Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) zveřejnil novou metodiku pro veřejné zakázky, které se týkají informačních a komunikačních technologií. Dokument má veřejným zadavatelům pomoci promítnout kybernetickou bezpečnost do nákupu IT, bez toho aby omezili hospodářskou soutěž.
Metodika vznikla společně s Úřadem pro ochranu hospodářské soutěže a Asociací pro veřejné zakázky. Propojuje požadavky kybernetické bezpečnosti s pravidly zadávacích řízení a praktickými potřebami organizací, které technologie pořizují. Nejdůležitější částí je podle metodiky příprava. Zadavatel by měl nejprve vyhodnotit vlastní rizika a teprve z nich odvozovat technické, provozní i bezpečnostní požadavky na poptávané řešení.
Výsledky mohou ovlivňovat technickou specifikaci systému/služby, požadavky na odbornou způsobilost dodavatele, kvalifikační podmínky, hodnotící kritéria a smluvní podmínky pro provoz řešení. Vedle nabídkové ceny by zadavatelé měli hodnotit taky úroveň bezpečnostního zabezpečení, kvalitu navrženého řešení a schopnost dodavatele dlouhodobě plnit stanovené požadavky.
Bezpečnostní povinnosti nekončí předáním systému. Je potřeba upravit i dobu provozu, údržby, rozvoje, řešení incidentů a ukončení poskytované služby. Ve smlouvě musí mít zadavatel uvedené možnosti reakce na bezpečnostní událost, změny rizikového prostředí a nedodržování ujednaných podmínek. Zadavatel by se měl zaměřit taky na dodavatelský řetězec a ochranu citlivých informací.
NÚKIB může vydat varování nebo další opatření. Varování samo o sobě neznamená zákaz výrobce, technologie nebo dodavatele. Má jít o podklad pro zadavatele, který následně riziko sám vyhodnotí. Podle konkrétních zjištění pak může upravit zadávací podmínky a požadavky na technologie, dodavatele, způsob hodnocení nabídek a smluvní zajištění. Bezpečnostní důvody mohou omezit také účast dodavatelů ze třetích zemí.