Musím prověřovat zaměstnance dodavatele podle ZoKI?

Kdy se to týká dodavatelů a jejich personálu

§ 17 zákona č. 266/2025 Sb. ukládá subjektu kritické infrastruktury povinnost ověřovat spolehlivost svých pracovníků, a to včetně uchazečů o pracovněprávní, služební nebo obdobný vztah. Přímá povinnost podle tohoto ustanovení tedy dopadá na pracovníky subjektu kritické infrastruktury a na uchazeče o práci u něj. Pro pracovníky podílející se na poskytování základní služby a osoby s přímým nebo vzdáleným přístupem do prostor, k informacím nebo kontrolním systémům zákon vyžaduje prokázání totožnosti a bezúhonnosti; od manažera kritické infrastruktury vyžaduje splnění podmínek citlivé činnosti.

Na personál dodavatelů se § 17 nevztahuje automaticky a ve stejné míře. Nastavení požadavků na dodavatele a jeho pracovníky má vycházet z řízení bezpečnosti dodavatelského řetězce, ze sjednaných smluvních vztahů a z konkrétního zapojení dodavatele. Rozhodující není to, zda je daná osoba zaměstnancem organizace, ale povaha jejího přístupu a riziko z něj vyplývající, které se posuzuje v konkrétním případě.

Praktickým výchozím bodem je mapování vztahů s dodavateli, které popisujeme v průvodci pro dodavatele a smlouvy. Z tohoto přehledu můžete odvodit, které vztahy s dodavateli vyžadují pozornost.

Co kontrolovat a jaké doklady vyžadovat

U dodavatelů, kteří mají přístup ke kritickým systémům nebo objektům, je vhodné ověřit, jaké bezpečnostní procesy má dodavatel zavedeny, jak spravuje přístup svých zaměstnanců a jaké doklady může organizaci předložit. Může jít o výpis z obchodního rejstříku, osvědčení o bezpečnostní prověrce nebo prohlášení o dodržování bezpečnostních standardů.

Rozsah požadavků by měl být přizpůsoben povaze rizika. U dodavatele s trvalým přístupem ke kritickému prostředí budou požadavky přísnější než u toho, kdo má přístup jen krátkodobý. Je také rozumné sjednat povinnost hlásit bezpečnostní incidenty a změny v personálu.

To vše by mělo být zachyceno ve smlouvě, aby byly povinnosti ověřitelné. Jak tyto prvky propojit s širším rámcem, popisuje článek o plánu odolnosti.

Jak správně nastavit kontrakt

Praktické doporučení Smlouva s kritickým dodavatelem by měla obsahovat opatření přiměřená povaze rizika. Patří sem zejména vymezení přípustného rozsahu přístupu, povinnost spravovat a odvolávat přístup, povinnost hlásit bezpečnostní incidenty a pravidla pro případ ukončení spolupráce.

Je také vhodné sjednat, jak probíhá kontrola dodavatele a v jakých lhůtách. Pravidelné kontroly pomáhají ověřit, že sjednaná opatření jsou skutečně dodržována a že se situace nezměnila.

Často kladené dotazy

Musím prověřovat všechny zaměstnance všech dodavatelů?

Ne. § 17 zákona č. 266/2025 Sb. ukládá povinnost ověřovat spolehlivost přímo subjektu kritické infrastruktury a vztahuje se na jeho pracovníky včetně uchazečů o práci. Na zaměstnance dodavatelů se tato povinnost nerozšiřuje automaticky a ve stejné míře. Požadavky na personál dodavatele je třeba odvodit z řízení bezpečnosti dodavatelského řetězce, ze smluvních vztahů a z konkrétního zapojení dodavatele, přičemž rozhodující je povaha přístupu a s ním spojené riziko.

Kdo je odpovědný za prověřování: organizace nebo dodavatel?

Smluvní rozdělení úkolů je třeba nastavit tak, aby odpovídalo zákonným povinnostem dotčeného subjektu a povaze dodavatelského vztahu. Ve smlouvě je vhodné určit, kdo zajišťuje jednotlivé kroky prověřování, kdo uchovává doklady a jak se postupuje při změnách. Mnohé z těchto otázek lze objasnit prostřednictvím průvodce portálem.