření požadovaná objednatelem ke snížení dopadu kybernetického bezpečnostního incidentu nebo zamezení pokračování kybernetického bezpečnostního incidentu, nejpozději pak v termínech prokazatelně stanovených objednatelem.

11.2&#9;Poskytovatel bere na vědomí, že postup zvládání kybernetického bezpečnostního incidentu či jiný důsledek porušení bezpečnostních požadavků, jehož příčina je na straně poskytovatele, nebude posuzován jako okolnost vylučující odpovědnost poskytovatele za prodlení s řádným a včasným plněním předmětu smlouvy a nebude důvodem k jakékoli náhradě případné újmy poskytovateli či jiné osobě ze strany objednatele. Ostatní ustanovení ohledně odpovědnosti poskytovatele za prodlení obsažená ve smlouvě nejsou tímto ustanovením dotčena.

# Řízení kontinuity činností

12.1.&#9;Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 15 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

12.1.1&#9;Zajistit adekvátní kontinuitu svých aktiv, které jsou potřebné k poskytování předmětu plnění smlouvy.

12.1.2&#9;Pravidelně, nejméně jednou ročně, kontrolovat a testovat, že je schopen kontinuitu těchto aktiv zajistit dle sjednané SLA.

# Kontrola a audit

13.1&#9;Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 16 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy poskytnout adekvátní součinnost při výkonu kontroly objednatele ze strany dozorového orgánu (Národní úřad pro kybernetickou a informační bezpečnost – NÚKIB) dle § 55 ZoKB.

13.2&#9;Poskytovatel umožní objednateli po dobu účinnosti smlouvy provádět audit bezpečnosti informací v rozsahu služeb poskytovaných dle smlouvy, a to minimálně jednou za kalendářní rok u poskytovatele a jeho případných subdodavatelů:

13.2.1&#9;Poskytovatel se v rámci výše uvedeného zavazuje poskytnout veškerou nezbytnou součinnost, přístup do prostor a k relevantní dokumentaci. Alternativně může poskytovatel doložit soulad platným certifikátem ISO/IEC 27001 nebo zprávou typu SOC2.

13.2.2&#9;V případě podezření na kybernetický bezpečnostní incident nebo po jeho potvrzení je objednatel oprávněn provést cílený (targeted) audit zaměřený na dotčenou oblast.

13.3&#9;Objednatel je oprávněn při provedení auditu využít třetí stranu. V případě využití třetí strany bude objednatel odpovídat za třetí stranu, jako by audit kybernetické bezpečnosti prováděl sám, včetně odpovědnosti za případnou způsobenou újmu.

13.4&#9;Poskytovatel umožní objednateli audit provedený prostředky objednatele nebo třetí strany, a to v lokalitě poskytovatele i vzdáleně, pokud to technické prostředky poskytovatele umožňují.

13.5&#9;Poskytovatel je povinen nedostatky zjištěné:

13.5.1&#9;na základě provedení hodnocení rizik dle bodu 4 této přílohy č. 2 smlouvy, nebo

13.5.2&#9;v rámci auditu kybernetické bezpečnosti prováděného dle tohoto bodu,

odstranit ve lhůtě určené v písemném oznámení objednatele, která nebude kratší než 20 pracovních dnů ode dne jeho doručení. Nestanoví-li objednatel lhůtu v písemném oznámení, zavazují se smluvní strany dohodnout na lhůtě pro odstranění nedostatku, která nepřevýší 60 dnů ode dne doručení.

13.6&#9;Poskytovatel je dále povinen:

13.6.1&#9;Poskytnout na vyžádání objednateli dokumenty a obdobné vstupy, které budou prokazovat naplnění kybernetických bezpečnostních požadavků.

13.6.2&#9;Na požádání s objednatelem konzultovat kdykoli v průběhu realizace plnění dle smlouvy detailní nastavení kybernetických bezpečnostních opatření k naplnění kybernetických bezpečnostních požadavků a pro takovéto konzultace zajistit účast dostatečně kvalifikovaných pracovníků.

13.6.3&#9;Neprodleně informovat objednatele o všech významných změnách v naplnění kybernetických bezpečnostních požadavků, které nastanou kdykoli v průběhu trvání smlouvy.

13.6.4&#9;Bezodkladně a s vyvinutím maximálního úsilí zajistit náhradní způsob naplnění kybernetických bezpečnostních požadavků, pokud stávající řešení přestalo být funkční a efektivní.

13.6.5&#9;Při výkonu své činnosti včas a prokazatelně upozornit objednatele na případnou zřejmou nevhodnost jeho příkazů či doporučení, vztahujících se ke kybernetickým bezpečnostním požadavkům, jejichž následkem může vzniknout případná újma anebo nesoulad s příslušnými zákony nebo jinými obecně závaznými právními předpisy.

# Technická opatření

14.1&#9;Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 17 až § 27 VoKB, které musí objednatel splnit. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

14.1.1&#9;Dodržovat příslušné interní předpisy objednatele, s nimiž byl prokazatelně seznámen, zejména pak v oblasti fyzické ochrany bezpečnostních zón, kde jsou umístěna aktiva IS ČTÚ, anebo datové nosiče.

14.1.2&#9;Poskytnout plnou součinnost a relevantní výstupy při zavádění technických opatření kybernetické bezpečnosti, např. v oblasti zaznamenávání událostí, detekce a vyhodnocování kybernetických bezpečnostních událostí, implementace a napojení služeb bezpečnostního dohledového centra apod.

14.1.3&#9;V rozsahu předmětu plnění smlouvy zajistit fyzické zabezpečení, zejména označení, uchování a likvidaci instalačních, záložních nebo archivních médií a dokumentace v souladu s klasifikací aktiv objednatele, pokud s ní byl poskytovatel seznámen.

14.1.4. &#9;Při ukončení smlouvy na žádost objednatele buď bezpečně vrátit veškerá data v dohodnutém formátu, nebo provést jejich nenávratnou likvidaci (skartaci/výmaz) v souladu se standardy definovanými ve VoKB. O provedené likvidaci dat poskytovatel vystaví a předá objednateli nejpozději do 20 pracovních dnů písemný protokol.

14.1.5&#9;Realizovat doporučená bezpečnostní opatření pro odstranění nebo blokování komunikačních spojení, která neodpovídají požadavkům na ochranu integrity a bezpečnosti komunikační sítě.

14.1.6&#9;Realizovat přístupy z mobilních zařízení k aktivům v produkčním i testovacím prostředí objednatele pouze prostřednictvím zabezpečeného připojení virtuální privátní sítě (VPN).

14.1.7&#9;Připojovat do produkčního prostředí objednatele pouze ta síťová zařízení (switch, wifi router apod.), která prošla schvalovacím procesem a jejich připojení bylo schváleno oprávněnou osobu ve věcech technických na straně objednatele, určenou v této smlouvě.

14.1.8&#9;Bez zbytečného odkladu deaktivovat všechna nevyužívaná zakončení sítě anebo nepoužívané porty aktivního síťového prvku, pakliže tento je součástí sjednaného rozsahu předmětu plnění dle smlouvy a je současně ve správě poskytovatele.

14.1.9&#9;Na aktiva objednatele bez jeho písemného souhlasu neinstalovat a nepoužívat v prostředí objednatele následující typy nástrojů, pokud vysloveně nejsou součástí předmětu plnění dle smlouvy:

1. Keylogger – software nebo hardware, který neautorizovaně zaznamenává stisky kláves s cílem narušit důvěrnost zadávaných dat a informací.
2. Sniffer / Packet Analyzer – software nebo hardware umožňující odposlouchávání síťového provozu.
3. Analyzátor zranitelností (scanner zranitelností) – softwarový nebo hardwarový nástroj umožňující vyhledávání zranitelností systémů ICT, detekování dostupných síťových služeb a portů, běžících procesů, běžících aplikací a jejich verzí apod.
4. Backdoor – skrytý softwarový nebo hardwarový nástroj, který umožňuje obejití schválených autentizačních procedur, instalovaný s cílem budoucího snadnějšího a neautorizovaného přístupu do počítačového systému.
5. Malware a jiný škodlivý software, který narušuje, obchází či jinak omezuje stávající bezpečnostní opatření v prostředí Objednatele.

14.1.10&#9;Připojovat do prostředí objednatele pouze zařízení ICT, která splňují následující požadavky:

1. jsou příslušným způsobem zabezpečena a chráněna proti malware a jinému škodlivému softwaru – minimálně instalovaný a aktivní antivir s aktuální definiční sadou, instalované veškeré doporučené bezpečnostní záplaty pro OS a používaný SW, správně nakonfigurovaný a aktivní firewall, 
2. způsob jejich připojení je definován v příslušné provozní nebo projektové dokumentaci nebo je v souladu s příslušnými interními předpisy objednatele.

14.1.11&#9;Zajistit sběr informací o provozních a bezpečnostních činnostech v rozsahu předmětu plnění smlouvy a ochranu získaných informací před jejich neoprávněným čtením nebo změnou takto:

1. pro veškeré on-line transakce realizované prostřednictvím webových technologií implementovat doporučené a schválené TLS/SSL certifikáty s cílem zajistit důvěrnost a integritu komunikace protistran,
2. neveřejné informace poskytnuté objednatelem a ukládané na mobilní zařízení anebo přenosná paměťová média, která jsou ve správě poskytovatele, chránit vhodným šifrováním a proti neautorizovanému přístupu.

14.2&#9;Poskytovatel bere na vědomí, že v případě, kdy technické spojení ze strany poskytovatele narušuje bezpečný chod ostatních služeb objednatele, může být toto spojení ze strany objednatele bez předchozího upozornění ihned ukončeno.

14.3&#9;Poskytovatel bere na vědomí, že veškeré jeho aktivity realizované v prostředí objednatele mohou být monitorovány a vyhodnocovány v souladu s příslušnými interními dokumenty objednatele.


Přílohy ZD (editovatelný formát)/Příloha č. 1 ZD (Krycí list nabídky).docx
<!-- PAGE 1 -->KRYCÍ LIST NABÍDKY

**ZÁKLADNÍ ÚDAJE:**

**Název veřejné zakázky:**&#9;Podpora infrastruktury CheckPoint a ochrana koncových zařízení

**Zadavatel:**&#9;Česká republika – Český telekomunikační úřad

**Sídlo:**&#9;Sokolovská 58/219, Vysočany, 19000 Praha 9

**IČO:**&#9;701 06 975

**Jejímž jménem jedná:**&#9;Ing. Marek Ebert, předseda Rady ČTÚ

**Kontaktní osoba a e-mail:**&#9;Mgr. Jan Kroj, tel.: 224 004 711, e-mail: [jan.kroj@ctu.gov.cz](mailto:krojj@ctu.cz)

| **Identifikační údaje o dodavateli** | **Identifikační údaje o dodavateli** | **Identifikační údaje o dodavateli** | **Identifikační údaje o dodavateli** | **Identifikační údaje o dodavateli** |
| --- | --- | --- | --- | --- |
| Jméno / název / obchodní firma | Jméno / název / obchodní firma |  |  |  |
| Bydliště / sídlo / místo podnikání | Bydliště / sídlo / místo podnikání |  |  |  |
| Právní forma | Právní forma |  |  |  |
| Zastoupena | Zastoupena |  |  |  |
| IČO | IČO |  |  |  |
| DIČ | DIČ |  |  |  |
| Kontaktní osoba | Kontaktní osoba |  |  |  |
| Telefon | Telefon |  |  |  |
| E-mail | E-mail |  |  |  |
| Malý nebo střední podnik | Malý nebo střední podnik | ano / ne | ano / ne | ano / ne |
| Plátce DPH | Plátce DPH | ano / ne | ano / ne | ano / ne |
| **Nabídková cena v Kč** | **Nabídková cena v Kč** | **Nabídková cena v Kč** | **Nabídková cena v Kč** | **Nabídková cena v Kč** |
|  | **Cena v Kč ** **bez DPH** | **Sazba DPH** | **Částka DPH** | **Cena v Kč** **včetně DPH** |
| Celková nabídková cena za plnění podle čl. 2 Závazného vzoru smlouvy |  |  |  |  |

V ==..................== dne ==..................==

..........................................................................................

Jméno a podpis osoby oprávněné zastupovat dodavatele


Přílohy ZD (editovatelný formát)/Příloha č. 2 ZD (Závazný návrh smlouvy).docx
<!-- PAGE 1 -->**Smlouva č. CTU/2026_0077**

uzavřená podle § 1746 odst. 2 zákona č. 89/2012 Sb., občanského zákoníku,

ve znění pozdějších předpisů (dále jen „smlouva“)

**Smluvní strany**

- **Česká republika – Český telekomunikační úřad**

se sídlem:&#9;Sokolovská 58/219, Praha 9

adresa pro doručování &#9;pošt. přihrádka 02, 225 02 Praha 025

bankovní spojení:&#9;Česká národní banka, pobočka Praha

Číslo účtu: &#9;725001/0710

IČO: &#9;70106975

DIČ: &#9;CZ70106975 (osoba identifikovaná k dani)

jejímž jménem jedná: &#9;Ing. Marek Ebert, 

&#9;předseda Rady Českého telekomunikačního úřadu

(dále jen „objednatel“ nebo „ČTÚ“) na straně jedné

a

**==………………………………...==**

se sídlem: &#9;&#9;&#9;&#9;==…………………………...==

zastoupena:&#9;&#9;&#9;==…………………………...==

IČO: &#9;==…………………………...==

DIČ: &#9;==…………………………...==

bankovní spojení:&#9;==…………………………...==

číslo účtu:&#9;==…………………………...==

zapsaná v obchodním rejstříku vedeným ==……..== soudem v ==………==, oddíl ==…==, vložka ==…==

(dále jen „dodavatel“) na straně druhé,

společně označované také jako „strany“ nebo jednotlivě též jako „strana“, 

uzavřely následující smlouvu na základě výsledku zadávacího řízení na nadlimitní veřejnou zakázku s názvem „**Podpora infrastruktury CheckPoint a ochrana koncových zařízení**“ (dále jen „zadávací řízení“).

**Předmět smlouvy**

1. Předmětem smlouvy je na straně jedné závazek dodavatele poskytnout objednateli v souladu se smlouvou plnění spočívající v:

1. zajištění pokračující licenční podpory a souvisejících bezpečnostních služeb pro stávající produkty CheckPoint provozované objednatelem v rozsahu uvedeném v příloze č. 1 této smlouvy (Technická specifikace), a to v období od 16.11.2026 do 15.11.2030; 
2. dodávce potřebných licencí, implementaci, konfiguraci, zprovoznění a podpoře řešení pro ochranu koncových zařízení objednatele, zejména pracovních stanic a notebooků uživatelů; 
3. rozšíření bezpečnostní infrastruktury objednatele o licence a funkcionality určené k detekci, prevenci a reakci na bezpečnostní incidenty na koncových zařízeních; 
4. zajištění funkcionality pro ochranu před nežádoucím nebo neoprávněným používáním nástrojů umělé inteligence a AI agentů na koncových zařízeních; 
5. zajištění nároku objednatele na poskytování všech aktualizací, updatů, upgradů a bezpečnostních oprav vydaných výrobcem pro produkty a licence poskytované podle této smlouvy, a to po dobu trvání příslušné licenční podpory.

1. Podrobná technická, licenční a servisní specifikace plnění, včetně případných počtů licencí, parametrů podpory a souvisejících bezpečnostních služeb, je uvedena v příloze č. 1 této smlouvy (Technická specifikace).
2. Předmětem smlouvy je na druhé straně závazek objednatele uhradit dodavateli za plnění poskytnuté v souladu s touto smlouvou cenu dle čl. 4 této smlouvy.

**Místo a doba plnění, povinnosti smluvních stran**

1. Místem plnění je sídlo objednatele.
2. Dodavatel se zavazuje, že plnění dle čl. 2 této smlouvy poskytne objednateli nejpozději ode dne 16.11.2026.
3. Dodavatel se zavazuje, že poskytnuté plnění dle čl. 2 této smlouvy bude plynule navazovat na stávající licenční podporu, která končí ke dni 15.11.2026. Objednatel tedy požaduje navázání licenční podpory bez sankčního postihu ze strany výrobce nejpozději ode dne 16.11.2026.
4. Posledním dnem plnění dle čl. 2 této smlouvy je 15. 11. 2030.
5. Dodavatel se zavazuje:

1. provést předmět smlouvy na odborné úrovni řádně a včas,
2. bez zbytečného odkladu informovat objednatele o ohrožení splnění této smlouvy (zejména splnění předmětu smlouvy),
3. po celou dobu trvání této smlouvy zajistit:

- plnění veškerých povinností vyplývajících z právních předpisů České republiky, zejména pak předpisů pracovněprávních, předpisů v oblasti zaměstnanosti, a dále oblasti bezpečnosti a ochrany zdraví při práci, a to vůči všem osobám, které se budou podílet na plnění této smlouvy; 
- dodržování zákona č. 198/2009 Sb., o rovném zacházení a o právních prostředcích ochrany před diskriminací a o změně některých zákonů (antidiskriminační zákon), ve znění pozdějších předpisů;
- řádné a včasné plnění finančních závazků vůči svým případným poddodavatelům;
- po celou dobu účinnosti smlouvy disponovat platným certifikátem (resp. rovnocenným dokladem) o zavedení systému řízení bezpečnosti informací v organizaci v souladu s ISO 27001 (ISO/IEC 27000), případně uplatňovat rovnocenná opatření systému řízení bezpečnosti informací, resp. zajistit, aby tímto disponoval alespoň poddodavatel, pokud budou výhradně jeho prostřednictvím zajišťovány veškeré činnosti při plnění smlouvy, v rámci kterých je nutno/možno předpokládat přístup k citlivým informacím (např. informace o datových tocích),
- umožnit objednateli provedení auditu k ověření, zda nedochází k předávání dat na Území ve smyslu Varování Národního úřadu pro kybernetickou a informační bezpečnost (dále jen „NÚKIB“), č.j. 6159/2025-NÚKIB-E/350 ze dne 3. 9. 2025.

1. Objednatel se zavazuje:

1. poskytnout dodavateli součinnost nezbytně nutnou pro splnění této smlouvy,
2. průběžně informovat o svých návrzích a doporučeních. Tyto návrhy a doporučení budou poskytnuty objektivním a profesionálním způsobem.

**Cena a platební podmínky**

1. Celková cena za plnění dle této smlouvy činí ==………== Kč bez DPH.
2. Cena je stanovena jako pevná a lze ji měnit, pouze pokud dojde ke změně sazby DPH. K ceně bude při její fakturaci připočtena DPH v aktuální výši ke dni uskutečněného zdanitelného plnění.
3. Cena zahrnuje veškeré náklady dodavatele nezbytné pro plnění smlouvy.
4. Cenu bude objednatel hradit postupně na základě daňových dokladů – faktury (dále jen „faktura“), a to následujícím způsobem:

Cena bude objednatelem hrazena postupně na základě daňových dokladů – faktur (dále jen „faktura“), a to ve čtyřech (4) ročních platbách odpovídajících poskytování podpory dle této smlouvy. Dodavatel je oprávněn vystavit fakturu vždy nejdříve 30 dnů před začátkem příslušného období poskytování podpory, a to následovně:

1. za období od 16. 11. 2026 do 15. 11. 2027,
2. za období od 16. 11. 2027 do 15. 11. 2028,
3. za období od 16. 11. 2028 do 15. 11. 2029,
4. za období od 16. 11. 2029 do 15. 11. 2030.

1. Faktura je splatná do 30 dnů ode dne doručení objednateli. &#9;V případě faktury doručené objednavateli mezi 15. prosincem a 10. lednem je taková faktura splatná nejdříve následujícího 1. února.
2. Povinnost úhrady se považuje za splněnou okamžikem odepsání příslušné částky z účtu objednatele ve prospěch bankovního účtu dodavatele uvedeného v záhlaví této smlouvy. 
3. Faktura bude vedle náležitostí stanovených § 29 zákona č. 235/2004 Sb., o daní z přidané hodnoty, ve znění pozdějších předpisů, a § 435 občanského zákoníku obsahovat i evidenční číslo smlouvy objednatele. Přílohou faktury musí být kopie akceptačního protokolu. Objednatel je oprávněn vrátit nesprávnou fakturu dodavateli, a to před uplynutím její lhůty splatnosti. Nová lhůta splatnosti počne běžet dnem doručení bezvadné faktury. Fakturu zašle dodavatel na doručovací adresu objednatele uvedenou v záhlaví smlouvy. 

**Vyšší moc**

1. Smluvní strany nebudou odpovědné za částečné nebo úplné neplnění smluvních závazků následkem okolností vylučujících odpovědnost v případech tzv. vyšší moci. Výraz vyšší moc znamená a zahrnuje zejména: přírodní katastrofu, požár, záplavy, zemětřesení a dále povstání, stávky, pracovní boje jakéhokoliv druhu nebo terorismus, které mají přímou souvislost a brání plnění povinností ze smlouvy a plnění povinností nelze zajistit jinak nebo je nahradit, nehody, pád letadla včetně nehod, kterým se nedalo vyhnout v souvislosti s plněním této smlouvy včetně přijetí zákona nebo mimořádného rozhodnutí přísl. úřadu v souvislosti se zásahem vyšší moci, pokud příčiny a události mají vliv na plnění povinností stran ze smlouvy a plnění povinností vyplývajících ze smlouvy nelze zajistit jinak.
2. Vyskytne-li se působení překážky v důsledku vyšší moci, s níž jsou spojeny účinky vylučující odpovědnost, lhůty ke splnění smluvních závazků se prodlouží o dobu trvání takové překážky. Smluvní strana, která je postižena takovou překážkou, je však povinna okamžitě, písemně, uvědomit druhou smluvní stranu o této skutečnosti, o začátku trvání této překážky a předpokládané době jejího trvání. 

1.  **Kybernetická bezpečnost**

1. Dodavatel bere na vědomí, že plnění této smlouvy může souviset s aktivy objednatele zařazenými ve stanoveném rozsahu regulované služby v režimu vyšších povinností. Smluvní strany potvrzují, že rozsah plnění dodavatele, které je významné z hlediska zajištění kybernetické bezpečnosti regulované služby objednatele, je určen rozsahem poskytovaných aktiv (vč. služeb) dle této smlouvy, tedy práva a povinnosti dále uvedené se vztahují pouze na aktiva, kterými je plněna tato smlouva a/nebo jsou jinak používaná a/nebo přímo souvisí s plněním této smlouvy. Objednatel je při jejich ochraně nucen zohlednit příslušné bezpečnostní požadavky vyplývající ze skutečnosti, že objednatel je povinnou osobou dle zákona č. 264/2025 Sb., o kybernetické bezpečnosti (dále „ZoKB“), resp. vyhlášky č. 409/2025 Sb. o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností (dále jen „VoKB"), dále požadavky Národního úřadu pro kybernetickou a informační bezpečnost (dále jen „NÚKIB“), jakož i příslušné vnitřní předpisy objednatele.
2. Dodavatel, jakožto dodavatel ve smyslu ZoKB, je povinen při všech činnostech souvisejících s plněním této smlouvy brát na tuto skutečnost zřetel a dodržovat ustanovení ZoKB, případně i příslušné mezinárodně uznávané standardy vztahující se k řízení kybernetické a informační bezpečnosti (např. ISO 27001) v relevantním rozsahu. Dodavatel je současně povinen brát na zřetel na ustanovení v rozsahu vyplývajícím z bezpečnostních požadavků ve formě organizačních a technických opatření, která jsou upravena v Příloze č. 2 (Specifikace plnění požadavků v oblasti kybernetické bezpečnosti) této smlouvy (dále jen „Kybernetické bezpečnostní požadavky“), případně vyplývajícím z vnitřních předpisů objednatele (např. Politika bezpečnosti informací), s nimiž byl dodavatel seznámen, resp. dalších pokynů objednatele, které mají zajistit bezpečnost dat a bezpečnost informací a dostupnost regulované služby objednatele a postupovat v souladu s nimi. Vnitřní předpisy objednatele, související s aktivy zařazenými ve stanoveném rozsahu regulované služby, předá objednatel dodavateli v elektronické podobě na základě oboustranně podepsaného předávacího protokolu, který obsahuje seznam předávané dokumentace. 
3. Pokud se během plnění této smlouvy ukáže, že některý z požadavků uvedených ve smlouvě, resp. Kybernetických bezpečnostních požadavcích či vnitřních předpisech objednatele, je v rozporu s požadavky ZoKB (je nutný rozpor, nikoliv specifická implementace na základě analýzy a hodnocení rizik), použije se požadavek ze smlouvy, Kybernetických bezpečnostních požadavků či vnitřních předpisů objednatele v tom rozsahu, který neodporuje požadavkům ZoKB. V rozsahu, v jakém si požadavky odporují, se použije požadavek ZoKB. 
4. V případě zjištění vzájemného rozporu mezi smlouvou, resp. Kybernetickými bezpečnostními požadavky či vnitřními předpisy objednatele, a nejde-li o rozpor těchto dokumentů se ZoKB, budou postupovat smluvní strany tak, aby bylo v co nejvyšší míře dosaženo bezpečnosti dat a dostupnosti regulované služby objednatele. Není-li takový postup možný, mají v takovém případě přednost v daném pořadí:

1. text smlouvy (mimo přílohy),
2. Kybernetické bezpečnostní požadavky,
3. vnitřní předpisy objednatele. 

1. Dodavatel se zavazuje na žádost objednatele bez zbytečného odkladu doložit svou úplnou vlastnickou strukturu až po konečného uživatele výhod, resp. souhlasí s tím, aby objednatel toto ověřil obdobně jako v případě postupu dle § 122 odst. 5 zákona  č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů (dále jen „ZZVZ“). Dodavatel dále prohlašuje, že není pod přímým či nepřímým vlivem cizí státní moci státu mimo EU nebo NATO, který by mohl vést k ohrožení bezpečnostních zájmů České republiky nebo narušení bezpečnosti regulované služby objednatele. 
2. Dodavatel se zavazuje během poskytování předmětu plnění dostatečně zabezpečit veškeré případné zpracování, přenos a uložení dat v souladu s Kybernetickými bezpečnostními požadavky a vnitřními předpisy objednatele. Současně dodavatel garantuje, že veškerá data objednatele budou uložena a zpracovávána výhradně na území EU. 
3. V případě provádění vzdálené správy ze zemí mimo EU/NATO je dodavatel povinen zajistit, aby takový přístup byl vždy předem schválen objednatelem, byl plně monitorován a probíhal přes zabezpečený uzel spravovaný objednatelem. 
4. Dodavatel se zavazuje nad rámec povinností stanovených právními předpisy a touto smlouvou aktivně sledovat, vyhodnocovat a po dohodě a v souladu s pokyny objednatele provádět protiopatření vydaná NÚKIB v souladu s § 20 ZoKB. 
5. Smluvní strany berou na vědomí, že v případě, že NÚKIB vydá opatření obecné povahy nebo rozhodnutí, které omezuje nebo zakazuje využívání plnění poskytovaného dodavatelem z důvodu strategického rizika, považuje se toto za situaci vyšší moci. Objednatel je v takovém případě oprávněn vypovědět smlouvu s okamžitou účinností, aniž by mu vznikla povinnost hradit dodavateli jakékoli smluvní pokuty či náhradu škody. 
6. Dodavatel se dále zavazuje:

1. poskytnout na vyžádání objednatele dokumenty a obdobné vstupy, které budou prokazovat naplnění Kybernetických bezpečnostních požadavků;
2. na vyžádání s objednatelem konzultovat kdykoli v průběhu poskytování plnění smlouvy detailní nastavení bezpečnostních opatření k naplnění Kybernetických bezpečnostních požadavků a pro takovéto konzultace zajistit účast kvalifikovaných pracovníků;
3. při výkonu své činnosti včas a prokazatelně upozornit objednatele na zřejmou nevhodnost jeho pokynů vztahující se ke Kybernetickým bezpečnostním požadavkům a jejichž následkem může vzniknout újma nebo nesoulad se ZoKB nebo jinými obecně závaznými právními předpisy.

1. Dodavatel se během poskytování předmětu plnění pro objednatele zavazuje objednatele písemně informovat o:

1. kybernetickém bezpečnostním incidentu souvisejícím s předmětem plnění, a to neprodleně, nejpozději však do 18 hodin od jeho zjištění. Hlášení musí obsahovat minimálně popis kybernetického bezpečnostního incidentu, čas a způsob jeho zjištění, předpokládaný nebo potvrzený dopad na poskytování plnění, přijatá a/nebo navrhovaná nápravná opatření ke zmírnění či vyloučení dopadu na důvěrnost, integritu nebo dostupnost dat nebo plnění;
2. významné změně ovládání dodavatele nebo jeho poddodavatele dle § 74 a násl. zákona č. 90/2012 Sb., o obchodních společnostech a družstvech (zákon o obchodních korporacích), ve znění pozdějších předpisů, a to nejpozději do 10 pracovních dnů ode dne, kdy se dodavatel o plánované změně dozví nebo se měl a mohl dozvědět. Tato informace musí obsahovat alespoň identifikace nové ovládající osoby, včetně IČO, sídla a údajů o skutečném majiteli dle zákona č. 37/2021 Sb., o evidenci skutečných majitelů, ve znění pozdějších předpisů (dále jen „ZESM“), datum, ke kterému došlo nebo má dojít ke změně ovládání a popis povahy ovládání nebo podílu na hlasovacích právech. Povinnost podle tohoto článku se vztahuje i na změnu osoby skutečného majitele dodavatele ve smyslu ZESM a použije se přiměřeně i na případy přeměn obchodní korporace, které mají za následek změnu ovládající osoby;
3. změně vlastnictví zásadních aktiv, využívaných dodavatelem k plnění smlouvy, popřípadě o změně oprávnění nakládat s těmito aktivy, a to nejpozději do 10 pracovních dnů ode dne, kdy se dodavatel o plánované změně dozví nebo se měl a mohl dozvědět, přičemž zásadními aktivy se rozumí aktiva,

- s jejichž pomocí je možné přímo či nepřímo ovlivňovat bezpečnost plnění, systémů objednatele a/nebo dat v nich obsažených,
- skrze která je možné proniknout do systémů objednatele a která jsou zásadní pro realizaci plnění;

1. fyzických osobách přicházejících do kontaktu s neveřejnými informacemi, přičemž v rámci tohoto informování dodavatel vytvoří a udržuje jejich aktuální seznam, který zpřístupní objednateli, a to do 30 dnů od nabytí účinnosti této smlouvy, a následně objednatele informuje o jakýchkoli změnách v tomto seznamu bez zbytečného odkladu od okamžiku, kdy se dodavatel o dané změně dozvěděl;
2. žádosti orgánů činných v trestním řízení nebo jiných orgánů veřejné správy o poskytnutí informací, údajů nebo dokumentů objednatele, které byly objednatelem předány dodavateli, nebo které dodavatel jiným způsobem získal či vytvořil v souvislosti s poskytováním plnění, a to neprodleně a s předstihem před poskytnutím takových informací, pokud to dodavateli právní předpisy výslovně nezakazují;
3. žádosti cizozemského orgánu o zpřístupnění nebo předání dat zpracovávaných na území cizího státu, vyjma situace, kdy by takové informování bylo v rozporu s právním řádem, v jehož působnosti dochází ke zpracování dat nebo podle kterého byla žádost podána. 

1. Dodavatel se dále zavazuje zpřístupnit nebo předat data na základě žádosti cizozemského orgánu o zpřístupnění nebo předání dat zpracovávaných na území cizího státu:

1. až po provedení přezkoumání zákonnosti takové žádosti;
2. až po vynaložení veškerého úsilí, které lze na dodavateli v takovém postavení spravedlivě požadovat, o zabránění zpřístupnění nebo předání dat v rámci možností daných právních řádem, v jehož působnosti dochází ke zpracování dat nebo podle kterého byla žádost podána;
3. pouze v nezbytném rozsahu. 

1. Dodavatel je povinen jakékoliv dokumenty zpracovávané dle této smlouvy vést ve formě umožňující přezkoumatelnost a auditovatelnost ze strany kontrolních orgánů ve smyslu § 42 odst. 3 písm. s) ZoKB. Pokud by byl jakýkoliv dokument související s poskytováním plnění dle této smlouvy zpochybněn kontrolním orgánem, je dodavatel povinen poskytnout objednateli takové dokumenty či podklady, které budou kontrolním orgánem akceptovány. V případě, že dodavatel nebude schopen tyto dokumenty či podklady poskytnout nebo by tyto nebyly kontrolním orgánem akceptovány, a pokud absence těchto dokumentů bude důvodem k udělení jakékoliv sankce vůči objednateli, zavazuje se dodavatel objednateli uhradit takovouto sankci v plné výši, a to i po vypršení platnosti a účinnosti této smlouvy, pokud se bude taková sankce týkat období platnosti dokumentu zpracovaného dodavatelem. 
2. Smluvní strany berou na vědomí, že v průběhu poskytování plnění dle této smlouvy může dojít:

1. ke změnám právních předpisů,
2. k vydání protiopatření ze strany NÚKIB,
3. k vydání opatření obecné povahy ze strany NÚKIB, kterým mohou být stanoveny podmínky nebo kterým může být zakázáno využití plnění dodavatele v souladu  s § 29 ZoKB,
4. ke změnám v oblasti best practice pro předmět plnění, a/nebo
5. k vydání metodických materiálů a doporučení NÚKIB,

přičemž tyto změny či nové dokumenty mohou vyvolat potřebu změny smlouvy, Kybernetických bezpečnostních požadavků nebo vnitřních předpisů objednatele.  Z těchto důvodů si smluvní strany sjednávají tuto vyhrazenou změnu závazku ve smyslu § 100 odst. 1 ZZVZ. 

V uvedených případech smluvní strany berou na vědomí a souhlasí s tím, že bude postupováno tak, aby byly dodrženy požadavky aktuálních právních předpisů, vydaného protiopatření, opatření obecné povahy, změny best practice nebo metodických materiálů a doporučení NÚKIB, a za tímto účelem vstoupí smluvní strany do jednání o změně smlouvy, resp. Kybernetických bezpečnostních požadavků nebo objednatel poskytne dodavateli novou verzi vnitřních předpisů objednatele, které budou pro dodavatele dále závazné. V případě, že dodavatel v souvislosti se změnou smlouvy, resp. Kybernetických bezpečnostních požadavků nebo vnitřních předpisů objednatele identifikuje potřebu změny ceny, je povinen tuto změnu ceny projednat s objednatelem a náležitě její potřebu zdůvodnit. 

1. Ve smyslu vydaného varování NÚKIB č.j. 6159/2025-NÚKIB-E/350 ze dne 3. 9. 2025 dodavatel prohlašuje, že není seznámen s existencí žádných skrytých mechanismů (backdoorů) v dodávaném plnění, které by umožňovaly neoprávněný přístup k datům nebo systémům objednatele, a že podle jemu dostupných informací a při vynaložení odborné péče dodávané plnění takové mechanismy neobsahuje. Dodavatel dále prohlašuje, že dodané plnění neobsahuje funkce, mechanismy ani technické prostředky umožňující vzdálenou nebo jinou dodatečnou instalaci, aktivaci či konfiguraci takových mechanismů bez předchozího vědomí a výslovného souhlasu Objednatele. Dodavatel se současně zavazuje, že po dobu trvání smlouvy neprovede ani neumožní provedení takové instalace, aktivace či konfigurace prostřednictvím aktualizací, servisních zásahů nebo jiným způsobem. Za porušení tohoto prohlášení se považuje rovněž existence mechanismu umožňujícího instalaci, aktivaci nebo zpřístupnění obdobné funkcionality třetí osobou bez vědomí a souhlasu objednatele, a to po celou dobu trvání smlouvy a na dobu případně poskytované podpory výrobce k dodávanému plnění. V případě, že během plnění smlouvy objednatel prokazatelně doloží nepravdivost tvrzení dodavatele nebo porušení povinností podle tohoto článku smlouvy, má právo uplatnit nárok na bezplatnou výměnu za jiné zařízení splňující bezpečnostní požadavky stanovené touto smlouvou. V případě, že dodavatel takovouto výměnu odmítne poskytnout, je v takovém případě objednatel oprávněn odstoupit od smlouvy s okamžitou účinností ode dne doručení odstoupení dodavateli, aniž by mu vznikla povinnost hradit dodavateli jakékoli smluvní pokuty či náhradu škody.
2. Dodavatel je povinen bez zbytečného odkladu informovat objednatele o každé žádosti třetí osoby o poskytnutí dat nebo přístupu k systémům objednatele, pokud takové oznámení není zakázáno závazným právním předpisem. Dodavatel současně nesmí poskytnout data ani přístup k systémům kupujícího třetí osobě, pokud takové poskytnutí není v souladu s právním řádem České republiky nebo mezinárodními smlouvami, jimiž je Česká republika vázána.
3. Dodavatel se současně zavazuje, že nebude plnit žádné požadavky třetích stran (včetně vládních orgánů cizích států) na poskytnutí dat nebo přístupu k systémům objednatele, pokud tyto požadavky nejsou v souladu s právním řádem ČR nebo mezinárodními smlouvami, jimiž je ČR vázána.

**Salvátorské ustanovení** 

## Obě smluvní strany prohlašují, že pokud se kterékoliv ustanovení této smlouvy nebo s ní související ujednání ukáže být neplatným nebo se neplatným stane, že tato skutečnost neovlivní platnost smlouvy jako celku. V takovém případě se obě smluvní strany zavazují nahradit neprodleně neplatné ustanovení ustanovením platným; obdobně se zavazují postupovat v případě ostatních nedostatků smlouvy či souvisejících ujednání.

**Smluvní pokuty**

1. Je-li objednatel v prodlení s uhrazením faktury, dodavatel má právo účtovat zákonný úrok z prodlení z dlužné částky za každý i započatý den prodlení. 
2. V případě prodlení dodavatele s poskytnutím plnění uhradí dodavatel objednateli smluvní pokutu ve výši 10.000 Kč za každý i započatý den prodlení.
3. Objednatel nemá právo uplatnit smluvní pokutu, jestliže dodavatel prokáže, že objednatel neposkytl dodavateli spolupůsobení nutné k tomu, aby dodavatel mohl splnit svůj závazek.
4. V případě porušení některé z povinností stanovené v čl. 6 této smlouvy uhradí, není-li dále stanoveno jinak, dodavatel objednateli částku 5.000 Kč za každý jednotlivý případ porušení této povinnosti.
5. V případě porušení některé z povinností stanovené v čl. 6.15 až 6.17 této smlouvy uhradí prodávající kupujícímu částku 100.000 Kč za každý jednotlivý případ porušení této povinnosti.
6. V případě porušení povinnosti dodavatele dle čl. 10.4 této smlouvy uhradí dodavatel objednateli smluvní pokutu ve výši 2.000.000 Kč. Toto ustanovení platí 5 let po ukončení účinnosti této smlouvy.
7. Smluvní pokuty jsou splatné ve lhůtě 10 dnů ode dne, kdy dodavatel obdrží písemnou výzvu k jejich úhradě.
8. Zaplacením smluvní pokuty podle této smlouvy není dotčen nárok smluvní strany na náhradu skutečné škody v celém rozsahu způsobené škody. Žádná ze smluvních stran neodpovídá za škodu vzniklou jako následek vyšší moci.

**Ukončení smlouvy**

1. Tato smlouva může být ukončena splněním, písemnou dohodou obou smluvních stran nebo odstoupením od smlouvy.
2. Smluvní strany jsou oprávněny od této smlouvy odstoupit v případech stanovených občanským zákoníkem či touto smlouvou.
3. Kterákoliv ze smluvních stran může odstoupit od smlouvy v případě, že druhá smluvní strana poruší podstatným nebo neodstranitelným způsobem své povinnosti vyplývající z této smlouvy.
4. Za podstatné porušení smluvních povinností objednatele se podle této smlouvy považuje prodlení objednatele s uhrazením ceny plnění o více než 30 dnů.
5. Za podstatné porušení smlouvy dodavatelem se podle této smlouvy považuje zejména:

1. nedodržení termínů řádného plnění smlouvy stanovených ve smlouvě,
2. porušení povinnosti mlčenlivosti či zachování důvěrných informací podle této smlouvy, 
3. a to mimo jiné výslovně porušení povinnosti týkající se neoprávněného přístupu k datům nebo systémům objednatele ve smyslu čl. 6.15 až 6.17 této smlouvy,
4. neodstranění vady plnění ve stanoveném termínu.

1. Objednatel je dále oprávněn od této smlouvy odstoupit v následujících případech:

1. dojde nebo má dojít k významné změně ovládání dodavatele, nebo dojde nebo má dojít ke změně kontroly nad zásadními aktivy využívanými dodavatelem k plnění smlouvy;
2. dodavatel změní sídlo mimo území členských států Evropské unie a členských států Evropského sdružení volného obchodu;
3. dodavatel poruší své povinnosti v oblasti práv duševního vlastnictvím, kybernetické bezpečnosti a/nebo ochrany dat a nezjedná nápravu ani do třiceti (30) dní od výzvy objednatele;
4. pokud NÚKIB vydá opatření obecné povahy, kterým stanoví podmínky a/nebo zakáže využití plnění dodavatele dle § 29 ZoKB a v plnění této smlouvy nelze rozumně pokračovat, aniž by bylo toto opatření obecné povahy porušeno.

Nastane-li některý z uvedených případů, je dodavatel povinen o této skutečnosti informovat objednatele, a to písemně ve sjednané lhůtě, resp. do 2 pracovních dnů od jejího vzniku, není-li taková lhůta výslovně sjednána jinak, společně s informací o tom, o kterou z uvedených skutečností se jedná, a s uvedením bližších údajů, které by objednatel mohl v této souvislosti potřebovat pro své rozhodnutí o odstoupení od smlouvy. Nedodržení této povinnosti je považováno ze podstatné porušení smlouvy.

1. Stanoví-li oprávněná smluvní strana druhé smluvní straně pro splnění jejího závazku náhradní (dodatečnou) lhůtu, vzniká jí právo odstoupit od smlouvy až po marném uplynutí této lhůty, to neplatí, jestliže druhá smluvní strana v průběhu této lhůty prohlásí, že svůj závazek nesplní.
2. Odstoupení od smlouvy musí být provedeno písemně a doručeno druhé smluvní straně. Právní účinky nastávají dnem doručení odstoupení od smlouvy druhé smluvní straně.
3. V případě ukončení této smlouvy se smluvní strany zavazují vypořádat veškeré své vzájemné závazky do 60 dnů ode dne ukončení smlouvy.

**Závěrečná ustanovení**

1. Smluvní strany jsou vázány obsahem této smlouvy.
2. Veškeré změny či doplňky této smlouvy (s výjimkou písemně oznámených změn pověřených osob uvedených v odstavci 10.9 tohoto článku smlouvy) mohou být provedeny pouze písemně, a to formou písemných, vzestupně číslovaných dodatků k této smlouvě potvrzenými oběma smluvními stranami, a to osobami oprávněnými jednat za smluvní strany ve věcech smluvních.
3. Smluvní strany se zavazují, že o každé organizační změně (např. změna telefonních čísel, změna adresy atd.) se budou navzájem neprodleně písemně informovat.
4. Objednatel a dodavatel se zavazují, že bez písemného souhlasu druhé smluvní strany neučiní informace získané při plnění této smlouvy v žádné podobě dostupné třetí straně, ani že je nepoužijí k jiným účelům než k účelům plnění této smlouvy. Toto ustanovení platí i po dobu 5 let od ukončení účinnosti této smlouvy, nemá však vliv na případné povinnosti objednatele vyplývající ze zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů.
5. Smluvní strany bezvýhradně souhlasí s uveřejněním této smlouvy, případných dodatků uzavřených k této smlouvě, jakož i se zveřejněním dalších aspektů tohoto smluvního vztahu v souladu se zákonem č. 340/2015 Sb., o zvláštních podmínkách účinnosti některých smluv, uveřejňování těchto smluv a o registru smluv (zákon o registru smluv), ve znění pozdějších předpisů. Uveřejnění zajistí objednatel.
6. Jednáním o věcném plnění předmětu smlouvy, postupech plnění, účasti na pracovních poradách, konzultacích v průběhu trvání smlouvy, kontrolou plnění smlouvy a předkládáním návrhů na úpravu nebo doplnění smlouvy jsou pověřeni:

za objednatele: &#9;&#9;…………………. (*pozn.: bude doplněno před podpisem smlouvy*)

&#9;&#9;&#9;&#9;telefon: +420 … … …, e-mail: …………………….  

za dodavatele: &#9;&#9;==……………………….==

&#9;&#9;&#9;&#9;telefon: ==…………………==, e-mail: ==……………………==

1. Smlouva je vyhotovena v elektronické podobě, kdy příslušný dokument bude opatřen elektronickými podpisy oprávněných zástupců obou smluvních stran. Nedílnou součástí smlouvy jsou:

&#9;&#9;Příloha č. 1 – Technická specifikace

&#9;&#9;Příloha č. 2 – Specifikace plnění požadavků v oblasti kybernetické bezpečnosti.

1. Tato smlouva vzniká dnem podpisu oprávněnými zástupci obou smluvních stran  a nabývá účinnosti dnem uveřejnění smlouvy v Registru smluv.
2. Obě smluvní strany prohlašují, že se s textem této smlouvy seznámily, obsahu porozuměly, souhlasí s ním a na důkaz toho připojují své podpisy.

| Dodavatel: …………………………… ……………………………… …………………. |  | Objednatel: ……………………………… Ing. Marek Ebert předseda Rady Českého telekomunikačního úřadu |
| --- | --- | --- |


ZD (PDF komplet).pdf
<!-- PAGE 1 -->**ZADÁVACÍ DOKUMENTACE**

ve smyslu § 28 odst. 1 písm. b) zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů (dále jen „ZZVZ")

pro nadlimitní veřejnou zakázku na dodávky a služby „

**Podpora infrastruktury CheckPoint a ochrana koncových zařízení"**

zadávanou v otevřeném řízení podle § 56 ZZVZ (dále jen „veřejná zakázka").

<!-- PAGE 2 -->**Identifikační údaje veřejné zakázky: Podpora infrastruktury CheckPoint a ochrana**

Název veřejné zakázky

**koncových zařízení**

Druh veřejné zakázky Dodávky a služby Druh zadávacího řízení Otevřené řízení Režim veřejné zakázky Nadlimitní Lhůta pro podání nabídek 19. října 2026 do 10:00 hod. Elektronicky prostřednictvím Národního elektronického Způsob podání nabídek nástroje (NEN) Předpokládaná hodnota 14.300.000 Kč bez DPH

**Identifikační údaje zadavatele:**

Název Česká republika – Český telekomunikační úřad Sídlo Sokolovská 58/219, Praha 9 IČO 701 06 975 Zastoupený/á Ing. Marek Ebert, předseda Rady ČTÚ Právní forma Organizační složka státu DPH – plátce / neplátce Osoba identifikovaná k dani https://sluzby.e-zakazky.cz/Profil-Zadavatele/c6503add- Profil zadavatele b4cd-409d-87ce-7b7b867ccf65

**Kontaktní osoba zadavatele:**

Kontaktní osoba Mgr. Jan Kroj

| Telefonní k onta kt | +420 224 004 711 |
| --- | --- |
| E-mailová a dre sa | Jan.Kroj@ctu.gov.cz |

<!-- PAGE 3 -->**PREAMBULE**

Zadání této veřejné zakázky se řídí právními předpisy České republiky, zejména ZZVZ. Podáním nabídky dodavatel zcela a bez výhrad akceptuje podmínky účasti v zadávacím řízení, podmínky průběhu zadávacího řízení, pravidla pro hodnocení nabídek, požadavky zadavatele na obsah, formu a způsob podání nabídky a případné další zadávací podmínky, které zadavatel stanovil v zadávací dokumentaci. Od dodavatelů se očekává, že si pečlivě prostudují, splní a dodrží veškeré podmínky, pokyny a termíny vyplývající ze zadávací dokumentace. Práva a povinnosti neuvedené v této zadávací dokumentaci se řídí ZZVZ. Zadavatel nemůže vzít v úvahu žádnou výhradu účastníka zadávacího řízení k zadávacím podmínkám obsaženou v jeho nabídce.

1. **PŘEDMĚT PLNĚNÍ VEŘEJNÉ ZAKÁZKY 1.1. Předmět plnění veřejné zakázky**

Předmětem plnění veřejné zakázky je prodloužení licenční podpory a souvisejících bezpečnostních služeb pro stávající produkty CheckPoint provozované zadavatelem a současně pořízení, implementace a podpora řešení pro ochranu koncových zařízení. Součástí plnění je rovněž rozšíření bezpečnostní infrastruktury o licence a funkcionality určené k detekci, prevenci a reakci na bezpečnostní incidenty na koncových stanicích. Licenční podpora je požadována pro období od 16.11.2026 do 15.11.2030 (návaznost na stávající podporu). Podrobná specifikace předmětu plnění je uvedena v příloze č. 2 zadávací dokumentace (Závazný vzor smlouvy), resp. v její příloze č. 1 (Specifikace podpory).

**1.2. Klasifikace předmětu veřejné zakázky (CPV kódy) Předmět plnění CPV kód**

Balík programů pro zabezpečení 48730000-4

| Systémové a podpůrné služby | 72250000-2 |
| --- | --- |
| Programové vybavení pro zabezpečení dat | 48732000-8 |

1. **PŘEDPOKLÁDANÁ HODNOTA VEŘEJNÉ ZAKÁZKY**

Předpokládaná hodnota veřejné zakázky byla stanovena v souladu s § 16, § 20 písm. a) a § 21 odst. 1 písm. a) ZZVZ a činí celkem 14.300.000 Kč bez daně z přidané hodnoty (DPH). Předpokládaná hodnota zahrnuje veškeré náklady spojené s plněním předmětu veřejné zakázky.

1. **DOBA A MÍSTO PLNĚNÍ 3.1. Místo plnění veřejné zakázky**

Místem plnění veřejné zakázky je sídlo zadavatele.

**3.2. Doba plnění veřejné zakázky**

Začátek plnění: ode dne účinnosti smlouvy Doba plnění: požadovaná doba plnění je podrobně uvedena v čl. 3 přílohy č. 2 zadávací dokumentace (Závazný vzor smlouvy).

<!-- PAGE 4 -->1. **POSKYTNUTÍ A VYSVĚTLENÍ ZADÁVACÍ DOKUMENTACE 4.1. Poskytnutí zadávací dokumentace**

Textová část zadávací dokumentace v elektronické podobě je všem dodavatelům k dispozici bez omezení přístupu na profilu zadavatele https://sluzby.e-zakazky.cz/profilzadavatele/c6503add-b4cd-409d-87ce-7b7b867ccf65/zakazka/P26V00000023 . Zadavatel dodavatele upozorňuje na skutečnost, že zadávací dokumentace je souhrnem požadavků zadavatele, a nikoliv konečným souhrnem veškerých požadavků vyplývajících z obecně známých platných právních předpisů a odborných norem. Dodavatel se tak musí při zpracování své nabídky vždy řídit nejen požadavky obsaženými v zadávací dokumentaci, ale též ustanoveními příslušných obecně závazných norem.

**4.2. Změna nebo doplnění zadávací dokumentace**

Zadávací podmínky obsažené v zadávací dokumentaci může zadavatel změnit nebo doplnit před uplynutím lhůty pro podání nabídek. Změna nebo doplnění zadávacích podmínek musí být uveřejněna nebo oznámena dodavatelům stejným způsobem jako zadávací podmínka, která byla změněna nebo doplněna. Pokud to povaha doplnění nebo změny zadávacích podmínek vyžaduje, zadavatel současně přiměřeně prodlouží lhůtu pro podání nabídek. V případě takové změny nebo doplnění zadávacích podmínek, která může rozšířit okruh možných dodavatelů, prodlouží zadavatel lhůtu tak, aby od odeslání změny nebo doplnění zadávací dokumentace činila nejméně celou svou původní délku.

**4.3. Vysvětlení zadávací dokumentace**

Dodavatelé jsou oprávněni po zadavateli písemně požadovat vysvětlení zadávací dokumentace, a to v souladu s § 98 ZZVZ. Zadavatel vysvětlení uveřejní na svém profilu, odešle nebo předá včetně přesného znění žádosti bez identifikace tohoto dodavatele, a to za podmínek uvedených v § 98 ZZVZ. Vysvětlení zadávací dokumentace může provést zadavatel také z vlastního podnětu v souladu s § 98 odst. 1 ZZVZ.

1. **OBCHODNÍ A PLATEBNÍ PODMÍNKY**

Obchodní podmínky zadavatele včetně platebních jsou obsaženy v příloze č. 2 zadávací dokumentace ve formě Závazného vzoru smlouvy (dále také jen „smlouva"). Znění Závazného vzoru smlouvy a všech jejích příloh je v celém svém rozsahu pro dodavatele závazné. Text Závazného vzoru smlouvy bude sloužit k uzavření smluvního vztahu navazujícího na toto zadávací řízení. Právní vztahy se budou řídit zejména zákonem

1. 89/2012 Sb., občanský zákoník, ve znění pozdějších předpisů. Veškeré obchodní a platební podmínky určené zadavatelem v této zadávací dokumentaci jsou zadavatelem stanoveny jako závazné. Dodavatelé jsou povinni respektovat a ve svých nabídkách splnit veškeré podmínky a požadavky zadavatele vymezené zadávacími podmínkami a plně respektovat podmínky uvedené v Závazném vzoru smlouvy. Závazný vzor smlouvy obsahuje „žlutě podbarvená" místa, která budou dodavatelem v návrhu smlouvy obsaženém v nabídce doplněna v souladu s obsahem podané nabídky. Dodavatel není oprávněn v návrhu smlouvy měnit či doplňovat jakékoliv údaje s výjimkou údajů doplňovaných do těchto žlutě podbarvených míst.

<!-- PAGE 5 -->1. **DALŠÍ PODMÍNKY PRO UZAVŘENÍ SMLOUVY**

Vybraný dodavatel (účastník zadávacího řízení, který bude vybrán k uzavření smlouvy) bude vyzván zadavatelem postupem podle § 122 odst. 3 písm. a) ZZVZ k předložení originálů nebo úředně ověřených kopií dokladů o jeho kvalifikaci, pokud je nepředložil již v rámci nabídky. V případě, že vybraný dodavatel neposkytne nezbytnou součinnost k uzavření smluv, může jej zadavatel ze zadávacího řízení vyloučit.

1. **VYUŽITÍ PODDODAVATELE**

Zadavatel neomezuje rozsah případných poddodávek během plnění této veřejné zakázky. Zadavatel v souladu s § 105 odst. 1 ZZVZ požaduje, aby dodavatel ve své nabídce předložil seznam poddodavatelů, pokud jsou dodavateli známi a uvedl, kterou část a v jakém finančním rozsahu veřejné zakázky bude každý z poddodavatelů plnit. Tím není dotčena výlučná odpovědnost dodavatele za poskytování řádného plnění. Nejpozději do 10 pracovních dnů od doručení oznámení o výběru dodavatele je dle § 105 odst. 3 ZZVZ vybraný dodavatel povinen předložit zadavateli identifikační údaje poddodavatelů veškerých služeb, pokud jsou mu známi. Poddodavatelé, kteří nebyli identifikováni podle předchozí věty a kteří se následně zapojí do plnění veřejné zakázky, musí být identifikováni, a to před zahájením plnění veřejné zakázky tímto poddodavatelem.

1. **KVALIFIKACE DODAVATELŮ 8.1. Požadavky zadavatele na kvalifikaci dodavatele**

Kvalifikovaným pro plnění veřejné zakázky je dodavatel, který prokáže splnění:

1. základní způsobilosti podle § 74 ZZVZ,
2. profesní způsobilosti podle § 77 ZZVZ a
3. technické kvalifikace podle § 79 ZZVZ.

**8.2. Kvalifikace v případě společné účasti dodavatelů**

V případě společné účasti dodavatelů prokazuje základní způsobilost a profesní způsobilost podle § 77 odst. 1 ZZVZ každý dodavatel samostatně. Zadavatel současně v souladu s § 103 odst. 1 písm. f) ZZVZ požaduje, aby odpovědnost za plnění veřejné zakázky nesli všichni dodavatelé podávající společnou nabídku společně a nerozdílně.

**8.3. Prokázání kvalifikace prostřednictvím jiných osob**

Dodavatel může ve smyslu § 83 ZZVZ prokázat určitou část technické kvalifikace nebo profesní způsobilosti s výjimkou kritéria podle § 77 odst. 1 ZZVZ prostřednictvím jiných osob. Dodavatel je v takovém případě povinen zadavateli předložit:

1. doklady prokazující splnění profesní způsobilosti podle § 77 odst. 1 ZZVZ jinou osobou,
2. doklady prokazující splnění chybějící části kvalifikace prostřednictvím jiné osoby,
3. doklady o splnění základní způsobilosti podle § 74 ZZVZ jinou osobou a
4. smlouvu nebo jinou osobou podepsané potvrzení o její existenci, jejímž obsahem je závazek jiné osoby k poskytnutí plnění určeného k plnění veřejné zakázky nebo k poskytnutí věcí nebo práv, s nimiž bude dodavatel oprávněn disponovat v rámci plnění veřejné zakázky, a to alespoň v rozsahu, v jakém jiná osoba prokázala kvalifikaci za dodavatele.

<!-- PAGE 6 -->Způsob prokázání se řídí požadavky § 83 odst. 2 až 5 ZZVZ.

**8.4. Doba prokazování splnění kvalifikace / pravost a stáří dokladů**

Doklady prokazující základní způsobilost podle § 74 ZZVZ musí prokazovat splnění požadovaného kritéria způsobilosti nejpozději v době 3 měsíců přede dnem zahájení zadávacího řízení. Doklady prokazující splnění kvalifikace je dodavatel oprávněn předložit v kopii, nikoliv však ve formě čestného prohlášení, pokud tak výslovně nepřipouští ZZVZ nebo tato zadávací dokumentace. Před uzavřením smlouvy je vybraný dodavatel povinen předložit originál nebo ověřené kopie dokladů o kvalifikaci, pokud již nebyly předloženy v zadávacím řízení, a to v souladu s § 45 odst. 1 a § 46 odst. 1 ZZVZ.

**8.5. Základní způsobilost**

Způsobilým není dodavatel, který:

1. byl v zemi svého sídla v posledních 5 letech před zahájením zadávacího řízení pravomocně odsouzen pro trestný čin uvedený v příloze č. 3 ZZVZ nebo obdobný trestný čin podle právního řádu země sídla dodavatele; k zahlazeným odsouzením se nepřihlíží,
2. má v České republice nebo v zemi svého sídla v evidenci daní zachycen splatný daňový nedoplatek,
3. má v České republice nebo v zemi svého sídla splatný nedoplatek na pojistném nebo na penále na veřejné zdravotní pojištění,
4. má v České republice nebo v zemi svého sídla splatný nedoplatek na pojistném nebo na penále na sociální zabezpečení a příspěvku na státní politiku zaměstnanosti,
5. je v likvidaci, proti němuž bylo vydáno rozhodnutí o úpadku, vůči němuž byla nařízena nucená správa podle jiného právního předpisu nebo v obdobné situaci podle právního řádu země sídla dodavatele. Jeli dodavatelem právnická osoba, musí podmínku podle písm. a) splňovat tato právnická osoba a zároveň každý člen statutárního orgánu. Je-li členem statutárního orgánu dodavatele právnická osoba, musí podmínku podle písm. a) splňovat tato právnická osoba, každý člen statutárního orgánu této právnické osoby a osoba zastupující tuto právnickou osobu v statutárním orgánu dodavatele. Jeli dodavatelem pobočka závodu zahraniční právnické osoby, musí podmínku podle písm. a) splňovat tato právnická osoba a vedoucí pobočky závodu. Je-li dodavatelem pobočka závodu české právnické osoby, musí podmínku podle písm. a) splňovat osoby uvedené v předchozím odstavci a vedoucí pobočky závodu. Dodavatel prokazuje splnění podmínek základní způsobilosti ve vztahu k České republice předložením:
6. výpisu z evidence Rejstříku trestů ve vztahu k § 74 odst. 1 písm. a) ZZVZ,
7. potvrzení příslušného finančního úřadu ve vztahu k § 74 odst. 1 písm. b) ZZVZ,
8. písemného čestného prohlášení ve vztahu ke spotřební dani ve vztahu k § 74 odst. 1 písm. b) ZZVZ,
9. písemného čestného prohlášení ve vztahu k § 74 odst. 1 písm. c) ZZVZ,
10. potvrzení příslušné okresní správy sociálního zabezpečení ve vztahu k § 74 odst. 1 písm. d) ZZVZ,

<!-- PAGE 7 -->1. výpisu z obchodního rejstříku, nebo předložením písemného čestného prohlášení v případě, že není v obchodním rejstříku zapsán, ve vztahu k § 74 odst. 1 písm. e) ZZVZ. Zadavatel doporučuje použít k prokázání části základní způsobilosti ( a e) ZZVZ), kterou lze podle § 75 odst. 1 písm. c), d) a f) ZZVZ prokázat čestným prohlášením, vzorový formulář, který je uvedený v příloze č. 3 zadávací dokumentace.

**8.6. Profesní způsobilost**

Dodavatel prokazuje splnění profesní způsobilosti ve vztahu k České republice předložením výpisu z obchodního rejstříku nebo jiné obdobné evidence, pokud jiný právní předpis zápis do takové evidence vyžaduje. Doklady prokazující splnění profesní způsobilosti nemusí dodavatel předložit, pokud právní předpisy v zemi jeho sídla obdobnou profesní způsobilost nevyžadují.

**8.7. Technická kvalifikace**

Dodavatel prokáže splnění technické kvalifikace předložením:

1)

**seznamu významných dodávek/služeb podle**

poskytovaných dodavatelem v posledních 3 letech před zahájením zadávacího řízení. Zadavatel vymezuje minimální úroveň pro doložení čestného prohlášení o řádném poskytnutí nejvýznamnějších dodávek/služeb obdobného charakteru veřejné zakázky tak, že dodavatel splní tuto technickou kvalifikaci, pokud uvede čtyři významné dodávky/služby, jejímž předmětem plnění bylo poskytnutí a licencí k hardware a software sloužící k zajištění ochrany proti kybernetickým hrozbám v minimální hodnotě každé zakázky 5.000.000 Kč bez DPH Pro splnění požadavku předloží dodavatel čestné prohlášení – dodávek/služeb. Z předloženého Seznamu významných splnění požadavků zadavatele, tedy:

1. název dodávky/služby,
2. identifikace objednatele a místa plnění,
3. popis/předmět dodávky/služby,
4. cena v Kč bez DPH,
5. období poskytnutí dodávky/služby,
6. telefonický a e-mailový kontakt na objednatele dodávky/ Seznam musí být podepsán osobou oprávněnou zastupovat dodavatele. *Pozn. zadavatele: V souladu s § 39 odst. 5 ZZVZ je zadavatel oprávněn ověřovat věrohodnost poskytnutých údajů a dokladů a může si je také opatřovat sám. Zadavatel si vyhrazuje právo kontroly a posouzení toho, zda je seznam významných dodávek/ pravdivý a zda jsou splněny všechny podmínky týkající se významných že údaje uvedené dodavatelem budou v rozporu s výsledky kontroly zadavatele, vyhrazuje si zadavatel právo nabídku dodavatele vyřadit a následně dodavatele ze zadávacího řízení vyloučit*

2)

**popis předmětu plnění určeného k dodání ve smyslu § 79 odst. 2 písm. k) zákona.**

V předloženém popisu předmětu plnění musí být uveden minimálně popis a nabízené podpory, ze kterého bude možné ověřit splnění závazných požadavků zadavatele stanovených v příloze č. 2 zadávací dokumentace (Závazný vzor smlouvy).

3)

**kopie platného certifikátu systému řízení bezpečnosti informací dle ČSN EN ISO/IEC 27001**

vydaného akreditovaným certifikačním orgánem

**podle § 79 odst. 2 písm. e) ve spojení s § 80 odst. 1 ZZVZ.**

§ 74 odst. 1 písm. b), c)

**§ 79 odst. 2**

, jako je předmět této . Seznam významných dodávek/služeb bude zřejmé služby. *služeb předložený dodavatelem dodávek/*

**, nebo rovnocenného dokladu písm. b) ZZVZ**

, alespoň servisní podpory *služeb. V případě, .* licencí ,

<!-- PAGE 8 -->**Zadavatel požaduje, aby dodavatel doložil, že má zavedený a certifikovaný systém řízení bezpečnosti informací podle normy ČSN EN ISO/IEC 27001, případně že uplatňuje rovnocenná opatření systému řízení bezpečnosti informací.**

Dodavatel prokáže splnění tohoto požadavku předložením kopie platného certifikátu vydaného akreditovaným certifikačním orgánem, případně rovnocennými doklady, které toto budou prokazovat.

***Odůvodnění přiměřenosti:*** *V souladu s § 9 odst. 1 písm. c) vyhlášky č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností, je zadavatel povinen řídit rizika spojená s dodavateli. Tento požadavek je nezbytný s ohledem na povahu zakázky.*

**8.8. Další podmínky prokazování kvalifikace**

Změny v kvalifikaci dodavatele: Pokud po předložení dokladů nebo prohlášení o kvalifikaci dojde v průběhu zadávacího řízení ke změně kvalifikace dodavatele, je dodavatel povinen tuto změnu zadavateli ve lhůtě do 5 pracovních dnů oznámit a do 10 pracovních dnů od oznámení této změny předložit nové doklady nebo prohlášení ke kvalifikaci; zadavatel může tyto lhůty prodloužit nebo prominout jejich zmeškání. Povinnost podle věty první dodavateli nevzniká, pokud je kvalifikace změněna takovým způsobem, že:

1. podmínky kvalifikace jsou nadále splněny a
2. nedošlo k ovlivnění kritérií hodnocení nabídek. Dozvíli se zadavatel, že dodavatel nesplnil povinnost uvedenou v odstavci 1 tohoto článku, zadavatel jej bezodkladně vyloučí ze zadávacího řízení. Seznam kvalifikovaných dodavatelů: Dodavatelé zapsaní v seznamu kvalifikovaných dodavatelů jsou oprávněni v souladu s § 228 ZZVZ prokázat splnění základní způsobilosti a profesní způsobilosti předložením výpisu ze seznamu kvalifikovaných dodavatelů. V případě profesní způsobilosti tento výpis nahrazuje doklad prokazující splnění profesní způsobilosti v tom rozsahu, v jakém údaje ve výpisu ze seznamu kvalifikovaných dodavatelů prokazují splnění kritéria profesní způsobilosti. Výpis ze seznamu kvalifikovaných dodavatelů nesmí být starší než 3 měsíce od posledního dne, ke kterému má být základní a profesní způsobilost prokázána. Zadavatel nemusí přijmout výpis ze seznamu kvalifikovaných dodavatelů, na kterém je vyznačeno zahájení řízení podle § 231 odst. 4 ZZVZ. V takovém případě zadavatel vyzve dodavatele k objasnění dokladů podle § 46 odst. 1 ZZVZ. Stejně jako výpisem ze seznamu kvalifikovaných dodavatelů může dodavatel prokázat kvalifikaci osvědčením, které pochází z jiného členského státu, v němž má dodavatel sídlo, a které je obdobou výpisu ze seznamu kvalifikovaných dodavatelů. Systém certifikovaných dodavatelů: Dodavatelé mohou rovněž v souladu s § 234 ZZVZ prokázat splnění kvalifikace nebo její části platným certifikátem vydaným v rámci schváleného systému certifikovaných dodavatelů, a to v rozsahu uvedeném na certifikátu. Stejně jako certifikátem může dodavatel prokázat kvalifikaci osvědčením, které pochází z jiného členského státu, v němž má dodavatel sídlo, a které je obdobou certifikátu vydaného v rámci systému certifikovaných dodavatelů.

<!-- PAGE 9 -->1. **PODMÍNKY SESTAVENÍ A PODÁNÍ NABÍDEK 9.1. Požadavky na formu a obsah zpracování nabídek**

Nabídka musí být podána výhradně elektronicky způsobem, který je uveden v bodu 10 zadávací dokumentace. Dodavatel může podat pouze jednu nabídku. Dodavatel, který podal nabídku v zadávacím řízení, nesmí být současně poddodavatelem, jehož prostřednictvím jiný dodavatel v tomtéž zadávacím řízení prokazuje kvalifikaci. Pokud dodavatel podá více nabídek samostatně nebo společně s dalšími dodavateli, nebo je poddodavatelem, jehož prostřednictvím jiný dodavatel v tomtéž zadávacím řízení prokazuje kvalifikaci, zadavatel všechny nabídky podané takovým dodavatelem vyřadí. Dodavatele, jehož nabídka byla vyřazena, zadavatel bezodkladně vyloučí z účasti v zadávacím řízení a neprodleně o vyloučení, včetně uvedení důvodu, dodavatele písemně informuje. Nabídka bude zpracována tak, aby byla dobře čitelná, a nebude obsahovat opravy a přepisy, které by zadavatele mohly uvést v omyl.

**9.2. Jazyk nabídky**

Nabídka, všechny ostatní doklady a dokumenty s ní související a veškerá korespondence musí být v českém jazyce. Cizojazyčné listiny dokládající kvalifikační předpoklady (s výjimkou případných certifikátů podle bodu 8.7 odst. 3 překladem do českého jazyka. Doklady ve slovenském jazyce se předkládají bez překladu.

**9.3. Požadavky na sestavení nabídky –**

Nabídka musí obsahovat veškeré dokumenty požadované ZZVZ dokumentaci. Zadavatel doporučuje dodavatelům, aby zpracovali nabídku v následujícím členění:

1. obsah nabídky,
2. krycí list nabídky (identifikační údaje dodavatele, kontaktní osoba, nabídková cena v podobě, jejíž vzor je uveden v příloze č. 1 „Krycí list nabídky" dokumentace),
3. doklady k prokázání splnění základní způsobilosti dodavatelů, anebo doklady podle bodu 8.5 zadávací dokumentace)
4. doklady k prokázání splnění profesní způsobilosti dokumentace),
5. doklady prokazující splnění technické dokumentace),
6. návrh smlouvy podepsaný osobou oprávněnou zastupovat dodavatele obsahové stránce odpovídat „Závaznému vzoru smlouvy" zadávací dokumentace, a ve kterém budou dodavatelem doplněny žlutě podbarvené části (včetně příslušných příloh),
7. další dokumenty (např. plná moc pro oprávněnou osobu, smlouva s smlouva o společnosti) apod.
8. **ZPŮSOB, LHŮTA A MÍSTO PRO PODÁNÍ NABÍDEK**

Nabídka musí být podána výhradně elektronicky prostřednictvím zadavatelem určeného elektronického nástroje, kterým je Národní https://nen.nipez.cz/verejne-zakazky/detail-zakazky/N006-26-V00028649 zadávací dokumentace) musí být opatřeny

**členění a pořadí obsahu nabídek**

a zadavatelem v zadávací (výpis ze seznamu kvalifikovaných (doklad podle bodu 8.6 zadávací kvalifikace (podle , který je přílohou č. 2 elektronický ; této zadávací , bodu poddodavatelem, 8.7 zadávací , který bude po nástroj (NEN) – , a to nejpozději do

<!-- PAGE 10 -->19. října 2026. Za podání prostřednictvím NEN se považuje též podání s využitím portálu Zakázky GOV. Jiné podání nabídky nebude považováno za řádné. Pro elektronické podání nabídky je nutno být ze strany dodavatele registrován v elektronickém nástroji NEN. Podrobné instrukce na požadavky a podmínky pro podání nabídky prostřednictvím elektronického nástroje NEN jsou dostupné pod odkazem https://nen.nipez.cz/ v sekci Uživatelské příručky. K zašifrování nabídky musí být dodavatelem použit veřejný klíč s certifikátem, který je zadavatelem uveřejněn společně se zadávací dokumentací v rámci dokumentů příslušné veřejné zakázky v elektronickém nástroji NEN.

1. **ZADÁVACÍ LHŮTA**

V souladu s § 40 odst. 1 ZZVZ zadavatel stanovil zadávací lhůtu, po kterou dodavatelé zadávacího řízení nesmí ze zadávacího řízení odstoupit, v délce trvání 2 měsíců. Počátkem běhu zadávací lhůty je konec lhůty pro podání nabídek. Zadávací lhůta neběží po dobu, ve které zadavatel nesmí uzavřít smlouvu s vybraným dodavatelem podle § 246 ZZVZ.

1. **OTEVÍRÁNÍ NABÍDEK V ELEKTRONICKÉ PODOBĚ**

Otevírání nabídek v elektronické podobě se řídí § 108 a § 109 ZZVZ a bude neveřejné.

1. **HODNOTICÍ KRITÉRIA**

Základním hodnoticím kritériem pro zadání veřejné zakázky je ekonomická výhodnost nabídek. Ekonomická výhodnost nabídek bude hodnocena podle nejnižší celkové nabídkové ceny bez DPH (uvedené v Krycím listu nabídky). Ekonomicky nejvýhodnější nabídkou bude nabídka s nejnižší celkovou nabídkovou cenou bez DPH. Při rovnosti nabídkových cen bude pořadí nabídek stanoveno losem prostřednictvím NEN.

1. **POSOUZENÍ SPLNĚNÍ PODMÍNEK ÚČASTI**

V rámci posouzení splnění podmínek účasti zadavatel posoudí, zda dodavatelé nebo pouze vybraný dodavatel splňují podmínky účasti v souladu s § 37 ZZVZ stanovené ZZVZ a v této zadávací dokumentaci, tj. zda splňují:

1. základní způsobilost podle § 74 ZZVZ,
2. profesní způsobilost podle § 77 odst. 1 ZZVZ,
3. splnění technické kvalifikace podle § 79 odst. 2 písm. b) až d) ZZVZ,
4. splnění smluvních podmínek podle § 37 odst. 1 písm. c) ZZVZ,
5. splnění podmínek týkajících se nabídky podle § 37 odst. 2 ZZVZ. Splnění podmínek účasti v zadávacím řízení prokáže dodavatel:
6. podle písmene a) až c) způsobem uvedeným v bodu 8 této zadávací dokumentace,
7. podle písmene d) předložením podepsaného návrhu smlouvy, který bude po obsahové stránce odpovídat Závaznému vzoru smlouvy, který je přílohou č. 2 této zadávací dokumentace, zadávacím podmínkám a obsahu nabídky dodavatele, a
8. podle písmene e), pokud splní podmínky zadavatele pro zpracování a podání nabídky uvedené v bodech 9 a 10 této zadávací dokumentace. U vybraného dodavatele musí zadavatel provést posouzení splnění podmínek účasti v zadávacím řízení a hodnocení jeho nabídky vždy.

<!-- PAGE 11 -->V souladu s § 46 odst. 1 ZZVZ může zadavatel po dodavateli požadovat, aby v přiměřené lhůtě objasnil předložené údaje nebo doklady, nebo doplnil další či chybějící údaje anebo doklady.

1. **OCHRANA PROTI NESPRÁVNÉMU POSTUPU ZADAVATELE 15.1. Námitky**

Námitky může podat dodavatel, kterému postupem zadavatele souvisejícím se zadáváním veřejné zakázky hrozí nebo vznikla újma. Přípustnost námitek, jejich podávání, lhůty, jakož i náležitosti a přezkum jsou upraveny v § 241 a násl. ZZVZ. Námitky se podávají písemně a musí splňovat obsahové náležitosti podle § 244 ZZVZ. Zadavatel přezkoumá podané námitky v plném rozsahu a ve lhůtě do 15 dnů od obdržení námitek odešle stěžovateli písemné rozhodnutí o tom, zda námitkám vyhovuje nebo je odmítá, s uvedením důvodu.

**15.2. Přezkoumání úkonů zadavatele**

Přezkoumávání úkonů zadavatele Úřadem pro ochranu hospodářské soutěže je upraveno v § 248 a násl. ZZVZ.

1. **VYHRAZENÁ PRÁVA ZADAVATELE**

Zadavatel nepřipouští varianty nabídky. V souladu s § 9 odst. 1 písm. c) vyhlášky č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností, je zadavatel povinen řídit rizika spojená s dodavateli. V rámci přípravy zadávacího řízení zadavatel na základě analýzy rizik dodavatelského řetězce, provedené v souladu s vydaným Varováním NUKIB č.j. 6159/2025- NÚKIB-E/350 ze dne 3. 9. 2025 (dále jen „Varování NÚKIB"), identifikoval rizika spočívající zejména v předávání systémových a provozních dat do zahraničí a ve výkonu vzdálené správy technických aktiv z území států, na které se Varování NÚKIB vztahuje. Zadavatel tato rizika vyhodnotil ve vztahu k předmětu plnění jako neakceptovatelná a současně konstatoval, že tato rizika nelze přiměřenými technickými ani organizačními opatřeními účinně eliminovat. Proto zadavatel stanoví, že v rámci veřejné zakázky nelze poskytnout plnění, které je dodáváno výrobcem či dodavatelem podléhajícím právnímu režimu, který může ukládat povinnost zpřístupnit data nebo umožnit zásah do fungování těchto prostředků (tj. zemí uvedených ve Varování NÚKIB), pokud dodavatel neprokáže, že takové riziko bylo účinně eliminováno. Dodavatel je povinen prokázat splnění této podmínky předložením prohlášení, ze kterého bude zřejmá zejména:

1. identifikace osob odlišných od dodavatele, které se budou podílet na plnění veřejné zakázky, zejména na jeho vývoji, dodání, správě, podpoře, rozvoji, aktualizaci, licencování nebo provozu, včetně uvedení země jejich sídla a jejich role ve vztahu k nabízenému plnění;
2. informace o tom, zda součástí nabízeného plnění bude vzdálená správa, vzdálený přístup, servisní přístup, privilegovaný přístup nebo jiná možnost vzdáleného zásahu do technických aktiv zadavatele ze strany dodavatele, poddodavatele nebo jiné třetí osoby. Budeli takový přístup součástí nabízeného plnění, dodavatel uvede, kdo tento přístup bude vykonávat, z jakého území, k jakým aktivům, v jakém rozsahu oprávnění a za jakých podmínek;

<!-- PAGE 12 -->1. informace o druhu předávaných dat, příjemci těchto dat a data předávána, v případě, že by v rámci plnění mělo docházet k předávání systémových nebo uživatelských dat mimo území EU. Dodavatel v prohlášení uvede rovněž případné být relevantní pro posouzení rizik identifikovaných zadavatelem. Nesplnění tohoto požadavku bude považováno za nesplnění zadávacích podmínek. Zadavatel nepožaduje poskytnutí jistoty. Zadavatel je dále oprávněn:
2. nevracet dodavateli podanou nabídku,
3. neposkytovat dodavateli náhradu nákladů spojených s účastí v zadávacím řízení
4. neuzavřít s žádným dodavatelem smlouvu
5. zrušit zadávací řízení v souladu s § 127
6. **PŘÍLOHY ZADÁVACÍ DOKUMENTACE**

Přílohy zadávací dokumentace tvoří následující dokumenty: Příloha č. 1 ZD – Krycí list nabídky Příloha č. 2 ZD – Závazný vzor smlouvy Příloha č. 3 ZD – Vzor čestného prohlášení (ČP ZZ) Příloha č. 4 ZD – Seznam významných služeb. další jemu známé skutečnosti, které mohou , ZZVZ.

V Praze dne dle el. podpisu

zemi, do které mají být taková ,

Ing. Marek Ebert předseda Rady Českého telekomunikačního úřadu

<!-- PAGE 13 -->**KRYCÍ LIST NABÍDKY ZÁKLADNÍ ÚDAJE:**

| Název veřejné Zadavatel: | zakázky: | Podpora infrastruktury Česká republika | CheckPoint – Český telekomunikační | a ochrana koncových úřad zařízení |
| --- | --- | --- | --- | --- |
| Sídlo: |  | Sokolovská 58/219, | Vysočany , 19000 | Praha 9 |
| IČO: |  | 701 06 975 |  |  |
| Jejímž | jménem jedná: | Ing. Marek Ebert, | předseda Rady | ČTÚ |
| Kontaktní | osoba a e-mail: | Mgr. Jan Kroj, tel.: | 224 004 711, e-mail: | jan.kroj@ctu.gov.cz |

**Identifikační údaje o dodavateli**

Jméno / název / obchodní firma Bydliště / sídlo / místo podnikání Právní forma Zastoupena IČO DIČ Kontaktní osoba Telefon E-mail Malý nebo střední podnik ano / ne Plátce DPH ano / ne

**Nabídková cena v Kč**

| Celková | nabídková cena za |  |
| --- | --- | --- |
| plnění | podle čl. | 2 Závazného |
| vzoru | smlouvy |  |

V .................. dne ..................

| Cena v Kč | Sazba | Cena v Kč |
| --- | --- | --- |
|  | Částka | DPH |
| bez DPH | DPH | včetně DPH |

.......................................................................................... Jméno a podpis osoby oprávněné zastupovat dodavatele

<!-- PAGE 14 --># Smlouva č. CTU/2026_0077

uzavřená podle § 1746 odst. 2 zákona č. 89/2012 Sb., občanského zákoníku, ve znění pozdějších předpisů (dále jen „smlouva")

1. **Smluvní strany Česká republika – Český telekomunikační úřad**

se sídlem: Sokolovská 58/219, Praha 9 adresa pro doručování pošt. přihrádka 02, 225 02 Praha 025 bankovní spojení: Česká národní banka, pobočka Praha Číslo účtu: 725001/0710 IČO: 70106975 DIČ: CZ70106975 (osoba identifikovaná k dani) jejímž jménem jedná: Ing. Marek Ebert, předseda Rady Českého telekomunikačního úřadu (dále jen „objednatel" nebo „ČTÚ") na straně jedné a

**… …………………………….. .**

se sídlem: … ……………………….. . zastoupena: … ……………………….. . IČO: … ……………………….. . DIČ: … ……………………….. . bankovní spojení: … ……………………….. . číslo účtu: … ……………………….. . zapsaná v obchodním rejstříku vedeným … ….. soudem v ……… , oddíl … , vložka … (dále jen „dodavatel") na straně druhé, společně označované také jako „strany" nebo jednotlivě též jako „strana", uzavřely následující smlouvu na základě výsledku zadávacího řízení na nadlimitní veřejnou zakázku s názvem „ **Podpora infrastruktury CheckPoint a ochrana koncových zařízení** " (dále jen „zadávací řízení").

1. **Předmět smlouvy**

2.1. Předmětem smlouvy je na straně jedné závazek dodavatele poskytnout objednateli v souladu se smlouvou plnění spočívající v:

1. zajištění pokračující licenční podpory a souvisejících bezpečnostních služeb pro stávající produkty CheckPoint provozované objednatelem v rozsahu uvedeném v příloze č. 1 této smlouvy (Technická specifikace), a to v období od 16.11.2026 do 15.11.2030;
2. dodávce potřebných licencí, implementaci, konfiguraci, zprovoznění a podpoře řešení pro ochranu koncových zařízení objednatele, zejména pracovních stanic a notebooků uživatelů;
3. rozšíření bezpečnostní infrastruktury objednatele o licence a funkcionality určené k detekci, prevenci a reakci na bezpečnostní incidenty na koncových zařízeních;

<!-- PAGE 15 -->1. zajištění funkcionality pro ochranu před nežádoucím nebo neoprávněným používáním nástrojů umělé inteligence a AI agentů na koncových zařízeních;
2. zajištění nároku objednatele na poskytování všech aktualizací, updatů, upgradů a bezpečnostních oprav vydaných výrobcem pro produkty a licence poskytované podle této smlouvy, a to po dobu trvání příslušné licenční podpory. 2.2. Podrobná technická, licenční a servisní specifikace plnění, včetně případných počtů licencí, parametrů podpory a souvisejících bezpečnostních služeb, je uvedena v příloze č. 1 této smlouvy (Technická specifikace). 2.3. Předmětem smlouvy je na druhé straně závazek objednatele uhradit dodavateli za plnění poskytnuté v souladu s touto smlouvou cenu dle čl. 4 této smlouvy.
3. **Místo a doba plnění, povinnosti smluvních stran**

3.1. Místem plnění je sídlo objednatele. 3.2. Dodavatel se zavazuje, že plnění dle čl. 2 této smlouvy poskytne objednateli nejpozději ode dne 16.11.2026. 3.3. Dodavatel se zavazuje, že poskytnuté plnění dle čl. 2 této smlouvy bude plynule navazovat na stávající licenční podporu, která končí ke dni 15.11.2026. Objednatel tedy požaduje navázání licenční podpory bez sankčního postihu ze strany výrobce nejpozději ode dne 16.11.2026. 3.4. Posledním dnem plnění dle čl. 2 této smlouvy je 15. 11. 2030. 3.5. Dodavatel se zavazuje:

1. provést předmět smlouvy na odborné úrovni řádně a včas,
2. bez zbytečného odkladu informovat objednatele o ohrožení splnění této smlouvy (zejména splnění předmětu smlouvy),
3. po celou dobu trvání této smlouvy zajistit:
4. plnění veškerých povinností vyplývajících z právních předpisů České republiky, zejména pak předpisů pracovněprávních, předpisů v oblasti zaměstnanosti, a dále oblasti bezpečnosti a ochrany zdraví při práci, a to vůči všem osobám, které se budou podílet na plnění této smlouvy;
5. dodržování zákona č. 198/2009 Sb., o rovném zacházení a o právních prostředcích ochrany před diskriminací a o změně některých zákonů (antidiskriminační zákon), ve znění pozdějších předpisů;
6. řádné a včasné plnění finančních závazků vůči svým případným poddodavatelům;
7. po celou dobu účinnosti smlouvy disponovat platným certifikátem (resp. rovnocenným dokladem) o zavedení systému řízení bezpečnosti informací v organizaci v souladu s ISO 27001 (ISO/IEC 27000), případně uplatňovat rovnocenná opatření systému řízení bezpečnosti informací, resp. zajistit, aby tímto disponoval alespoň poddodavatel, pokud budou výhradně jeho prostřednictvím zajišťovány veškeré činnosti při plnění smlouvy, v rámci kterých je nutno/možno předpokládat přístup k citlivým informacím (např. informace o datových tocích),
8. umožnit objednateli provedení auditu k ověření, zda nedochází k předávání dat na Území ve smyslu Varování Národního úřadu pro kybernetickou a informační bezpečnost (dále jen „NÚKIB"), č.j. 6159/2025-NÚKIB-E/350 ze dne 3. 9. 2025. 3.6. Objednatel se zavazuje:

<!-- PAGE 16 -->1. poskytnout dodavateli součinnost nezbytně nutnou pro splnění této smlouvy,
2. průběžně informovat o svých návrzích a doporučeních. Tyto návrhy a doporučení budou poskytnuty objektivním a profesionálním způsobem.
3. **Cena a platební podmínky**

4.1. Celková cena za plnění dle této smlouvy činí …… … Kč bez DPH. 4.2. Cena je stanovena jako pevná a lze ji měnit, pouze pokud dojde ke změně sazby DPH. K ceně bude při její fakturaci připočtena DPH v aktuální výši ke dni uskutečněného zdanitelného plnění. 4.3. Cena zahrnuje veškeré náklady dodavatele nezbytné pro plnění smlouvy. 4.4. Cenu bude objednatel hradit postupně na základě daňových dokladů – faktury (dále jen „faktura"), a to následujícím způsobem: Cena bude objednatelem hrazena postupně na základě daňových dokladů – faktur (dále jen „faktura"), a to ve čtyřech (4) ročních platbách odpovídajících poskytování podpory dle této smlouvy. Dodavatel je oprávněn vystavit fakturu vždy nejdříve 30 dnů před začátkem příslušného období poskytování podpory, a to následovně:

1. za období od 16. 11. 2026 do 15. 11. 2027,
2. za období od 16. 11. 2027 do 15. 11. 2028,
3. za období od 16. 11. 2028 do 15. 11. 2029,
4. za období od 16. 11. 2029 do 15. 11. 2030. 4.5. Faktura je splatná do 30 dnů ode dne doručení objednateli. V případě faktury doručené objednavateli mezi 15. prosincem a 10. lednem je taková faktura splatná nejdříve následujícího 1. února. 4.6. Povinnost úhrady se považuje za splněnou okamžikem odepsání příslušné částky z účtu objednatele ve prospěch bankovního účtu dodavatele uvedeného v záhlaví této smlouvy. 4.7. Faktura bude vedle náležitostí stanovených § 29 zákona č. 235/2004 Sb., o daní z přidané hodnoty, ve znění pozdějších předpisů, a § 435 občanského zákoníku obsahovat i evidenční číslo smlouvy objednatele. Přílohou faktury musí být kopie akceptačního protokolu. Objednatel je oprávněn vrátit nesprávnou fakturu dodavateli, a to před uplynutím její lhůty splatnosti. Nová lhůta splatnosti počne běžet dnem doručení bezvadné faktury. Fakturu zašle dodavatel na doručovací adresu objednatele uvedenou v záhlaví smlouvy.
5. **Vyšší moc**

5.1. Smluvní strany nebudou odpovědné za částečné nebo úplné neplnění smluvních závazků následkem okolností vylučujících odpovědnost v případech tzv. vyšší moci. Výraz vyšší moc znamená a zahrnuje zejména: přírodní katastrofu, požár, záplavy, zemětřesení a dále povstání, stávky, pracovní boje jakéhokoliv druhu nebo terorismus, které mají přímou souvislost a brání plnění povinností ze smlouvy a plnění povinností nelze zajistit jinak nebo je nahradit, nehody, pád letadla včetně nehod, kterým se nedalo vyhnout v souvislosti s plněním této smlouvy včetně přijetí zákona nebo mimořádného rozhodnutí přísl. úřadu v souvislosti se zásahem vyšší moci, pokud příčiny a události mají vliv na plnění povinností stran ze smlouvy a plnění povinností vyplývajících ze smlouvy nelze zajistit jinak. 5.2. Vyskytneli se působení překážky v důsledku vyšší moci, s níž jsou spojeny účinky

<!-- PAGE 17 -->vylučující odpovědnost, lhůty ke splnění smluvních závazků se prodlouží o dobu trvání takové překážky. Smluvní strana, která je postižena takovou překážkou, je však povinna okamžitě, písemně, uvědomit druhou smluvní stranu o této skutečnosti, o začátku trvání této překážky a předpokládané době jejího trvání.

1. **Kybernetická bezpečnost**

6.1. Dodavatel bere na vědomí, že plnění této smlouvy může souviset s aktivy objednatele zařazenými ve stanoveném rozsahu regulované služby v režimu vyšších povinností. Smluvní strany potvrzují, že rozsah plnění dodavatele, které je významné z hlediska zajištění kybernetické bezpečnosti regulované služby objednatele, je určen rozsahem poskytovaných aktiv (vč. služeb) dle této smlouvy, tedy práva a povinnosti dále uvedené se vztahují pouze na aktiva, kterými je plněna tato smlouva a/nebo jsou jinak používaná a/nebo přímo souvisí s plněním této smlouvy. Objednatel je při jejich ochraně nucen zohlednit příslušné bezpečnostní požadavky vyplývající ze skutečnosti, že objednatel je povinnou osobou dle zákona č. 264/2025 Sb., o kybernetické bezpečnosti (dále „ZoKB"), resp. vyhlášky č. 409/2025 Sb. o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností (dále jen „VoKB"), dále požadavky Národního úřadu pro kybernetickou a informační bezpečnost (dále jen „NÚKIB"), jakož i příslušné vnitřní předpisy objednatele. 6.2. Dodavatel, jakožto dodavatel ve smyslu ZoKB, je povinen při všech činnostech souvisejících s plněním této smlouvy brát na tuto skutečnost zřetel a dodržovat ustanovení ZoKB, případně i příslušné mezinárodně uznávané standardy vztahující se k řízení kybernetické a informační bezpečnosti (např. ISO 27001) v relevantním rozsahu. Dodavatel je současně povinen brát na zřetel na ustanovení v rozsahu vyplývajícím z bezpečnostních požadavků ve formě organizačních a technických opatření, která jsou upravena v Příloze č. 2 (Specifikace plnění požadavků v oblasti kybernetické bezpečnosti) této smlouvy (dále jen „Kybernetické bezpečnostní požadavky"), případně vyplývajícím z vnitřních předpisů objednatele (např. Politika bezpečnosti informací), s nimiž byl dodavatel seznámen, resp. dalších pokynů objednatele, které mají zajistit bezpečnost dat a bezpečnost informací a dostupnost regulované služby objednatele a postupovat v souladu s nimi. Vnitřní předpisy objednatele, související s aktivy zařazenými ve stanoveném rozsahu regulované služby, předá objednatel dodavateli v elektronické podobě na základě oboustranně podepsaného předávacího protokolu, který obsahuje seznam předávané dokumentace. 6.3. Pokud se během plnění této smlouvy ukáže, že některý z požadavků uvedených ve smlouvě, resp. Kybernetických bezpečnostních požadavcích či vnitřních předpisech objednatele, je v rozporu s požadavky ZoKB (je nutný rozpor, nikoliv specifická implementace na základě analýzy a hodnocení rizik), použije se požadavek ze smlouvy, Kybernetických bezpečnostních požadavků či vnitřních předpisů objednatele v tom rozsahu, který neodporuje požadavkům ZoKB. V rozsahu, v jakém si požadavky odporují, se použije požadavek ZoKB. 6.4. V případě zjištění vzájemného rozporu mezi smlouvou, resp. Kybernetickými bezpečnostními požadavky či vnitřními předpisy objednatele, a nejde-li o rozpor těchto dokumentů se ZoKB, budou postupovat smluvní strany tak, aby bylo v co nejvyšší míře dosaženo bezpečnosti dat a dostupnosti regulované služby objednatele. Není-li takový postup možný, mají v takovém případě přednost v daném pořadí:

1. text smlouvy (mimo přílohy),
2. Kybernetické bezpečnostní požadavky,
3. vnitřní předpisy objednatele. 6.5. Dodavatel se zavazuje na žádost objednatele bez zbytečného odkladu doložit svou

<!-- PAGE 18 -->úplnou vlastnickou strukturu až po konečného uživatele výhod, resp. souhlasí s tím, aby objednatel toto ověřil obdobně jako v případě postupu dle § 122 odst. 5 zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů (dále jen „ZZVZ"). Dodavatel dále prohlašuje, že není pod přímým či nepřímým vlivem cizí státní moci státu mimo EU nebo NATO, který by mohl vést k ohrožení bezpečnostních zájmů České republiky nebo narušení bezpečnosti regulované služby objednatele. 6.6. Dodavatel se zavazuje během poskytování předmětu plnění dostatečně zabezpečit veškeré případné zpracování, přenos a uložení dat v souladu s Kybernetickými bezpečnostními požadavky a vnitřními předpisy objednatele. Současně dodavatel garantuje, že veškerá data objednatele budou uložena a zpracovávána výhradně na území EU. 6.7. V případě provádění vzdálené správy ze zemí mimo EU/NATO je dodavatel povinen zajistit, aby takový přístup byl vždy předem schválen objednatelem, byl plně monitorován a probíhal přes zabezpečený uzel spravovaný objednatelem. 6.8. Dodavatel se zavazuje nad rámec povinností stanovených právními předpisy a touto smlouvou aktivně sledovat, vyhodnocovat a po dohodě a v souladu s pokyny objednatele provádět protiopatření vydaná NÚKIB v souladu s § 20 ZoKB. 6.9. Smluvní strany berou na vědomí, že v případě, že NÚKIB vydá opatření obecné povahy nebo rozhodnutí, které omezuje nebo zakazuje využívání plnění poskytovaného dodavatelem z důvodu strategického rizika, považuje se toto za situaci vyšší moci. Objednatel je v takovém případě oprávněn vypovědět smlouvu s okamžitou účinností, aniž by mu vznikla povinnost hradit dodavateli jakékoli smluvní pokuty či náhradu škody. 6.10. Dodavatel se dále zavazuje:

1. poskytnout na vyžádání objednatele dokumenty a obdobné vstupy, které budou prokazovat naplnění Kybernetických bezpečnostních požadavků;
2. na vyžádání s objednatelem konzultovat kdykoli v průběhu poskytování plnění smlouvy detailní nastavení bezpečnostních opatření k naplnění Kybernetických bezpečnostních požadavků a pro takovéto konzultace zajistit účast kvalifikovaných pracovníků;
3. při výkonu své činnosti včas a prokazatelně upozornit objednatele na zřejmou nevhodnost jeho pokynů vztahující se ke Kybernetickým bezpečnostním požadavkům a jejichž následkem může vzniknout újma nebo nesoulad se ZoKB nebo jinými obecně závaznými právními předpisy. 6.11. Dodavatel se během poskytování předmětu plnění pro objednatele zavazuje objednatele písemně informovat o:
4. kybernetickém bezpečnostním incidentu souvisejícím s předmětem plnění, a to neprodleně, nejpozději však do 18 hodin od jeho zjištění. Hlášení musí obsahovat minimálně popis kybernetického bezpečnostního incidentu, čas a způsob jeho zjištění, předpokládaný nebo potvrzený dopad na poskytování plnění, přijatá a/nebo navrhovaná nápravná opatření ke zmírnění či vyloučení dopadu na důvěrnost, integritu nebo dostupnost dat nebo plnění;
5. významné změně ovládání dodavatele nebo jeho poddodavatele dle § 74 a násl. zákona č. 90/2012 Sb., o obchodních společnostech a družstvech (zákon o obchodních korporacích), ve znění pozdějších předpisů, a to nejpozději do 10 pracovních dnů ode dne, kdy se dodavatel o plánované změně dozví nebo se měl a mohl dozvědět. Tato informace musí obsahovat alespoň identifikace nové ovládající osoby, včetně IČO, sídla a údajů o skutečném majiteli dle zákona č. 37/2021 Sb., o evidenci skutečných majitelů, ve znění pozdějších předpisů (dále jen „ZESM"), datum, ke kterému došlo nebo má dojít ke změně ovládání a popis povahy ovládání nebo podílu na hlasovacích právech. Povinnost podle tohoto

<!-- PAGE 19 -->článku se vztahuje i na změnu osoby skutečného majitele ZESM a použije se přiměřeně i na případy přeměn obchodní korporace, které mají za následek změnu ovládající osoby;

1. změně vlastnictví zásadních aktiv, využívaných popřípadě o změně oprávnění nakládat s těmito aktivy, a to nejpozději do 10 pracovních dnů ode dne, kdy se dodavatel měl a mohl dozvědět, přičemž zásadními aktivy se rozumí aktiva,
2. s jejichž pomocí je možné přímo či nepřímo ovlivňovat bezpečnost plnění, systémů objednatele a/nebo dat v nich obsažených,
3. skrze která je možné proniknout do systémů objednatele a která jsou zásadní pro realizaci plnění;
4. fyzických osobách přicházejících do kontaktu s v rámci tohoto informování dodavatel vytvoří a udržuje jejich aktuální seznam, který zpřístupní objednateli, a to do 30 dnů od nabytí účinnosti této smlouvy, a objednatele informuje o jakýchkoli změnách v tomto seznamu bez zbytečného odkladu od okamžiku, kdy se dodavatel o dané změně dozvěděl;
5. žádosti orgánů činných v trestním řízení nebo jiných orgánů veřejné správy o poskytnutí informací, údajů nebo dokumentů objednatele, které byly objednatelem předány dodavateli, nebo které dodavatel v souvislosti s poskytováním plnění, a to neprodleně a poskytnutím takových informací, pokud to dodavateli nezakazují;
6. žádosti cizozemského orgánu o zpřístupnění nebo předání dat zpracovávaných na území cizího státu, vyjma situace, kdy by takové informování bylo v rozporu s právním řádem, v jehož působnosti dochází ke zpracování dat nebo podle kterého byla žádost podána. 6.12. Dodavatel se dále zavazuje zpřístupnit nebo cizozemského orgánu o zpřístupnění nebo předání dat zpracovávaných na území cizího státu:
7. až po provedení přezkoumání zákonnosti takové žádosti;
8. až po vynaložení veškerého úsilí, které lze na spravedlivě požadovat, o zabránění zpřístupnění nebo předání dat v daných právních řádem, v jehož působnosti dochází ke zpracování dat nebo podle kterého byla žádost podána;
9. pouze v nezbytném rozsahu. 6.13. Dodavatel je povinen jakékoliv dokumenty zpracovávané dle této smlouvy vést ve formě umožňující přezkoumatelnost a auditovatelnost ze strany kontrolních orgánů ve smyslu § 42 odst. 3 písm. s) ZoKB. Pokud by byl jakýkoliv dokument související s poskytováním plnění dle této smlouvy zpochybněn kontrolním orgánem, je poskytnout objednateli takové dokumenty či podklady, které budou kontrolním orgánem akceptovány. V případě, že dodavatel nebude schopen tyto dokumenty či poskytnout nebo by tyto nebyly kontrolním orgánem akceptovány, a pokud absence těchto dokumentů bude důvodem k udělení jakékoliv sankce vůči objednateli, zavazuje se dodavatel objednateli uhradit takovouto sankci v plné výši, a to i po vypršení platnosti a účinnosti této smlouvy, pokud se bude taková sankce týkat období platnosti dokumentu zpracovaného dodavatelem. 6.14. Smluvní strany berou na vědomí, že v průběhu poskytování plnění dle této smlouvy může dojít: dodavatele ve smyslu dodavatelem k o plánované změně dozví nebo se neveřejnými informacemi, přičemž jiným způsobem získal či vytvořil s právní předpisy výslovně předat data na dodavateli v takovém postavení plnění smlouvy, následně předstihem před základě žádosti rámci možností dodavatel povinen podklady

<!-- PAGE 20 -->1. ke změnám právních předpisů,
2. k vydání protiopatření ze strany NÚKIB,
3. k vydání opatření obecné povahy ze strany NÚKIB, kterým mohou být stanoveny podmínky nebo kterým může být zakázáno využití plnění dodavatele v souladu s § 29 ZoKB,
4. ke změnám v oblasti best practice pro předmět plnění, a/nebo
5. k vydání metodických materiálů a doporučení NÚKIB, přičemž tyto změny či nové dokumenty mohou vyvolat potřebu změny smlouvy, Kybernetických bezpečnostních požadavků nebo vnitřních předpisů objednatele. Z těchto důvodů si smluvní strany sjednávají tuto vyhrazenou změnu závazku ve smyslu § 100 odst. 1 ZZVZ. V uvedených případech smluvní strany berou na vědomí a souhlasí s tím, že bude postupováno tak, aby byly dodrženy požadavky aktuálních právních předpisů, vydaného protiopatření, opatření obecné povahy, změny best practice nebo metodických materiálů a doporučení NÚKIB, a za tímto účelem vstoupí smluvní strany do jednání o změně smlouvy, resp. Kybernetických bezpečnostních požadavků nebo objednatel poskytne dodavateli novou verzi vnitřních předpisů objednatele, které budou pro dodavatele dále závazné. V případě, že dodavatel v souvislosti se změnou smlouvy, resp. Kybernetických bezpečnostních požadavků nebo vnitřních předpisů objednatele identifikuje potřebu změny ceny, je povinen tuto změnu ceny projednat s objednatelem a náležitě její potřebu zdůvodnit. 6.15. Ve smyslu vydaného varování NÚKIB č.j. 6159/2025-NÚKIB-E/350 ze dne 3. 9. 2025 dodavatel prohlašuje, že není seznámen s existencí žádných skrytých mechanismů
6. v dodávaném plnění, které by umožňovaly neoprávněný přístup k datům nebo systémům objednatele, a že podle jemu dostupných informací a při vynaložení odborné péče dodávané plnění takové mechanismy neobsahuje. Dodavatel dále prohlašuje, že dodané plnění neobsahuje funkce, mechanismy ani technické prostředky umožňující vzdálenou nebo jinou dodatečnou instalaci, aktivaci či konfiguraci takových mechanismů bez předchozího vědomí a výslovného souhlasu Objednatele. Dodavatel se současně zavazuje, že po dobu trvání smlouvy neprovede ani neumožní provedení takové instalace, aktivace či konfigurace prostřednictvím aktualizací, servisních zásahů nebo jiným způsobem. Za porušení tohoto prohlášení se považuje rovněž existence mechanismu umožňujícího instalaci, aktivaci nebo zpřístupnění obdobné funkcionality třetí osobou bez vědomí a souhlasu objednatele, a to po celou dobu trvání smlouvy a na dobu případně poskytované podpory výrobce k dodávanému plnění. V případě, že během plnění smlouvy objednatel prokazatelně doloží nepravdivost tvrzení dodavatele nebo porušení povinností podle tohoto článku smlouvy, má právo uplatnit nárok na bezplatnou výměnu za jiné zařízení splňující bezpečnostní požadavky stanovené touto smlouvou. V případě, že dodavatel takovouto výměnu odmítne poskytnout, je v takovém případě objednatel oprávněn odstoupit od smlouvy s okamžitou účinností ode dne doručení odstoupení dodavateli, aniž by mu vznikla povinnost hradit dodavateli jakékoli smluvní pokuty či náhradu škody. 6.16. Dodavatel je povinen bez zbytečného odkladu informovat objednatele o každé žádosti třetí osoby o poskytnutí dat nebo přístupu k systémům objednatele, pokud takové oznámení není zakázáno závazným právním předpisem. Dodavatel současně nesmí poskytnout data ani přístup k systémům kupujícího třetí osobě, pokud takové poskytnutí není v souladu s právním řádem České republiky nebo mezinárodními smlouvami, jimiž je Česká republika vázána. 6.17. Dodavatel se současně zavazuje, že nebude plnit žádné požadavky třetích stran (včetně vládních orgánů cizích států) na poskytnutí dat nebo přístupu k systémům objednatele,

<!-- PAGE 21 -->pokud tyto požadavky nejsou v souladu s právním řádem ČR nebo mezinárodními smlouvami, jimiž je ČR vázána.

1. **Salvátorské ustanovení**

## Obě smluvní strany prohlašují, že pokud se kterékoliv ustanovení této smlouvy nebo s ní související ujednání ukáže být neplatným nebo se neplatným stane, že tato skutečnost neovlivní platnost smlouvy jako celku. V takovém případě se obě smluvní strany zavazují nahradit neprodleně neplatné ustanovení ustanovením platným; obdobně se zavazují postupovat v případě ostatních nedostatků smlouvy či souvisejících ujednání.

1. **Smluvní pokuty**

8.1. Je-li objednatel v prodlení s uhrazením faktury, dodavatel má právo účtovat zákonný úrok z prodlení z dlužné částky za každý i započatý den prodlení. 8.2. V případě prodlení dodavatele s poskytnutím plnění uhradí dodavatel objednateli smluvní pokutu ve výši 10.000 Kč za každý i započatý den prodlení. 8.3. Objednatel nemá právo uplatnit smluvní pokutu, jestliže dodavatel prokáže, že objednatel neposkytl dodavateli spolupůsobení nutné k tomu, aby dodavatel mohl splnit svůj závazek. 8.4. V případě porušení některé z povinností stanovené v čl. 6 této smlouvy uhradí, není-li dále stanoveno jinak, dodavatel objednateli částku 5.000 Kč za každý jednotlivý případ porušení této povinnosti. 8.5. V případě porušení některé z povinností stanovené v čl. 6.15 až 6.17 této smlouvy uhradí prodávající kupujícímu částku 100.000 Kč za každý jednotlivý případ porušení této povinnosti. 8.6. V případě porušení povinnosti dodavatele dle čl. 10.4 této smlouvy uhradí dodavatel objednateli smluvní pokutu ve výši 2.000.000 Kč. Toto ustanovení platí 5 let po ukončení účinnosti této smlouvy. 8.7. Smluvní pokuty jsou splatné ve lhůtě 10 dnů ode dne, kdy dodavatel obdrží písemnou výzvu k jejich úhradě. 8.8. Zaplacením smluvní pokuty podle této smlouvy není dotčen nárok smluvní strany na náhradu skutečné škody v celém rozsahu způsobené škody. Žádná ze smluvních stran neodpovídá za škodu vzniklou jako následek vyšší moci.

1. **Ukončení smlouvy**

9.1. Tato smlouva může být ukončena splněním, písemnou dohodou obou smluvních stran nebo odstoupením od smlouvy. 9.2. Smluvní strany jsou oprávněny od této smlouvy odstoupit v případech stanovených občanským zákoníkem či touto smlouvou. 9.3. Kterákoliv ze smluvních stran může odstoupit od smlouvy v případě, že druhá smluvní strana poruší podstatným nebo neodstranitelným způsobem své povinnosti vyplývající z této smlouvy. 9.4. Za podstatné porušení smluvních povinností objednatele se podle této smlouvy považuje prodlení objednatele s uhrazením ceny plnění o více než 30 dnů. 9.5. Za podstatné porušení smlouvy dodavatelem se podle této smlouvy považuje zejména:

1. nedodržení termínů řádného plnění smlouvy stanovených ve smlouvě,

<!-- PAGE 22 -->1. porušení povinnosti mlčenlivosti či zachování důvěrných informací podle této smlouvy,
2. a to mimo jiné výslovně porušení povinnosti týkající se neoprávněného přístupu k datům nebo systémům objednatele ve smyslu čl. 6.15 až 6.17 této smlouvy,
3. neodstranění vady plnění ve stanoveném termínu. 9.6. Objednatel je dále oprávněn od této smlouvy odstoupit v následujících případech:
4. dojde nebo má dojít k významné změně ovládání dodavatele, nebo dojde nebo má dojít ke změně kontroly nad zásadními aktivy využívanými dodavatelem k plnění smlouvy;
5. dodavatel změní sídlo mimo území členských států Evropské unie a členských států Evropského sdružení volného obchodu;
6. dodavatel poruší své povinnosti v oblasti práv duševního vlastnictvím, kybernetické bezpečnosti a/nebo ochrany dat a nezjedná nápravu ani do třiceti (30) dní od výzvy objednatele;
7. pokud NÚKIB vydá opatření obecné povahy, kterým stanoví podmínky a/nebo zakáže využití plnění dodavatele dle § 29 ZoKB a v plnění této smlouvy nelze rozumně pokračovat, aniž by bylo toto opatření obecné povahy porušeno. Nastaneli některý z uvedených případů, je dodavatel povinen o této skutečnosti informovat objednatele, a to písemně ve sjednané lhůtě, resp. do 2 pracovních dnů od jejího vzniku, neníli taková lhůta výslovně sjednána jinak, společně s informací o tom, o kterou z uvedených skutečností se jedná, a s uvedením bližších údajů, které by objednatel mohl v této souvislosti potřebovat pro své rozhodnutí o odstoupení od smlouvy. Nedodržení této povinnosti je považováno ze podstatné porušení smlouvy. 9.7. Stanovíli oprávněná smluvní strana druhé smluvní straně pro splnění jejího závazku náhradní (dodatečnou) lhůtu, vzniká jí právo odstoupit od smlouvy až po marném uplynutí této lhůty, to neplatí, jestliže druhá smluvní strana v průběhu této lhůty prohlásí, že svůj závazek nesplní. 9.8. Odstoupení od smlouvy musí být provedeno písemně a doručeno druhé smluvní straně. Právní účinky nastávají dnem doručení odstoupení od smlouvy druhé smluvní straně. 9.9. V případě ukončení této smlouvy se smluvní strany zavazují vypořádat veškeré své vzájemné závazky do 60 dnů ode dne ukončení smlouvy.
8. **Závěrečná ustanovení**

10.1. Smluvní strany jsou vázány obsahem této smlouvy. 10.2. Veškeré změny či doplňky této smlouvy (s výjimkou písemně oznámených změn pověřených osob uvedených v odstavci 10.9 tohoto článku smlouvy) mohou být provedeny pouze písemně, a to formou písemných, vzestupně číslovaných dodatků k této smlouvě potvrzenými oběma smluvními stranami, a to osobami oprávněnými jednat za smluvní strany ve věcech smluvních. 10.3. Smluvní strany se zavazují, že o každé organizační změně (např. změna telefonních čísel, změna adresy atd.) se budou navzájem neprodleně písemně informovat. 10.4. Objednatel a dodavatel se zavazují, že bez písemného souhlasu druhé smluvní strany neučiní informace získané při plnění této smlouvy v žádné podobě dostupné třetí straně, ani že je nepoužijí k jiným účelům než k účelům plnění této smlouvy. Toto ustanovení platí i po dobu 5 let od ukončení účinnosti této smlouvy, nemá však vliv na případné povinnosti objednatele vyplývající ze zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů.

<!-- PAGE 23 -->10.5. Smluvní strany bezvýhradně souhlasí s uveřejněním této smlouvy, případných dodatků uzavřených k této smlouvě, jakož i se zveřejněním dalších aspektů tohoto smluvního vztahu v souladu se zákonem č. 340/2015 Sb., o zvláštních podmínkách účinnosti některých smluv, uveřejňování těchto smluv a o registru smluv (zákon o registru smluv), ve znění pozdějších předpisů. Uveřejnění zajistí objednatel. 10.6. Jednáním o věcném plnění předmětu smlouvy, postupech plnění, účasti na pracovních poradách, konzultacích v průběhu trvání smlouvy, kontrolou plnění smlouvy a předkládáním návrhů na úpravu nebo doplnění smlouvy jsou pověřeni: za objednatele: …………………. ( *pozn.: bude doplněno před podpisem smlouvy* ) telefon: +420 … … … , e-mail: ……………………. za dodavatele: ………………………. telefon: ………………… , e-mail: …………………… 10.7. Smlouva je vyhotovena v elektronické podobě, kdy příslušný dokument bude opatřen elektronickými podpisy oprávněných zástupců obou smluvních stran. Nedílnou součástí smlouvy jsou: Příloha č. 1 – Technická specifikace Příloha č. 2 – Specifikace plnění požadavků v oblasti kybernetické bezpečnosti. 10.8. Tato smlouva vzniká dnem podpisu oprávněnými zástupci obou smluvních stran a nabývá účinnosti dnem uveřejnění smlouvy v Registru smluv. 10.9. Obě smluvní strany prohlašují, že se s textem této smlouvy seznámily, obsahu porozuměly, souhlasí s ním a na důkaz toho připojují své podpisy.

Dodavatel: Objednatel:

| …………………………… | ……………………………… |  |
| --- | --- | --- |
| ……………………………… | Ing. Marek | Ebert |
| …………………. | předseda | Rady |
|  | Českého telekomunikačního | úřadu |

<!-- PAGE 24 -->**Technická specifikace Položka Počet jednotek / Název položky Popis Jednotka**

1. **uživatelů Servisní podpora (support) výrobce firewallů na období od 16.11.2026 do 15.11.2030 PODPORA**

CPAP-SG9300-PLUS-SNBT Check Point Force Firewall 9300 Plus Appliance CPCES-CO-PREMIUM 4 roky 2 1 CPAC-TR-10SR-D SFP+ transceiver for 10G Fiber Portsshort range (10GBase-SR) CPCES-CO-PREMIUM 4 roky 8 CPAC-RAILS-9000 Slide Rails for 9100-9400 CPCES-CO-PREMIUM 4 roky 2

**Licence k užívání softwaru ke dvěma (2) firewall boxům na období od 16.11.2026 do 15.11.2030 LICENCE**

2 Enterprise Based Protection - Sandblast Threat Prevention Pkg CPEBP-NGTX Including IPS, APCL, URLF, AV, ABOT, ASPM, TX, TE, ADNS, ZP CPEBP-NGTX 4 roky 2 blades

**Servisní podpora (support) výrobce, licence a podpora ke stávající funkcionalitě vzdáleného VPN přístupu uživatelů a k v současnosti využívanému cloudovému řešení, které v reálném čase sdílí a analyzuje informace o kybernetických hrozbách a okamžitě poskytuje ochranu proti malwaru, botům a pokročilým útokům proti bezpečnostním systémům objednatele, ochrana koncových stanic a zabezpečení přístupu zaměstnanců k nástrojům AI, to vše na období od 16.11.2026 do 15.11.2030. PODPORA**

CPSB-MOB-50 Mobile Access Blade for 50 concurrent connections CPCES-CO-PREMIUM 4 roky 2 CPSB-MOB-200 Mobile Access Blade for 200 concurrent connections CPCES-CO-PREMIUM 4 roky 2 3 CPSM-P205 Security Management System for 2 gateways with 5 blades CPCES-CO-PREMIUM 4 roky 1 CPSM-C1000 Security Management Container for 1000 endpoints CPCES-CO-PREMIUM 4 roky 1 CPSB-EVNT-C1000 Check Point SmartEvent blade for Security Management C1000 CPCES-CO-PREMIUM 4 roky 1 CPSB-RPRT-N-C1000 SmartReporter blade for Security Management C1000 CPCES-CO-PREMIUM 4 roky 1 CPSM-NGSM5 Next Generation Security Management System for 5 gateways CPCES-CO-PREMIUM 4 roky 1 CPSG-VSEC-VEN-BUN- Security Gateway Virtual Edition Next Generation Threat Prevention CPCES-CO-PREMIUM 4 roky 2 NGTP-LICENSE

<!-- PAGE 25 -->**LICENCE**

Threat Cloud Prevention API for 10000 queries/month 1 year CPCS-REP-API-10K subscription CPSG-VSEC-VEN-BUN- Security Gateway Virtual Edition Next Generation Threat Prevention 1 NGTP-LICENSE-1Y year subsription SmartEvent and SmartReporter blade for 5 gateways 4 year CPSB-EVS-5 subscription Check Point Endpoint Security Advanced- Including Sandboxing, CP-HAR-EP-ADVANCED-4Y Browser Security, Attack Investigation, Threat Prevention, Access Control and Threat Intelligence CP-AISEC-WORKFORCE- Workforce AI Security, Essentials - Discovery, governance, and ESS-T2-Y protection for employee AI adoption - web applications

**Servisní podpora zahrnuje zejména:**

- technickou podporu při provozu a správě řešení Check Point Harmony Endpoint;
- konzultace k konfiguraci, správě a optimálnímu nastavení produktu;
- podporu při vytváření a úpravách bezpečnostních politik;
- podporu při instalaci, konfiguraci a aktualizacích endpoint agentů;
- řešení provozních problémů souvisejících s funkčností produktu;
- analýzu hlášených chyb a identifikaci příčin vzniklých problémů;
- podporu při odstraňování závad a obnově standardní funkčnosti řešení;
- poskytování doporučení týkajících se bezpečnostního nastavení a osvědčených postupů výrobce;
- poskytování informací o dostupných aktualizacích, záplatách a nových verzích produktu;
- asistenci při implementaci doporučených aktualizací a oprav;

|  | 4 roky | 1 |
| --- | --- | --- |
|  | 4 roky | 2 |
| CPSB-EVS-5 | 4 roky | 1 |
|  | 4 roky | 1200 |
|  | 4 roky | 870 |

- zajištění komunikace a eskalace technických problémů na technickou podporu výrobce Check Point v rozsahu odpovídajícím úrovni partnerství a aktivnímu servisnímu programu výrobce;
- koordinaci řešení incidentů s výrobní podporou Check Point až do jejich uzavření.

<!-- PAGE 26 -->**SLA servisní podpory Priorita Popis Reakční doba**

P1 Kritická Úplná nefunkčnost řešení nebo kritický problém s významným dopadem na bezpečnost či provoz do 1 hodiny P2 Vysoká Významné omezení funkcionality řešení do 4 hodin

| P3 Standardní | Omezená funkčnost nebo provozní problém bez kritického dopadu | do 1 pracovního dne |
| --- | --- | --- |
| P4 Nízká | Konzultace, změnové požadavky, dotazy k provozu | do 2 pracovních dnů |

***Poznámka:*** *Doby odstranění závady závisí na charakteru problému, součinnosti Objednatele a případném zapojení technické podpory výrobce Check Point. Partner garantuje reakční dobu a zahájení řešení, nikoliv dobu vydání opravy výrobcem.*

<!-- PAGE 27 -->**Specifikace plnění požadavků v oblasti kybernetické bezpečnosti**

Bezpečnostní opatření pro smluvní vztahy dle § 9 vyhlášky č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností

**Vymezení pojmů**

Pro potřeby této přílohy smlouvy jsou použity následující zkratky a pojmy:

**ZoKB** – zákon č. 264/2025 Sb., o kybernetické bezpečnosti.

**VoKB** – vyhláška č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností.

**Kybernetické bezpečnostní požadavky** – všechny bezpečnostní požadavky ve smyslu ZoKB a VoKB.

**Povinná osoba** – poskytovatel regulované služby v režimu vyšších povinností ve smyslu VoKB; pro účely této smlouvy se za povinnou osobu považuje objednatel.

**Významný dodavatel** – ten, kdo povinné osobě poskytuje plnění, které je významné z hlediska zajištění kybernetické bezpečnosti regulované služby; poskytovatel je pro účely této smlouvy významným dodavatelem.

**Privilegovaný uživatel** – uživatel nebo jiná osoba, jejíž činnost na technickém aktivu může mít významný dopad na bezpečnost regulované služby.

**Administrátor** – privilegovaný uživatel nebo jiná osoba zajišťující správu, provoz, užívání, údržbu a bezpečnost technického aktiva.

**IS ČTÚ** – informační systém objednatele (ČTÚ) jakožto celek složený z počítačového hardwaru a souvisejícího softwaru spolu s lidmi a procesy a navržený ke sběru, zpracování a šíření informací potřebných k plánování, rozhodování a řízení.

**Produkční prostředí** – prostředí běžně přístupné uživatelům IS ČTÚ v ostrém provozu.

**Testovací prostředí** – prostředí určené k provádění testů, vzdělávání uživatelů apod., a to v podobě, nastavení a rozsahu umožňujícím účinně zkoumat funkcionality testovacích verzí IS ČTÚ.

**Prostředí objednatele** – fyzický perimetr určený ohraničením fyzického prostoru v nájmu nebo majetku objednatele anebo logický perimetr definovaný hraničními síťovými prvky ve správě nebo majetku objednatele, **Osoba na straně poskytovatele** – fyzická osoba podílející se na poskytování předmětu plnění a mající pracovněprávní či obdobný smluvní vztah s poskytovatelem nebo jeho poddodavateli.

**Osobní údaje** – každá informace o identifikované nebo identifikovatelné fyzické osobě (subjektu údajů), jestliže lze subjekt údajů přímo či nepřímo pomocí tohoto údaje identifikovat.

**Zpracování osobních údajů** – jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení.

<!-- PAGE 28 -->## 1 ÚVODNÍ USTANOVENÍ

1.1 Z důvodu nutnosti plnění povinností stanovených objednateli jakožto povinné osobě ve smyslu VoKB je dodavatel (pro účely této přílohy dále označován jen jako „poskytovatel") povinen nad rámec dalších povinností stanovených smlouvou plnit níže uvedené povinnosti zejména součinnostního a bezpečnostního charakteru dle této přílohy smlouvy. Účelem této přílohy smlouvy tak je dodržet povinnost objednatele dle § 13 odst. 5 ZoKB, tj. zahrnout požadavky vyplývající z bezpečnostních opatření do smluvního ujednání s poskytovatelem.

Pokud není ve smlouvě výslovně uvedeno jinak, odměna za provádění povinností a opatření dle této přílohy a kybernetických bezpečnostních požadavků je součástí ceny sjednané ve smlouvě.

## 2 SYSTÉM ŘÍZENÍ BEZPEČNOSTI INFORMACÍ

2.1 Poskytovatel je povinen se v rozsahu předmětu plnění smlouvy aktivně podílet na plnění povinností objednatele uvedených v § 3 a § 6 VoKB. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

1. Prosadit bezpečnostní zásady a procesy, které budou pokrývat zabezpečení dat a informací, jež mohou být vytvářeny a zpracovávány na straně poskytovatele při poskytování plnění dle smlouvy.
2. Zavést na základě bezpečnostních potřeb a výsledků hodnocení rizik příslušná bezpečnostní opatření v rozsahu předmětu poskytovaného plnění, monitorovat je, a průběžně vyhodnocovat jejich účinnost.
3. Vést záznamy o vytváření a zpracování dat a informací v rozsahu předmětu poskytovaného plnění, zaznamenávat veškeré podstatné okolnosti související se zajištěním bezpečnosti těchto dat a informací a na vyžádání tyto záznamy objednateli zpřístupnit. Na vyžádání objednatele poskytovatel doloží plnění kybernetických bezpečnostních požadavků vhodnými artefakty (např. politiky, postupy, záznamy, reporty, výsledky testů) ve lhůtě, která nebude kratší než 10 pracovních dnů, pokud se smluvní strany nedohodnou jinak.
4. Stanovit a udržovat aktuální bezpečnostní politiku, která bude pokrývat zabezpečení dat a informací, jež mohou být vytvářeny a zpracovávány na straně poskytovatele při poskytování plnění dle smlouvy. Bezpečnostní politika musí obsahovat hlavní zásady, cíle, bezpečnostní potřeby, práva a povinnosti ve vztahu k řízení bezpečnosti informací.

## 2.2 Poskytovatel je dále rovněž povinen dodržovat bezpečnostní politiku objednatele, pokud s ní byl prokazatelně seznámen.

## 3 ŘÍZENÍ AKTIV

3.1 Poskytovatel je povinen se v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 7 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména: 3.1.1 Stanovit a udržovat rozsah a seznam aktiv využívaných pro plnění této smlouvy (aktivy se rozumí např. data a informace k předmětu plnění dle této smlouvy, IS ČTÚ, moduly, hardware prvky – infrastruktura hlasové a datové komunikace, aplikace, databáze, servery, úložiště, koncová zařízení – pracovní stanice typu

<!-- PAGE 29 -->

| osobní | počítač | nebo | notebook, mobilní | koncová | zařízení | apod.), a tato | aktiva |
| --- | --- | --- | --- | --- | --- | --- | --- |
| strukturovaně |  | popsat | a o bjednateli | předložit | následně | na vyžádání, | a to po |
| celou | dobu trvání | smlouvy. |  |  |  |  |  |

## 4 ŘÍZENÍ RIZIK

4.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 8 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména: 4.1.1 Řídit vlastní rizika, která mohou ovlivnit poskytování předmětu plnění dle smlouvy. 4.1.2 V minimálním intervalu jednou ročně (nebo i v případě významných změn činností prováděných pro objednatele nebo změn spravovaných aktiv) vytvořit a bude-li to objednatel požadovat, předložit mu zprávu o hodnocení rizik, která bude minimálně pokrývat:

1. ### a) Vyhodnocení stavu kybernetické bezpečnosti za hodnocený rok;
2. Identifikaci a hodnocení rizik s vazbou na předmět plnění;
3. Realizovaná bezpečnostní opatření;
4. Nepokrytá bezpečnostní rizika a návrh opatření;
5. Vyhodnocení bezpečnostních událostí a incidentů;
6. Aktuální stav souladu poskytovatele s kybernetickými požadavky včetně přehledu kybernetických požadavků, které:
7. nebyly aplikovány, včetně odůvodnění, a
8. byly aplikovány, včetně způsobu plnění.

## 5 ORGANIZAČNÍ BEZPEČNOST

5.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 4 a § 5 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména: 5.1.1 Jmenovat nejpozději do 30 dnů ode dne účinnosti smlouvy odpovědnou kontaktní osobu/y pro potřeby zajištění plnění kybernetických bezpečnostních požadavků a související komunikace mezi smluvními stranami (dále jen „kontaktní osoba pro kybernetickou bezpečnost"). Kontaktní osobu/y pro kybernetickou bezpečnost sdělí poskytovatel písemně objednateli v téže lhůtě. 5.1.2 Využívat pro poskytování předmětu plnění smlouvy pouze oprávněných osob, které byly řádně seznámeny s příslušnými ustanoveními interních předpisů objednatele a mají ověřenou kvalifikaci, znalosti a zkušenosti k řádnému poskytování předmětu plnění dle smlouvy a stanovit bezpečnostní role těchto oprávněných osob s jasně definovanými odpovědnostmi a pravomocemi. 5.1.3 Zajistit zastupitelnost kontaktní osoby pro kybernetickou bezpečnost a zřídit komunikační kanál pro hlášení bezpečnostních událostí dostupný nepřetržitě (24/7).

<!-- PAGE 30 -->## 6 ŘÍZENÍ DODAVATELŮ

6.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 9 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména: 6.1.1 Budeli při poskytování předmětu plnění smlouvy využívat subdodavatele, zajistí v obdobném rozsahu dodržování kybernetických bezpečnostních požadavků rovněž ve smluvních vztazích se svými subdodavateli s tím, že za plnění povinností subdodavatelů odpovídá poskytovatel tak, jako by je plnil sám. 6.1.2 Dodržovat podmínky při zpracování osobních údajů pro zapojení každého dalšího subdodavatele. 6.1.3 Předložit objednateli na vyžádání aktuální seznam subdodavatelů, jejich roli, rozsah přístupu k aktivům objednatele a lokalitu zpracování dat a poskytnout objednateli součinnost k posouzení rizik dodavatelského řetězce. 6.1.4 Předem písemně oznámit objednateli zapojení nového subdodavatele nebo změnu subdodavatele, který se podílí na poskytování plnění významného z hlediska kybernetické bezpečnosti. Objednatel je oprávněn z odůvodněných bezpečnostních důvodů zapojení takového subdodavatele odmítnout.

## 7 BEZPEČNOST LIDSKÝCH ZDROJŮ

7.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 10 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména: 7.1.1 Zajistit, aby kontaktní osoba pro kybernetickou bezpečnost nejpozději do 30 dnů ode dne účinnosti smlouvy potvrdila písemně objednateli, že všechny osoby podílející se na poskytování předmětu plnění smlouvy za poskytovatele byly prokazatelně seznámeny s těmito kybernetickými bezpečnostními požadavky a příslušnými ustanoveními interních předpisů objednatele. 7.1.2 Dodržovat příslušná ustanovení interních předpisů objednatele v rozsahu, v jakém byl s těmito akty seznámen. Za prokazatelné seznámení se považuje:

1. proškolení pracovníků poskytovatele zajištěné objednatelem,
2. protokolární či elektronické předání příslušných předpisů nebo,
3. objednatelem zajištěný přístup na sdílené úložiště obsahující příslušné interní předpisy, jejichž konkrétní jmenovitý seznam bude poskytovateli – současně s poskytnutím přístupu – protokolárně předán. 7.1.3 Zajistit, aby osoby podílející se na poskytování plnění objednateli v prostředí/nebo s prostředky objednatele, a to i tehdy, pokud jsou prostředky objednatele používány mimo jeho prostředí:
4. pro uložení a sdíleni dat a informací objednatele využívaly pouze k tomu schválené prostředky (aktiva);
5. neukládaly ani nesdílely data a informace eticky nevhodného obsahu, odporující dobrým mravům nebo poškozující dobré jméno objednatele;
6. nestahovaly, nesdílely, neukládaly, nearchivovaly ani neinstalovaly datové a spustitelné soubory v rozporu s licenčními podmínkami nebo předpisy upravující ochranu duševního vlastnictví;

<!-- PAGE 31 -->1. nenavštěvovaly internetové stránky s eticky či jinak nevhodným nebo s nebezpečným obsahem;
2. nerealizovaly pokusy o neautorizovaný přístup ke zdrojům objednatele ani ke zdrojům jiných subjektů;
3. nerealizovaly pokusy o neoprávněnou modifikaci ani jiné neoprávněné zásahy do prostředků objednatele, a to ani v případě, kdy jim byl prostředek objednatele svěřen do správy;
4. nepodílely se s prostředky objednatele na šíření spamu ani škodlivého softwaru. 7.2 Poskytovatel si je vědom, že součástí podmínek pro získání přístupu ke zdrojům a aktivům objednatele je na straně objednatele zpracování osobních údajů pověřených osob poskytovatele, které se podílejí na poskytování plnění dle smlouvy. Pokud nebude objednateli umožněno osobní údaje pověřených osob poskytovatele zpracovat, nebude těmto pracovníkům umožněn žádný přístup ke zdrojům objednatele. 7.3 Poskytovatel zajistí, aby pracovníci před umožněním jejich přístupu k datům nebo před zapojením do činností, které by mohly ovlivnit bezpečnost poskytovaných služeb v rámci plnění, měli uzavřenou dohodu o zachování mlčenlivosti (důvěrnosti) dat s adekvátní dobou trvání povinnosti mlčenlivosti. 7.4 Poskytovatel nesmí umožnit přístup k datům třetím stranám, jako např. subdodavatelům nebo obchodním partnerům, bez předcházejícího písemného souhlasu objednatele. Takový souhlas je udělen schválením subdodavatele ve smlouvě, objednávce nebo obdobným způsobem, čímž objednatel uděluje souhlas se zpřístupněním dat subdodavateli v rozsahu nezbytném pro subdodávku. 7.5 Poskytovatel zajistí procesy a pravidla vedení disciplinárního řízení a v případě potřeby provádí disciplinární řízení k přijetí opatření vůči pracovníkům, kteří porušili povinnosti v oblasti kybernetické bezpečnosti.

## 8 ŘÍZENÍ ZMĚN

8.1 Poskytovatel se bude v povinností uvedených v § 11 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně 8.1.1 8.1.2 rozsahu předmětu plnění smlouvy aktivně podílet na Přiměřeně reagovat na změny v oblasti kybernetické bezpečnosti na straně objednatele a upravit na své straně technická a aby odpovídala novému stavu po provedení změny. Aktivně spolupracovat při testování významné změny v oblasti kybernetické bezpečnosti na straně objednatele.

## 9 ŘÍZENÍ PŘÍSTUPU

9.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na povinností uvedených v § 13 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně 9.1.1 Přidělovat oprávnění svým jednotlivým pracovníkům ve smyslu oprávnění k výkonu činností tak, aby byla minimalizována rizika nežádoucího přístupu k aktivům objednatele. Řízení přístupů by mělo být řešeno na základě příslušných rolí (RBAC – Role-Based Access Control) minimálních oprávněn („Need To Know").

splnění zejména: organizační opatření tak,

splnění zejména: a dodržování principu

<!-- PAGE 32 -->9.1.2 Zajistit, aby udělený přístup nebyl sdílen více osobami za stranu poskytovatele. V opačném případě musí poskytovatel vést evidenci využívání sdílených přístupů a tuto na vyžádání předložit objednateli kdykoli v průběhu trvání účinnosti této smlouvy a tři měsíce po jejím ukončení, ve lhůtě, která nebude kratší než 6 pracovních dnů. 9.1.3 Pokud jsou v rámci plnění využívány servisní nebo technické účty, poskytovatel zajistí jejich evidenci, omezení oprávnění na nezbytné minimum, řízení a bezpečné ukládání autentizačních údajů (preferovaně prostřednictvím trezoru/PAM), pravidelnou rotaci a dohled nad jejich použitím. 9.1.4 Stanovit v požadavku na přístup rozsah dat/informací, služby, účelu, pro které je přístup k IS ČTÚ požadován, a časový údaj o délce platnosti přístupu (např.: na dobu neurčitou, 1 rok, 1 měsíc apod). 9.1.5 Zajistit, aby osoby podílející se na poskytování předmětu plnění smlouvy a mající přístup k informačním aktivům objednatele chránily autentizační prostředky a údaje a nikdy neposkytovaly neautorizovaný přístup dalším osobám. 9.1.6 Průběžně kontrolovat a vyhodnocovat oprávněnost a potřebu přístupu, jak fyzického, tak i logického, u všech osob na straně poskytovatele, které přistupují do prostředí objednatele. 9.1.7 Zavést vhodné postupy pro odebírání nebo blokování přístupových oprávnění uživatelů v případě potřeby, zejména pokud pracovník již nepotřebuje přístup k plnění svých pracovních povinností (např. pokud došlo ke změně pozice zaměstnance), nebo se ukáže potřeba přijmout mimořádné bezpečností opatření spočívající v odebrání přístupu, nebo došlo k úniku autentizačních údajů (hesla). 9.2 Poskytovatel bere na vědomí, že oprávnění přístupu k IS ČTÚ je možné povolit pouze fyzické identitě zaměstnance poskytovatele/subdodavatele, a to na základě příslušného požadavku poskytovatele. 9.3 Poskytovatel bere na vědomí, že přidělení oprávnění přístupu ze strany objednatele musí být řízeno principem nezbytného minima a není nárokové. 9.4 Poskytovatel bere na vědomí, že v případě neúspěšných pokusů o autentizaci uživatele (osoby za stranu poskytovatele) může být příslušný účet objednatelem zablokován a řešen jako bezpečnostní incident a dále mohou být uplatněny příslušné postupy zvládání bezpečnostního incidentu (např. okamžité zrušení přístupu k informačním aktivům objednatele).

## 10 AKVIZICE, VÝVOJ A ÚDRŽBA

10.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 12 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména: 10.1.1 Zajistit bezpečnou implementaci, inovaci, aktualizaci a testování veškerých technických aktiv, jsou-li tato předmětem plnění dle smlouvy či jeho součástí. 10.1.2 Není-li smlouvou stanoveno jinak, předat při ukončení smlouvy objednateli kompletní provozní a bezpečnostní dokumentaci předmětu plnění dle smlouvy. Ta musí být předána minimálně v následujícím rozsahu:

1. dokumentace skutečného provedení;

<!-- PAGE 33 -->1. dokumentace všech bezpečnostních nastavení, funkcí a mechanismů;
2. dokumentace obsahující popis autorizačního konceptu a oprávnění;
3. dokumentace obsahující instalační a konfigurační postupy;
4. dokumentace obsahující zálohovací a archivační postupy;
5. dokumentace pro zajištění DR (obnovy po havárii), příp. pro zajištění kontinuity provozu. Poskytovatel předá bezpečnostní dokumentaci objednateli v přiměřené lhůtě, nejpozději pak dle předchozí, prokazatelně doložitelné, dohody smluvních stran. 10.2 V případě, že předmět plnění smlouvy zahrnuje, byť i jen částečně, vývoj softwaru, je poskytovatel povinen: 10.2.1 Dodržovat a implementovat obecně uznávané „nejlepší praktiky" pro bezpečný vývoj softwaru (např. u webových aplikací OWASP). Základním pravidlem zde je myslet na bezpečnost softwaru ve všech jeho vývojových fázích. 10.2.2 Pokud jsou softwarové auditní činnosti a předání zdrojového kódu k softwaru součástí plnění smlouvy, umožní poskytovatel objednateli audit prováděného nebo provedeného plnění a na písemnou žádost objednatele předloží poskytovatel ve stanovené lhůtě - nejdříve však 5 pracovních dnů od podání žádosti - vyvíjený zdrojový kód na provedení tzv. codereview, a to především za účelem ověření skutečnosti, zda poskytovatel postupuje či postupoval při poskytování plnění v souladu se smlouvou a těmito bezpečnostními požadavky. 10.2.3 Poskytovat objednateli v termínech stanovených objednatelem, resp. bez zbytečného odkladu požadovanou součinnost na provedení bezpečnostního testování v průběhu vývoje softwaru (nejdříve však od zahájení testovacího provozu) či kdykoli po jeho předání. 10.2.4 Pokud je součástí plnění dle smlouvy i instalace operačního systému, případně softwaru třetích stran, zajistit v průběhu jeho instalace, že budou použity předepsané verze těchto produktů kompatibilní a funkční v testovacím prostředí či produkčním prostředí objednatele. 10.2.5 Zajistit bezpečnost testovacího prostředí u poskytovatele a ochranu poskytnutých testovacích dat objednatelem. 10.2.6 Zajistit, že v rámci poskytovaného plnění bude dodávaný software
6. v souladu s bezpečnostními politikami a standardy objednatele;
7. otestován na soulad s bezpečnostními politikami objednatele, pokud byl s takovými bezpečnostními politikami prokazatelně seznámen. 10.2.7 Instalovat software pouze na základě předem schválených migračních postupů objednatelem. 10.2.8 Předat zdrojový kód objednateli bezpečnou formou, zajištující jeho prokazatelnou integritu. 10.2.9 Zajistit řízení verzí zdrojového kódu, jeho zálohování a jeho uložení mimo produkční prostředí.

<!-- PAGE 34 -->## 11 ZVLÁDÁNÍ KYBERNETICKÝCH BEZPEČNOSTNÍCH UDÁLOSTÍ A INCIDENTŮ

11.1. Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 14 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy zejména: 11.1.1 Stanovit a popsat na své straně činnosti, role a jejich odpovědnosti a pravomoci vedoucí k rychlému a účinnému zvládání kybernetických bezpečnostních událostí a incidentů. 11.1.2 Bez zbytečného odkladu poskytovat objednateli první oznámení o kybernetické bezpečnostní události/incidentu (nejpozději však do 4 hodin od zjištění podezření), a nejpozději do 18 hodin od detekce poskytnout detailní oznámení. Hlášení se týká všech kybernetických bezpečnostních událostí a incidentů, které mají nebo by mohly mít dopad na důvěrnost, integritu nebo dostupnost poskytovaných služeb či dat objednatele, a to stanoveným komunikačním kanálem nebo prostřednictvím kontaktní osoby pro kybernetickou bezpečnost. Oznámení bude obsahovat alespoň popis kybernetické bezpečnostní události/incidentu, předpokládaný dopad, dotčená aktiva, stav mitigace a přijatá/připravovaná nápravná opatření. Poskytovatel zajistí uchování relevantních důkazů (např. logů) pro potřeby šetření. 11.1.3 Vyhodnocovat informace o kybernetických bezpečnostních událostech/incidentech a uchovávat je pro budoucí použití, a to s ohledem na požadavky použitelné platné a účinné legislativy. 11.1.4 V případě vzniku kybernetické bezpečnostní události a následného vyhodnocování možného kybernetického bezpečnostního incidentu a/nebo v případě podezření na možný kybernetický bezpečnostní incident, poskytnout objednateli aktivní součinnost a relevantní informace o podezřelém zařízení či podezřelém jednání osob na straně poskytovatele. 11.1.5 Spolupracovat při analýze příčin kybernetického bezpečnostního incidentu a v případě, že bude prokazatelně zjištěno, že poskytovatel kybernetický bezpečnostní incident zapříčinil nebo se na jeho vzniku částečně spolupodílel, navrhnout seznam všech možných opatření s cílem zamezit možnému budoucímu opakování. 11.1.6 Po dohodě s objednatelem realizovat bez zbytečného odkladu opatření požadovaná objednatelem ke snížení dopadu kybernetického bezpečnostního incidentu nebo zamezení pokračování kybernetického bezpečnostního incidentu, nejpozději pak v termínech prokazatelně stanovených objednatelem. 11.2 Poskytovatel bere na vědomí, že postup zvládání kybernetického bezpečnostního incidentu či jiný důsledek porušení bezpečnostních požadavků, jehož příčina je na straně poskytovatele, nebude posuzován jako okolnost vylučující odpovědnost poskytovatele za prodlení s řádným a včasným plněním předmětu smlouvy a nebude důvodem k jakékoli náhradě případné újmy poskytovateli či jiné osobě ze strany objednatele. Ostatní ustanovení ohledně odpovědnosti poskytovatele za prodlení obsažená ve smlouvě nejsou tímto ustanovením dotčena.

## 12 ŘÍZENÍ KONTINUITY ČINNOSTÍ

12.1. Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 15 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

<!-- PAGE 35 -->12.1.1 Zajistit adekvátní kontinuitu svých aktiv, které jsou potřebné k poskytování předmětu plnění smlouvy. 12.1.2 Pravidelně, nejméně jednou ročně, kontrolovat a testovat, že je schopen kontinuitu těchto aktiv zajistit dle sjednané SLA.

## 13 KONTROLA A AUDIT

13.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 16 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy poskytnout adekvátní součinnost při výkonu kontroly objednatele ze strany dozorového orgánu (Národní úřad pro kybernetickou a informační bezpečnost – NÚKIB) dle § 55 ZoKB. 13.2 Poskytovatel umožní objednateli po dobu účinnosti smlouvy provádět audit bezpečnosti informací v rozsahu služeb poskytovaných dle smlouvy, a to minimálně jednou za kalendářní rok u poskytovatele a jeho případných subdodavatelů: 13.2.1 Poskytovatel se v rámci výše uvedeného zavazuje poskytnout veškerou nezbytnou součinnost, přístup do prostor a k relevantní dokumentaci. Alternativně může poskytovatel doložit soulad platným certifikátem ISO/IEC 27001 nebo zprávou typu SOC2. 13.2.2 V případě podezření na kybernetický bezpečnostní incident nebo po jeho potvrzení je objednatel oprávněn provést cílený (targeted) audit zaměřený na dotčenou oblast. 13.3 Objednatel je oprávněn při provedení auditu využít třetí stranu. V případě využití třetí strany bude objednatel odpovídat za třetí stranu, jako by audit kybernetické bezpečnosti prováděl sám, včetně odpovědnosti za případnou způsobenou újmu. 13.4 Poskytovatel umožní objednateli audit provedený prostředky objednatele nebo třetí strany, a to v lokalitě poskytovatele i vzdáleně, pokud to technické prostředky poskytovatele umožňují. 13.5 Poskytovatel je povinen nedostatky zjištěné: 13.5.1 na základě provedení hodnocení rizik dle bodu 4 této přílohy č. 2 smlouvy, nebo 13.5.2 v rámci auditu kybernetické bezpečnosti prováděného dle tohoto bodu, odstranit ve lhůtě určené v písemném oznámení objednatele, která nebude kratší než 20 pracovních dnů ode dne jeho doručení. Nestanoví-li objednatel lhůtu v písemném oznámení, zavazují se smluvní strany dohodnout na lhůtě pro odstranění nedostatku, která nepřevýší 60 dnů ode dne doručení. 13.6 Poskytovatel je dále povinen: 13.6.1 Poskytnout na vyžádání objednateli dokumenty a obdobné vstupy, které budou prokazovat naplnění kybernetických bezpečnostních požadavků. 13.6.2 Na požádání s objednatelem konzultovat kdykoli v průběhu realizace plnění dle smlouvy detailní nastavení kybernetických bezpečnostních opatření k naplnění kybernetických bezpečnostních požadavků a pro takovéto konzultace zajistit účast dostatečně kvalifikovaných pracovníků. 13.6.3 Neprodleně informovat objednatele o všech významných změnách v naplnění kybernetických bezpečnostních požadavků, které nastanou kdykoli v průběhu trvání smlouvy.

<!-- PAGE 36 -->13.6.4 Bezodkladně a s vyvinutím maximálního úsilí zajistit náhradní způsob naplnění kybernetických bezpečnostních požadavků, pokud stávající řešení přestalo být funkční a efektivní. 13.6.5 Při výkonu své činnosti včas a prokazatelně upozornit objednatele na případnou zřejmou nevhodnost jeho příkazů či doporučení, vztahujících se ke kybernetickým bezpečnostním požadavkům, jejichž následkem může vzniknout případná újma anebo nesoulad s příslušnými zákony nebo jinými obecně závaznými právními předpisy.

## 14 TECHNICKÁ OPATŘENÍ

14.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 17 až § 27 VoKB, které musí objednatel splnit. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména: 14.1.1 Dodržovat příslušné interní předpisy objednatele, s nimiž byl prokazatelně seznámen, zejména pak v oblasti fyzické ochrany bezpečnostních zón, kde jsou umístěna aktiva IS ČTÚ, anebo datové nosiče. 14.1.2 Poskytnout plnou součinnost a relevantní výstupy při zavádění technických opatření kybernetické bezpečnosti, např. v oblasti zaznamenávání událostí, detekce a vyhodnocování kybernetických bezpečnostních událostí, implementace a napojení služeb bezpečnostního dohledového centra apod. 14.1.3 V rozsahu předmětu plnění smlouvy zajistit fyzické zabezpečení, zejména označení, uchování a likvidaci instalačních, záložních nebo archivních médií a dokumentace v souladu s klasifikací aktiv objednatele, pokud s ní byl poskytovatel seznámen. 14.1.4. Při ukončení smlouvy na žádost objednatele buď bezpečně vrátit veškerá data v dohodnutém formátu, nebo provést jejich nenávratnou likvidaci (skartaci/výmaz) v souladu se standardy definovanými ve VoKB. O provedené likvidaci dat poskytovatel vystaví a předá objednateli nejpozději do 20 pracovních dnů písemný protokol. 14.1.5 Realizovat doporučená bezpečnostní opatření pro odstranění nebo blokování komunikačních spojení, která neodpovídají požadavkům na ochranu integrity a bezpečnosti komunikační sítě. 14.1.6 Realizovat přístupy z mobilních zařízení k aktivům v produkčním i testovacím prostředí objednatele pouze prostřednictvím zabezpečeného připojení virtuální privátní sítě (VPN). 14.1.7 Připojovat do produkčního prostředí objednatele pouze ta síťová zařízení (switch, wifi router apod.), která prošla schvalovacím procesem a jejich připojení bylo schváleno oprávněnou osobu ve věcech technických na straně objednatele, určenou v této smlouvě. 14.1.8 Bez zbytečného odkladu deaktivovat všechna nevyužívaná zakončení sítě anebo nepoužívané porty aktivního síťového prvku, pakliže tento je součástí sjednaného rozsahu předmětu plnění dle smlouvy a je současně ve správě poskytovatele. 14.1.9 Na aktiva objednatele bez jeho písemného souhlasu neinstalovat a nepoužívat v prostředí objednatele následující typy nástrojů, pokud vysloveně nejsou součástí předmětu plnění dle smlouvy:

1. Keylogger – software nebo hardware, který neautorizovaně zaznamenává stisky kláves s cílem narušit důvěrnost zadávaných dat a informací.

<!-- PAGE 37 -->1. Sniffer / Packet Analyzer – software nebo hardware umožňující odposlouchávání síťového provozu.
2. Analyzátor zranitelností (scanner zranitelností) – softwarový nebo hardwarový nástroj umožňující vyhledávání zranitelností systémů ICT, detekování dostupných síťových služeb a portů, běžících procesů, běžících aplikací a jejich verzí apod.
3. Backdoor – skrytý softwarový nebo hardwarový nástroj, který umožňuje obejití schválených autentizačních procedur, instalovaný s cílem budoucího snadnějšího a neautorizovaného přístupu do počítačového systému.
4. Malware a jiný škodlivý software, který narušuje, obchází či jinak omezuje stávající bezpečnostní opatření v prostředí Objednatele. 14.1.10 Připojovat do prostředí objednatele pouze zařízení ICT, která splňují následující požadavky:
5. jsou příslušným způsobem zabezpečena a chráněna proti malware a jinému škodlivému softwaru – minimálně instalovaný a aktivní antivir s aktuální definiční sadou, instalované veškeré doporučené bezpečnostní záplaty pro OS a používaný SW, správně nakonfigurovaný a aktivní firewall,
6. způsob jejich připojení je definován v příslušné provozní nebo projektové dokumentaci nebo je v souladu s příslušnými interními předpisy objednatele. 14.1.11 Zajistit sběr informací o provozních a bezpečnostních činnostech v rozsahu předmětu plnění smlouvy a ochranu získaných informací před jejich neoprávněným čtením nebo změnou takto:
7. pro veškeré on-line transakce realizované prostřednictvím webových technologií implementovat doporučené a schválené TLS/SSL certifikáty s cílem zajistit důvěrnost a integritu komunikace protistran,
8. neveřejné informace poskytnuté objednatelem a ukládané na mobilní zařízení anebo přenosná paměťová média, která jsou ve správě poskytovatele, chránit vhodným šifrováním a proti neautorizovanému přístupu. 14.2 Poskytovatel bere na vědomí, že v případě, kdy technické spojení ze strany poskytovatele narušuje bezpečný chod ostatních služeb objednatele, může být toto spojení ze strany objednatele bez předchozího upozornění ihned ukončeno. 14.3 Poskytovatel bere na vědomí, že veškeré jeho aktivity realizované v prostředí objednatele mohou být monitorovány a vyhodnocovány v souladu s příslušnými interními dokumenty objednatele.

<!-- PAGE 38 -->**Čestné prohlášení o splnění základní způsobilosti Dodavatel:**

Jméno / název / obchodní firma Bydliště / sídlo / místo podnikání Právní forma IČO

tímto v souladu s § 74 a § 75 zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů (dále jen „zákon"), v rámci zadávacího „Podpora infrastruktury CheckPoint a ochrana koncových zařízení" splňuje podmínky základní způsobilosti pro plnění uvedené veřejné zakázky, tj. že:

- nebyl v zemi svého sídla v posledních 5 letech před zahájením výběrového řízení pravomocně odsouzen pro trestný čin uvedený v trestný čin podle právního řádu země sídla dodavatele; k nepřihlíží,
- nemá v České republice nebo v zemi svého sídla v evidenci daní zachycen splatný daňový nedoplatek,
- nemá v České republice nebo v zemi svého sídla splatný nedoplatek na pojistném nebo na penále na veřejné zdravotní pojištění,
- nemá v České republice nebo v zemi svého sídla splatný nedoplatek na pojistném nebo na penále na sociální zabezpečení a příspěvku na státní politiku zaměstnanosti,
- není v likvidaci, nebylo proti němu vydáno rozhodnutí o úpadku, nařízena nucená správa podle jiného právního předpisu nebo není v obdobné situaci podle právního řádu země sídla dodavatele. Dodavatel dále čestně prohlašuje, že podmínku podle zároveň každý člen jeho statutárního orgánu, přičemž je dodavatele právnická osoba, splňuje tuto podmínku tato právnická osoba, každý člen statutárního orgánu této právnické osoby a osoba zastupující tuto právnickou osobu v statutárním orgánu dodavatele.

V …………………… dne …………… .......................................................................................... Jméno a podpis osoby oprávněné zastupovat dodavatele

řízení na veřejnou zakázku čestně prohlašuje, že příloze č. 3 k zákonu, nebo obdobný zahlazeným odsouzením se § 74 odst. 1 písm. a) zákona splňuje

- \-li členem statutárního orgánu nebyla vůči němu

<!-- PAGE 39 -->**Seznam významných dodávek/služeb Dodavatel:**

Jméno / název / obchodní firma Bydliště / sídlo / místo podnikání Právní forma IČO Dodavatel níže předkládá seznam významných dodávek/služeb realizovaných dodavatelem za poslední 3 roky před zahájením zadávacího řízení, včetně uvedení požadovaných údajů:

1. název zakázky,
2. název a identifikační údaje subjektu vč. sídla, kterému byla významná dodávka poskytnuta,
3. popis poskytnuté dodávky/služby, ze které budou požadavky zadavatele na významné dodávky/služby vyplývat,
4. informaci o období realizace významné dodávky/služby od-do v měsících/rocích (např. červen 2024– květen 2026),
5. hodnotu významné dodávky/služby v Kč bez DPH,
6. jméno a kontaktní údaje osoby objednatele, u které si bude moci zadavatel případně ověřit předložené informace.

**Významná dodávka/služba č. 1 Název zakázky Objednatel**

název / obchodní firma právní forma adresa sídla adresa poskytnutí dodávky/služby IČO

**Popis dodávky/služby Doba realizace**

(od – do) **Cena** (v Kč bez DPH)

**Kontaktní osoba objednatele**

(pro ověření reference) jméno a příjmení funkce nebo pracovní zařazení telefonní číslo e-mail

<!-- PAGE 40 -->**Významná dodávka/služba č. 2 Název zakázky Objednatel**

název / obchodní firma právní forma adresa sídla adresa poskytnutí dodávky/služby IČO

**Popis dodávky/služby Doba realizace**

(od – do) **Cena** (v Kč bez DPH)

**Kontaktní osoba objednatele**

(pro ověření reference) jméno a příjmení funkce nebo pracovní zařazení telefonní číslo e-mail

**Významná dodávka/služba č. 3 Název zakázky Objednatel**

(pro ověření reference) jméno a příjmení

<!-- PAGE 41 -->funkce nebo pracovní zařazení telefonní číslo e-mail

**Významná dodávka/služba č. 4 Název zakázky Objednatel**

název / obchodní firma právní forma adresa sídla adresa poskytnutí dodávky/služby IČO

**Popis dodávky/služby Doba realizace**

(od – do) **Cena** (v Kč bez DPH)

**Kontaktní osoba objednatele**

(pro ověření reference) jméno a příjmení funkce nebo pracovní zařazení telefonní číslo e-mail

V …………………… dne …………… …. ..................................................................................... Jméno a podpis osoby oprávněné zastupovat dodavatele


Přílohy ZD (editovatelný formát)/Příloha č. 4 ZD (Seznam významných dodávek).docx
<!-- PAGE 1 -->**Seznam významných dodávek/služeb Dodavatel:**

| Jméno / název / obchodní firma |  |
| --- | --- |
| Bydliště / sídlo / místo podnikání |  |
| Právní forma |  |
| IČO |  |

Dodavatel níže předkládá seznam významných dodávek/služeb realizovaných dodavatelem za poslední 3 roky před zahájením zadávacího řízení, včetně uvedení požadovaných údajů:

1. název zakázky,
2. název a identifikační údaje subjektu vč. sídla, kterému byla významná dodávka poskytnuta,
3. popis poskytnuté dodávky/služby, ze které budou požadavky zadavatele na významné dodávky/služby vyplývat,
4. informaci o období realizace významné dodávky/služby od-do v měsících/rocích (např. červen 2024–květen 2026),
5. hodnotu významné dodávky/služby v Kč bez DPH,
6. jméno a kontaktní údaje osoby objednatele, u které si bude moci zadavatel případně ověřit předložené informace.

| **Významná dodávka/služba č. 1** | **Významná dodávka/služba č. 1** |
| --- | --- |
| **Název zakázky** |  |
| **Objednatel** |  |
| název / obchodní firma |  |
| právní forma |  |
| adresa sídla |  |
| adresa poskytnutí dodávky/služby |  |
| IČO |  |
| **Popis dodávky/služby** |  |
| **Doba realizace **(od – do) |  |
| **Cena **(v Kč bez DPH) |  |
| **Kontaktní osoba objednatele **(pro ověření reference) |  |
| jméno a příjmení |  |
| funkce nebo pracovní zařazení |  |
| telefonní číslo |  |
| e-mail |  |

| **Významná dodávka/služba č. 2** | **Významná dodávka/služba č. 2** |
| --- | --- |
| **Název zakázky** |  |
| **Objednatel** |  |
| název / obchodní firma |  |
| právní forma |  |
| adresa sídla |  |
| adresa poskytnutí dodávky/služby |  |
| IČO |  |
| **Popis dodávky/služby** |  |
| **Doba realizace **(od – do) |  |
| **Cena **(v Kč bez DPH) |  |
| **Kontaktní osoba objednatele **(pro ověření reference) |  |
| jméno a příjmení |  |
| funkce nebo pracovní zařazení |  |
| telefonní číslo |  |
| e-mail |  |

| **Významná dodávka/služba č. 3** | **Významná dodávka/služba č. 3** |
| --- | --- |
| **Název zakázky** |  |
| **Objednatel** |  |
| název / obchodní firma |  |
| právní forma |  |
| adresa sídla |  |
| adresa poskytnutí dodávky/služby |  |
| IČO |  |
| **Popis dodávky/služby** |  |
| **Doba realizace **(od – do) |  |
| **Cena **(v Kč bez DPH) |  |
| **Kontaktní osoba objednatele **(pro ověření reference) |  |
| jméno a příjmení |  |
| funkce nebo pracovní zařazení |  |
| telefonní číslo |  |
| e-mail |  |

| **Významná dodávka/služba č. 4** | **Významná dodávka/služba č. 4** |
| --- | --- |
| **Název zakázky** |  |
| **Objednatel** |  |
| název / obchodní firma |  |
| právní forma |  |
| adresa sídla |  |
| adresa poskytnutí dodávky/služby |  |
| IČO |  |
| **Popis dodávky/služby** |  |
| **Doba realizace **(od – do) |  |
| **Cena **(v Kč bez DPH) |  |
| **Kontaktní osoba objednatele **(pro ověření reference) |  |
| jméno a příjmení |  |
| funkce nebo pracovní zařazení |  |
| telefonní číslo |  |
| e-mail |  |

V ==……………………== dne ==……………==

&#9;&#9;&#9; …......................................................................................

&#9;&#9;&#9; Jméno a podpis osoby oprávněné zastupovat dodavatele

Page 1

**Čestné prohlášení o splnění základní způsobilosti**

**Dodavatel:**

| Jméno / název / obchodní firma           |     |
| ---------------------------------------- | --- |
| Bydliště / sídlo / místo podnikání       |     |
| Právní forma                             |     |
| IČO                                      |     |

tímto v souladu s § 74 a § 75 zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů (dále jen „zákon“), v rámci zadávacího řízení na veřejnou zakázku „Podpora infrastruktury CheckPoint a ochrana koncových zařízení“ čestně prohlašuje, že splňuje podmínky základní způsobilosti pro plnění uvedené veřejné zakázky, tj. že: 

- nebyl v zemi svého sídla v posledních 5 letech před zahájením výběrového řízení pravomocně odsouzen pro trestný čin uvedený v příloze č. 3 k zákonu, nebo obdobný trestný čin podle právního řádu země sídla dodavatele; k zahlazeným odsouzením se nepřihlíží, 
- nemá v České republice nebo v zemi svého sídla v evidenci daní zachycen splatný daňový nedoplatek,
- nemá v České republice nebo v zemi svého sídla splatný nedoplatek na pojistném nebo na penále na veřejné zdravotní pojištění, 
- nemá v České republice nebo v zemi svého sídla splatný nedoplatek na pojistném nebo na penále na sociální zabezpečení a příspěvku na státní politiku zaměstnanosti, 
- není v likvidaci, nebylo proti němu vydáno rozhodnutí o úpadku, nebyla vůči němu nařízena nucená správa podle jiného právního předpisu nebo není v obdobné situaci podle právního řádu země sídla dodavatele. 

Dodavatel dále čestně prohlašuje, že podmínku podle § 74 odst. 1 písm. a) zákona splňuje zároveň každý člen jeho statutárního orgánu, přičemž je-li členem statutárního orgánu dodavatele právnická osoba, splňuje tuto podmínku tato právnická osoba, každý člen statutárního orgánu této právnické osoby a osoba zastupující tuto právnickou osobu v statutárním orgánu dodavatele. 

V …………………… dne ……………

..........................................................................................

Jméno a podpis osoby oprávněné zastupovat dodavatele

Page 1

**Technická specifikace**

| **Položka č.**   | **Název položky**                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                               |                                                                                                                                                                 | **Popis**                         | **Jednotka** | **Počet jednotek / uživatelů**    |
| ---------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------- | ------------ | --------------------------------- |
| 1                | **Servisní podpora (support) výrobce firewallů na období od 16.11.2026 do 15.11.2030**                                                                                                                                                                                                                                                                                                                                                                                                                                                          |                                                                                                                                                                 |                                   |              |                                   |
|                  | **PODPORA**                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                     | ** **                                                                                                                                                           | ** **                             | ** **        | ** **                             |
|                  | CPAP-SG9300-PLUS-SNBT                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                           | Check Point Force Firewall 9300 Plus Appliance                                                                                                                  | CPCES-CO-PREMIUM                  | 4 roky       | 2                                 |
|                  | CPAC-TR-10SR-D                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                  | SFP+ transceiver for 10G Fiber Ports- short range (10GBase-SR)                                                                                                  | CPCES-CO-PREMIUM                  | 4 roky       | 8                                 |
|                  | CPAC-RAILS-9000                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                 | Slide Rails for 9100-9400                                                                                                                                       | CPCES-CO-PREMIUM                  | 4 roky       | 2                                 |
| 2                | **Licence k užívání softwaru ke dvěma (2) firewall boxům na období od 16.11.2026 do 15.11.2030**                                                                                                                                                                                                                                                                                                                                                                                                                                                |                                                                                                                                                                 |                                   |              |                                   |
|                  | **LICENCE**                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                     | ** **                                                                                                                                                           |                                   |              |                                   |
|                  | CPEBP-NGTX                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                      | Enterprise Based Protection - Sandblast Threat Prevention Pkg Including IPS, APCL, URLF, AV, ABOT, ASPM, TX, TE, ADNS, ZP blades                                | CPEBP-NGTX                        | 4 roky       | 2                                 |
| 3                | **Servisní podpora (support) výrobce, licence a podpora ke stávající funkcionalitě vzdáleného VPN přístupu uživatelů a k v současnosti využívanému cloudovému řešení, které v reálném čase sdílí a analyzuje informace o kybernetických hrozbách a okamžitě poskytuje ochranu proti malwaru, botům a pokročilým útokům proti bezpečnostním systémům objednatele, ochrana koncových stanic a zabezpečení přístupu zaměstnanců k nástrojům AI, to vše na období od 16.11.2026 do 15.11.2030.**                                                    |                                                                                                                                                                 |                                   |              |                                   |
|                  | **PODPORA**                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                     | ** **                                                                                                                                                           |                                   |              |                                   |
|                  | CPSB-MOB-50                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                     | Mobile Access Blade for 50 concurrent connections                                                                                                               | CPCES-CO-PREMIUM                  | 4 roky       | 2                                 |
|                  | CPSB-MOB-200                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                    | Mobile Access Blade for 200 concurrent connections                                                                                                              | CPCES-CO-PREMIUM                  | 4 roky       | 2                                 |
|                  | CPSM-P205                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                       | Security Management System for 2 gateways with 5 blades                                                                                                         | CPCES-CO-PREMIUM                  | 4 roky       | 1                                 |
|                  | CPSM-C1000                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                      | Security Management Container for 1000 endpoints                                                                                                                | CPCES-CO-PREMIUM                  | 4 roky       | 1                                 |
|                  | CPSB-EVNT-C1000                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                 | Check Point SmartEvent blade for Security Management C1000                                                                                                      | CPCES-CO-PREMIUM                  | 4 roky       | 1                                 |
|                  | CPSB-RPRT-N-C1000                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                               | SmartReporter blade for Security Management C1000                                                                                                               | CPCES-CO-PREMIUM                  | 4 roky       | 1                                 |
|                  | CPSM-NGSM5                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                      | Next Generation Security Management System for 5 gateways                                                                                                       | CPCES-CO-PREMIUM                  | 4 roky       | 1                                 |
|                  | CPSG-VSEC-VEN-BUN-NGTP-LICENSE                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                  | Security Gateway Virtual Edition Next Generation Threat Prevention                                                                                              | CPCES-CO-PREMIUM                  | 4 roky       | 2                                 |
|                  | **LICENCE**                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                     | ** **                                                                                                                                                           |                                   |              |                                   |
|                  | CPCS-REP-API-10K                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                | Threat Cloud Prevention API for 10000 queries/month 1 year subscription                                                                                         | CPCS-REP-API-10K                  | 4 roky       | 1                                 |
|                  | CPSG-VSEC-VEN-BUN-NGTP-LICENSE-1Y                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                               | Security Gateway Virtual Edition Next Generation Threat Prevention 1 year subsription                                                                           | CPSG-VSEC-VEN-BUN-NGTP-LICENSE-1Y | 4 roky       | 2                                 |
|                  | CPSB-EVS-5                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                      | SmartEvent and SmartReporter blade for 5 gateways 4 year subscription                                                                                           | CPSB-EVS-5                        | 4 roky       | 1                                 |
|                  | CP-HAR-EP-ADVANCED-4Y                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                           | Check Point Endpoint Security Advanced- Including Sandboxing, Browser Security, Attack Investigation, Threat Prevention, Access Control and Threat Intelligence | CP-HAR-EP-ADVANCED-4Y             | 4 roky       | 1200                              |
|                  | CP-AISEC-WORKFORCE-ESS-T2-Y                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                     | Workforce AI Security, Essentials - Discovery, governance, and protection for employee AI adoption - web applications                                           | CP-AISEC-WORKFORCE-ESS-T2-Y       | 4 roky       | 870                               |

**Servisní podpora zahrnuje zejména:**

- technickou podporu při provozu a správě řešení Check Point Harmony Endpoint;
- konzultace k konfiguraci, správě a optimálnímu nastavení produktu;
- podporu při vytváření a úpravách bezpečnostních politik;
- podporu při instalaci, konfiguraci a aktualizacích endpoint agentů;
- řešení provozních problémů souvisejících s funkčností produktu;
- analýzu hlášených chyb a identifikaci příčin vzniklých problémů;
- podporu při odstraňování závad a obnově standardní funkčnosti řešení;
- poskytování doporučení týkajících se bezpečnostního nastavení a osvědčených postupů výrobce;
- poskytování informací o dostupných aktualizacích, záplatách a nových verzích produktu;
- asistenci při implementaci doporučených aktualizací a oprav;
- zajištění komunikace a eskalace technických problémů na technickou podporu výrobce Check Point v rozsahu odpovídajícím úrovni partnerství a aktivnímu servisnímu programu výrobce;
- koordinaci řešení incidentů s výrobní podporou Check Point až do jejich uzavření.

Page 2

**SLA servisní podpory**

| **Priorita**   | **Popis**                                                                                              | **Reakční doba**      |
| -------------- | ------------------------------------------------------------------------------------------------------ | --------------------- |
| P1 Kritická    | Úplná nefunkčnost řešení nebo kritický problém s významným dopadem na bezpečnost či provoz             | do 1 hodiny           |
| P2 Vysoká      | Významné omezení funkcionality řešení                                                                  | do 4 hodin            |
| P3 Standardní  | Omezená funkčnost nebo provozní problém bez kritického dopadu                                          | do 1 pracovního dne   |
| P4 Nízká       | Konzultace, změnové požadavky, dotazy k provozu                                                        | do 2 pracovních dnů   |

***Poznámka:**** Doby odstranění závady závisí na charakteru problému, součinnosti Objednatele a případném zapojení technické podpory výrobce Check Point.               *

*Partner garantuje reakční dobu a zahájení řešení, nikoliv dobu vydání opravy výrobcem.*

Page 1

**Specifikace plnění požadavků v oblasti kybernetické bezpečnosti**

Bezpečnostní opatření pro smluvní vztahy dle § 9 vyhlášky č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností

**Vymezení pojmů**

Pro potřeby této přílohy smlouvy jsou použity následující zkratky a pojmy:

**ZoKB** – zákon č. 264/2025 Sb., o kybernetické bezpečnosti.

**VoKB **–** **vyhláška č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností.

**Kybernetické bezpečnostní požadavky** – všechny bezpečnostní požadavky ve smyslu ZoKB a VoKB.

**Povinná osoba **–** **poskytovatel regulované služby v režimu vyšších povinností ve smyslu VoKB; pro účely této smlouvy se za povinnou osobu považuje objednatel.

**Významný dodavatel **– ten, kdo povinné osobě poskytuje plnění, které je významné z hlediska zajištění kybernetické bezpečnosti regulované služby; poskytovatel je pro účely této smlouvy významným dodavatelem.

**Privilegovaný uživatel** – uživatel nebo jiná osoba, jejíž činnost na technickém aktivu může mít významný dopad na bezpečnost regulované služby.

**Administrátor **– privilegovaný uživatel nebo jiná osoba zajišťující správu, provoz, užívání, údržbu a bezpečnost technického aktiva.

**IS ČTÚ **– informační systém objednatele (ČTÚ) jakožto** **celek složený z počítačového hardwaru a souvisejícího softwaru spolu s lidmi a procesy a navržený ke sběru, zpracování a šíření informací potřebných k plánování, rozhodování a řízení.

**Produkční prostředí** – prostředí běžně přístupné uživatelům IS ČTÚ v ostrém provozu.

**Testovací prostředí** – prostředí určené k provádění testů, vzdělávání uživatelů apod., a to v podobě, nastavení a rozsahu umožňujícím účinně zkoumat funkcionality testovacích verzí IS ČTÚ.

**Prostředí objednatele** – fyzický perimetr určený ohraničením fyzického prostoru v nájmu nebo majetku objednatele anebo logický perimetr definovaný hraničními síťovými prvky ve správě nebo majetku objednatele,

**Osoba na straně poskytovatele** – fyzická osoba podílející se na poskytování předmětu plnění a mající pracovněprávní či obdobný smluvní vztah s poskytovatelem nebo jeho poddodavateli.

**Osobní údaje** – každá informace o identifikované nebo identifikovatelné fyzické osobě (subjektu údajů), jestliže lze subjekt údajů přímo či nepřímo pomocí tohoto údaje identifikovat.

**Zpracování osobních údajů** – jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení.

Page 2

# ÚVODNÍ USTANOVENÍ

1. Z důvodu nutnosti plnění povinností stanovených objednateli jakožto povinné osobě ve smyslu VoKB je dodavatel (pro účely této přílohy dále označován jen jako „poskytovatel“) povinen nad rámec dalších povinností stanovených smlouvou plnit níže uvedené povinnosti zejména součinnostního a bezpečnostního charakteru dle této přílohy smlouvy. Účelem této přílohy smlouvy tak je dodržet povinnost objednatele dle § 13 odst. 5 ZoKB, tj. zahrnout požadavky vyplývající z bezpečnostních opatření do smluvního ujednání s poskytovatelem.

Pokud není ve smlouvě výslovně uvedeno jinak, odměna za provádění povinností a opatření dle této přílohy a kybernetických bezpečnostních požadavků je součástí ceny sjednané ve smlouvě.

# SYSTÉM ŘÍZENÍ BEZPEČNOSTI INFORMACÍ

1. Poskytovatel je povinen se v rozsahu předmětu plnění smlouvy aktivně podílet na plnění povinností objednatele uvedených v § 3 a § 6 VoKB. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:
1. Prosadit bezpečnostní zásady a procesy, které budou pokrývat zabezpečení dat a informací, jež mohou být vytvářeny a zpracovávány na straně poskytovatele při poskytování plnění dle smlouvy.
2. Zavést na základě bezpečnostních potřeb a výsledků hodnocení rizik příslušná bezpečnostní opatření v rozsahu předmětu poskytovaného plnění, monitorovat je, a průběžně vyhodnocovat jejich účinnost.
3. Vést záznamy o vytváření a zpracování dat a informací v rozsahu předmětu poskytovaného plnění, zaznamenávat veškeré podstatné okolnosti související se zajištěním bezpečnosti těchto dat a informací a na vyžádání tyto záznamy objednateli zpřístupnit. Na vyžádání objednatele poskytovatel doloží plnění kybernetických bezpečnostních požadavků vhodnými artefakty (např. politiky, postupy, záznamy, reporty, výsledky testů) ve lhůtě, která nebude kratší než 10 pracovních dnů, pokud se smluvní strany nedohodnou jinak.
4. Stanovit a udržovat aktuální bezpečnostní politiku, která bude pokrývat zabezpečení dat a informací, jež mohou být vytvářeny a zpracovávány na straně poskytovatele při poskytování plnění dle smlouvy. Bezpečnostní politika musí obsahovat hlavní zásady, cíle, bezpečnostní potřeby, práva a povinnosti ve vztahu k řízení bezpečnosti informací.
## Poskytovatel je dále rovněž povinen dodržovat bezpečnostní politiku objednatele, pokud s ní byl prokazatelně seznámen.

# ŘÍZENÍ AKTIV

1. Poskytovatel je povinen se v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 7 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

Page 3

1. Stanovit a udržovat rozsah a seznam aktiv využívaných pro plnění této smlouvy (aktivy se rozumí např. data a informace k předmětu plnění dle této smlouvy, IS ČTÚ, moduly, hardware prvky – infrastruktura hlasové a datové komunikace, aplikace, databáze, servery, úložiště, koncová zařízení – pracovní stanice typu osobní počítač nebo notebook, mobilní koncová zařízení apod.), a tato aktiva strukturovaně popsat a objednateli předložit následně na vyžádání, a to po celou dobu trvání smlouvy.

# Řízení rizik

2. Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 8 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

4.1.1	Řídit vlastní rizika, která mohou ovlivnit poskytování předmětu plnění dle smlouvy.

4.1.2	V minimálním intervalu jednou ročně (nebo i v případě významných změn činností prováděných pro objednatele nebo změn spravovaných aktiv) vytvořit a bude-li to objednatel požadovat, předložit mu zprávu o hodnocení rizik, která bude minimálně pokrývat:

### Vyhodnocení stavu kybernetické bezpečnosti za hodnocený rok;
### Identifikaci a hodnocení rizik s vazbou na předmět plnění;
### Realizovaná bezpečnostní opatření;
### Nepokrytá bezpečnostní rizika a návrh opatření;
### Vyhodnocení bezpečnostních událostí a incidentů;
### Aktuální stav souladu poskytovatele s kybernetickými požadavky včetně přehledu kybernetických požadavků, které:
- nebyly aplikovány, včetně odůvodnění, a
- byly aplikovány, včetně způsobu plnění.

# Organizační bezpečnost

1. Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 4 a § 5 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

5.1.1	Jmenovat nejpozději do 30 dnů ode dne účinnosti smlouvy odpovědnou kontaktní osobu/y pro potřeby zajištění plnění kybernetických bezpečnostních požadavků a související komunikace mezi smluvními stranami (dále jen „kontaktní osoba pro kybernetickou bezpečnost“). Kontaktní osobu/y pro kybernetickou bezpečnost sdělí poskytovatel písemně objednateli v téže lhůtě. 

5.1.2	Využívat pro poskytování předmětu plnění smlouvy pouze oprávněných osob, které byly řádně seznámeny s příslušnými ustanoveními interních předpisů objednatele a mají ověřenou kvalifikaci, znalosti a zkušenosti k řádnému poskytování předmětu plnění dle smlouvy a stanovit bezpečnostní role těchto oprávněných osob s jasně definovanými odpovědnostmi a pravomocemi.

5.1.3	Zajistit zastupitelnost kontaktní osoby pro kybernetickou bezpečnost a zřídit komunikační kanál pro hlášení bezpečnostních událostí dostupný nepřetržitě (24/7).

Page 4

# Řízení dodavatelů

1. Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 9 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:	

6.1.1	Bude-li při poskytování předmětu plnění smlouvy využívat subdodavatele, zajistí v obdobném rozsahu dodržování kybernetických bezpečnostních požadavků rovněž ve smluvních vztazích se svými subdodavateli s tím, že za plnění povinností subdodavatelů odpovídá poskytovatel tak, jako by je plnil sám.

6.1.2	Dodržovat podmínky při zpracování osobních údajů pro zapojení každého dalšího subdodavatele.

6.1.3	Předložit objednateli na vyžádání aktuální seznam subdodavatelů, jejich roli, rozsah přístupu k aktivům objednatele a lokalitu zpracování dat a poskytnout objednateli součinnost k posouzení rizik dodavatelského řetězce.

6.1.4	Předem písemně oznámit objednateli zapojení nového subdodavatele nebo změnu subdodavatele, který se podílí na poskytování plnění významného z hlediska kybernetické bezpečnosti. Objednatel je oprávněn z odůvodněných bezpečnostních důvodů zapojení takového subdodavatele odmítnout.

# Bezpečnost lidských zdrojů

1. Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 10 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

7.1.1	Zajistit, aby kontaktní osoba pro kybernetickou bezpečnost nejpozději do 30 dnů ode dne účinnosti smlouvy potvrdila písemně objednateli, že všechny osoby podílející se na poskytování předmětu plnění smlouvy za poskytovatele byly prokazatelně seznámeny s těmito kybernetickými bezpečnostními požadavky a příslušnými ustanoveními interních předpisů objednatele.

7.1.2	Dodržovat příslušná ustanovení interních předpisů objednatele v rozsahu, v jakém byl s těmito akty seznámen. Za prokazatelné seznámení se považuje:

1. proškolení pracovníků poskytovatele zajištěné objednatelem,
2. protokolární či elektronické předání příslušných předpisů nebo,
3. objednatelem zajištěný přístup na sdílené úložiště obsahující příslušné interní předpisy, jejichž konkrétní jmenovitý seznam bude poskytovateli – současně s poskytnutím přístupu – protokolárně předán.

7.1.3	Zajistit, aby osoby podílející se na poskytování plnění objednateli v prostředí/nebo s prostředky objednatele, a to i tehdy, pokud jsou prostředky objednatele používány mimo jeho prostředí:

a)	pro uložení a sdíleni dat a informací objednatele využívaly pouze k tomu schválené prostředky (aktiva);

b)	neukládaly ani nesdílely data a informace eticky nevhodného obsahu, odporující dobrým mravům nebo poškozující dobré jméno objednatele;

c)	nestahovaly, nesdílely, neukládaly, nearchivovaly ani neinstalovaly datové a spustitelné soubory v rozporu s licenčními podmínkami nebo předpisy upravující ochranu duševního vlastnictví;

Page 5

d)	nenavštěvovaly internetové stránky s eticky či jinak nevhodným nebo s nebezpečným obsahem;

e)	nerealizovaly pokusy o neautorizovaný přístup ke zdrojům objednatele ani ke zdrojům jiných subjektů;

f)	nerealizovaly pokusy o neoprávněnou modifikaci ani jiné neoprávněné zásahy do prostředků objednatele, a to ani v případě, kdy jim byl prostředek objednatele svěřen do správy;

g)	nepodílely se s prostředky objednatele na šíření spamu ani škodlivého softwaru.

7.2	Poskytovatel si je vědom, že součástí podmínek pro získání přístupu ke zdrojům a aktivům objednatele je na straně objednatele zpracování osobních údajů pověřených osob poskytovatele, které se podílejí na poskytování plnění dle smlouvy. Pokud nebude objednateli umožněno osobní údaje pověřených osob poskytovatele zpracovat, nebude těmto pracovníkům umožněn žádný přístup ke zdrojům objednatele.

7.3	Poskytovatel zajistí, aby pracovníci před umožněním jejich přístupu k datům nebo před zapojením do činností, které by mohly ovlivnit bezpečnost poskytovaných služeb v rámci plnění, měli uzavřenou dohodu o zachování mlčenlivosti (důvěrnosti) dat s adekvátní dobou trvání povinnosti mlčenlivosti.

7.4	Poskytovatel nesmí umožnit přístup k datům třetím stranám, jako např. subdodavatelům nebo obchodním partnerům, bez předcházejícího písemného souhlasu objednatele. Takový souhlas je udělen schválením subdodavatele ve smlouvě, objednávce nebo obdobným způsobem, čímž objednatel uděluje souhlas se zpřístupněním dat subdodavateli v rozsahu nezbytném pro subdodávku.

7.5	Poskytovatel zajistí procesy a pravidla vedení disciplinárního řízení a v případě potřeby provádí disciplinární řízení k přijetí opatření vůči pracovníkům, kteří porušili povinnosti v oblasti kybernetické bezpečnosti.

# Řízení změn

8.1	Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 11 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

8.1.1	Přiměřeně reagovat na změny v oblasti kybernetické bezpečnosti na straně objednatele a upravit na své straně technická a organizační opatření tak, aby odpovídala novému stavu po provedení změny.

8.1.2	Aktivně spolupracovat při testování významné změny v oblasti kybernetické bezpečnosti na straně objednatele.

# Řízení přístupu

1. Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 13 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

9.1.1	Přidělovat oprávnění svým jednotlivým pracovníkům ve smyslu oprávnění k výkonu činností tak, aby byla minimalizována rizika nežádoucího přístupu k aktivům objednatele. Řízení přístupů by mělo být řešeno na základě příslušných rolí (RBAC – Role-Based Access Control) a dodržování principu minimálních oprávněn („Need To Know”).

Page 6

9.1.2	Zajistit, aby udělený přístup nebyl sdílen více osobami za stranu poskytovatele. V opačném případě musí poskytovatel vést evidenci využívání sdílených přístupů a tuto na vyžádání předložit objednateli kdykoli v průběhu trvání účinnosti této smlouvy a tři měsíce po jejím ukončení, ve lhůtě, která nebude kratší než 6 pracovních dnů.

9.1.3	Pokud jsou v rámci plnění využívány servisní nebo technické účty, poskytovatel zajistí jejich evidenci, omezení oprávnění na nezbytné minimum, řízení a bezpečné ukládání autentizačních údajů (preferovaně prostřednictvím trezoru/PAM), pravidelnou rotaci a dohled nad jejich použitím.

9.1.4	Stanovit v požadavku na přístup rozsah dat/informací, služby, účelu, pro které je přístup k IS ČTÚ požadován, a časový údaj o délce platnosti přístupu (např.: na dobu neurčitou, 1 rok, 1 měsíc apod).

9.1.5	Zajistit, aby osoby podílející se na poskytování předmětu plnění smlouvy a mající přístup k informačním aktivům objednatele chránily autentizační prostředky a údaje a nikdy neposkytovaly neautorizovaný přístup dalším osobám.

9.1.6	Průběžně kontrolovat a vyhodnocovat oprávněnost a potřebu přístupu, jak fyzického, tak i logického, u všech osob na straně poskytovatele, které přistupují do prostředí objednatele.

9.1.7	Zavést vhodné postupy pro odebírání nebo blokování přístupových oprávnění uživatelů v případě potřeby, zejména pokud pracovník již nepotřebuje přístup k plnění svých pracovních povinností (např. pokud došlo ke změně pozice zaměstnance), nebo se ukáže potřeba přijmout mimořádné bezpečností opatření spočívající v odebrání přístupu, nebo došlo k úniku autentizačních údajů (hesla).

9.2	Poskytovatel bere na vědomí, že oprávnění přístupu k IS ČTÚ je možné povolit 
pouze fyzické identitě zaměstnance poskytovatele/subdodavatele, a to na základě příslušného požadavku poskytovatele.

9.3	Poskytovatel bere na vědomí, že přidělení oprávnění přístupu ze strany objednatele musí být řízeno principem nezbytného minima a není nárokové.

9.4	Poskytovatel bere na vědomí, že v případě neúspěšných pokusů o autentizaci uživatele (osoby za stranu poskytovatele) může být příslušný účet objednatelem zablokován a řešen jako bezpečnostní incident a dále mohou být uplatněny příslušné postupy zvládání bezpečnostního incidentu (např. okamžité zrušení přístupu k informačním aktivům objednatele). 

# Akvizice, vývoj a údržba

10.1	Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 12 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

10.1.1	Zajistit bezpečnou implementaci, inovaci, aktualizaci a testování veškerých technických aktiv, jsou-li tato předmětem plnění dle smlouvy či jeho součástí.

10.1.2	Není-li smlouvou stanoveno jinak, předat při ukončení smlouvy objednateli kompletní provozní a bezpečnostní dokumentaci předmětu plnění dle smlouvy. Ta musí být předána minimálně v následujícím rozsahu:

1. dokumentace skutečného provedení;

Page 7

2. dokumentace všech bezpečnostních nastavení, funkcí a mechanismů;
3. dokumentace obsahující popis autorizačního konceptu a oprávnění;
4. dokumentace obsahující instalační a konfigurační postupy;
5. dokumentace obsahující zálohovací a archivační postupy;
6. dokumentace pro zajištění DR (obnovy po havárii), příp. pro zajištění kontinuity provozu.

Poskytovatel předá bezpečnostní dokumentaci objednateli v přiměřené lhůtě, nejpozději pak dle předchozí, prokazatelně doložitelné, dohody smluvních stran.

10.2	V případě, že předmět plnění smlouvy zahrnuje, byť i jen částečně, vývoj softwaru, je poskytovatel povinen:

10.2.1	Dodržovat a implementovat obecně uznávané „nejlepší praktiky“ pro bezpečný vývoj softwaru (např. u webových aplikací OWASP). Základním pravidlem zde je myslet na bezpečnost softwaru ve všech jeho vývojových fázích.

10.2.2	Pokud jsou softwarové auditní činnosti a předání zdrojového kódu k softwaru součástí plnění smlouvy, umožní poskytovatel objednateli audit prováděného nebo provedeného plnění a na písemnou žádost objednatele předloží poskytovatel ve stanovené lhůtě - nejdříve však 5 pracovních dnů od podání žádosti - vyvíjený zdrojový kód na provedení tzv. codereview, a to především za účelem ověření skutečnosti, zda poskytovatel postupuje či postupoval při poskytování plnění v souladu se smlouvou a těmito bezpečnostními požadavky.

10.2.3	Poskytovat objednateli v termínech stanovených objednatelem, resp. bez zbytečného odkladu požadovanou součinnost na provedení bezpečnostního testování v průběhu vývoje softwaru (nejdříve však od zahájení testovacího provozu) či kdykoli po jeho předání. 

10.2.4	Pokud je součástí plnění dle smlouvy i instalace operačního systému, případně softwaru třetích stran, zajistit v průběhu jeho instalace, že budou použity předepsané verze těchto produktů kompatibilní a funkční v testovacím prostředí či produkčním prostředí objednatele.

10.2.5	Zajistit bezpečnost testovacího prostředí u poskytovatele a ochranu poskytnutých testovacích dat objednatelem.

10.2.6	Zajistit, že v rámci poskytovaného plnění bude dodávaný software

1. v souladu s bezpečnostními politikami a standardy objednatele;
2. otestován na soulad s bezpečnostními politikami objednatele, pokud byl s takovými bezpečnostními politikami prokazatelně seznámen.

10.2.7	Instalovat software pouze na základě předem schválených migračních postupů objednatelem.

10.2.8	Předat zdrojový kód objednateli bezpečnou formou, zajištující jeho prokazatelnou integritu.

10.2.9	Zajistit řízení verzí zdrojového kódu, jeho zálohování a jeho uložení mimo produkční prostředí.

Page 8

# Zvládání kybernetických bezpečnostních událostí a incidentů

11.1.	Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 14 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy zejména:

11.1.1	Stanovit a popsat na své straně činnosti, role a jejich odpovědnosti a pravomoci vedoucí k rychlému a účinnému zvládání kybernetických bezpečnostních událostí a incidentů.

11.1.2	Bez zbytečného odkladu poskytovat objednateli první oznámení o kybernetické bezpečnostní události/incidentu (nejpozději však do 4 hodin od zjištění podezření), a nejpozději do 18 hodin od detekce poskytnout detailní oznámení. Hlášení se týká všech kybernetických bezpečnostních událostí a incidentů, které mají nebo by mohly mít dopad na důvěrnost, integritu nebo dostupnost poskytovaných služeb či dat objednatele, a to stanoveným komunikačním kanálem nebo prostřednictvím kontaktní osoby pro kybernetickou bezpečnost. Oznámení bude obsahovat alespoň popis kybernetické bezpečnostní události/incidentu, předpokládaný dopad, dotčená aktiva, stav mitigace a přijatá/připravovaná nápravná opatření. Poskytovatel zajistí uchování relevantních důkazů (např. logů) pro potřeby šetření.

11.1.3	Vyhodnocovat informace o kybernetických bezpečnostních událostech/incidentech a uchovávat je pro budoucí použití, a to s ohledem na požadavky použitelné platné a účinné legislativy.

11.1.4	V případě vzniku kybernetické bezpečnostní události a následného vyhodnocování možného kybernetického bezpečnostního incidentu a/nebo v případě podezření na možný kybernetický bezpečnostní incident, poskytnout objednateli aktivní součinnost a relevantní informace o podezřelém zařízení či podezřelém jednání osob na straně poskytovatele.

11.1.5	Spolupracovat při analýze příčin kybernetického bezpečnostního incidentu a v případě, že bude prokazatelně zjištěno, že poskytovatel kybernetický bezpečnostní incident zapříčinil nebo se na jeho vzniku částečně spolupodílel, navrhnout seznam všech možných opatření s cílem zamezit možnému budoucímu opakování.

11.1.6	Po dohodě s objednatelem realizovat bez zbytečného odkladu opatření požadovaná objednatelem ke snížení dopadu kybernetického bezpečnostního incidentu nebo zamezení pokračování kybernetického bezpečnostního incidentu, nejpozději pak v termínech prokazatelně stanovených objednatelem.

11.2	Poskytovatel bere na vědomí, že postup zvládání kybernetického bezpečnostního incidentu či jiný důsledek porušení bezpečnostních požadavků, jehož příčina je na straně poskytovatele, nebude posuzován jako okolnost vylučující odpovědnost poskytovatele za prodlení s řádným a včasným plněním předmětu smlouvy a nebude důvodem k jakékoli náhradě případné újmy poskytovateli či jiné osobě ze strany objednatele. Ostatní ustanovení ohledně odpovědnosti poskytovatele za prodlení obsažená ve smlouvě nejsou tímto ustanovením dotčena.

# Řízení kontinuity činností

12.1.	Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 15 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

Page 9

12.1.1	Zajistit adekvátní kontinuitu svých aktiv, které jsou potřebné k poskytování předmětu plnění smlouvy.

12.1.2	Pravidelně, nejméně jednou ročně, kontrolovat a testovat, že je schopen kontinuitu těchto aktiv zajistit dle sjednané SLA.

# Kontrola a audit

13.1	Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 16 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy poskytnout adekvátní součinnost při výkonu kontroly objednatele ze strany dozorového orgánu (Národní úřad pro kybernetickou a informační bezpečnost – NÚKIB) dle § 55 ZoKB.

13.2	Poskytovatel umožní objednateli po dobu účinnosti smlouvy provádět audit bezpečnosti informací v rozsahu služeb poskytovaných dle smlouvy, a to minimálně jednou za kalendářní rok u poskytovatele a jeho případných subdodavatelů:

13.2.1	Poskytovatel se v rámci výše uvedeného zavazuje poskytnout veškerou nezbytnou součinnost, přístup do prostor a k relevantní dokumentaci. Alternativně může poskytovatel doložit soulad platným certifikátem ISO/IEC 27001 nebo zprávou typu SOC2.

13.2.2	V případě podezření na kybernetický bezpečnostní incident nebo po jeho potvrzení je objednatel oprávněn provést cílený (targeted) audit zaměřený na dotčenou oblast.

13.3	Objednatel je oprávněn při provedení auditu využít třetí stranu. V případě využití třetí strany bude objednatel odpovídat za třetí stranu, jako by audit kybernetické bezpečnosti prováděl sám, včetně odpovědnosti za případnou způsobenou újmu.

13.4	Poskytovatel umožní objednateli audit provedený prostředky objednatele nebo třetí strany, a to v lokalitě poskytovatele i vzdáleně, pokud to technické prostředky poskytovatele umožňují.

13.5	Poskytovatel je povinen nedostatky zjištěné:

13.5.1	na základě provedení hodnocení rizik dle bodu 4 této přílohy č. 2 smlouvy, nebo

13.5.2	v rámci auditu kybernetické bezpečnosti prováděného dle tohoto bodu,

odstranit ve lhůtě určené v písemném oznámení objednatele, která nebude kratší než 20 pracovních dnů ode dne jeho doručení. Nestanoví-li objednatel lhůtu v písemném oznámení, zavazují se smluvní strany dohodnout na lhůtě pro odstranění nedostatku, která nepřevýší 60 dnů ode dne doručení.

13.6	Poskytovatel je dále povinen:

13.6.1	Poskytnout na vyžádání objednateli dokumenty a obdobné vstupy, které budou prokazovat naplnění kybernetických bezpečnostních požadavků.

13.6.2	Na požádání s objednatelem konzultovat kdykoli v průběhu realizace plnění dle smlouvy detailní nastavení kybernetických bezpečnostních opatření k naplnění kybernetických bezpečnostních požadavků a pro takovéto konzultace zajistit účast dostatečně kvalifikovaných pracovníků.

13.6.3	Neprodleně informovat objednatele o všech významných změnách v naplnění kybernetických bezpečnostních požadavků, které nastanou kdykoli v průběhu trvání smlouvy.

Page 10

13.6.4	Bezodkladně a s vyvinutím maximálního úsilí zajistit náhradní způsob naplnění kybernetických bezpečnostních požadavků, pokud stávající řešení přestalo být funkční a efektivní.

13.6.5	Při výkonu své činnosti včas a prokazatelně upozornit objednatele na případnou zřejmou nevhodnost jeho příkazů či doporučení, vztahujících se ke kybernetickým bezpečnostním požadavkům, jejichž následkem může vzniknout případná újma anebo nesoulad s příslušnými zákony nebo jinými obecně závaznými právními předpisy.

# Technická opatření

14.1	Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 17 až § 27 VoKB, které musí objednatel splnit. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

14.1.1	Dodržovat příslušné interní předpisy objednatele, s nimiž byl prokazatelně seznámen, zejména pak v oblasti fyzické ochrany bezpečnostních zón, kde jsou umístěna aktiva IS ČTÚ, anebo datové nosiče.

14.1.2	Poskytnout plnou součinnost a relevantní výstupy při zavádění technických opatření kybernetické bezpečnosti, např. v oblasti zaznamenávání událostí, detekce a vyhodnocování kybernetických bezpečnostních událostí, implementace a napojení služeb bezpečnostního dohledového centra apod.

14.1.3	V rozsahu předmětu plnění smlouvy zajistit fyzické zabezpečení, zejména označení, uchování a likvidaci instalačních, záložních nebo archivních médií a dokumentace v souladu s klasifikací aktiv objednatele, pokud s ní byl poskytovatel seznámen.

14.1.4. 	Při ukončení smlouvy na žádost objednatele buď bezpečně vrátit veškerá data v dohodnutém formátu, nebo provést jejich nenávratnou likvidaci (skartaci/výmaz) v souladu se standardy definovanými ve VoKB. O provedené likvidaci dat poskytovatel vystaví a předá objednateli nejpozději do 20 pracovních dnů písemný protokol.

14.1.5	Realizovat doporučená bezpečnostní opatření pro odstranění nebo blokování komunikačních spojení, která neodpovídají požadavkům na ochranu integrity a bezpečnosti komunikační sítě.

14.1.6	Realizovat přístupy z mobilních zařízení k aktivům v produkčním i testovacím prostředí objednatele pouze prostřednictvím zabezpečeného připojení virtuální privátní sítě (VPN).

14.1.7	Připojovat do produkčního prostředí objednatele pouze ta síťová zařízení (switch, wifi router apod.), která prošla schvalovacím procesem a jejich připojení bylo schváleno oprávněnou osobu ve věcech technických na straně objednatele, určenou v této smlouvě.

14.1.8	Bez zbytečného odkladu deaktivovat všechna nevyužívaná zakončení sítě anebo nepoužívané porty aktivního síťového prvku, pakliže tento je součástí sjednaného rozsahu předmětu plnění dle smlouvy a je současně ve správě poskytovatele.

14.1.9	Na aktiva objednatele bez jeho písemného souhlasu neinstalovat a nepoužívat v prostředí objednatele následující typy nástrojů, pokud vysloveně nejsou součástí předmětu plnění dle smlouvy:

1. Keylogger – software nebo hardware, který neautorizovaně zaznamenává stisky kláves s cílem narušit důvěrnost zadávaných dat a informací.

Page 11

2. Sniffer / Packet Analyzer – software nebo hardware umožňující odposlouchávání síťového provozu.
3. Analyzátor zranitelností (scanner zranitelností) – softwarový nebo hardwarový nástroj umožňující vyhledávání zranitelností systémů ICT, detekování dostupných síťových služeb a portů, běžících procesů, běžících aplikací a jejich verzí apod.
4. Backdoor – skrytý softwarový nebo hardwarový nástroj, který umožňuje obejití schválených autentizačních procedur, instalovaný s cílem budoucího snadnějšího a neautorizovaného přístupu do počítačového systému.
5. Malware a jiný škodlivý software, který narušuje, obchází či jinak omezuje stávající bezpečnostní opatření v prostředí Objednatele.

14.1.10	Připojovat do prostředí objednatele pouze zařízení ICT, která splňují následující požadavky:

1. jsou příslušným způsobem zabezpečena a chráněna proti malware a jinému škodlivému softwaru – minimálně instalovaný a aktivní antivir s aktuální definiční sadou, instalované veškeré doporučené bezpečnostní záplaty pro OS a používaný SW, správně nakonfigurovaný a aktivní firewall, 
2. způsob jejich připojení je definován v příslušné provozní nebo projektové dokumentaci nebo je v souladu s příslušnými interními předpisy objednatele.

14.1.11	Zajistit sběr informací o provozních a bezpečnostních činnostech v rozsahu předmětu plnění smlouvy a ochranu získaných informací před jejich neoprávněným čtením nebo změnou takto:

1. pro veškeré on-line transakce realizované prostřednictvím webových technologií implementovat doporučené a schválené TLS/SSL certifikáty s cílem zajistit důvěrnost a integritu komunikace protistran,
2. neveřejné informace poskytnuté objednatelem a ukládané na mobilní zařízení anebo přenosná paměťová média, která jsou ve správě poskytovatele, chránit vhodným šifrováním a proti neautorizovanému přístupu.

14.2	Poskytovatel bere na vědomí, že v případě, kdy technické spojení ze strany poskytovatele narušuje bezpečný chod ostatních služeb objednatele, může být toto spojení ze strany objednatele bez předchozího upozornění ihned ukončeno.

14.3	Poskytovatel bere na vědomí, že veškeré jeho aktivity realizované v prostředí objednatele mohou být monitorovány a vyhodnocovány v souladu s příslušnými interními dokumenty objednatele.

Page 1

KRYCÍ LIST NABÍDKY

**ZÁKLADNÍ ÚDAJE:**

**Název veřejné zakázky:	**Podpora infrastruktury CheckPoint a ochrana koncových zařízení

**Zadavatel:	**Česká republika – Český telekomunikační úřad

**Sídlo:	**Sokolovská 58/219, Vysočany, 19000 Praha 9

**IČO:	**701 06 975

**Jejímž jménem jedná:**	Ing. Marek Ebert, předseda Rady ČTÚ

**Kontaktní osoba a e-mail:**	Mgr. Jan Kroj, tel.: 224 004 711, e-mail: [jan.kroj@ctu.gov.cz](mailto:krojj@ctu.cz)

| **Identifikační údaje o dodavateli**                                         |                             |               |                  |                                  |
| ---------------------------------------------------------------------------- | --------------------------- | ------------- | ---------------- | -------------------------------- |
| Jméno / název / obchodní firma                                               |                             |               |                  |                                  |
| Bydliště / sídlo / místo podnikání                                           |                             |               |                  |                                  |
| Právní forma                                                                 |                             |               |                  |                                  |
| Zastoupena                                                                   |                             |               |                  |                                  |
| IČO                                                                          |                             |               |                  |                                  |
| DIČ                                                                          |                             |               |                  |                                  |
| Kontaktní osoba                                                              |                             |               |                  |                                  |
| Telefon                                                                      |                             |               |                  |                                  |
| E-mail                                                                       |                             |               |                  |                                  |
| Malý nebo střední podnik                                                     |                             | ano / ne      |                  |                                  |
| Plátce DPH                                                                   |                             | ano / ne      |                  |                                  |
| **Nabídková cena v Kč**                                                      |                             |               |                  |                                  |
|                                                                              | **Cena v Kč ** **bez DPH**  | **Sazba DPH** | **Částka DPH**   | **Cena v Kč** **včetně DPH**     |
| Celková nabídková cena za plnění podle čl. 2 Závazného vzoru smlouvy         |                             |               |                  |                                  |

V .................. dne ..................

..........................................................................................

Jméno a podpis osoby oprávněné zastupovat dodavatele

Page 1

**Smlouva č. CTU/2026_0077**

uzavřená podle § 1746 odst. 2 zákona č. 89/2012 Sb., občanského zákoníku,

ve znění pozdějších předpisů (dále jen „smlouva“)

1. 

**Smluvní strany**

- **Česká republika – Český telekomunikační úřad**

se sídlem:	Sokolovská 58/219, Praha 9

adresa pro doručování 	pošt. přihrádka 02, 225 02 Praha 025

bankovní spojení:	Česká národní banka, pobočka Praha

Číslo účtu: 	725001/0710

IČO: 	70106975

DIČ: 	CZ70106975 (osoba identifikovaná k dani)

jejímž jménem jedná: 	Ing. Marek Ebert, 

	předseda Rady Českého telekomunikačního úřadu

(dále jen „objednatel“ nebo „ČTÚ“) na straně jedné

a

**………………………………...**

se sídlem: 				…………………………...

zastoupena:			…………………………...

IČO: 	…………………………...

DIČ: 	…………………………...

bankovní spojení:	…………………………...

číslo účtu:	…………………………...

zapsaná v obchodním rejstříku vedeným …….. soudem v ………, oddíl …, vložka …

(dále jen „dodavatel“) na straně druhé,

společně označované také jako „strany“ nebo jednotlivě též jako „strana“, 

uzavřely následující smlouvu na základě výsledku zadávacího řízení na nadlimitní veřejnou zakázku s názvem „**Podpora infrastruktury CheckPoint a ochrana koncových zařízení**“ (dále jen „zadávací řízení“).

2. 

**Předmět smlouvy**

  1. Předmětem smlouvy je na straně jedné závazek dodavatele poskytnout objednateli v souladu se smlouvou plnění spočívající v:
1. zajištění pokračující licenční podpory a souvisejících bezpečnostních služeb pro stávající produkty CheckPoint provozované objednatelem v rozsahu uvedeném v příloze č. 1 této smlouvy (Technická specifikace), a to v období od 16.11.2026 do 15.11.2030; 
2. dodávce potřebných licencí, implementaci, konfiguraci, zprovoznění a podpoře řešení pro ochranu koncových zařízení objednatele, zejména pracovních stanic a notebooků uživatelů; 
3. rozšíření bezpečnostní infrastruktury objednatele o licence a funkcionality určené k detekci, prevenci a reakci na bezpečnostní incidenty na koncových zařízeních;

Page 2

4. zajištění funkcionality pro ochranu před nežádoucím nebo neoprávněným používáním nástrojů umělé inteligence a AI agentů na koncových zařízeních; 
5. zajištění nároku objednatele na poskytování všech aktualizací, updatů, upgradů a bezpečnostních oprav vydaných výrobcem pro produkty a licence poskytované podle této smlouvy, a to po dobu trvání příslušné licenční podpory.
  2. Podrobná technická, licenční a servisní specifikace plnění, včetně případných počtů licencí, parametrů podpory a souvisejících bezpečnostních služeb, je uvedena v příloze č. 1 této smlouvy (Technická specifikace).
  3. Předmětem smlouvy je na druhé straně závazek objednatele uhradit dodavateli za plnění poskytnuté v souladu s touto smlouvou cenu dle čl. 4 této smlouvy.
3. 

**Místo a doba plnění, povinnosti smluvních stran**

  4. Místem plnění je sídlo objednatele.
  5. Dodavatel se zavazuje, že plnění dle čl. 2 této smlouvy poskytne objednateli nejpozději ode dne 16.11.2026.
  6. Dodavatel se zavazuje, že poskytnuté plnění dle čl. 2 této smlouvy bude plynule navazovat na stávající licenční podporu, která končí ke dni 15.11.2026. Objednatel tedy požaduje navázání licenční podpory bez sankčního postihu ze strany výrobce nejpozději ode dne 16.11.2026.
  7. Posledním dnem plnění dle čl. 2 této smlouvy je 15. 11. 2030.
  8. Dodavatel se zavazuje:
1. provést předmět smlouvy na odborné úrovni řádně a včas,
2. bez zbytečného odkladu informovat objednatele o ohrožení splnění této smlouvy (zejména splnění předmětu smlouvy),
3. po celou dobu trvání této smlouvy zajistit:
- plnění veškerých povinností vyplývajících z právních předpisů České republiky, zejména pak předpisů pracovněprávních, předpisů v oblasti zaměstnanosti, a dále oblasti bezpečnosti a ochrany zdraví při práci, a to vůči všem osobám, které se budou podílet na plnění této smlouvy; 
- dodržování zákona č. 198/2009 Sb., o rovném zacházení a o právních prostředcích ochrany před diskriminací a o změně některých zákonů (antidiskriminační zákon), ve znění pozdějších předpisů;
- řádné a včasné plnění finančních závazků vůči svým případným poddodavatelům;
- po celou dobu účinnosti smlouvy disponovat platným certifikátem (resp. rovnocenným dokladem) o zavedení systému řízení bezpečnosti informací 
v organizaci v souladu s ISO 27001 (ISO/IEC 27000), případně uplatňovat rovnocenná opatření systému řízení bezpečnosti informací, resp. zajistit, aby tímto disponoval alespoň poddodavatel, pokud budou výhradně jeho prostřednictvím zajišťovány veškeré činnosti při plnění smlouvy, v rámci kterých je nutno/možno předpokládat přístup k citlivým informacím (např. informace o datových tocích),
- umožnit objednateli provedení auditu k ověření, zda nedochází k předávání dat na Území ve smyslu Varování Národního úřadu pro kybernetickou a informační bezpečnost (dále jen „NÚKIB“), č.j. 6159/2025-NÚKIB-E/350 ze dne 3. 9. 2025.
  9. Objednatel se zavazuje:

Page 3

1. poskytnout dodavateli součinnost nezbytně nutnou pro splnění této smlouvy,
2. průběžně informovat o svých návrzích a doporučeních. Tyto návrhy a doporučení budou poskytnuty objektivním a profesionálním způsobem.
4. 

**Cena a platební podmínky**

  10. Celková cena za plnění dle této smlouvy činí ……… Kč bez DPH.
  11. Cena je stanovena jako pevná a lze ji měnit, pouze pokud dojde ke změně sazby DPH. K ceně bude při její fakturaci připočtena DPH v aktuální výši ke dni uskutečněného zdanitelného plnění.
  12. Cena zahrnuje veškeré náklady dodavatele nezbytné pro plnění smlouvy.
  13. Cenu bude objednatel hradit postupně na základě daňových dokladů – faktury (dále jen „faktura“), a to následujícím způsobem:

Cena bude objednatelem hrazena postupně na základě daňových dokladů – faktur (dále jen „faktura“), a to ve čtyřech (4) ročních platbách odpovídajících poskytování podpory dle této smlouvy. Dodavatel je oprávněn vystavit fakturu vždy nejdříve 30 dnů před začátkem příslušného období poskytování podpory, a to následovně:

1. za období od 16. 11. 2026 do 15. 11. 2027,
2. za období od 16. 11. 2027 do 15. 11. 2028,
3. za období od 16. 11. 2028 do 15. 11. 2029,
4. za období od 16. 11. 2029 do 15. 11. 2030.
  14. Faktura je splatná do 30 dnů ode dne doručení objednateli. 	V případě faktury doručené objednavateli mezi 15. prosincem a 10. lednem je taková faktura splatná nejdříve následujícího 1. února.
  15. Povinnost úhrady se považuje za splněnou okamžikem odepsání příslušné částky z účtu objednatele ve prospěch bankovního účtu dodavatele uvedeného v záhlaví této smlouvy. 
  16. Faktura bude vedle náležitostí stanovených § 29 zákona č. 235/2004 Sb., o daní z přidané hodnoty, ve znění pozdějších předpisů, a § 435 občanského zákoníku obsahovat i evidenční číslo smlouvy objednatele. Přílohou faktury musí být kopie akceptačního protokolu. Objednatel je oprávněn vrátit nesprávnou fakturu dodavateli, a to před uplynutím její lhůty splatnosti. Nová lhůta splatnosti počne běžet dnem doručení bezvadné faktury. Fakturu zašle dodavatel na doručovací adresu objednatele uvedenou v záhlaví smlouvy. 
5. 

**Vyšší moc**

  17. Smluvní strany nebudou odpovědné za částečné nebo úplné neplnění smluvních závazků následkem okolností vylučujících odpovědnost v případech tzv. vyšší moci. Výraz vyšší moc znamená a zahrnuje zejména: přírodní katastrofu, požár, záplavy, zemětřesení a dále povstání, stávky, pracovní boje jakéhokoliv druhu nebo terorismus, které mají přímou souvislost a brání plnění povinností ze smlouvy a plnění povinností nelze zajistit jinak nebo je nahradit, nehody, pád letadla včetně nehod, kterým se nedalo vyhnout v souvislosti s plněním této smlouvy včetně přijetí zákona nebo mimořádného rozhodnutí přísl. úřadu v souvislosti se zásahem vyšší moci, pokud příčiny a události mají vliv na plnění povinností stran ze smlouvy a plnění povinností vyplývajících ze smlouvy nelze zajistit jinak.

Page 4

18. Vyskytne-li se působení překážky v důsledku vyšší moci, s níž jsou spojeny účinky vylučující odpovědnost, lhůty ke splnění smluvních závazků se prodlouží o dobu trvání takové překážky. Smluvní strana, která je postižena takovou překážkou, je však povinna okamžitě, písemně, uvědomit druhou smluvní stranu o této skutečnosti, o začátku trvání této překážky a předpokládané době jejího trvání.  
6. **
Kybernetická bezpečnost**
  19. Dodavatel bere na vědomí, že plnění této smlouvy může souviset s aktivy objednatele zařazenými ve stanoveném rozsahu regulované služby v režimu vyšších povinností. Smluvní strany potvrzují, že rozsah plnění dodavatele, které je významné z hlediska zajištění kybernetické bezpečnosti regulované služby objednatele, je určen rozsahem poskytovaných aktiv (vč. služeb) dle této smlouvy, tedy práva a povinnosti dále uvedené se vztahují pouze na aktiva, kterými je plněna tato smlouva a/nebo jsou jinak používaná a/nebo přímo souvisí s plněním této smlouvy. Objednatel je při jejich ochraně nucen zohlednit příslušné bezpečnostní požadavky vyplývající ze skutečnosti, že objednatel je povinnou osobou dle zákona č. 264/2025 Sb., o kybernetické bezpečnosti (dále „ZoKB“), resp. vyhlášky č. 409/2025 Sb. o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností (dále jen „VoKB"), dále požadavky Národního úřadu pro kybernetickou a informační bezpečnost (dále jen „NÚKIB“), jakož i příslušné vnitřní předpisy objednatele.
  20. Dodavatel, jakožto dodavatel ve smyslu ZoKB, je povinen při všech činnostech souvisejících s plněním této smlouvy brát na tuto skutečnost zřetel a dodržovat ustanovení ZoKB, případně i příslušné mezinárodně uznávané standardy vztahující se k řízení kybernetické a informační bezpečnosti (např. ISO 27001) v relevantním rozsahu. Dodavatel je současně povinen brát na zřetel na ustanovení v rozsahu vyplývajícím z bezpečnostních požadavků ve formě organizačních a technických opatření, která jsou upravena v Příloze č. 2  (Specifikace plnění požadavků v oblasti kybernetické bezpečnosti) této smlouvy (dále jen „Kybernetické bezpečnostní požadavky“), případně vyplývajícím z vnitřních předpisů objednatele (např. Politika bezpečnosti informací), s nimiž byl dodavatel seznámen, resp. dalších pokynů objednatele, které mají zajistit  bezpečnost dat a bezpečnost informací a dostupnost regulované služby objednatele a postupovat v souladu s nimi. Vnitřní předpisy objednatele, související s aktivy zařazenými ve stanoveném rozsahu regulované služby, předá objednatel dodavateli v elektronické podobě na základě oboustranně podepsaného předávacího protokolu, který obsahuje seznam předávané dokumentace. 
  21. Pokud se během plnění této smlouvy ukáže, že některý z požadavků uvedených ve smlouvě, resp. Kybernetických bezpečnostních požadavcích či vnitřních předpisech objednatele, je v rozporu s požadavky ZoKB (je nutný rozpor, nikoliv specifická implementace na základě analýzy a hodnocení rizik), použije se požadavek ze smlouvy, Kybernetických bezpečnostních požadavků či vnitřních předpisů objednatele v tom rozsahu, který neodporuje požadavkům ZoKB. V rozsahu, v jakém si požadavky odporují, se použije požadavek ZoKB. 
  22. V případě zjištění vzájemného rozporu mezi smlouvou, resp. Kybernetickými bezpečnostními požadavky či vnitřními předpisy objednatele, a nejde-li o rozpor těchto dokumentů se ZoKB, budou postupovat smluvní strany tak, aby bylo v co nejvyšší míře dosaženo bezpečnosti dat a dostupnosti regulované služby objednatele. Není-li takový postup možný, mají v takovém případě přednost v daném pořadí:
    1. text smlouvy (mimo přílohy),
    2. Kybernetické bezpečnostní požadavky,
    3. vnitřní předpisy objednatele.

Page 5

23. Dodavatel se zavazuje na žádost objednatele bez zbytečného odkladu doložit svou úplnou vlastnickou strukturu až po konečného uživatele výhod, resp. souhlasí s tím, aby objednatel toto ověřil obdobně jako v případě postupu dle § 122 odst. 5 zákona 
č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů (dále jen „ZZVZ“). Dodavatel dále prohlašuje, že není pod přímým či nepřímým vlivem cizí státní moci státu mimo EU nebo NATO, který by mohl vést k ohrožení bezpečnostních zájmů České republiky nebo narušení bezpečnosti regulované služby objednatele. 
  24. Dodavatel se zavazuje během poskytování předmětu plnění dostatečně zabezpečit veškeré případné zpracování, přenos a uložení dat v souladu s Kybernetickými bezpečnostními požadavky a vnitřními předpisy objednatele. Současně dodavatel garantuje, že veškerá data objednatele budou uložena a zpracovávána výhradně na území EU. 
  25. V případě provádění vzdálené správy ze zemí mimo EU/NATO je dodavatel povinen zajistit, aby takový přístup byl vždy předem schválen objednatelem, byl plně monitorován a probíhal přes zabezpečený uzel spravovaný objednatelem. 
  26. Dodavatel se zavazuje nad rámec povinností stanovených právními předpisy a touto smlouvou aktivně sledovat, vyhodnocovat a po dohodě a v souladu s pokyny objednatele provádět protiopatření vydaná NÚKIB v souladu s § 20 ZoKB. 
  27. Smluvní strany berou na vědomí, že v případě, že NÚKIB vydá opatření obecné povahy nebo rozhodnutí, které omezuje nebo zakazuje využívání plnění poskytovaného dodavatelem z důvodu strategického rizika, považuje se toto za situaci vyšší moci. Objednatel je v takovém případě oprávněn vypovědět smlouvu s okamžitou účinností, aniž by mu vznikla povinnost hradit dodavateli jakékoli smluvní pokuty či náhradu škody. 
  28. Dodavatel se dále zavazuje:
    1. poskytnout na vyžádání objednatele dokumenty a obdobné vstupy, které budou prokazovat naplnění Kybernetických bezpečnostních požadavků;
    2. na vyžádání s objednatelem konzultovat kdykoli v průběhu poskytování plnění smlouvy detailní nastavení bezpečnostních opatření k naplnění Kybernetických bezpečnostních požadavků a pro takovéto konzultace zajistit účast kvalifikovaných pracovníků;
    3. při výkonu své činnosti včas a prokazatelně upozornit objednatele na zřejmou nevhodnost jeho pokynů vztahující se ke Kybernetickým bezpečnostním požadavkům a jejichž následkem může vzniknout újma nebo nesoulad se ZoKB nebo jinými obecně závaznými právními předpisy.
  29. Dodavatel se během poskytování předmětu plnění pro objednatele zavazuje objednatele písemně informovat o:
      1. kybernetickém bezpečnostním incidentu souvisejícím s předmětem plnění, a to neprodleně, nejpozději však do 18 hodin od jeho zjištění. Hlášení musí obsahovat minimálně popis kybernetického bezpečnostního incidentu, čas a způsob jeho zjištění, předpokládaný nebo potvrzený dopad na poskytování plnění, přijatá a/nebo navrhovaná nápravná opatření ke zmírnění či vyloučení dopadu na důvěrnost, integritu nebo dostupnost dat nebo plnění;

Page 6

2. významné změně ovládání dodavatele nebo jeho poddodavatele dle § 74 a násl. zákona č. 90/2012 Sb., o obchodních společnostech a družstvech (zákon o obchodních korporacích), ve znění pozdějších předpisů, a to nejpozději do 10 pracovních dnů ode dne, kdy se dodavatel o plánované změně dozví nebo se měl a mohl dozvědět. Tato informace musí obsahovat alespoň identifikace nové ovládající osoby, včetně IČO, sídla a údajů o skutečném majiteli dle zákona 
č. 37/2021 Sb., o evidenci skutečných majitelů, ve znění pozdějších předpisů (dále jen „ZESM“), datum, ke kterému došlo nebo má dojít ke změně ovládání a popis povahy ovládání nebo podílu na hlasovacích právech. Povinnost podle tohoto článku se vztahuje i na změnu osoby skutečného majitele dodavatele ve smyslu ZESM a použije se přiměřeně i na případy přeměn obchodní korporace, které mají za následek změnu ovládající osoby;
      3. změně vlastnictví zásadních aktiv, využívaných dodavatelem k plnění smlouvy, popřípadě o změně oprávnění nakládat s těmito aktivy, a to nejpozději do 10 pracovních dnů ode dne, kdy se dodavatel o plánované změně dozví nebo se měl a mohl dozvědět, přičemž zásadními aktivy se rozumí aktiva,
      - s jejichž pomocí je možné přímo či nepřímo ovlivňovat bezpečnost plnění, systémů objednatele a/nebo dat v nich obsažených,
      - skrze která je možné proniknout do systémů objednatele a která jsou zásadní pro realizaci plnění;
      4. fyzických osobách přicházejících do kontaktu s neveřejnými informacemi, přičemž v rámci tohoto informování dodavatel vytvoří a udržuje jejich aktuální seznam, který zpřístupní objednateli, a to do 30 dnů od nabytí účinnosti této smlouvy, a následně objednatele informuje o jakýchkoli změnách v tomto seznamu bez zbytečného odkladu od okamžiku, kdy se dodavatel o dané změně dozvěděl;
      5. žádosti orgánů činných v trestním řízení nebo jiných orgánů veřejné správy o poskytnutí informací, údajů nebo dokumentů objednatele, které byly objednatelem předány dodavateli, nebo které dodavatel jiným způsobem získal či vytvořil v souvislosti s poskytováním plnění, a to neprodleně a s předstihem před poskytnutím takových informací, pokud to dodavateli právní předpisy výslovně nezakazují;
      6. žádosti cizozemského orgánu o zpřístupnění nebo předání dat zpracovávaných na území cizího státu, vyjma situace, kdy by takové informování bylo v rozporu s právním řádem, v jehož působnosti dochází ke zpracování dat nebo podle kterého byla žádost podána. 
  30. Dodavatel se dále zavazuje zpřístupnit nebo předat data na základě žádosti cizozemského orgánu o zpřístupnění nebo předání dat zpracovávaných na území cizího státu:
    1. až po provedení přezkoumání zákonnosti takové žádosti;
    2. až po vynaložení veškerého úsilí, které lze na dodavateli v takovém postavení spravedlivě požadovat, o zabránění zpřístupnění nebo předání dat v rámci možností daných právních řádem, v jehož působnosti dochází ke zpracování dat nebo podle kterého byla žádost podána;
    3. pouze v nezbytném rozsahu. 
  31. Dodavatel je povinen jakékoliv dokumenty zpracovávané dle této smlouvy vést ve formě umožňující přezkoumatelnost a auditovatelnost ze strany kontrolních orgánů ve smyslu § 42 odst. 3 písm. s) ZoKB. Pokud by byl jakýkoliv dokument související s poskytováním plnění dle této smlouvy zpochybněn kontrolním orgánem, je dodavatel povinen poskytnout objednateli takové dokumenty či podklady, které budou kontrolním orgánem akceptovány. V případě, že dodavatel nebude schopen tyto dokumenty či podklady poskytnout nebo by tyto nebyly kontrolním orgánem akceptovány, a pokud absence těchto dokumentů bude důvodem k udělení jakékoliv sankce vůči objednateli, zavazuje se dodavatel objednateli uhradit takovouto sankci v plné výši, a to i po vypršení platnosti a účinnosti této smlouvy, pokud se bude taková sankce týkat období platnosti dokumentu zpracovaného dodavatelem. 
  32. Smluvní strany berou na vědomí, že v průběhu poskytování plnění dle této smlouvy může dojít:

Page 7

1. ke změnám právních předpisů,
    2. k vydání protiopatření ze strany NÚKIB,
    3. k vydání opatření obecné povahy ze strany NÚKIB, kterým mohou být stanoveny podmínky nebo kterým může být zakázáno využití plnění dodavatele v souladu 
s § 29 ZoKB,
    4. ke změnám v oblasti best practice pro předmět plnění, a/nebo
    5. k vydání metodických materiálů a doporučení NÚKIB,

přičemž tyto změny či nové dokumenty mohou vyvolat potřebu změny smlouvy, Kybernetických bezpečnostních požadavků nebo vnitřních předpisů objednatele. 
Z těchto důvodů si smluvní strany sjednávají tuto vyhrazenou změnu závazku ve smyslu § 100 odst. 1 ZZVZ. 

V uvedených případech smluvní strany berou na vědomí a souhlasí s tím, že bude postupováno tak, aby byly dodrženy požadavky aktuálních právních předpisů, vydaného protiopatření, opatření obecné povahy, změny best practice nebo metodických materiálů a doporučení NÚKIB, a za tímto účelem vstoupí smluvní strany do jednání o změně smlouvy, resp. Kybernetických bezpečnostních požadavků nebo objednatel poskytne dodavateli novou verzi vnitřních předpisů objednatele, které budou pro dodavatele dále závazné. V případě, že dodavatel v souvislosti se změnou smlouvy, resp. Kybernetických bezpečnostních požadavků nebo vnitřních předpisů objednatele identifikuje potřebu změny ceny, je povinen tuto změnu ceny projednat s objednatelem a náležitě její potřebu zdůvodnit. 

  33. Ve smyslu vydaného varování NÚKIB č.j. 6159/2025-NÚKIB-E/350 ze dne 3. 9. 2025 dodavatel prohlašuje, že není seznámen s existencí žádných skrytých mechanismů (backdoorů) v dodávaném plnění, které by umožňovaly neoprávněný přístup k datům nebo systémům objednatele, a že podle jemu dostupných informací a při vynaložení odborné péče dodávané plnění takové mechanismy neobsahuje. Dodavatel dále prohlašuje, že dodané plnění neobsahuje funkce, mechanismy ani technické prostředky umožňující vzdálenou nebo jinou dodatečnou instalaci, aktivaci či konfiguraci takových mechanismů bez předchozího vědomí a výslovného souhlasu Objednatele. Dodavatel se současně zavazuje, že po dobu trvání smlouvy neprovede ani neumožní provedení takové instalace, aktivace či konfigurace prostřednictvím aktualizací, servisních zásahů nebo jiným způsobem. Za porušení tohoto prohlášení se považuje rovněž existence mechanismu umožňujícího instalaci, aktivaci nebo zpřístupnění obdobné funkcionality třetí osobou bez vědomí a souhlasu objednatele, a to po celou dobu trvání smlouvy a na dobu případně poskytované podpory výrobce k dodávanému plnění. V případě, že během plnění smlouvy objednatel prokazatelně doloží nepravdivost tvrzení dodavatele nebo porušení povinností podle tohoto článku smlouvy, má právo uplatnit nárok na bezplatnou výměnu za jiné zařízení splňující bezpečnostní požadavky stanovené touto smlouvou. V případě, že dodavatel takovouto výměnu odmítne poskytnout, je v takovém případě objednatel oprávněn odstoupit od smlouvy s okamžitou účinností ode dne doručení odstoupení dodavateli, aniž by mu vznikla povinnost hradit dodavateli jakékoli smluvní pokuty či náhradu škody.
  34. Dodavatel je povinen bez zbytečného odkladu informovat objednatele o každé žádosti třetí osoby o poskytnutí dat nebo přístupu k systémům objednatele, pokud takové oznámení není zakázáno závazným právním předpisem. Dodavatel současně nesmí poskytnout data ani přístup k systémům kupujícího třetí osobě, pokud takové poskytnutí není v souladu s právním řádem České republiky nebo mezinárodními smlouvami, jimiž je Česká republika vázána.

Page 8

35. Dodavatel se současně zavazuje, že nebude plnit žádné požadavky třetích stran (včetně vládních orgánů cizích států) na poskytnutí dat nebo přístupu k systémům objednatele, pokud tyto požadavky nejsou v souladu s právním řádem ČR nebo mezinárodními smlouvami, jimiž je ČR vázána.
7. 

**Salvátorské ustanovení **

## Obě smluvní strany prohlašují, že pokud se kterékoliv ustanovení této smlouvy nebo s ní související ujednání ukáže být neplatným nebo se neplatným stane, že tato skutečnost neovlivní platnost smlouvy jako celku. V takovém případě se obě smluvní strany zavazují nahradit neprodleně neplatné ustanovení ustanovením platným; obdobně se zavazují postupovat v případě ostatních nedostatků smlouvy či souvisejících ujednání.
8. 

**Smluvní pokuty**

  36. Je-li objednatel v prodlení s uhrazením faktury, dodavatel má právo účtovat zákonný úrok z prodlení z dlužné částky za každý i započatý den prodlení. 
  37. V případě prodlení dodavatele s poskytnutím plnění uhradí dodavatel objednateli smluvní pokutu ve výši 10.000 Kč za každý i započatý den prodlení.
  38. Objednatel nemá právo uplatnit smluvní pokutu, jestliže dodavatel prokáže, že objednatel neposkytl dodavateli spolupůsobení nutné k tomu, aby dodavatel mohl splnit svůj závazek.
  39. V případě porušení některé z povinností stanovené v čl. 6 této smlouvy uhradí, není-li dále stanoveno jinak, dodavatel objednateli částku 5.000 Kč za každý jednotlivý případ porušení této povinnosti.
  40. V případě porušení některé z povinností stanovené v čl. 6.15 až 6.17 této smlouvy uhradí prodávající kupujícímu částku 100.000 Kč za každý jednotlivý případ porušení této povinnosti.
  41. V případě porušení povinnosti dodavatele dle čl. 10.4 této smlouvy uhradí dodavatel objednateli smluvní pokutu ve výši 2.000.000 Kč. Toto ustanovení platí 5 let po ukončení účinnosti této smlouvy.
  42. Smluvní pokuty jsou splatné ve lhůtě 10 dnů ode dne, kdy dodavatel obdrží písemnou výzvu k jejich úhradě.
  43. Zaplacením smluvní pokuty podle této smlouvy není dotčen nárok smluvní strany na náhradu skutečné škody v celém rozsahu způsobené škody. Žádná ze smluvních stran neodpovídá za škodu vzniklou jako následek vyšší moci.
9. 

**Ukončení smlouvy**

  44. Tato smlouva může být ukončena splněním, písemnou dohodou obou smluvních stran nebo odstoupením od smlouvy.
  45. Smluvní strany jsou oprávněny od této smlouvy odstoupit v případech stanovených občanským zákoníkem či touto smlouvou.
  46. Kterákoliv ze smluvních stran může odstoupit od smlouvy v případě, že druhá smluvní strana poruší podstatným nebo neodstranitelným způsobem své povinnosti vyplývající z této smlouvy.
  47. Za podstatné porušení smluvních povinností objednatele se podle této smlouvy považuje prodlení objednatele s uhrazením ceny plnění o více než 30 dnů.
  48. Za podstatné porušení smlouvy dodavatelem se podle této smlouvy považuje zejména:
1. nedodržení termínů řádného plnění smlouvy stanovených ve smlouvě,

Page 9

2. porušení povinnosti mlčenlivosti či zachování důvěrných informací podle této smlouvy, 
3. a to mimo jiné výslovně porušení povinnosti týkající se neoprávněného přístupu k datům nebo systémům objednatele ve smyslu čl. 6.15 až 6.17 této smlouvy,
4. neodstranění vady plnění ve stanoveném termínu.
  49. Objednatel je dále oprávněn od této smlouvy odstoupit v následujících případech:
1. dojde nebo má dojít k významné změně ovládání dodavatele, nebo dojde nebo má dojít ke změně kontroly nad zásadními aktivy využívanými dodavatelem k plnění smlouvy;
2. dodavatel změní sídlo mimo území členských států Evropské unie a členských států Evropského sdružení volného obchodu;
3. dodavatel poruší své povinnosti v oblasti práv duševního vlastnictvím, kybernetické bezpečnosti a/nebo ochrany dat a nezjedná nápravu ani do třiceti (30) dní od výzvy objednatele;
4. pokud NÚKIB vydá opatření obecné povahy, kterým stanoví podmínky a/nebo zakáže využití plnění dodavatele dle § 29 ZoKB a v plnění této smlouvy nelze rozumně pokračovat, aniž by bylo toto opatření obecné povahy porušeno.

Nastane-li některý z uvedených případů, je dodavatel povinen o této skutečnosti informovat objednatele, a to písemně ve sjednané lhůtě, resp. do 2 pracovních dnů od jejího vzniku, není-li taková lhůta výslovně sjednána jinak, společně s informací o tom, o kterou z uvedených skutečností se jedná, a s uvedením bližších údajů, které by objednatel mohl v této souvislosti potřebovat pro své rozhodnutí o odstoupení od smlouvy. Nedodržení této povinnosti je považováno ze podstatné porušení smlouvy.

  50. Stanoví-li oprávněná smluvní strana druhé smluvní straně pro splnění jejího závazku náhradní (dodatečnou) lhůtu, vzniká jí právo odstoupit od smlouvy až po marném uplynutí této lhůty, to neplatí, jestliže druhá smluvní strana v průběhu této lhůty prohlásí, že svůj závazek nesplní.
  51. Odstoupení od smlouvy musí být provedeno písemně a doručeno druhé smluvní straně. Právní účinky nastávají dnem doručení odstoupení od smlouvy druhé smluvní straně.
  52. V případě ukončení této smlouvy se smluvní strany zavazují vypořádat veškeré své vzájemné závazky do 60 dnů ode dne ukončení smlouvy.
10. 

**Závěrečná ustanovení**

  53. Smluvní strany jsou vázány obsahem této smlouvy.
  54. Veškeré změny či doplňky této smlouvy (s výjimkou písemně oznámených změn pověřených osob uvedených v odstavci 10.9 tohoto článku smlouvy) mohou být provedeny pouze písemně, a to formou písemných, vzestupně číslovaných dodatků k této smlouvě potvrzenými oběma smluvními stranami, a to osobami oprávněnými jednat za smluvní strany ve věcech smluvních.
  55. Smluvní strany se zavazují, že o každé organizační změně (např. změna telefonních čísel, změna adresy atd.) se budou navzájem neprodleně písemně informovat.
  56. Objednatel a dodavatel se zavazují, že bez písemného souhlasu druhé smluvní strany neučiní informace získané při plnění této smlouvy v žádné podobě dostupné třetí straně, ani že je nepoužijí k jiným účelům než k účelům plnění této smlouvy. Toto ustanovení platí i po dobu 5 let od ukončení účinnosti této smlouvy, nemá však vliv na případné povinnosti objednatele vyplývající ze zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů.

Page 10

57. Smluvní strany bezvýhradně souhlasí s uveřejněním této smlouvy, případných dodatků uzavřených k této smlouvě, jakož i se zveřejněním dalších aspektů tohoto smluvního vztahu v souladu se zákonem č. 340/2015 Sb., o zvláštních podmínkách účinnosti některých smluv, uveřejňování těchto smluv a o registru smluv (zákon o registru smluv), ve znění pozdějších předpisů. Uveřejnění zajistí objednatel.
  58. Jednáním o věcném plnění předmětu smlouvy, postupech plnění, účasti na pracovních poradách, konzultacích v průběhu trvání smlouvy, kontrolou plnění smlouvy a předkládáním návrhů na úpravu nebo doplnění smlouvy jsou pověřeni:

za objednatele: 		…………………. (*pozn.: bude doplněno před podpisem smlouvy*)

				telefon: +420 … … …, e-mail: …………………….    

za dodavatele: 		……………………….

				telefon: …………………, e-mail: ……………………

  59. Smlouva je vyhotovena v elektronické podobě, kdy příslušný dokument bude opatřen elektronickými podpisy oprávněných zástupců obou smluvních stran. Nedílnou součástí smlouvy jsou:

		Příloha č. 1 – Technická specifikace

		Příloha č. 2 – Specifikace plnění požadavků v oblasti kybernetické bezpečnosti.

  60. Tato smlouva vzniká dnem podpisu oprávněnými zástupci obou smluvních stran 
a nabývá účinnosti dnem uveřejnění smlouvy v Registru smluv.
  61. Obě smluvní strany prohlašují, že se s textem této smlouvy seznámily, obsahu porozuměly, souhlasí s ním a na důkaz toho připojují své podpisy.

| Dodavatel:   …………………………… ……………………………… ………………….                                                             |     | Objednatel:   ……………………………… Ing. Marek Ebert předseda Rady  Českého telekomunikačního úřadu                                |
| ---------------------------------------------------------------------------------------------------------- | --- | ------------------------------------------------------------------------------------------------------------------------- |

Page 1

**ZADÁVACÍ DOKUMENTACE**

ve smyslu § 28 odst. 1 písm. b) zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů (dále jen „ZZVZ")

pro nadlimitní veřejnou zakázku na dodávky a služby „

**Podpora infrastruktury CheckPoint a ochrana koncových zařízení"**

zadávanou v otevřeném řízení podle § 56 ZZVZ (dále jen „veřejná zakázka").

Page 2

**Identifikační údaje veřejné zakázky: Podpora infrastruktury CheckPoint a ochrana**

Název veřejné zakázky

**koncových zařízení**

Druh veřejné zakázky Dodávky a služby Druh zadávacího řízení Otevřené řízení Režim veřejné zakázky Nadlimitní Lhůta pro podání nabídek 19. října 2026 do 10:00 hod. Elektronicky prostřednictvím Národního elektronického Způsob podání nabídek nástroje (NEN) Předpokládaná hodnota 14.300.000 Kč bez DPH

**Identifikační údaje zadavatele:**

Název Česká republika – Český telekomunikační úřad Sídlo Sokolovská 58/219, Praha 9 IČO 701 06 975 Zastoupený/á Ing. Marek Ebert, předseda Rady ČTÚ Právní forma Organizační složka státu DPH – plátce / neplátce Osoba identifikovaná k dani https://sluzby.e-zakazky.cz/Profil-Zadavatele/c6503add- Profil zadavatele b4cd-409d-87ce-7b7b867ccf65

**Kontaktní osoba zadavatele:**

Kontaktní osoba Mgr. Jan Kroj

| Telefonní k onta kt | +420 224 004 711 |
| --- | --- |
| E-mailová a dre sa | Jan.Kroj@ctu.gov.cz |

Page 3

**PREAMBULE**

Zadání této veřejné zakázky se řídí právními předpisy České republiky, zejména ZZVZ. Podáním nabídky dodavatel zcela a bez výhrad akceptuje podmínky účasti v zadávacím řízení, podmínky průběhu zadávacího řízení, pravidla pro hodnocení nabídek, požadavky zadavatele na obsah, formu a způsob podání nabídky a případné další zadávací podmínky, které zadavatel stanovil v zadávací dokumentaci. Od dodavatelů se očekává, že si pečlivě prostudují, splní a dodrží veškeré podmínky, pokyny a termíny vyplývající ze zadávací dokumentace. Práva a povinnosti neuvedené v této zadávací dokumentaci se řídí ZZVZ. Zadavatel nemůže vzít v úvahu žádnou výhradu účastníka zadávacího řízení k zadávacím podmínkám obsaženou v jeho nabídce.

1. **PŘEDMĚT PLNĚNÍ VEŘEJNÉ ZAKÁZKY 1.1. Předmět plnění veřejné zakázky**

Předmětem plnění veřejné zakázky je prodloužení licenční podpory a souvisejících bezpečnostních služeb pro stávající produkty CheckPoint provozované zadavatelem a současně pořízení, implementace a podpora řešení pro ochranu koncových zařízení. Součástí plnění je rovněž rozšíření bezpečnostní infrastruktury o licence a funkcionality určené k detekci, prevenci a reakci na bezpečnostní incidenty na koncových stanicích. Licenční podpora je požadována pro období od 16.11.2026 do 15.11.2030 (návaznost na stávající podporu). Podrobná specifikace předmětu plnění je uvedena v příloze č. 2 zadávací dokumentace (Závazný vzor smlouvy), resp. v její příloze č. 1 (Specifikace podpory).

**1.2. Klasifikace předmětu veřejné zakázky (CPV kódy) Předmět plnění CPV kód**

Balík programů pro zabezpečení 48730000-4

| Systémové a podpůrné služby | 72250000-2 |
| --- | --- |
| Programové vybavení pro zabezpečení dat | 48732000-8 |

1. **PŘEDPOKLÁDANÁ HODNOTA VEŘEJNÉ ZAKÁZKY**

Předpokládaná hodnota veřejné zakázky byla stanovena v souladu s § 16, § 20 písm. a) a § 21 odst. 1 písm. a) ZZVZ a činí celkem 14.300.000 Kč bez daně z přidané hodnoty (DPH). Předpokládaná hodnota zahrnuje veškeré náklady spojené s plněním předmětu veřejné zakázky.

1. **DOBA A MÍSTO PLNĚNÍ 3.1. Místo plnění veřejné zakázky**

Místem plnění veřejné zakázky je sídlo zadavatele.

**3.2. Doba plnění veřejné zakázky**

Začátek plnění: ode dne účinnosti smlouvy Doba plnění: požadovaná doba plnění je podrobně uvedena v čl. 3 přílohy č. 2 zadávací dokumentace (Závazný vzor smlouvy).

Page 4

1. **POSKYTNUTÍ A VYSVĚTLENÍ ZADÁVACÍ DOKUMENTACE 4.1. Poskytnutí zadávací dokumentace**

Textová část zadávací dokumentace v elektronické podobě je všem dodavatelům k dispozici bez omezení přístupu na profilu zadavatele https://sluzby.e-zakazky.cz/profilzadavatele/c6503add-b4cd-409d-87ce-7b7b867ccf65/zakazka/P26V00000023 . Zadavatel dodavatele upozorňuje na skutečnost, že zadávací dokumentace je souhrnem požadavků zadavatele, a nikoliv konečným souhrnem veškerých požadavků vyplývajících z obecně známých platných právních předpisů a odborných norem. Dodavatel se tak musí při zpracování své nabídky vždy řídit nejen požadavky obsaženými v zadávací dokumentaci, ale též ustanoveními příslušných obecně závazných norem.

**4.2. Změna nebo doplnění zadávací dokumentace**

Zadávací podmínky obsažené v zadávací dokumentaci může zadavatel změnit nebo doplnit před uplynutím lhůty pro podání nabídek. Změna nebo doplnění zadávacích podmínek musí být uveřejněna nebo oznámena dodavatelům stejným způsobem jako zadávací podmínka, která byla změněna nebo doplněna. Pokud to povaha doplnění nebo změny zadávacích podmínek vyžaduje, zadavatel současně přiměřeně prodlouží lhůtu pro podání nabídek. V případě takové změny nebo doplnění zadávacích podmínek, která může rozšířit okruh možných dodavatelů, prodlouží zadavatel lhůtu tak, aby od odeslání změny nebo doplnění zadávací dokumentace činila nejméně celou svou původní délku.

**4.3. Vysvětlení zadávací dokumentace**

Dodavatelé jsou oprávněni po zadavateli písemně požadovat vysvětlení zadávací dokumentace, a to v souladu s § 98 ZZVZ. Zadavatel vysvětlení uveřejní na svém profilu, odešle nebo předá včetně přesného znění žádosti bez identifikace tohoto dodavatele, a to za podmínek uvedených v § 98 ZZVZ. Vysvětlení zadávací dokumentace může provést zadavatel také z vlastního podnětu v souladu s § 98 odst. 1 ZZVZ.

1. **OBCHODNÍ A PLATEBNÍ PODMÍNKY**

Obchodní podmínky zadavatele včetně platebních jsou obsaženy v příloze č. 2 zadávací dokumentace ve formě Závazného vzoru smlouvy (dále také jen „smlouva"). Znění Závazného vzoru smlouvy a všech jejích příloh je v celém svém rozsahu pro dodavatele závazné. Text Závazného vzoru smlouvy bude sloužit k uzavření smluvního vztahu navazujícího na toto zadávací řízení. Právní vztahy se budou řídit zejména zákonem

1. 89/2012 Sb., občanský zákoník, ve znění pozdějších předpisů. Veškeré obchodní a platební podmínky určené zadavatelem v této zadávací dokumentaci jsou zadavatelem stanoveny jako závazné. Dodavatelé jsou povinni respektovat a ve svých nabídkách splnit veškeré podmínky a požadavky zadavatele vymezené zadávacími podmínkami a plně respektovat podmínky uvedené v Závazném vzoru smlouvy. Závazný vzor smlouvy obsahuje „žlutě podbarvená" místa, která budou dodavatelem v návrhu smlouvy obsaženém v nabídce doplněna v souladu s obsahem podané nabídky. Dodavatel není oprávněn v návrhu smlouvy měnit či doplňovat jakékoliv údaje s výjimkou údajů doplňovaných do těchto žlutě podbarvených míst.

Page 5

1. **DALŠÍ PODMÍNKY PRO UZAVŘENÍ SMLOUVY**

Vybraný dodavatel (účastník zadávacího řízení, který bude vybrán k uzavření smlouvy) bude vyzván zadavatelem postupem podle § 122 odst. 3 písm. a) ZZVZ k předložení originálů nebo úředně ověřených kopií dokladů o jeho kvalifikaci, pokud je nepředložil již v rámci nabídky. V případě, že vybraný dodavatel neposkytne nezbytnou součinnost k uzavření smluv, může jej zadavatel ze zadávacího řízení vyloučit.

1. **VYUŽITÍ PODDODAVATELE**

Zadavatel neomezuje rozsah případných poddodávek během plnění této veřejné zakázky. Zadavatel v souladu s § 105 odst. 1 ZZVZ požaduje, aby dodavatel ve své nabídce předložil seznam poddodavatelů, pokud jsou dodavateli známi a uvedl, kterou část a v jakém finančním rozsahu veřejné zakázky bude každý z poddodavatelů plnit. Tím není dotčena výlučná odpovědnost dodavatele za poskytování řádného plnění. Nejpozději do 10 pracovních dnů od doručení oznámení o výběru dodavatele je dle § 105 odst. 3 ZZVZ vybraný dodavatel povinen předložit zadavateli identifikační údaje poddodavatelů veškerých služeb, pokud jsou mu známi. Poddodavatelé, kteří nebyli identifikováni podle předchozí věty a kteří se následně zapojí do plnění veřejné zakázky, musí být identifikováni, a to před zahájením plnění veřejné zakázky tímto poddodavatelem.

1. **KVALIFIKACE DODAVATELŮ 8.1. Požadavky zadavatele na kvalifikaci dodavatele**

Kvalifikovaným pro plnění veřejné zakázky je dodavatel, který prokáže splnění:

1. základní způsobilosti podle § 74 ZZVZ,

1. profesní způsobilosti podle § 77 ZZVZ a

1. technické kvalifikace podle § 79 ZZVZ.

**8.2. Kvalifikace v případě společné účasti dodavatelů**

V případě společné účasti dodavatelů prokazuje základní způsobilost a profesní způsobilost podle § 77 odst. 1 ZZVZ každý dodavatel samostatně. Zadavatel současně v souladu s § 103 odst. 1 písm. f) ZZVZ požaduje, aby odpovědnost za plnění veřejné zakázky nesli všichni dodavatelé podávající společnou nabídku společně a nerozdílně.

**8.3. Prokázání kvalifikace prostřednictvím jiných osob**

Dodavatel může ve smyslu § 83 ZZVZ prokázat určitou část technické kvalifikace nebo profesní způsobilosti s výjimkou kritéria podle § 77 odst. 1 ZZVZ prostřednictvím jiných osob. Dodavatel je v takovém případě povinen zadavateli předložit:

1. doklady prokazující splnění profesní způsobilosti podle § 77 odst. 1 ZZVZ jinou osobou,

1. doklady prokazující splnění chybějící části kvalifikace prostřednictvím jiné osoby,

1. doklady o splnění základní způsobilosti podle § 74 ZZVZ jinou osobou a

1. smlouvu nebo jinou osobou podepsané potvrzení o její existenci, jejímž obsahem je závazek jiné osoby k poskytnutí plnění určeného k plnění veřejné zakázky nebo k poskytnutí věcí nebo práv, s nimiž bude dodavatel oprávněn disponovat v rámci plnění veřejné zakázky, a to alespoň v rozsahu, v jakém jiná osoba prokázala kvalifikaci za dodavatele.

Page 6

Způsob prokázání se řídí požadavky § 83 odst. 2 až 5 ZZVZ.

**8.4. Doba prokazování splnění kvalifikace / pravost a stáří dokladů**

Doklady prokazující základní způsobilost podle § 74 ZZVZ musí prokazovat splnění požadovaného kritéria způsobilosti nejpozději v době 3 měsíců přede dnem zahájení zadávacího řízení. Doklady prokazující splnění kvalifikace je dodavatel oprávněn předložit v kopii, nikoliv však ve formě čestného prohlášení, pokud tak výslovně nepřipouští ZZVZ nebo tato zadávací dokumentace. Před uzavřením smlouvy je vybraný dodavatel povinen předložit originál nebo ověřené kopie dokladů o kvalifikaci, pokud již nebyly předloženy v zadávacím řízení, a to v souladu s § 45 odst. 1 a § 46 odst. 1 ZZVZ.

**8.5. Základní způsobilost**

Způsobilým není dodavatel, který:

1. byl v zemi svého sídla v posledních 5 letech před zahájením zadávacího řízení pravomocně odsouzen pro trestný čin uvedený v příloze č. 3 ZZVZ nebo obdobný trestný čin podle právního řádu země sídla dodavatele; k zahlazeným odsouzením se nepřihlíží,

1. má v České republice nebo v zemi svého sídla v evidenci daní zachycen splatný daňový nedoplatek,

1. má v České republice nebo v zemi svého sídla splatný nedoplatek na pojistném nebo na penále na veřejné zdravotní pojištění,

1. má v České republice nebo v zemi svého sídla splatný nedoplatek na pojistném nebo na penále na sociální zabezpečení a příspěvku na státní politiku zaměstnanosti,

1. je v likvidaci, proti němuž bylo vydáno rozhodnutí o úpadku, vůči němuž byla nařízena nucená správa podle jiného právního předpisu nebo v obdobné situaci podle právního řádu země sídla dodavatele. Jeli dodavatelem právnická osoba, musí podmínku podle písm. a) splňovat tato právnická osoba a zároveň každý člen statutárního orgánu. Je-li členem statutárního orgánu dodavatele právnická osoba, musí podmínku podle písm. a) splňovat tato právnická osoba, každý člen statutárního orgánu této právnické osoby a osoba zastupující tuto právnickou osobu v statutárním orgánu dodavatele. Jeli dodavatelem pobočka závodu zahraniční právnické osoby, musí podmínku podle písm. a) splňovat tato právnická osoba a vedoucí pobočky závodu. Je-li dodavatelem pobočka závodu české právnické osoby, musí podmínku podle písm. a) splňovat osoby uvedené v předchozím odstavci a vedoucí pobočky závodu. Dodavatel prokazuje splnění podmínek základní způsobilosti ve vztahu k České republice předložením:

1. výpisu z evidence Rejstříku trestů ve vztahu k § 74 odst. 1 písm. a) ZZVZ,

1. potvrzení příslušného finančního úřadu ve vztahu k § 74 odst. 1 písm. b) ZZVZ,

1. písemného čestného prohlášení ve vztahu ke spotřební dani ve vztahu k § 74 odst. 1 písm. b) ZZVZ,

1. písemného čestného prohlášení ve vztahu k § 74 odst. 1 písm. c) ZZVZ,

1. potvrzení příslušné okresní správy sociálního zabezpečení ve vztahu k § 74 odst. 1 písm. d) ZZVZ,

Page 7

1. výpisu z obchodního rejstříku, nebo předložením písemného čestného prohlášení v případě, že není v obchodním rejstříku zapsán, ve vztahu k § 74 odst. 1 písm. e) ZZVZ. Zadavatel doporučuje použít k prokázání části základní způsobilosti ( a e) ZZVZ), kterou lze podle § 75 odst. 1 písm. c), d) a f) ZZVZ prokázat čestným prohlášením, vzorový formulář, který je uvedený v příloze č. 3 zadávací dokumentace.

**8.6. Profesní způsobilost**

Dodavatel prokazuje splnění profesní způsobilosti ve vztahu k České republice předložením výpisu z obchodního rejstříku nebo jiné obdobné evidence, pokud jiný právní předpis zápis do takové evidence vyžaduje. Doklady prokazující splnění profesní způsobilosti nemusí dodavatel předložit, pokud právní předpisy v zemi jeho sídla obdobnou profesní způsobilost nevyžadují.

**8.7. Technická kvalifikace**

Dodavatel prokáže splnění technické kvalifikace předložením:

1)

**seznamu významných dodávek/služeb podle**

poskytovaných dodavatelem v posledních 3 letech před zahájením zadávacího řízení. Zadavatel vymezuje minimální úroveň pro doložení čestného prohlášení o řádném poskytnutí nejvýznamnějších dodávek/služeb obdobného charakteru veřejné zakázky tak, že dodavatel splní tuto technickou kvalifikaci, pokud uvede čtyři významné dodávky/služby, jejímž předmětem plnění bylo poskytnutí a licencí k hardware a software sloužící k zajištění ochrany proti kybernetickým hrozbám v minimální hodnotě každé zakázky 5.000.000 Kč bez DPH Pro splnění požadavku předloží dodavatel čestné prohlášení – dodávek/služeb. Z předloženého Seznamu významných splnění požadavků zadavatele, tedy:

1. název dodávky/služby,

1. identifikace objednatele a místa plnění,

1. popis/předmět dodávky/služby,

1. cena v Kč bez DPH,

1. období poskytnutí dodávky/služby,

1. telefonický a e-mailový kontakt na objednatele dodávky/ Seznam musí být podepsán osobou oprávněnou zastupovat dodavatele. *Pozn. zadavatele: V souladu s § 39 odst. 5 ZZVZ je zadavatel oprávněn ověřovat věrohodnost poskytnutých údajů a dokladů a může si je také opatřovat sám. Zadavatel si vyhrazuje právo kontroly a posouzení toho, zda je seznam významných dodávek/ pravdivý a zda jsou splněny všechny podmínky týkající se významných že údaje uvedené dodavatelem budou v rozporu s výsledky kontroly zadavatele, vyhrazuje si zadavatel právo nabídku dodavatele vyřadit a následně dodavatele ze zadávacího řízení vyloučit*

2)

**popis předmětu plnění určeného k dodání ve smyslu § 79 odst. 2 písm. k) zákona.**

V předloženém popisu předmětu plnění musí být uveden minimálně popis a nabízené podpory, ze kterého bude možné ověřit splnění závazných požadavků zadavatele stanovených v příloze č. 2 zadávací dokumentace (Závazný vzor smlouvy).

3)

**kopie platného certifikátu systému řízení bezpečnosti informací dle ČSN EN ISO/IEC 27001**

vydaného akreditovaným certifikačním orgánem

**podle § 79 odst. 2 písm. e) ve spojení s § 80 odst. 1 ZZVZ.**

§ 74 odst. 1 písm. b), c)

**§ 79 odst. 2**

, jako je předmět této . Seznam významných dodávek/služeb bude zřejmé služby. *služeb předložený dodavatelem dodávek/*

**, nebo rovnocenného dokladu písm. b) ZZVZ**

, alespoň servisní podpory *služeb. V případě, .* licencí ,

Page 8

**Zadavatel požaduje, aby dodavatel doložil, že má zavedený a certifikovaný systém řízení bezpečnosti informací podle normy ČSN EN ISO/IEC 27001, případně že uplatňuje rovnocenná opatření systému řízení bezpečnosti informací.**

Dodavatel prokáže splnění tohoto požadavku předložením kopie platného certifikátu vydaného akreditovaným certifikačním orgánem, případně rovnocennými doklady, které toto budou prokazovat.

***Odůvodnění přiměřenosti:*** *V souladu s § 9 odst. 1 písm. c) vyhlášky č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností, je zadavatel povinen řídit rizika spojená s dodavateli. Tento požadavek je nezbytný s ohledem na povahu zakázky.*

**8.8. Další podmínky prokazování kvalifikace**

Změny v kvalifikaci dodavatele: Pokud po předložení dokladů nebo prohlášení o kvalifikaci dojde v průběhu zadávacího řízení ke změně kvalifikace dodavatele, je dodavatel povinen tuto změnu zadavateli ve lhůtě do 5 pracovních dnů oznámit a do 10 pracovních dnů od oznámení této změny předložit nové doklady nebo prohlášení ke kvalifikaci; zadavatel může tyto lhůty prodloužit nebo prominout jejich zmeškání. Povinnost podle věty první dodavateli nevzniká, pokud je kvalifikace změněna takovým způsobem, že:

1. podmínky kvalifikace jsou nadále splněny a

1. nedošlo k ovlivnění kritérií hodnocení nabídek. Dozvíli se zadavatel, že dodavatel nesplnil povinnost uvedenou v odstavci 1 tohoto článku, zadavatel jej bezodkladně vyloučí ze zadávacího řízení. Seznam kvalifikovaných dodavatelů: Dodavatelé zapsaní v seznamu kvalifikovaných dodavatelů jsou oprávněni v souladu s § 228 ZZVZ prokázat splnění základní způsobilosti a profesní způsobilosti předložením výpisu ze seznamu kvalifikovaných dodavatelů. V případě profesní způsobilosti tento výpis nahrazuje doklad prokazující splnění profesní způsobilosti v tom rozsahu, v jakém údaje ve výpisu ze seznamu kvalifikovaných dodavatelů prokazují splnění kritéria profesní způsobilosti. Výpis ze seznamu kvalifikovaných dodavatelů nesmí být starší než 3 měsíce od posledního dne, ke kterému má být základní a profesní způsobilost prokázána. Zadavatel nemusí přijmout výpis ze seznamu kvalifikovaných dodavatelů, na kterém je vyznačeno zahájení řízení podle § 231 odst. 4 ZZVZ. V takovém případě zadavatel vyzve dodavatele k objasnění dokladů podle § 46 odst. 1 ZZVZ. Stejně jako výpisem ze seznamu kvalifikovaných dodavatelů může dodavatel prokázat kvalifikaci osvědčením, které pochází z jiného členského státu, v němž má dodavatel sídlo, a které je obdobou výpisu ze seznamu kvalifikovaných dodavatelů. Systém certifikovaných dodavatelů: Dodavatelé mohou rovněž v souladu s § 234 ZZVZ prokázat splnění kvalifikace nebo její části platným certifikátem vydaným v rámci schváleného systému certifikovaných dodavatelů, a to v rozsahu uvedeném na certifikátu. Stejně jako certifikátem může dodavatel prokázat kvalifikaci osvědčením, které pochází z jiného členského státu, v němž má dodavatel sídlo, a které je obdobou certifikátu vydaného v rámci systému certifikovaných dodavatelů.

Page 9

1. **PODMÍNKY SESTAVENÍ A PODÁNÍ NABÍDEK 9.1. Požadavky na formu a obsah zpracování nabídek**

Nabídka musí být podána výhradně elektronicky způsobem, který je uveden v bodu 10 zadávací dokumentace. Dodavatel může podat pouze jednu nabídku. Dodavatel, který podal nabídku v zadávacím řízení, nesmí být současně poddodavatelem, jehož prostřednictvím jiný dodavatel v tomtéž zadávacím řízení prokazuje kvalifikaci. Pokud dodavatel podá více nabídek samostatně nebo společně s dalšími dodavateli, nebo je poddodavatelem, jehož prostřednictvím jiný dodavatel v tomtéž zadávacím řízení prokazuje kvalifikaci, zadavatel všechny nabídky podané takovým dodavatelem vyřadí. Dodavatele, jehož nabídka byla vyřazena, zadavatel bezodkladně vyloučí z účasti v zadávacím řízení a neprodleně o vyloučení, včetně uvedení důvodu, dodavatele písemně informuje. Nabídka bude zpracována tak, aby byla dobře čitelná, a nebude obsahovat opravy a přepisy, které by zadavatele mohly uvést v omyl.

**9.2. Jazyk nabídky**

Nabídka, všechny ostatní doklady a dokumenty s ní související a veškerá korespondence musí být v českém jazyce. Cizojazyčné listiny dokládající kvalifikační předpoklady (s výjimkou případných certifikátů podle bodu 8.7 odst. 3 překladem do českého jazyka. Doklady ve slovenském jazyce se předkládají bez překladu.

**9.3. Požadavky na sestavení nabídky –**

Nabídka musí obsahovat veškeré dokumenty požadované ZZVZ dokumentaci. Zadavatel doporučuje dodavatelům, aby zpracovali nabídku v následujícím členění:

1. obsah nabídky,

1. krycí list nabídky (identifikační údaje dodavatele, kontaktní osoba, nabídková cena v podobě, jejíž vzor je uveden v příloze č. 1 „Krycí list nabídky" dokumentace),

1. doklady k prokázání splnění základní způsobilosti dodavatelů, anebo doklady podle bodu 8.5 zadávací dokumentace)

1. doklady k prokázání splnění profesní způsobilosti dokumentace),

1. doklady prokazující splnění technické dokumentace),

1. návrh smlouvy podepsaný osobou oprávněnou zastupovat dodavatele obsahové stránce odpovídat „Závaznému vzoru smlouvy" zadávací dokumentace, a ve kterém budou dodavatelem doplněny žlutě podbarvené části (včetně příslušných příloh),

1. další dokumenty (např. plná moc pro oprávněnou osobu, smlouva s smlouva o společnosti) apod.

1. **ZPŮSOB, LHŮTA A MÍSTO PRO PODÁNÍ NABÍDEK**

Nabídka musí být podána výhradně elektronicky prostřednictvím zadavatelem určeného elektronického nástroje, kterým je Národní https://nen.nipez.cz/verejne-zakazky/detail-zakazky/N006-26-V00028649 zadávací dokumentace) musí být opatřeny

**členění a pořadí obsahu nabídek**

a zadavatelem v zadávací (výpis ze seznamu kvalifikovaných (doklad podle bodu 8.6 zadávací kvalifikace (podle , který je přílohou č. 2 elektronický ; této zadávací , bodu poddodavatelem, 8.7 zadávací , který bude po nástroj (NEN) – , a to nejpozději do

Page 10

19\. října 2026. Za podání prostřednictvím NEN se považuje též podání s využitím portálu Zakázky GOV. Jiné podání nabídky nebude považováno za řádné. Pro elektronické podání nabídky je nutno být ze strany dodavatele registrován v elektronickém nástroji NEN. Podrobné instrukce na požadavky a podmínky pro podání nabídky prostřednictvím elektronického nástroje NEN jsou dostupné pod odkazem https://nen.nipez.cz/ v sekci Uživatelské příručky. K zašifrování nabídky musí být dodavatelem použit veřejný klíč s certifikátem, který je zadavatelem uveřejněn společně se zadávací dokumentací v rámci dokumentů příslušné veřejné zakázky v elektronickém nástroji NEN.

1. **ZADÁVACÍ LHŮTA**

V souladu s § 40 odst. 1 ZZVZ zadavatel stanovil zadávací lhůtu, po kterou dodavatelé zadávacího řízení nesmí ze zadávacího řízení odstoupit, v délce trvání 2 měsíců. Počátkem běhu zadávací lhůty je konec lhůty pro podání nabídek. Zadávací lhůta neběží po dobu, ve které zadavatel nesmí uzavřít smlouvu s vybraným dodavatelem podle § 246 ZZVZ.

1. **OTEVÍRÁNÍ NABÍDEK V ELEKTRONICKÉ PODOBĚ**

Otevírání nabídek v elektronické podobě se řídí § 108 a § 109 ZZVZ a bude neveřejné.

1. **HODNOTICÍ KRITÉRIA**

Základním hodnoticím kritériem pro zadání veřejné zakázky je ekonomická výhodnost nabídek. Ekonomická výhodnost nabídek bude hodnocena podle nejnižší celkové nabídkové ceny bez DPH (uvedené v Krycím listu nabídky). Ekonomicky nejvýhodnější nabídkou bude nabídka s nejnižší celkovou nabídkovou cenou bez DPH. Při rovnosti nabídkových cen bude pořadí nabídek stanoveno losem prostřednictvím NEN.

1. **POSOUZENÍ SPLNĚNÍ PODMÍNEK ÚČASTI**

V rámci posouzení splnění podmínek účasti zadavatel posoudí, zda dodavatelé nebo pouze vybraný dodavatel splňují podmínky účasti v souladu s § 37 ZZVZ stanovené ZZVZ a v této zadávací dokumentaci, tj. zda splňují:

1. základní způsobilost podle § 74 ZZVZ,

1. profesní způsobilost podle § 77 odst. 1 ZZVZ,

1. splnění technické kvalifikace podle § 79 odst. 2 písm. b) až d) ZZVZ,

1. splnění smluvních podmínek podle § 37 odst. 1 písm. c) ZZVZ,

1. splnění podmínek týkajících se nabídky podle § 37 odst. 2 ZZVZ. Splnění podmínek účasti v zadávacím řízení prokáže dodavatel:

- podle písmene a) až c) způsobem uvedeným v bodu 8 této zadávací dokumentace,

- podle písmene d) předložením podepsaného návrhu smlouvy, který bude po obsahové stránce odpovídat Závaznému vzoru smlouvy, který je přílohou č. 2 této zadávací dokumentace, zadávacím podmínkám a obsahu nabídky dodavatele, a

- podle písmene e), pokud splní podmínky zadavatele pro zpracování a podání nabídky uvedené v bodech 9 a 10 této zadávací dokumentace. U vybraného dodavatele musí zadavatel provést posouzení splnění podmínek účasti v zadávacím řízení a hodnocení jeho nabídky vždy.

Page 11

V souladu s § 46 odst. 1 ZZVZ může zadavatel po dodavateli požadovat, aby v přiměřené lhůtě objasnil předložené údaje nebo doklady, nebo doplnil další či chybějící údaje anebo doklady.

1. **OCHRANA PROTI NESPRÁVNÉMU POSTUPU ZADAVATELE 15.1. Námitky**

Námitky může podat dodavatel, kterému postupem zadavatele souvisejícím se zadáváním veřejné zakázky hrozí nebo vznikla újma. Přípustnost námitek, jejich podávání, lhůty, jakož i náležitosti a přezkum jsou upraveny v § 241 a násl. ZZVZ. Námitky se podávají písemně a musí splňovat obsahové náležitosti podle § 244 ZZVZ. Zadavatel přezkoumá podané námitky v plném rozsahu a ve lhůtě do 15 dnů od obdržení námitek odešle stěžovateli písemné rozhodnutí o tom, zda námitkám vyhovuje nebo je odmítá, s uvedením důvodu.

**15.2. Přezkoumání úkonů zadavatele**

Přezkoumávání úkonů zadavatele Úřadem pro ochranu hospodářské soutěže je upraveno v § 248 a násl. ZZVZ.

1. **VYHRAZENÁ PRÁVA ZADAVATELE**

Zadavatel nepřipouští varianty nabídky. V souladu s § 9 odst. 1 písm. c) vyhlášky č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností, je zadavatel povinen řídit rizika spojená s dodavateli. V rámci přípravy zadávacího řízení zadavatel na základě analýzy rizik dodavatelského řetězce, provedené v souladu s vydaným Varováním NUKIB č.j. 6159/2025- NÚKIB-E/350 ze dne 3. 9. 2025 (dále jen „Varování NÚKIB"), identifikoval rizika spočívající zejména v předávání systémových a provozních dat do zahraničí a ve výkonu vzdálené správy technických aktiv z území států, na které se Varování NÚKIB vztahuje. Zadavatel tato rizika vyhodnotil ve vztahu k předmětu plnění jako neakceptovatelná a současně konstatoval, že tato rizika nelze přiměřenými technickými ani organizačními opatřeními účinně eliminovat. Proto zadavatel stanoví, že v rámci veřejné zakázky nelze poskytnout plnění, které je dodáváno výrobcem či dodavatelem podléhajícím právnímu režimu, který může ukládat povinnost zpřístupnit data nebo umožnit zásah do fungování těchto prostředků (tj. zemí uvedených ve Varování NÚKIB), pokud dodavatel neprokáže, že takové riziko bylo účinně eliminováno. Dodavatel je povinen prokázat splnění této podmínky předložením prohlášení, ze kterého bude zřejmá zejména:

1. identifikace osob odlišných od dodavatele, které se budou podílet na plnění veřejné zakázky, zejména na jeho vývoji, dodání, správě, podpoře, rozvoji, aktualizaci, licencování nebo provozu, včetně uvedení země jejich sídla a jejich role ve vztahu k nabízenému plnění;

1. informace o tom, zda součástí nabízeného plnění bude vzdálená správa, vzdálený přístup, servisní přístup, privilegovaný přístup nebo jiná možnost vzdáleného zásahu do technických aktiv zadavatele ze strany dodavatele, poddodavatele nebo jiné třetí osoby. Budeli takový přístup součástí nabízeného plnění, dodavatel uvede, kdo tento přístup bude vykonávat, z jakého území, k jakým aktivům, v jakém rozsahu oprávnění a za jakých podmínek;

Page 12

1. informace o druhu předávaných dat, příjemci těchto dat a data předávána, v případě, že by v rámci plnění mělo docházet k předávání systémových nebo uživatelských dat mimo území EU. Dodavatel v prohlášení uvede rovněž případné být relevantní pro posouzení rizik identifikovaných zadavatelem. Nesplnění tohoto požadavku bude považováno za nesplnění zadávacích podmínek. Zadavatel nepožaduje poskytnutí jistoty. Zadavatel je dále oprávněn:

1. nevracet dodavateli podanou nabídku,

1. neposkytovat dodavateli náhradu nákladů spojených s účastí v zadávacím řízení

1. neuzavřít s žádným dodavatelem smlouvu

1. zrušit zadávací řízení v souladu s § 127

1. **PŘÍLOHY ZADÁVACÍ DOKUMENTACE**

Přílohy zadávací dokumentace tvoří následující dokumenty: Příloha č. 1 ZD – Krycí list nabídky Příloha č. 2 ZD – Závazný vzor smlouvy Příloha č. 3 ZD – Vzor čestného prohlášení (ČP ZZ) Příloha č. 4 ZD – Seznam významných služeb. další jemu známé skutečnosti, které mohou , ZZVZ.

V Praze dne dle el. podpisu

zemi, do které mají být taková ,

Ing. Marek Ebert předseda Rady Českého telekomunikačního úřadu

Page 13

**KRYCÍ LIST NABÍDKY ZÁKLADNÍ ÚDAJE:**

| Název veřejné Zadavatel: | zakázky: | Podpora infrastruktury Česká republika | CheckPoint – Český telekomunikační | a ochrana koncových úřad zařízení |
| --- | --- | --- | --- | --- |
| Sídlo: |  | Sokolovská 58/219, | Vysočany , 19000 | Praha 9 |
| IČO: |  | 701 06 975 |  |  |
| Jejímž | jménem jedná: | Ing. Marek Ebert, | předseda Rady | ČTÚ |
| Kontaktní | osoba a e-mail: | Mgr. Jan Kroj, tel.: | 224 004 711, e-mail: | jan.kroj@ctu.gov.cz |

**Identifikační údaje o dodavateli**

Jméno / název / obchodní firma Bydliště / sídlo / místo podnikání Právní forma Zastoupena IČO DIČ Kontaktní osoba Telefon E-mail Malý nebo střední podnik ano / ne Plátce DPH ano / ne

**Nabídková cena v Kč**

| Celková | nabídková cena za |  |
| --- | --- | --- |
| plnění | podle čl. | 2 Závazného |
| vzoru | smlouvy |  |

V .................. dne ..................

| Cena v Kč | Sazba | Cena v Kč |
| --- | --- | --- |
|  | Částka | DPH |
| bez DPH | DPH | včetně DPH |

.......................................................................................... Jméno a podpis osoby oprávněné zastupovat dodavatele

Page 14

# Smlouva č. CTU/2026_0077

uzavřená podle § 1746 odst. 2 zákona č. 89/2012 Sb., občanského zákoníku, ve znění pozdějších předpisů (dále jen „smlouva")

1. **Smluvní strany Česká republika – Český telekomunikační úřad**

se sídlem: Sokolovská 58/219, Praha 9 adresa pro doručování pošt. přihrádka 02, 225 02 Praha 025 bankovní spojení: Česká národní banka, pobočka Praha Číslo účtu: 725001/0710 IČO: 70106975 DIČ: CZ70106975 (osoba identifikovaná k dani) jejímž jménem jedná: Ing. Marek Ebert, předseda Rady Českého telekomunikačního úřadu (dále jen „objednatel" nebo „ČTÚ") na straně jedné a

**… …………………………….. .**

se sídlem: … ……………………….. . zastoupena: … ……………………….. . IČO: … ……………………….. . DIČ: … ……………………….. . bankovní spojení: … ……………………….. . číslo účtu: … ……………………….. . zapsaná v obchodním rejstříku vedeným … ….. soudem v ……… , oddíl … , vložka … (dále jen „dodavatel") na straně druhé, společně označované také jako „strany" nebo jednotlivě též jako „strana", uzavřely následující smlouvu na základě výsledku zadávacího řízení na nadlimitní veřejnou zakázku s názvem „ **Podpora infrastruktury CheckPoint a ochrana koncových zařízení** " (dále jen „zadávací řízení").

1. **Předmět smlouvy**

2.1. Předmětem smlouvy je na straně jedné závazek dodavatele poskytnout objednateli v souladu se smlouvou plnění spočívající v:

1. zajištění pokračující licenční podpory a souvisejících bezpečnostních služeb pro stávající produkty CheckPoint provozované objednatelem v rozsahu uvedeném v příloze č. 1 této smlouvy (Technická specifikace), a to v období od 16.11.2026 do 15.11.2030;

1. dodávce potřebných licencí, implementaci, konfiguraci, zprovoznění a podpoře řešení pro ochranu koncových zařízení objednatele, zejména pracovních stanic a notebooků uživatelů;

1. rozšíření bezpečnostní infrastruktury objednatele o licence a funkcionality určené k detekci, prevenci a reakci na bezpečnostní incidenty na koncových zařízeních;

Page 15

1. zajištění funkcionality pro ochranu před nežádoucím nebo neoprávněným používáním nástrojů umělé inteligence a AI agentů na koncových zařízeních;

1. zajištění nároku objednatele na poskytování všech aktualizací, updatů, upgradů a bezpečnostních oprav vydaných výrobcem pro produkty a licence poskytované podle této smlouvy, a to po dobu trvání příslušné licenční podpory. 2.2. Podrobná technická, licenční a servisní specifikace plnění, včetně případných počtů licencí, parametrů podpory a souvisejících bezpečnostních služeb, je uvedena v příloze č. 1 této smlouvy (Technická specifikace). 2.3. Předmětem smlouvy je na druhé straně závazek objednatele uhradit dodavateli za plnění poskytnuté v souladu s touto smlouvou cenu dle čl. 4 této smlouvy.

1. **Místo a doba plnění, povinnosti smluvních stran**

3.1. Místem plnění je sídlo objednatele. 3.2. Dodavatel se zavazuje, že plnění dle čl. 2 této smlouvy poskytne objednateli nejpozději ode dne 16.11.2026. 3.3. Dodavatel se zavazuje, že poskytnuté plnění dle čl. 2 této smlouvy bude plynule navazovat na stávající licenční podporu, která končí ke dni 15.11.2026. Objednatel tedy požaduje navázání licenční podpory bez sankčního postihu ze strany výrobce nejpozději ode dne 16.11.2026. 3.4. Posledním dnem plnění dle čl. 2 této smlouvy je 15. 11. 2030. 3.5. Dodavatel se zavazuje:

1. provést předmět smlouvy na odborné úrovni řádně a včas,

1. bez zbytečného odkladu informovat objednatele o ohrožení splnění této smlouvy (zejména splnění předmětu smlouvy),

1. po celou dobu trvání této smlouvy zajistit:

- plnění veškerých povinností vyplývajících z právních předpisů České republiky, zejména pak předpisů pracovněprávních, předpisů v oblasti zaměstnanosti, a dále oblasti bezpečnosti a ochrany zdraví při práci, a to vůči všem osobám, které se budou podílet na plnění této smlouvy;

- dodržování zákona č. 198/2009 Sb., o rovném zacházení a o právních prostředcích ochrany před diskriminací a o změně některých zákonů (antidiskriminační zákon), ve znění pozdějších předpisů;

- řádné a včasné plnění finančních závazků vůči svým případným poddodavatelům;

- po celou dobu účinnosti smlouvy disponovat platným certifikátem (resp. rovnocenným dokladem) o zavedení systému řízení bezpečnosti informací v organizaci v souladu s ISO 27001 (ISO/IEC 27000), případně uplatňovat rovnocenná opatření systému řízení bezpečnosti informací, resp. zajistit, aby tímto disponoval alespoň poddodavatel, pokud budou výhradně jeho prostřednictvím zajišťovány veškeré činnosti při plnění smlouvy, v rámci kterých je nutno/možno předpokládat přístup k citlivým informacím (např. informace o datových tocích),

- umožnit objednateli provedení auditu k ověření, zda nedochází k předávání dat na Území ve smyslu Varování Národního úřadu pro kybernetickou a informační bezpečnost (dále jen „NÚKIB"), č.j. 6159/2025-NÚKIB-E/350 ze dne 3. 9. 2025. 3.6. Objednatel se zavazuje:

Page 16

1. poskytnout dodavateli součinnost nezbytně nutnou pro splnění této smlouvy,

1. průběžně informovat o svých návrzích a doporučeních. Tyto návrhy a doporučení budou poskytnuty objektivním a profesionálním způsobem.

1. **Cena a platební podmínky**

4.1. Celková cena za plnění dle této smlouvy činí …… … Kč bez DPH. 4.2. Cena je stanovena jako pevná a lze ji měnit, pouze pokud dojde ke změně sazby DPH. K ceně bude při její fakturaci připočtena DPH v aktuální výši ke dni uskutečněného zdanitelného plnění. 4.3. Cena zahrnuje veškeré náklady dodavatele nezbytné pro plnění smlouvy. 4.4. Cenu bude objednatel hradit postupně na základě daňových dokladů – faktury (dále jen „faktura"), a to následujícím způsobem: Cena bude objednatelem hrazena postupně na základě daňových dokladů – faktur (dále jen „faktura"), a to ve čtyřech (4) ročních platbách odpovídajících poskytování podpory dle této smlouvy. Dodavatel je oprávněn vystavit fakturu vždy nejdříve 30 dnů před začátkem příslušného období poskytování podpory, a to následovně:

1. za období od 16. 11. 2026 do 15. 11. 2027,

1. za období od 16. 11. 2027 do 15. 11. 2028,

1. za období od 16. 11. 2028 do 15. 11. 2029,

1. za období od 16. 11. 2029 do 15. 11. 2030. 4.5. Faktura je splatná do 30 dnů ode dne doručení objednateli. V případě faktury doručené objednavateli mezi 15. prosincem a 10. lednem je taková faktura splatná nejdříve následujícího 1. února. 4.6. Povinnost úhrady se považuje za splněnou okamžikem odepsání příslušné částky z účtu objednatele ve prospěch bankovního účtu dodavatele uvedeného v záhlaví této smlouvy. 4.7. Faktura bude vedle náležitostí stanovených § 29 zákona č. 235/2004 Sb., o daní z přidané hodnoty, ve znění pozdějších předpisů, a § 435 občanského zákoníku obsahovat i evidenční číslo smlouvy objednatele. Přílohou faktury musí být kopie akceptačního protokolu. Objednatel je oprávněn vrátit nesprávnou fakturu dodavateli, a to před uplynutím její lhůty splatnosti. Nová lhůta splatnosti počne běžet dnem doručení bezvadné faktury. Fakturu zašle dodavatel na doručovací adresu objednatele uvedenou v záhlaví smlouvy.

1. **Vyšší moc**

5.1. Smluvní strany nebudou odpovědné za částečné nebo úplné neplnění smluvních závazků následkem okolností vylučujících odpovědnost v případech tzv. vyšší moci. Výraz vyšší moc znamená a zahrnuje zejména: přírodní katastrofu, požár, záplavy, zemětřesení a dále povstání, stávky, pracovní boje jakéhokoliv druhu nebo terorismus, které mají přímou souvislost a brání plnění povinností ze smlouvy a plnění povinností nelze zajistit jinak nebo je nahradit, nehody, pád letadla včetně nehod, kterým se nedalo vyhnout v souvislosti s plněním této smlouvy včetně přijetí zákona nebo mimořádného rozhodnutí přísl. úřadu v souvislosti se zásahem vyšší moci, pokud příčiny a události mají vliv na plnění povinností stran ze smlouvy a plnění povinností vyplývajících ze smlouvy nelze zajistit jinak. 5.2. Vyskytneli se působení překážky v důsledku vyšší moci, s níž jsou spojeny účinky

Page 17

vylučující odpovědnost, lhůty ke splnění smluvních závazků se prodlouží o dobu trvání takové překážky. Smluvní strana, která je postižena takovou překážkou, je však povinna okamžitě, písemně, uvědomit druhou smluvní stranu o této skutečnosti, o začátku trvání této překážky a předpokládané době jejího trvání.

1. **Kybernetická bezpečnost**

6.1. Dodavatel bere na vědomí, že plnění této smlouvy může souviset s aktivy objednatele zařazenými ve stanoveném rozsahu regulované služby v režimu vyšších povinností. Smluvní strany potvrzují, že rozsah plnění dodavatele, které je významné z hlediska zajištění kybernetické bezpečnosti regulované služby objednatele, je určen rozsahem poskytovaných aktiv (vč. služeb) dle této smlouvy, tedy práva a povinnosti dále uvedené se vztahují pouze na aktiva, kterými je plněna tato smlouva a/nebo jsou jinak používaná a/nebo přímo souvisí s plněním této smlouvy. Objednatel je při jejich ochraně nucen zohlednit příslušné bezpečnostní požadavky vyplývající ze skutečnosti, že objednatel je povinnou osobou dle zákona č. 264/2025 Sb., o kybernetické bezpečnosti (dále „ZoKB"), resp. vyhlášky č. 409/2025 Sb. o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností (dále jen „VoKB"), dále požadavky Národního úřadu pro kybernetickou a informační bezpečnost (dále jen „NÚKIB"), jakož i příslušné vnitřní předpisy objednatele. 6.2. Dodavatel, jakožto dodavatel ve smyslu ZoKB, je povinen při všech činnostech souvisejících s plněním této smlouvy brát na tuto skutečnost zřetel a dodržovat ustanovení ZoKB, případně i příslušné mezinárodně uznávané standardy vztahující se k řízení kybernetické a informační bezpečnosti (např. ISO 27001) v relevantním rozsahu. Dodavatel je současně povinen brát na zřetel na ustanovení v rozsahu vyplývajícím z bezpečnostních požadavků ve formě organizačních a technických opatření, která jsou upravena v Příloze č. 2 (Specifikace plnění požadavků v oblasti kybernetické bezpečnosti) této smlouvy (dále jen „Kybernetické bezpečnostní požadavky"), případně vyplývajícím z vnitřních předpisů objednatele (např. Politika bezpečnosti informací), s nimiž byl dodavatel seznámen, resp. dalších pokynů objednatele, které mají zajistit bezpečnost dat a bezpečnost informací a dostupnost regulované služby objednatele a postupovat v souladu s nimi. Vnitřní předpisy objednatele, související s aktivy zařazenými ve stanoveném rozsahu regulované služby, předá objednatel dodavateli v elektronické podobě na základě oboustranně podepsaného předávacího protokolu, který obsahuje seznam předávané dokumentace. 6.3. Pokud se během plnění této smlouvy ukáže, že některý z požadavků uvedených ve smlouvě, resp. Kybernetických bezpečnostních požadavcích či vnitřních předpisech objednatele, je v rozporu s požadavky ZoKB (je nutný rozpor, nikoliv specifická implementace na základě analýzy a hodnocení rizik), použije se požadavek ze smlouvy, Kybernetických bezpečnostních požadavků či vnitřních předpisů objednatele v tom rozsahu, který neodporuje požadavkům ZoKB. V rozsahu, v jakém si požadavky odporují, se použije požadavek ZoKB. 6.4. V případě zjištění vzájemného rozporu mezi smlouvou, resp. Kybernetickými bezpečnostními požadavky či vnitřními předpisy objednatele, a nejde-li o rozpor těchto dokumentů se ZoKB, budou postupovat smluvní strany tak, aby bylo v co nejvyšší míře dosaženo bezpečnosti dat a dostupnosti regulované služby objednatele. Není-li takový postup možný, mají v takovém případě přednost v daném pořadí:

1. text smlouvy (mimo přílohy),

1. Kybernetické bezpečnostní požadavky,

1. vnitřní předpisy objednatele. 6.5. Dodavatel se zavazuje na žádost objednatele bez zbytečného odkladu doložit svou

Page 18

úplnou vlastnickou strukturu až po konečného uživatele výhod, resp. souhlasí s tím, aby objednatel toto ověřil obdobně jako v případě postupu dle § 122 odst. 5 zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů (dále jen „ZZVZ"). Dodavatel dále prohlašuje, že není pod přímým či nepřímým vlivem cizí státní moci státu mimo EU nebo NATO, který by mohl vést k ohrožení bezpečnostních zájmů České republiky nebo narušení bezpečnosti regulované služby objednatele. 6.6. Dodavatel se zavazuje během poskytování předmětu plnění dostatečně zabezpečit veškeré případné zpracování, přenos a uložení dat v souladu s Kybernetickými bezpečnostními požadavky a vnitřními předpisy objednatele. Současně dodavatel garantuje, že veškerá data objednatele budou uložena a zpracovávána výhradně na území EU. 6.7. V případě provádění vzdálené správy ze zemí mimo EU/NATO je dodavatel povinen zajistit, aby takový přístup byl vždy předem schválen objednatelem, byl plně monitorován a probíhal přes zabezpečený uzel spravovaný objednatelem. 6.8. Dodavatel se zavazuje nad rámec povinností stanovených právními předpisy a touto smlouvou aktivně sledovat, vyhodnocovat a po dohodě a v souladu s pokyny objednatele provádět protiopatření vydaná NÚKIB v souladu s § 20 ZoKB. 6.9. Smluvní strany berou na vědomí, že v případě, že NÚKIB vydá opatření obecné povahy nebo rozhodnutí, které omezuje nebo zakazuje využívání plnění poskytovaného dodavatelem z důvodu strategického rizika, považuje se toto za situaci vyšší moci. Objednatel je v takovém případě oprávněn vypovědět smlouvu s okamžitou účinností, aniž by mu vznikla povinnost hradit dodavateli jakékoli smluvní pokuty či náhradu škody. 6.10. Dodavatel se dále zavazuje:

1. poskytnout na vyžádání objednatele dokumenty a obdobné vstupy, které budou prokazovat naplnění Kybernetických bezpečnostních požadavků;

1. na vyžádání s objednatelem konzultovat kdykoli v průběhu poskytování plnění smlouvy detailní nastavení bezpečnostních opatření k naplnění Kybernetických bezpečnostních požadavků a pro takovéto konzultace zajistit účast kvalifikovaných pracovníků;

1. při výkonu své činnosti včas a prokazatelně upozornit objednatele na zřejmou nevhodnost jeho pokynů vztahující se ke Kybernetickým bezpečnostním požadavkům a jejichž následkem může vzniknout újma nebo nesoulad se ZoKB nebo jinými obecně závaznými právními předpisy. 6.11. Dodavatel se během poskytování předmětu plnění pro objednatele zavazuje objednatele písemně informovat o:

1. kybernetickém bezpečnostním incidentu souvisejícím s předmětem plnění, a to neprodleně, nejpozději však do 18 hodin od jeho zjištění. Hlášení musí obsahovat minimálně popis kybernetického bezpečnostního incidentu, čas a způsob jeho zjištění, předpokládaný nebo potvrzený dopad na poskytování plnění, přijatá a/nebo navrhovaná nápravná opatření ke zmírnění či vyloučení dopadu na důvěrnost, integritu nebo dostupnost dat nebo plnění;

1. významné změně ovládání dodavatele nebo jeho poddodavatele dle § 74 a násl. zákona č. 90/2012 Sb., o obchodních společnostech a družstvech (zákon o obchodních korporacích), ve znění pozdějších předpisů, a to nejpozději do 10 pracovních dnů ode dne, kdy se dodavatel o plánované změně dozví nebo se měl a mohl dozvědět. Tato informace musí obsahovat alespoň identifikace nové ovládající osoby, včetně IČO, sídla a údajů o skutečném majiteli dle zákona č. 37/2021 Sb., o evidenci skutečných majitelů, ve znění pozdějších předpisů (dále jen „ZESM"), datum, ke kterému došlo nebo má dojít ke změně ovládání a popis povahy ovládání nebo podílu na hlasovacích právech. Povinnost podle tohoto

Page 19

článku se vztahuje i na změnu osoby skutečného majitele ZESM a použije se přiměřeně i na případy přeměn obchodní korporace, které mají za následek změnu ovládající osoby;

1. změně vlastnictví zásadních aktiv, využívaných popřípadě o změně oprávnění nakládat s těmito aktivy, a to nejpozději do 10 pracovních dnů ode dne, kdy se dodavatel měl a mohl dozvědět, přičemž zásadními aktivy se rozumí aktiva,

- s jejichž pomocí je možné přímo či nepřímo ovlivňovat bezpečnost plnění, systémů objednatele a/nebo dat v nich obsažených,

- skrze která je možné proniknout do systémů objednatele a která jsou zásadní pro realizaci plnění;

1. fyzických osobách přicházejících do kontaktu s v rámci tohoto informování dodavatel vytvoří a udržuje jejich aktuální seznam, který zpřístupní objednateli, a to do 30 dnů od nabytí účinnosti této smlouvy, a objednatele informuje o jakýchkoli změnách v tomto seznamu bez zbytečného odkladu od okamžiku, kdy se dodavatel o dané změně dozvěděl;

1. žádosti orgánů činných v trestním řízení nebo jiných orgánů veřejné správy o poskytnutí informací, údajů nebo dokumentů objednatele, které byly objednatelem předány dodavateli, nebo které dodavatel v souvislosti s poskytováním plnění, a to neprodleně a poskytnutím takových informací, pokud to dodavateli nezakazují;

1. žádosti cizozemského orgánu o zpřístupnění nebo předání dat zpracovávaných na území cizího státu, vyjma situace, kdy by takové informování bylo v rozporu s právním řádem, v jehož působnosti dochází ke zpracování dat nebo podle kterého byla žádost podána. 6.12. Dodavatel se dále zavazuje zpřístupnit nebo cizozemského orgánu o zpřístupnění nebo předání dat zpracovávaných na území cizího státu:

1. až po provedení přezkoumání zákonnosti takové žádosti;

1. až po vynaložení veškerého úsilí, které lze na spravedlivě požadovat, o zabránění zpřístupnění nebo předání dat v daných právních řádem, v jehož působnosti dochází ke zpracování dat nebo podle kterého byla žádost podána;

1. pouze v nezbytném rozsahu. 6.13. Dodavatel je povinen jakékoliv dokumenty zpracovávané dle této smlouvy vést ve formě umožňující přezkoumatelnost a auditovatelnost ze strany kontrolních orgánů ve smyslu § 42 odst. 3 písm. s) ZoKB. Pokud by byl jakýkoliv dokument související s poskytováním plnění dle této smlouvy zpochybněn kontrolním orgánem, je poskytnout objednateli takové dokumenty či podklady, které budou kontrolním orgánem akceptovány. V případě, že dodavatel nebude schopen tyto dokumenty či poskytnout nebo by tyto nebyly kontrolním orgánem akceptovány, a pokud absence těchto dokumentů bude důvodem k udělení jakékoliv sankce vůči objednateli, zavazuje se dodavatel objednateli uhradit takovouto sankci v plné výši, a to i po vypršení platnosti a účinnosti této smlouvy, pokud se bude taková sankce týkat období platnosti dokumentu zpracovaného dodavatelem. 6.14. Smluvní strany berou na vědomí, že v průběhu poskytování plnění dle této smlouvy může dojít: dodavatele ve smyslu dodavatelem k o plánované změně dozví nebo se neveřejnými informacemi, přičemž jiným způsobem získal či vytvořil s právní předpisy výslovně předat data na dodavateli v takovém postavení plnění smlouvy, následně předstihem před základě žádosti rámci možností dodavatel povinen podklady

Page 20

1. ke změnám právních předpisů,

1. k vydání protiopatření ze strany NÚKIB,

1. k vydání opatření obecné povahy ze strany NÚKIB, kterým mohou být stanoveny podmínky nebo kterým může být zakázáno využití plnění dodavatele v souladu s § 29 ZoKB,

1. ke změnám v oblasti best practice pro předmět plnění, a/nebo

1. k vydání metodických materiálů a doporučení NÚKIB, přičemž tyto změny či nové dokumenty mohou vyvolat potřebu změny smlouvy, Kybernetických bezpečnostních požadavků nebo vnitřních předpisů objednatele. Z těchto důvodů si smluvní strany sjednávají tuto vyhrazenou změnu závazku ve smyslu § 100 odst. 1 ZZVZ. V uvedených případech smluvní strany berou na vědomí a souhlasí s tím, že bude postupováno tak, aby byly dodrženy požadavky aktuálních právních předpisů, vydaného protiopatření, opatření obecné povahy, změny best practice nebo metodických materiálů a doporučení NÚKIB, a za tímto účelem vstoupí smluvní strany do jednání o změně smlouvy, resp. Kybernetických bezpečnostních požadavků nebo objednatel poskytne dodavateli novou verzi vnitřních předpisů objednatele, které budou pro dodavatele dále závazné. V případě, že dodavatel v souvislosti se změnou smlouvy, resp. Kybernetických bezpečnostních požadavků nebo vnitřních předpisů objednatele identifikuje potřebu změny ceny, je povinen tuto změnu ceny projednat s objednatelem a náležitě její potřebu zdůvodnit. 6.15. Ve smyslu vydaného varování NÚKIB č.j. 6159/2025-NÚKIB-E/350 ze dne 3. 9. 2025 dodavatel prohlašuje, že není seznámen s existencí žádných skrytých mechanismů

1. v dodávaném plnění, které by umožňovaly neoprávněný přístup k datům nebo systémům objednatele, a že podle jemu dostupných informací a při vynaložení odborné péče dodávané plnění takové mechanismy neobsahuje. Dodavatel dále prohlašuje, že dodané plnění neobsahuje funkce, mechanismy ani technické prostředky umožňující vzdálenou nebo jinou dodatečnou instalaci, aktivaci či konfiguraci takových mechanismů bez předchozího vědomí a výslovného souhlasu Objednatele. Dodavatel se současně zavazuje, že po dobu trvání smlouvy neprovede ani neumožní provedení takové instalace, aktivace či konfigurace prostřednictvím aktualizací, servisních zásahů nebo jiným způsobem. Za porušení tohoto prohlášení se považuje rovněž existence mechanismu umožňujícího instalaci, aktivaci nebo zpřístupnění obdobné funkcionality třetí osobou bez vědomí a souhlasu objednatele, a to po celou dobu trvání smlouvy a na dobu případně poskytované podpory výrobce k dodávanému plnění. V případě, že během plnění smlouvy objednatel prokazatelně doloží nepravdivost tvrzení dodavatele nebo porušení povinností podle tohoto článku smlouvy, má právo uplatnit nárok na bezplatnou výměnu za jiné zařízení splňující bezpečnostní požadavky stanovené touto smlouvou. V případě, že dodavatel takovouto výměnu odmítne poskytnout, je v takovém případě objednatel oprávněn odstoupit od smlouvy s okamžitou účinností ode dne doručení odstoupení dodavateli, aniž by mu vznikla povinnost hradit dodavateli jakékoli smluvní pokuty či náhradu škody. 6.16. Dodavatel je povinen bez zbytečného odkladu informovat objednatele o každé žádosti třetí osoby o poskytnutí dat nebo přístupu k systémům objednatele, pokud takové oznámení není zakázáno závazným právním předpisem. Dodavatel současně nesmí poskytnout data ani přístup k systémům kupujícího třetí osobě, pokud takové poskytnutí není v souladu s právním řádem České republiky nebo mezinárodními smlouvami, jimiž je Česká republika vázána. 6.17. Dodavatel se současně zavazuje, že nebude plnit žádné požadavky třetích stran (včetně vládních orgánů cizích států) na poskytnutí dat nebo přístupu k systémům objednatele,

Page 21

pokud tyto požadavky nejsou v souladu s právním řádem ČR nebo mezinárodními smlouvami, jimiž je ČR vázána.

1. **Salvátorské ustanovení**

## Obě smluvní strany prohlašují, že pokud se kterékoliv ustanovení této smlouvy nebo s ní související ujednání ukáže být neplatným nebo se neplatným stane, že tato skutečnost neovlivní platnost smlouvy jako celku. V takovém případě se obě smluvní strany zavazují nahradit neprodleně neplatné ustanovení ustanovením platným; obdobně se zavazují postupovat v případě ostatních nedostatků smlouvy či souvisejících ujednání.

1. **Smluvní pokuty**

8.1. Je-li objednatel v prodlení s uhrazením faktury, dodavatel má právo účtovat zákonný úrok z prodlení z dlužné částky za každý i započatý den prodlení. 8.2. V případě prodlení dodavatele s poskytnutím plnění uhradí dodavatel objednateli smluvní pokutu ve výši 10.000 Kč za každý i započatý den prodlení. 8.3. Objednatel nemá právo uplatnit smluvní pokutu, jestliže dodavatel prokáže, že objednatel neposkytl dodavateli spolupůsobení nutné k tomu, aby dodavatel mohl splnit svůj závazek. 8.4. V případě porušení některé z povinností stanovené v čl. 6 této smlouvy uhradí, není-li dále stanoveno jinak, dodavatel objednateli částku 5.000 Kč za každý jednotlivý případ porušení této povinnosti. 8.5. V případě porušení některé z povinností stanovené v čl. 6.15 až 6.17 této smlouvy uhradí prodávající kupujícímu částku 100.000 Kč za každý jednotlivý případ porušení této povinnosti. 8.6. V případě porušení povinnosti dodavatele dle čl. 10.4 této smlouvy uhradí dodavatel objednateli smluvní pokutu ve výši 2.000.000 Kč. Toto ustanovení platí 5 let po ukončení účinnosti této smlouvy. 8.7. Smluvní pokuty jsou splatné ve lhůtě 10 dnů ode dne, kdy dodavatel obdrží písemnou výzvu k jejich úhradě. 8.8. Zaplacením smluvní pokuty podle této smlouvy není dotčen nárok smluvní strany na náhradu skutečné škody v celém rozsahu způsobené škody. Žádná ze smluvních stran neodpovídá za škodu vzniklou jako následek vyšší moci.

1. **Ukončení smlouvy**

9.1. Tato smlouva může být ukončena splněním, písemnou dohodou obou smluvních stran nebo odstoupením od smlouvy. 9.2. Smluvní strany jsou oprávněny od této smlouvy odstoupit v případech stanovených občanským zákoníkem či touto smlouvou. 9.3. Kterákoliv ze smluvních stran může odstoupit od smlouvy v případě, že druhá smluvní strana poruší podstatným nebo neodstranitelným způsobem své povinnosti vyplývající z této smlouvy. 9.4. Za podstatné porušení smluvních povinností objednatele se podle této smlouvy považuje prodlení objednatele s uhrazením ceny plnění o více než 30 dnů. 9.5. Za podstatné porušení smlouvy dodavatelem se podle této smlouvy považuje zejména:

1. nedodržení termínů řádného plnění smlouvy stanovených ve smlouvě,

Page 22

1. porušení povinnosti mlčenlivosti či zachování důvěrných informací podle této smlouvy,

1. a to mimo jiné výslovně porušení povinnosti týkající se neoprávněného přístupu k datům nebo systémům objednatele ve smyslu čl. 6.15 až 6.17 této smlouvy,

1. neodstranění vady plnění ve stanoveném termínu. 9.6. Objednatel je dále oprávněn od této smlouvy odstoupit v následujících případech:

1. dojde nebo má dojít k významné změně ovládání dodavatele, nebo dojde nebo má dojít ke změně kontroly nad zásadními aktivy využívanými dodavatelem k plnění smlouvy;

1. dodavatel změní sídlo mimo území členských států Evropské unie a členských států Evropského sdružení volného obchodu;

1. dodavatel poruší své povinnosti v oblasti práv duševního vlastnictvím, kybernetické bezpečnosti a/nebo ochrany dat a nezjedná nápravu ani do třiceti (30) dní od výzvy objednatele;

1. pokud NÚKIB vydá opatření obecné povahy, kterým stanoví podmínky a/nebo zakáže využití plnění dodavatele dle § 29 ZoKB a v plnění této smlouvy nelze rozumně pokračovat, aniž by bylo toto opatření obecné povahy porušeno. Nastaneli některý z uvedených případů, je dodavatel povinen o této skutečnosti informovat objednatele, a to písemně ve sjednané lhůtě, resp. do 2 pracovních dnů od jejího vzniku, neníli taková lhůta výslovně sjednána jinak, společně s informací o tom, o kterou z uvedených skutečností se jedná, a s uvedením bližších údajů, které by objednatel mohl v této souvislosti potřebovat pro své rozhodnutí o odstoupení od smlouvy. Nedodržení této povinnosti je považováno ze podstatné porušení smlouvy. 9.7. Stanovíli oprávněná smluvní strana druhé smluvní straně pro splnění jejího závazku náhradní (dodatečnou) lhůtu, vzniká jí právo odstoupit od smlouvy až po marném uplynutí této lhůty, to neplatí, jestliže druhá smluvní strana v průběhu této lhůty prohlásí, že svůj závazek nesplní. 9.8. Odstoupení od smlouvy musí být provedeno písemně a doručeno druhé smluvní straně. Právní účinky nastávají dnem doručení odstoupení od smlouvy druhé smluvní straně. 9.9. V případě ukončení této smlouvy se smluvní strany zavazují vypořádat veškeré své vzájemné závazky do 60 dnů ode dne ukončení smlouvy.

1. **Závěrečná ustanovení**

10.1. Smluvní strany jsou vázány obsahem této smlouvy. 10.2. Veškeré změny či doplňky této smlouvy (s výjimkou písemně oznámených změn pověřených osob uvedených v odstavci 10.9 tohoto článku smlouvy) mohou být provedeny pouze písemně, a to formou písemných, vzestupně číslovaných dodatků k této smlouvě potvrzenými oběma smluvními stranami, a to osobami oprávněnými jednat za smluvní strany ve věcech smluvních. 10.3. Smluvní strany se zavazují, že o každé organizační změně (např. změna telefonních čísel, změna adresy atd.) se budou navzájem neprodleně písemně informovat. 10.4. Objednatel a dodavatel se zavazují, že bez písemného souhlasu druhé smluvní strany neučiní informace získané při plnění této smlouvy v žádné podobě dostupné třetí straně, ani že je nepoužijí k jiným účelům než k účelům plnění této smlouvy. Toto ustanovení platí i po dobu 5 let od ukončení účinnosti této smlouvy, nemá však vliv na případné povinnosti objednatele vyplývající ze zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů.

Page 23

10.5. Smluvní strany bezvýhradně souhlasí s uveřejněním této smlouvy, případných dodatků uzavřených k této smlouvě, jakož i se zveřejněním dalších aspektů tohoto smluvního vztahu v souladu se zákonem č. 340/2015 Sb., o zvláštních podmínkách účinnosti některých smluv, uveřejňování těchto smluv a o registru smluv (zákon o registru smluv), ve znění pozdějších předpisů. Uveřejnění zajistí objednatel. 10.6. Jednáním o věcném plnění předmětu smlouvy, postupech plnění, účasti na pracovních poradách, konzultacích v průběhu trvání smlouvy, kontrolou plnění smlouvy a předkládáním návrhů na úpravu nebo doplnění smlouvy jsou pověřeni: za objednatele: …………………. ( *pozn.: bude doplněno před podpisem smlouvy* ) telefon: +420 … … … , e-mail: ……………………. za dodavatele: ………………………. telefon: ………………… , e-mail: …………………… 10.7. Smlouva je vyhotovena v elektronické podobě, kdy příslušný dokument bude opatřen elektronickými podpisy oprávněných zástupců obou smluvních stran. Nedílnou součástí smlouvy jsou: Příloha č. 1 – Technická specifikace Příloha č. 2 – Specifikace plnění požadavků v oblasti kybernetické bezpečnosti. 10.8. Tato smlouva vzniká dnem podpisu oprávněnými zástupci obou smluvních stran a nabývá účinnosti dnem uveřejnění smlouvy v Registru smluv. 10.9. Obě smluvní strany prohlašují, že se s textem této smlouvy seznámily, obsahu porozuměly, souhlasí s ním a na důkaz toho připojují své podpisy.

Dodavatel: Objednatel:

| …………………………… | ……………………………… |  |
| --- | --- | --- |
| ……………………………… | Ing. Marek | Ebert |
| …………………. | předseda | Rady |
|  | Českého telekomunikačního | úřadu |

Page 24

**Technická specifikace Položka Počet jednotek / Název položky Popis Jednotka**

1. **uživatelů Servisní podpora (support) výrobce firewallů na období od 16.11.2026 do 15.11.2030 PODPORA**

CPAP-SG9300-PLUS-SNBT Check Point Force Firewall 9300 Plus Appliance CPCES-CO-PREMIUM 4 roky 2 1 CPAC-TR-10SR-D SFP+ transceiver for 10G Fiber Portsshort range (10GBase-SR) CPCES-CO-PREMIUM 4 roky 8 CPAC-RAILS-9000 Slide Rails for 9100-9400 CPCES-CO-PREMIUM 4 roky 2

**Licence k užívání softwaru ke dvěma (2) firewall boxům na období od 16.11.2026 do 15.11.2030 LICENCE**

2 Enterprise Based Protection - Sandblast Threat Prevention Pkg CPEBP-NGTX Including IPS, APCL, URLF, AV, ABOT, ASPM, TX, TE, ADNS, ZP CPEBP-NGTX 4 roky 2 blades

**Servisní podpora (support) výrobce, licence a podpora ke stávající funkcionalitě vzdáleného VPN přístupu uživatelů a k v současnosti využívanému cloudovému řešení, které v reálném čase sdílí a analyzuje informace o kybernetických hrozbách a okamžitě poskytuje ochranu proti malwaru, botům a pokročilým útokům proti bezpečnostním systémům objednatele, ochrana koncových stanic a zabezpečení přístupu zaměstnanců k nástrojům AI, to vše na období od 16.11.2026 do 15.11.2030. PODPORA**

CPSB-MOB-50 Mobile Access Blade for 50 concurrent connections CPCES-CO-PREMIUM 4 roky 2 CPSB-MOB-200 Mobile Access Blade for 200 concurrent connections CPCES-CO-PREMIUM 4 roky 2 3 CPSM-P205 Security Management System for 2 gateways with 5 blades CPCES-CO-PREMIUM 4 roky 1 CPSM-C1000 Security Management Container for 1000 endpoints CPCES-CO-PREMIUM 4 roky 1 CPSB-EVNT-C1000 Check Point SmartEvent blade for Security Management C1000 CPCES-CO-PREMIUM 4 roky 1 CPSB-RPRT-N-C1000 SmartReporter blade for Security Management C1000 CPCES-CO-PREMIUM 4 roky 1 CPSM-NGSM5 Next Generation Security Management System for 5 gateways CPCES-CO-PREMIUM 4 roky 1 CPSG-VSEC-VEN-BUN- Security Gateway Virtual Edition Next Generation Threat Prevention CPCES-CO-PREMIUM 4 roky 2 NGTP-LICENSE

Page 25

**LICENCE**

Threat Cloud Prevention API for 10000 queries/month 1 year CPCS-REP-API-10K subscription CPSG-VSEC-VEN-BUN- Security Gateway Virtual Edition Next Generation Threat Prevention 1 NGTP-LICENSE-1Y year subsription SmartEvent and SmartReporter blade for 5 gateways 4 year CPSB-EVS-5 subscription Check Point Endpoint Security Advanced- Including Sandboxing, CP-HAR-EP-ADVANCED-4Y Browser Security, Attack Investigation, Threat Prevention, Access Control and Threat Intelligence CP-AISEC-WORKFORCE- Workforce AI Security, Essentials - Discovery, governance, and ESS-T2-Y protection for employee AI adoption - web applications

**Servisní podpora zahrnuje zejména:**

- technickou podporu při provozu a správě řešení Check Point Harmony Endpoint;

- konzultace k konfiguraci, správě a optimálnímu nastavení produktu;

- podporu při vytváření a úpravách bezpečnostních politik;

- podporu při instalaci, konfiguraci a aktualizacích endpoint agentů;

- řešení provozních problémů souvisejících s funkčností produktu;

- analýzu hlášených chyb a identifikaci příčin vzniklých problémů;

- podporu při odstraňování závad a obnově standardní funkčnosti řešení;

- poskytování doporučení týkajících se bezpečnostního nastavení a osvědčených postupů výrobce;

- poskytování informací o dostupných aktualizacích, záplatách a nových verzích produktu;

- asistenci při implementaci doporučených aktualizací a oprav;

|  | 4 roky | 1 |
| --- | --- | --- |
|  | 4 roky | 2 |
| CPSB-EVS-5 | 4 roky | 1 |
|  | 4 roky | 1200 |
|  | 4 roky | 870 |

- zajištění komunikace a eskalace technických problémů na technickou podporu výrobce Check Point v rozsahu odpovídajícím úrovni partnerství a aktivnímu servisnímu programu výrobce;

- koordinaci řešení incidentů s výrobní podporou Check Point až do jejich uzavření.

Page 26

**SLA servisní podpory Priorita Popis Reakční doba**

P1 Kritická Úplná nefunkčnost řešení nebo kritický problém s významným dopadem na bezpečnost či provoz do 1 hodiny P2 Vysoká Významné omezení funkcionality řešení do 4 hodin

| P3 Standardní | Omezená funkčnost nebo provozní problém bez kritického dopadu | do 1 pracovního dne |
| --- | --- | --- |
| P4 Nízká | Konzultace, změnové požadavky, dotazy k provozu | do 2 pracovních dnů |

***Poznámka:*** *Doby odstranění závady závisí na charakteru problému, součinnosti Objednatele a případném zapojení technické podpory výrobce Check Point. Partner garantuje reakční dobu a zahájení řešení, nikoliv dobu vydání opravy výrobcem.*

Page 27

**Specifikace plnění požadavků v oblasti kybernetické bezpečnosti**

Bezpečnostní opatření pro smluvní vztahy dle § 9 vyhlášky č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností

**Vymezení pojmů**

Pro potřeby této přílohy smlouvy jsou použity následující zkratky a pojmy:

**ZoKB** – zákon č. 264/2025 Sb., o kybernetické bezpečnosti.

**VoKB** – vyhláška č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností.

**Kybernetické bezpečnostní požadavky** – všechny bezpečnostní požadavky ve smyslu ZoKB a VoKB.

**Povinná osoba** – poskytovatel regulované služby v režimu vyšších povinností ve smyslu VoKB; pro účely této smlouvy se za povinnou osobu považuje objednatel.

**Významný dodavatel** – ten, kdo povinné osobě poskytuje plnění, které je významné z hlediska zajištění kybernetické bezpečnosti regulované služby; poskytovatel je pro účely této smlouvy významným dodavatelem.

**Privilegovaný uživatel** – uživatel nebo jiná osoba, jejíž činnost na technickém aktivu může mít významný dopad na bezpečnost regulované služby.

**Administrátor** – privilegovaný uživatel nebo jiná osoba zajišťující správu, provoz, užívání, údržbu a bezpečnost technického aktiva.

**IS ČTÚ** – informační systém objednatele (ČTÚ) jakožto celek složený z počítačového hardwaru a souvisejícího softwaru spolu s lidmi a procesy a navržený ke sběru, zpracování a šíření informací potřebných k plánování, rozhodování a řízení.

**Produkční prostředí** – prostředí běžně přístupné uživatelům IS ČTÚ v ostrém provozu.

**Testovací prostředí** – prostředí určené k provádění testů, vzdělávání uživatelů apod., a to v podobě, nastavení a rozsahu umožňujícím účinně zkoumat funkcionality testovacích verzí IS ČTÚ.

**Prostředí objednatele** – fyzický perimetr určený ohraničením fyzického prostoru v nájmu nebo majetku objednatele anebo logický perimetr definovaný hraničními síťovými prvky ve správě nebo majetku objednatele, **Osoba na straně poskytovatele** – fyzická osoba podílející se na poskytování předmětu plnění a mající pracovněprávní či obdobný smluvní vztah s poskytovatelem nebo jeho poddodavateli.

**Osobní údaje** – každá informace o identifikované nebo identifikovatelné fyzické osobě (subjektu údajů), jestliže lze subjekt údajů přímo či nepřímo pomocí tohoto údaje identifikovat.

**Zpracování osobních údajů** – jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení.

Page 28

## 1 ÚVODNÍ USTANOVENÍ

1.1 Z důvodu nutnosti plnění povinností stanovených objednateli jakožto povinné osobě ve smyslu VoKB je dodavatel (pro účely této přílohy dále označován jen jako „poskytovatel") povinen nad rámec dalších povinností stanovených smlouvou plnit níže uvedené povinnosti zejména součinnostního a bezpečnostního charakteru dle této přílohy smlouvy. Účelem této přílohy smlouvy tak je dodržet povinnost objednatele dle § 13 odst. 5 ZoKB, tj. zahrnout požadavky vyplývající z bezpečnostních opatření do smluvního ujednání s poskytovatelem.

Pokud není ve smlouvě výslovně uvedeno jinak, odměna za provádění povinností a opatření dle této přílohy a kybernetických bezpečnostních požadavků je součástí ceny sjednané ve smlouvě.

## 2 SYSTÉM ŘÍZENÍ BEZPEČNOSTI INFORMACÍ

2.1 Poskytovatel je povinen se v rozsahu předmětu plnění smlouvy aktivně podílet na plnění povinností objednatele uvedených v § 3 a § 6 VoKB. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

1. Prosadit bezpečnostní zásady a procesy, které budou pokrývat zabezpečení dat a informací, jež mohou být vytvářeny a zpracovávány na straně poskytovatele při poskytování plnění dle smlouvy.

1. Zavést na základě bezpečnostních potřeb a výsledků hodnocení rizik příslušná bezpečnostní opatření v rozsahu předmětu poskytovaného plnění, monitorovat je, a průběžně vyhodnocovat jejich účinnost.

1. Vést záznamy o vytváření a zpracování dat a informací v rozsahu předmětu poskytovaného plnění, zaznamenávat veškeré podstatné okolnosti související se zajištěním bezpečnosti těchto dat a informací a na vyžádání tyto záznamy objednateli zpřístupnit. Na vyžádání objednatele poskytovatel doloží plnění kybernetických bezpečnostních požadavků vhodnými artefakty (např. politiky, postupy, záznamy, reporty, výsledky testů) ve lhůtě, která nebude kratší než 10 pracovních dnů, pokud se smluvní strany nedohodnou jinak.

1. Stanovit a udržovat aktuální bezpečnostní politiku, která bude pokrývat zabezpečení dat a informací, jež mohou být vytvářeny a zpracovávány na straně poskytovatele při poskytování plnění dle smlouvy. Bezpečnostní politika musí obsahovat hlavní zásady, cíle, bezpečnostní potřeby, práva a povinnosti ve vztahu k řízení bezpečnosti informací.

## 2.2 Poskytovatel je dále rovněž povinen dodržovat bezpečnostní politiku objednatele, pokud s ní byl prokazatelně seznámen.

## 3 ŘÍZENÍ AKTIV

3.1 Poskytovatel je povinen se v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 7 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména: 3.1.1 Stanovit a udržovat rozsah a seznam aktiv využívaných pro plnění této smlouvy (aktivy se rozumí např. data a informace k předmětu plnění dle této smlouvy, IS ČTÚ, moduly, hardware prvky – infrastruktura hlasové a datové komunikace, aplikace, databáze, servery, úložiště, koncová zařízení – pracovní stanice typu

Page 29

| osobní | počítač | nebo | notebook, mobilní | koncová | zařízení | apod.), a tato | aktiva |
| --- | --- | --- | --- | --- | --- | --- | --- |
| strukturovaně |  | popsat | a o bjednateli | předložit | následně | na vyžádání, | a to po |
| celou | dobu trvání | smlouvy. |  |  |  |  |  |

## 4 ŘÍZENÍ RIZIK

4.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 8 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména: 4.1.1 Řídit vlastní rizika, která mohou ovlivnit poskytování předmětu plnění dle smlouvy. 4.1.2 V minimálním intervalu jednou ročně (nebo i v případě významných změn činností prováděných pro objednatele nebo změn spravovaných aktiv) vytvořit a bude-li to objednatel požadovat, předložit mu zprávu o hodnocení rizik, která bude minimálně pokrývat:

### a) Vyhodnocení stavu kybernetické bezpečnosti za hodnocený rok;

1. Identifikaci a hodnocení rizik s vazbou na předmět plnění;

1. Realizovaná bezpečnostní opatření;

1. Nepokrytá bezpečnostní rizika a návrh opatření;

1. Vyhodnocení bezpečnostních událostí a incidentů;

1. Aktuální stav souladu poskytovatele s kybernetickými požadavky včetně přehledu kybernetických požadavků, které:

- nebyly aplikovány, včetně odůvodnění, a

- byly aplikovány, včetně způsobu plnění.

## 5 ORGANIZAČNÍ BEZPEČNOST

5.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 4 a § 5 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména: 5.1.1 Jmenovat nejpozději do 30 dnů ode dne účinnosti smlouvy odpovědnou kontaktní osobu/y pro potřeby zajištění plnění kybernetických bezpečnostních požadavků a související komunikace mezi smluvními stranami (dále jen „kontaktní osoba pro kybernetickou bezpečnost"). Kontaktní osobu/y pro kybernetickou bezpečnost sdělí poskytovatel písemně objednateli v téže lhůtě. 5.1.2 Využívat pro poskytování předmětu plnění smlouvy pouze oprávněných osob, které byly řádně seznámeny s příslušnými ustanoveními interních předpisů objednatele a mají ověřenou kvalifikaci, znalosti a zkušenosti k řádnému poskytování předmětu plnění dle smlouvy a stanovit bezpečnostní role těchto oprávněných osob s jasně definovanými odpovědnostmi a pravomocemi. 5.1.3 Zajistit zastupitelnost kontaktní osoby pro kybernetickou bezpečnost a zřídit komunikační kanál pro hlášení bezpečnostních událostí dostupný nepřetržitě (24/7).

Page 30

## 6 ŘÍZENÍ DODAVATELŮ

6.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 9 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména: 6.1.1 Budeli při poskytování předmětu plnění smlouvy využívat subdodavatele, zajistí v obdobném rozsahu dodržování kybernetických bezpečnostních požadavků rovněž ve smluvních vztazích se svými subdodavateli s tím, že za plnění povinností subdodavatelů odpovídá poskytovatel tak, jako by je plnil sám. 6.1.2 Dodržovat podmínky při zpracování osobních údajů pro zapojení každého dalšího subdodavatele. 6.1.3 Předložit objednateli na vyžádání aktuální seznam subdodavatelů, jejich roli, rozsah přístupu k aktivům objednatele a lokalitu zpracování dat a poskytnout objednateli součinnost k posouzení rizik dodavatelského řetězce. 6.1.4 Předem písemně oznámit objednateli zapojení nového subdodavatele nebo změnu subdodavatele, který se podílí na poskytování plnění významného z hlediska kybernetické bezpečnosti. Objednatel je oprávněn z odůvodněných bezpečnostních důvodů zapojení takového subdodavatele odmítnout.

## 7 BEZPEČNOST LIDSKÝCH ZDROJŮ

7.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 10 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména: 7.1.1 Zajistit, aby kontaktní osoba pro kybernetickou bezpečnost nejpozději do 30 dnů ode dne účinnosti smlouvy potvrdila písemně objednateli, že všechny osoby podílející se na poskytování předmětu plnění smlouvy za poskytovatele byly prokazatelně seznámeny s těmito kybernetickými bezpečnostními požadavky a příslušnými ustanoveními interních předpisů objednatele. 7.1.2 Dodržovat příslušná ustanovení interních předpisů objednatele v rozsahu, v jakém byl s těmito akty seznámen. Za prokazatelné seznámení se považuje:

1. proškolení pracovníků poskytovatele zajištěné objednatelem,

1. protokolární či elektronické předání příslušných předpisů nebo,

1. objednatelem zajištěný přístup na sdílené úložiště obsahující příslušné interní předpisy, jejichž konkrétní jmenovitý seznam bude poskytovateli – současně s poskytnutím přístupu – protokolárně předán. 7.1.3 Zajistit, aby osoby podílející se na poskytování plnění objednateli v prostředí/nebo s prostředky objednatele, a to i tehdy, pokud jsou prostředky objednatele používány mimo jeho prostředí:

1. pro uložení a sdíleni dat a informací objednatele využívaly pouze k tomu schválené prostředky (aktiva);

1. neukládaly ani nesdílely data a informace eticky nevhodného obsahu, odporující dobrým mravům nebo poškozující dobré jméno objednatele;

1. nestahovaly, nesdílely, neukládaly, nearchivovaly ani neinstalovaly datové a spustitelné soubory v rozporu s licenčními podmínkami nebo předpisy upravující ochranu duševního vlastnictví;

Page 31

1. nenavštěvovaly internetové stránky s eticky či jinak nevhodným nebo s nebezpečným obsahem;

1. nerealizovaly pokusy o neautorizovaný přístup ke zdrojům objednatele ani ke zdrojům jiných subjektů;

1. nerealizovaly pokusy o neoprávněnou modifikaci ani jiné neoprávněné zásahy do prostředků objednatele, a to ani v případě, kdy jim byl prostředek objednatele svěřen do správy;

1. nepodílely se s prostředky objednatele na šíření spamu ani škodlivého softwaru. 7.2 Poskytovatel si je vědom, že součástí podmínek pro získání přístupu ke zdrojům a aktivům objednatele je na straně objednatele zpracování osobních údajů pověřených osob poskytovatele, které se podílejí na poskytování plnění dle smlouvy. Pokud nebude objednateli umožněno osobní údaje pověřených osob poskytovatele zpracovat, nebude těmto pracovníkům umožněn žádný přístup ke zdrojům objednatele. 7.3 Poskytovatel zajistí, aby pracovníci před umožněním jejich přístupu k datům nebo před zapojením do činností, které by mohly ovlivnit bezpečnost poskytovaných služeb v rámci plnění, měli uzavřenou dohodu o zachování mlčenlivosti (důvěrnosti) dat s adekvátní dobou trvání povinnosti mlčenlivosti. 7.4 Poskytovatel nesmí umožnit přístup k datům třetím stranám, jako např. subdodavatelům nebo obchodním partnerům, bez předcházejícího písemného souhlasu objednatele. Takový souhlas je udělen schválením subdodavatele ve smlouvě, objednávce nebo obdobným způsobem, čímž objednatel uděluje souhlas se zpřístupněním dat subdodavateli v rozsahu nezbytném pro subdodávku. 7.5 Poskytovatel zajistí procesy a pravidla vedení disciplinárního řízení a v případě potřeby provádí disciplinární řízení k přijetí opatření vůči pracovníkům, kteří porušili povinnosti v oblasti kybernetické bezpečnosti.

## 8 ŘÍZENÍ ZMĚN

8.1 Poskytovatel se bude v povinností uvedených v § 11 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně 8.1.1 8.1.2 rozsahu předmětu plnění smlouvy aktivně podílet na Přiměřeně reagovat na změny v oblasti kybernetické bezpečnosti na straně objednatele a upravit na své straně technická a aby odpovídala novému stavu po provedení změny. Aktivně spolupracovat při testování významné změny v oblasti kybernetické bezpečnosti na straně objednatele.

## 9 ŘÍZENÍ PŘÍSTUPU

9.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na povinností uvedených v § 13 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně 9.1.1 Přidělovat oprávnění svým jednotlivým pracovníkům ve smyslu oprávnění k výkonu činností tak, aby byla minimalizována rizika nežádoucího přístupu k aktivům objednatele. Řízení přístupů by mělo být řešeno na základě příslušných rolí (RBAC – Role-Based Access Control) minimálních oprávněn („Need To Know").

splnění zejména: organizační opatření tak,

splnění zejména: a dodržování principu

Page 32

9.1.2 Zajistit, aby udělený přístup nebyl sdílen více osobami za stranu poskytovatele. V opačném případě musí poskytovatel vést evidenci využívání sdílených přístupů a tuto na vyžádání předložit objednateli kdykoli v průběhu trvání účinnosti této smlouvy a tři měsíce po jejím ukončení, ve lhůtě, která nebude kratší než 6 pracovních dnů. 9.1.3 Pokud jsou v rámci plnění využívány servisní nebo technické účty, poskytovatel zajistí jejich evidenci, omezení oprávnění na nezbytné minimum, řízení a bezpečné ukládání autentizačních údajů (preferovaně prostřednictvím trezoru/PAM), pravidelnou rotaci a dohled nad jejich použitím. 9.1.4 Stanovit v požadavku na přístup rozsah dat/informací, služby, účelu, pro které je přístup k IS ČTÚ požadován, a časový údaj o délce platnosti přístupu (např.: na dobu neurčitou, 1 rok, 1 měsíc apod). 9.1.5 Zajistit, aby osoby podílející se na poskytování předmětu plnění smlouvy a mající přístup k informačním aktivům objednatele chránily autentizační prostředky a údaje a nikdy neposkytovaly neautorizovaný přístup dalším osobám. 9.1.6 Průběžně kontrolovat a vyhodnocovat oprávněnost a potřebu přístupu, jak fyzického, tak i logického, u všech osob na straně poskytovatele, které přistupují do prostředí objednatele. 9.1.7 Zavést vhodné postupy pro odebírání nebo blokování přístupových oprávnění uživatelů v případě potřeby, zejména pokud pracovník již nepotřebuje přístup k plnění svých pracovních povinností (např. pokud došlo ke změně pozice zaměstnance), nebo se ukáže potřeba přijmout mimořádné bezpečností opatření spočívající v odebrání přístupu, nebo došlo k úniku autentizačních údajů (hesla). 9.2 Poskytovatel bere na vědomí, že oprávnění přístupu k IS ČTÚ je možné povolit pouze fyzické identitě zaměstnance poskytovatele/subdodavatele, a to na základě příslušného požadavku poskytovatele. 9.3 Poskytovatel bere na vědomí, že přidělení oprávnění přístupu ze strany objednatele musí být řízeno principem nezbytného minima a není nárokové. 9.4 Poskytovatel bere na vědomí, že v případě neúspěšných pokusů o autentizaci uživatele (osoby za stranu poskytovatele) může být příslušný účet objednatelem zablokován a řešen jako bezpečnostní incident a dále mohou být uplatněny příslušné postupy zvládání bezpečnostního incidentu (např. okamžité zrušení přístupu k informačním aktivům objednatele).

## 10 AKVIZICE, VÝVOJ A ÚDRŽBA

10.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 12 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména: 10.1.1 Zajistit bezpečnou implementaci, inovaci, aktualizaci a testování veškerých technických aktiv, jsou-li tato předmětem plnění dle smlouvy či jeho součástí. 10.1.2 Není-li smlouvou stanoveno jinak, předat při ukončení smlouvy objednateli kompletní provozní a bezpečnostní dokumentaci předmětu plnění dle smlouvy. Ta musí být předána minimálně v následujícím rozsahu:

1. dokumentace skutečného provedení;

Page 33

1. dokumentace všech bezpečnostních nastavení, funkcí a mechanismů;

1. dokumentace obsahující popis autorizačního konceptu a oprávnění;

1. dokumentace obsahující instalační a konfigurační postupy;

1. dokumentace obsahující zálohovací a archivační postupy;

1. dokumentace pro zajištění DR (obnovy po havárii), příp. pro zajištění kontinuity provozu. Poskytovatel předá bezpečnostní dokumentaci objednateli v přiměřené lhůtě, nejpozději pak dle předchozí, prokazatelně doložitelné, dohody smluvních stran. 10.2 V případě, že předmět plnění smlouvy zahrnuje, byť i jen částečně, vývoj softwaru, je poskytovatel povinen: 10.2.1 Dodržovat a implementovat obecně uznávané „nejlepší praktiky" pro bezpečný vývoj softwaru (např. u webových aplikací OWASP). Základním pravidlem zde je myslet na bezpečnost softwaru ve všech jeho vývojových fázích. 10.2.2 Pokud jsou softwarové auditní činnosti a předání zdrojového kódu k softwaru součástí plnění smlouvy, umožní poskytovatel objednateli audit prováděného nebo provedeného plnění a na písemnou žádost objednatele předloží poskytovatel ve stanovené lhůtě - nejdříve však 5 pracovních dnů od podání žádosti - vyvíjený zdrojový kód na provedení tzv. codereview, a to především za účelem ověření skutečnosti, zda poskytovatel postupuje či postupoval při poskytování plnění v souladu se smlouvou a těmito bezpečnostními požadavky. 10.2.3 Poskytovat objednateli v termínech stanovených objednatelem, resp. bez zbytečného odkladu požadovanou součinnost na provedení bezpečnostního testování v průběhu vývoje softwaru (nejdříve však od zahájení testovacího provozu) či kdykoli po jeho předání. 10.2.4 Pokud je součástí plnění dle smlouvy i instalace operačního systému, případně softwaru třetích stran, zajistit v průběhu jeho instalace, že budou použity předepsané verze těchto produktů kompatibilní a funkční v testovacím prostředí či produkčním prostředí objednatele. 10.2.5 Zajistit bezpečnost testovacího prostředí u poskytovatele a ochranu poskytnutých testovacích dat objednatelem. 10.2.6 Zajistit, že v rámci poskytovaného plnění bude dodávaný software

1. v souladu s bezpečnostními politikami a standardy objednatele;

1. otestován na soulad s bezpečnostními politikami objednatele, pokud byl s takovými bezpečnostními politikami prokazatelně seznámen. 10.2.7 Instalovat software pouze na základě předem schválených migračních postupů objednatelem. 10.2.8 Předat zdrojový kód objednateli bezpečnou formou, zajištující jeho prokazatelnou integritu. 10.2.9 Zajistit řízení verzí zdrojového kódu, jeho zálohování a jeho uložení mimo produkční prostředí.

Page 34

## 11 ZVLÁDÁNÍ KYBERNETICKÝCH BEZPEČNOSTNÍCH UDÁLOSTÍ A INCIDENTŮ

11.1. Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 14 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy zejména: 11.1.1 Stanovit a popsat na své straně činnosti, role a jejich odpovědnosti a pravomoci vedoucí k rychlému a účinnému zvládání kybernetických bezpečnostních událostí a incidentů. 11.1.2 Bez zbytečného odkladu poskytovat objednateli první oznámení o kybernetické bezpečnostní události/incidentu (nejpozději však do 4 hodin od zjištění podezření), a nejpozději do 18 hodin od detekce poskytnout detailní oznámení. Hlášení se týká všech kybernetických bezpečnostních událostí a incidentů, které mají nebo by mohly mít dopad na důvěrnost, integritu nebo dostupnost poskytovaných služeb či dat objednatele, a to stanoveným komunikačním kanálem nebo prostřednictvím kontaktní osoby pro kybernetickou bezpečnost. Oznámení bude obsahovat alespoň popis kybernetické bezpečnostní události/incidentu, předpokládaný dopad, dotčená aktiva, stav mitigace a přijatá/připravovaná nápravná opatření. Poskytovatel zajistí uchování relevantních důkazů (např. logů) pro potřeby šetření. 11.1.3 Vyhodnocovat informace o kybernetických bezpečnostních událostech/incidentech a uchovávat je pro budoucí použití, a to s ohledem na požadavky použitelné platné a účinné legislativy. 11.1.4 V případě vzniku kybernetické bezpečnostní události a následného vyhodnocování možného kybernetického bezpečnostního incidentu a/nebo v případě podezření na možný kybernetický bezpečnostní incident, poskytnout objednateli aktivní součinnost a relevantní informace o podezřelém zařízení či podezřelém jednání osob na straně poskytovatele. 11.1.5 Spolupracovat při analýze příčin kybernetického bezpečnostního incidentu a v případě, že bude prokazatelně zjištěno, že poskytovatel kybernetický bezpečnostní incident zapříčinil nebo se na jeho vzniku částečně spolupodílel, navrhnout seznam všech možných opatření s cílem zamezit možnému budoucímu opakování. 11.1.6 Po dohodě s objednatelem realizovat bez zbytečného odkladu opatření požadovaná objednatelem ke snížení dopadu kybernetického bezpečnostního incidentu nebo zamezení pokračování kybernetického bezpečnostního incidentu, nejpozději pak v termínech prokazatelně stanovených objednatelem. 11.2 Poskytovatel bere na vědomí, že postup zvládání kybernetického bezpečnostního incidentu či jiný důsledek porušení bezpečnostních požadavků, jehož příčina je na straně poskytovatele, nebude posuzován jako okolnost vylučující odpovědnost poskytovatele za prodlení s řádným a včasným plněním předmětu smlouvy a nebude důvodem k jakékoli náhradě případné újmy poskytovateli či jiné osobě ze strany objednatele. Ostatní ustanovení ohledně odpovědnosti poskytovatele za prodlení obsažená ve smlouvě nejsou tímto ustanovením dotčena.

## 12 ŘÍZENÍ KONTINUITY ČINNOSTÍ

12.1. Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 15 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména:

Page 35

12.1.1 Zajistit adekvátní kontinuitu svých aktiv, které jsou potřebné k poskytování předmětu plnění smlouvy. 12.1.2 Pravidelně, nejméně jednou ročně, kontrolovat a testovat, že je schopen kontinuitu těchto aktiv zajistit dle sjednané SLA.

## 13 KONTROLA A AUDIT

13.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 16 VoKB, které musí plnit objednatel. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy poskytnout adekvátní součinnost při výkonu kontroly objednatele ze strany dozorového orgánu (Národní úřad pro kybernetickou a informační bezpečnost – NÚKIB) dle § 55 ZoKB. 13.2 Poskytovatel umožní objednateli po dobu účinnosti smlouvy provádět audit bezpečnosti informací v rozsahu služeb poskytovaných dle smlouvy, a to minimálně jednou za kalendářní rok u poskytovatele a jeho případných subdodavatelů: 13.2.1 Poskytovatel se v rámci výše uvedeného zavazuje poskytnout veškerou nezbytnou součinnost, přístup do prostor a k relevantní dokumentaci. Alternativně může poskytovatel doložit soulad platným certifikátem ISO/IEC 27001 nebo zprávou typu SOC2. 13.2.2 V případě podezření na kybernetický bezpečnostní incident nebo po jeho potvrzení je objednatel oprávněn provést cílený (targeted) audit zaměřený na dotčenou oblast. 13.3 Objednatel je oprávněn při provedení auditu využít třetí stranu. V případě využití třetí strany bude objednatel odpovídat za třetí stranu, jako by audit kybernetické bezpečnosti prováděl sám, včetně odpovědnosti za případnou způsobenou újmu. 13.4 Poskytovatel umožní objednateli audit provedený prostředky objednatele nebo třetí strany, a to v lokalitě poskytovatele i vzdáleně, pokud to technické prostředky poskytovatele umožňují. 13.5 Poskytovatel je povinen nedostatky zjištěné: 13.5.1 na základě provedení hodnocení rizik dle bodu 4 této přílohy č. 2 smlouvy, nebo 13.5.2 v rámci auditu kybernetické bezpečnosti prováděného dle tohoto bodu, odstranit ve lhůtě určené v písemném oznámení objednatele, která nebude kratší než 20 pracovních dnů ode dne jeho doručení. Nestanoví-li objednatel lhůtu v písemném oznámení, zavazují se smluvní strany dohodnout na lhůtě pro odstranění nedostatku, která nepřevýší 60 dnů ode dne doručení. 13.6 Poskytovatel je dále povinen: 13.6.1 Poskytnout na vyžádání objednateli dokumenty a obdobné vstupy, které budou prokazovat naplnění kybernetických bezpečnostních požadavků. 13.6.2 Na požádání s objednatelem konzultovat kdykoli v průběhu realizace plnění dle smlouvy detailní nastavení kybernetických bezpečnostních opatření k naplnění kybernetických bezpečnostních požadavků a pro takovéto konzultace zajistit účast dostatečně kvalifikovaných pracovníků. 13.6.3 Neprodleně informovat objednatele o všech významných změnách v naplnění kybernetických bezpečnostních požadavků, které nastanou kdykoli v průběhu trvání smlouvy.

Page 36

13.6.4 Bezodkladně a s vyvinutím maximálního úsilí zajistit náhradní způsob naplnění kybernetických bezpečnostních požadavků, pokud stávající řešení přestalo být funkční a efektivní. 13.6.5 Při výkonu své činnosti včas a prokazatelně upozornit objednatele na případnou zřejmou nevhodnost jeho příkazů či doporučení, vztahujících se ke kybernetickým bezpečnostním požadavkům, jejichž následkem může vzniknout případná újma anebo nesoulad s příslušnými zákony nebo jinými obecně závaznými právními předpisy.

## 14 TECHNICKÁ OPATŘENÍ

14.1 Poskytovatel se bude v rozsahu předmětu plnění smlouvy aktivně podílet na splnění povinností uvedených v § 17 až § 27 VoKB, které musí objednatel splnit. Poskytovatel se zavazuje v rozsahu předmětu plnění smlouvy na své straně zejména: 14.1.1 Dodržovat příslušné interní předpisy objednatele, s nimiž byl prokazatelně seznámen, zejména pak v oblasti fyzické ochrany bezpečnostních zón, kde jsou umístěna aktiva IS ČTÚ, anebo datové nosiče. 14.1.2 Poskytnout plnou součinnost a relevantní výstupy při zavádění technických opatření kybernetické bezpečnosti, např. v oblasti zaznamenávání událostí, detekce a vyhodnocování kybernetických bezpečnostních událostí, implementace a napojení služeb bezpečnostního dohledového centra apod. 14.1.3 V rozsahu předmětu plnění smlouvy zajistit fyzické zabezpečení, zejména označení, uchování a likvidaci instalačních, záložních nebo archivních médií a dokumentace v souladu s klasifikací aktiv objednatele, pokud s ní byl poskytovatel seznámen. 14.1.4. Při ukončení smlouvy na žádost objednatele buď bezpečně vrátit veškerá data v dohodnutém formátu, nebo provést jejich nenávratnou likvidaci (skartaci/výmaz) v souladu se standardy definovanými ve VoKB. O provedené likvidaci dat poskytovatel vystaví a předá objednateli nejpozději do 20 pracovních dnů písemný protokol. 14.1.5 Realizovat doporučená bezpečnostní opatření pro odstranění nebo blokování komunikačních spojení, která neodpovídají požadavkům na ochranu integrity a bezpečnosti komunikační sítě. 14.1.6 Realizovat přístupy z mobilních zařízení k aktivům v produkčním i testovacím prostředí objednatele pouze prostřednictvím zabezpečeného připojení virtuální privátní sítě (VPN). 14.1.7 Připojovat do produkčního prostředí objednatele pouze ta síťová zařízení (switch, wifi router apod.), která prošla schvalovacím procesem a jejich připojení bylo schváleno oprávněnou osobu ve věcech technických na straně objednatele, určenou v této smlouvě. 14.1.8 Bez zbytečného odkladu deaktivovat všechna nevyužívaná zakončení sítě anebo nepoužívané porty aktivního síťového prvku, pakliže tento je součástí sjednaného rozsahu předmětu plnění dle smlouvy a je současně ve správě poskytovatele. 14.1.9 Na aktiva objednatele bez jeho písemného souhlasu neinstalovat a nepoužívat v prostředí objednatele následující typy nástrojů, pokud vysloveně nejsou součástí předmětu plnění dle smlouvy:

1. Keylogger – software nebo hardware, který neautorizovaně zaznamenává stisky kláves s cílem narušit důvěrnost zadávaných dat a informací.

Page 37

1. Sniffer / Packet Analyzer – software nebo hardware umožňující odposlouchávání síťového provozu.

1. Analyzátor zranitelností (scanner zranitelností) – softwarový nebo hardwarový nástroj umožňující vyhledávání zranitelností systémů ICT, detekování dostupných síťových služeb a portů, běžících procesů, běžících aplikací a jejich verzí apod.

1. Backdoor – skrytý softwarový nebo hardwarový nástroj, který umožňuje obejití schválených autentizačních procedur, instalovaný s cílem budoucího snadnějšího a neautorizovaného přístupu do počítačového systému.

1. Malware a jiný škodlivý software, který narušuje, obchází či jinak omezuje stávající bezpečnostní opatření v prostředí Objednatele. 14.1.10 Připojovat do prostředí objednatele pouze zařízení ICT, která splňují následující požadavky:

1. jsou příslušným způsobem zabezpečena a chráněna proti malware a jinému škodlivému softwaru – minimálně instalovaný a aktivní antivir s aktuální definiční sadou, instalované veškeré doporučené bezpečnostní záplaty pro OS a používaný SW, správně nakonfigurovaný a aktivní firewall,

1. způsob jejich připojení je definován v příslušné provozní nebo projektové dokumentaci nebo je v souladu s příslušnými interními předpisy objednatele. 14.1.11 Zajistit sběr informací o provozních a bezpečnostních činnostech v rozsahu předmětu plnění smlouvy a ochranu získaných informací před jejich neoprávněným čtením nebo změnou takto:

1. pro veškeré on-line transakce realizované prostřednictvím webových technologií implementovat doporučené a schválené TLS/SSL certifikáty s cílem zajistit důvěrnost a integritu komunikace protistran,

1. neveřejné informace poskytnuté objednatelem a ukládané na mobilní zařízení anebo přenosná paměťová média, která jsou ve správě poskytovatele, chránit vhodným šifrováním a proti neautorizovanému přístupu. 14.2 Poskytovatel bere na vědomí, že v případě, kdy technické spojení ze strany poskytovatele narušuje bezpečný chod ostatních služeb objednatele, může být toto spojení ze strany objednatele bez předchozího upozornění ihned ukončeno. 14.3 Poskytovatel bere na vědomí, že veškeré jeho aktivity realizované v prostředí objednatele mohou být monitorovány a vyhodnocovány v souladu s příslušnými interními dokumenty objednatele.

Page 38

**Čestné prohlášení o splnění základní způsobilosti Dodavatel:**

Jméno / název / obchodní firma Bydliště / sídlo / místo podnikání Právní forma IČO

tímto v souladu s § 74 a § 75 zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů (dále jen „zákon"), v rámci zadávacího „Podpora infrastruktury CheckPoint a ochrana koncových zařízení" splňuje podmínky základní způsobilosti pro plnění uvedené veřejné zakázky, tj. že:

- nebyl v zemi svého sídla v posledních 5 letech před zahájením výběrového řízení pravomocně odsouzen pro trestný čin uvedený v trestný čin podle právního řádu země sídla dodavatele; k nepřihlíží,

- nemá v České republice nebo v zemi svého sídla v evidenci daní zachycen splatný daňový nedoplatek,

- nemá v České republice nebo v zemi svého sídla splatný nedoplatek na pojistném nebo na penále na veřejné zdravotní pojištění,

- nemá v České republice nebo v zemi svého sídla splatný nedoplatek na pojistném nebo na penále na sociální zabezpečení a příspěvku na státní politiku zaměstnanosti,

- není v likvidaci, nebylo proti němu vydáno rozhodnutí o úpadku, nařízena nucená správa podle jiného právního předpisu nebo není v obdobné situaci podle právního řádu země sídla dodavatele. Dodavatel dále čestně prohlašuje, že podmínku podle zároveň každý člen jeho statutárního orgánu, přičemž je dodavatele právnická osoba, splňuje tuto podmínku tato právnická osoba, každý člen statutárního orgánu této právnické osoby a osoba zastupující tuto právnickou osobu v statutárním orgánu dodavatele.

V …………………… dne …………… .......................................................................................... Jméno a podpis osoby oprávněné zastupovat dodavatele

řízení na veřejnou zakázku čestně prohlašuje, že příloze č. 3 k zákonu, nebo obdobný zahlazeným odsouzením se § 74 odst. 1 písm. a) zákona splňuje

- \-li členem statutárního orgánu nebyla vůči němu

Page 39

**Seznam významných dodávek/služeb Dodavatel:**

Jméno / název / obchodní firma Bydliště / sídlo / místo podnikání Právní forma IČO Dodavatel níže předkládá seznam významných dodávek/služeb realizovaných dodavatelem za poslední 3 roky před zahájením zadávacího řízení, včetně uvedení požadovaných údajů:

1. název zakázky,

1. název a identifikační údaje subjektu vč. sídla, kterému byla významná dodávka poskytnuta,

1. popis poskytnuté dodávky/služby, ze které budou požadavky zadavatele na významné dodávky/služby vyplývat,

1. informaci o období realizace významné dodávky/služby od-do v měsících/rocích (např. červen 2024– květen 2026),

1. hodnotu významné dodávky/služby v Kč bez DPH,

1. jméno a kontaktní údaje osoby objednatele, u které si bude moci zadavatel případně ověřit předložené informace.

**Významná dodávka/služba č. 1 Název zakázky Objednatel**

název / obchodní firma právní forma adresa sídla adresa poskytnutí dodávky/služby IČO

**Popis dodávky/služby Doba realizace**

(od – do) **Cena** (v Kč bez DPH)

**Kontaktní osoba objednatele**

(pro ověření reference) jméno a příjmení funkce nebo pracovní zařazení telefonní číslo e-mail

Page 40

**Významná dodávka/služba č. 2 Název zakázky Objednatel**

název / obchodní firma právní forma adresa sídla adresa poskytnutí dodávky/služby IČO

**Popis dodávky/služby Doba realizace**

(od – do) **Cena** (v Kč bez DPH)

**Kontaktní osoba objednatele**

(pro ověření reference) jméno a příjmení funkce nebo pracovní zařazení telefonní číslo e-mail

**Významná dodávka/služba č. 3 Název zakázky Objednatel**

(pro ověření reference) jméno a příjmení

Page 41

funkce nebo pracovní zařazení telefonní číslo e-mail

**Významná dodávka/služba č. 4 Název zakázky Objednatel**

název / obchodní firma právní forma adresa sídla adresa poskytnutí dodávky/služby IČO

**Popis dodávky/služby Doba realizace**

(od – do) **Cena** (v Kč bez DPH)

**Kontaktní osoba objednatele**

(pro ověření reference) jméno a příjmení funkce nebo pracovní zařazení telefonní číslo e-mail

V …………………… dne …………… …. ..................................................................................... Jméno a podpis osoby oprávněné zastupovat dodavatele

Page 1

**Seznam významných dodávek/služeb**

**Dodavatel:**

| Jméno / název / obchodní firma           |     |
| ---------------------------------------- | --- |
| Bydliště / sídlo / místo podnikání       |     |
| Právní forma                             |     |
| IČO                                      |     |

Dodavatel níže předkládá seznam významných dodávek/služeb realizovaných dodavatelem za poslední 3 roky před zahájením zadávacího řízení, včetně uvedení požadovaných údajů:

1. název zakázky,
2. název a identifikační údaje subjektu vč. sídla, kterému byla významná dodávka poskytnuta,
3. popis poskytnuté dodávky/služby, ze které budou požadavky zadavatele na významné dodávky/služby vyplývat,
4. informaci o období realizace významné dodávky/služby od-do v měsících/rocích (např. červen 2024–květen 2026),
5. hodnotu významné dodávky/služby v Kč bez DPH,
6. jméno a kontaktní údaje osoby objednatele, u které si bude moci zadavatel případně ověřit předložené informace.

| **Významná dodávka/služba č. 1**                            |     |
| ----------------------------------------------------------- | --- |
| **Název zakázky**                                           |     |
| **Objednatel**                                              |     |
| název / obchodní firma                                      |     |
| právní forma                                                |     |
| adresa sídla                                                |     |
| adresa poskytnutí dodávky/služby                            |     |
| IČO                                                         |     |
| **Popis dodávky/služby**                                    |     |
| **Doba realizace **(od – do)                                |     |
| **Cena **(v Kč bez DPH)                                     |     |
| **Kontaktní osoba objednatele **(pro ověření reference)     |     |
| jméno a příjmení                                            |     |
| funkce nebo pracovní zařazení                               |     |
| telefonní číslo                                             |     |
| e-mail                                                      |     |

| **Významná dodávka/služba č. 2**                            |     |
| ----------------------------------------------------------- | --- |
| **Název zakázky**                                           |     |
| **Objednatel**                                              |     |
| název / obchodní firma                                      |     |
| právní forma                                                |     |
| adresa sídla                                                |     |
| adresa poskytnutí dodávky/služby                            |     |
| IČO                                                         |     |
| **Popis dodávky/služby**                                    |     |
| **Doba realizace **(od – do)                                |     |
| **Cena **(v Kč bez DPH)                                     |     |
| **Kontaktní osoba objednatele **(pro ověření reference)     |     |
| jméno a příjmení                                            |     |
| funkce nebo pracovní zařazení                               |     |
| telefonní číslo                                             |     |
| e-mail                                                      |     |

| **Významná dodávka/služba č. 3**                            |     |
| ----------------------------------------------------------- | --- |
| **Název zakázky**                                           |     |
| **Objednatel**                                              |     |
| název / obchodní firma                                      |     |
| právní forma                                                |     |
| adresa sídla                                                |     |
| adresa poskytnutí dodávky/služby                            |     |
| IČO                                                         |     |
| **Popis dodávky/služby**                                    |     |
| **Doba realizace **(od – do)                                |     |
| **Cena **(v Kč bez DPH)                                     |     |
| **Kontaktní osoba objednatele **(pro ověření reference)     |     |
| jméno a příjmení                                            |     |
| funkce nebo pracovní zařazení                               |     |
| telefonní číslo                                             |     |
| e-mail                                                      |     |

| **Významná dodávka/služba č. 4**                            |     |
| ----------------------------------------------------------- | --- |
| **Název zakázky**                                           |     |
| **Objednatel**                                              |     |
| název / obchodní firma                                      |     |
| právní forma                                                |     |
| adresa sídla                                                |     |
| adresa poskytnutí dodávky/služby                            |     |
| IČO                                                         |     |
| **Popis dodávky/služby**                                    |     |
| **Doba realizace **(od – do)                                |     |
| **Cena **(v Kč bez DPH)                                     |     |
| **Kontaktní osoba objednatele **(pro ověření reference)     |     |
| jméno a příjmení                                            |     |
| funkce nebo pracovní zařazení                               |     |
| telefonní číslo                                             |     |
| e-mail                                                      |     |

V …………………… dne ……………

			       …......................................................................................

			      Jméno a podpis osoby oprávněné zastupovat dodavatele