Sada metodických, organizačních a právních nástrojů pro realizaci procedur odpovědného hlášení kyberbezpečnostních zranitelností a poskytnutí relevantních vzorových dokumentů (pravidla a podmínky RVDP, poskytnutí detailních vzorových podkladů, dokumentů atp. se zaměřením na soukromou i veřejnou správu vč. popisu relevantních parametrů)

VOSTOUPAL, Jakub, Pavel LOUTOCKÝ, Kamil MALINKA, František KASL, Anna BLECHOVÁ, Andrej KRIŠTOFÍK, Jan KLEINER, Lukáš POHANKA, Juraj SZABÓ, Václav STUPKA, Alena SAYDUEVA KNAPOVÁ, Vladimír ROHEL, Pavel HRABĚ, Petr MIENCIL, Radan BŘEZA and Petr DUŠEK. Sada metodických, organizačních a právních nástrojů pro realizaci procedur odpovědného hlášení kyberbezpečnostních zranitelností a poskytnutí relevantních vzorových dokumentů (pravidla a podmínky RVDP, poskytnutí detailních vzorových podkladů, dokumentů atp. se zaměřením na soukromou i veřejnou správu vč. popisu relevantních parametrů) (A set of methodological, organizational and legal tools for the implementation of procedures for responsible reporting of cybersecurity vulnerabilities and provision of relevant model documents (rules and conditions of the RVDP, provision of detailed mod). 2022, 58 pp.

Basic information

• Original name: Sada metodických, organizačních a právních nástrojů pro realizaci procedur odpovědného hlášení kyberbezpečnostních zranitelností a poskytnutí relevantních vzorových dokumentů (pravidla a podmínky RVDP, poskytnutí detailních vzorových podkladů, dokumentů atp. se zaměřením na soukromou i veřejnou správu vč. popisu relevantních parametrů)
• Name (in English): A set of methodological, organizational and legal tools for the implementation of procedures for responsible reporting of cybersecurity vulnerabilities and provision of relevant model documents (rules and conditions of the RVDP, provision of detailed mod
• Authors: VOSTOUPAL, Jakub (203 Czech Republic, belonging to the institution), Pavel LOUTOCKÝ (203 Czech Republic, guarantor, belonging to the institution), Kamil MALINKA (203 Czech Republic, belonging to the institution), František KASL (203 Czech Republic, belonging to the institution), Anna BLECHOVÁ (203 Czech Republic, belonging to the institution), Andrej KRIŠTOFÍK (703 Slovakia, belonging to the institution), Jan KLEINER (203 Czech Republic, belonging to the institution), Lukáš POHANKA (203 Czech Republic, belonging to the institution), Juraj SZABÓ (203 Czech Republic, belonging to the institution), Václav STUPKA (203 Czech Republic, belonging to the institution), Alena SAYDUEVA KNAPOVÁ (203 Czech Republic, belonging to the institution), Vladimír ROHEL, Pavel HRABĚ, Petr MIENCIL, Radan BŘEZA and Petr DUŠEK.
• Edition: 58 pp. 2022.

Other information

• Original language: Czech
• Type of outcome: Special-purpose publication
• Field of Study: 50501 Law
• Country of publisher: Czech Republic
• Confidentiality degree: is not subject to a state or trade secret
• RIV identification code: RIV/00216224:14330/22:00129591
• Organization unit: Faculty of Informatics
• Keywords (in Czech): RVDP; směrnice NIS 2; trestní zákoník; zákon o kybernetické bezpečnosti; responsible vulnerability disclosure process
• Keywords in English: RVDP; NIS 2 Directive; Criminal Code; Act on Cybersecurity; responsible vulnerability disclosure process

Abstract

Tento výstup se v první části zaměřuje na identifikaci rizik týkajících se organizačně-technických aspektů, přičemž u identifikovaných oblastí posléze představuje možná opatření pro jejich zmírnění. Na to navazuje třetí kapitola, ve které jsou rozvedeny vybrané nejrelevantnější právní povinnosti a související rizika, která mohou negativně zasáhnout implementaci RVDP. I v této kapitole jsou pak představena potenciální řešení (např. poskytnutím vzorové formulace) vyplývajících z právní úpravy. V další části jsou představeny vzorové podmínky RVDP, vhodné pro inspiraci v českém právním prostředí a v kontextu tohoto projektu. Ty jsou vytvořeny na základě analýzy řady vybraných funkčních zahraničních projektů a syntézy jednotlivých zjištění. Závěr tohoto dokumentu tvoří analýza motivačních aspektů jednotlivých zúčastněných subjektů k zapojení do RVDP a související doporučení, která mohou motivaci některých aktérů zvýšit a posílit efektivitu nasazeného RVDP (včetně bug bounty adaptace programu RVDP či spolupráce s dalšími zainteresovanými subjekty). V přílohách je pak možné najít další inspirace pro nastavení podmínek RVDP a související vzory smluvní úpravy.

Abstract (in English)

The first part of this document focuses on identifying risks related to organisational and technical aspects and then presents possible mitigation measures for the identified areas. This is followed by a third chapter which elaborates on selected most relevant legal obligations and related risks that may negatively affect the implementation of the RVDP. This chapter also presents potential solutions (e.g. by providing model wording) arising from the legislation. In the next section, model RVDP conditions are presented, suitable for inspiration in the Czech legal environment and in the context of this project. These are based on an analysis of a number of selected functional foreign projects and a synthesis of individual findings. This document concludes with an analysis of the motivational aspects of individual stakeholders to engage in RVDP and related recommendations that can increase the motivation of certain actors and strengthen the effectiveness of the deployed RVDP (including the bug bounty of adaptation of the RVDP programme or cooperation with other stakeholders). Further inspiration for setting RVDP terms and conditions and related contract templates can then be found in the annexes.

Links

• TN01000077, research and development project: Name: Národní centrum kompetence pro Kyberbezpečnost

Investor: Technology Agency of the Czech Republic, National Centre of Competence in Cybersecurity