Stanovení rozsahu řízení kybernetické bezpečnosti
(1) Součástí rozsahu řízení kybernetické bezpečnosti (dále jen „stanovený rozsah“) jsou aktiva související s poskytováním regulované služby.
(2) Za účelem vymezení stanoveného rozsahu poskytovatel regulované služby
a) určí všechna svá primární aktiva,
b) posoudí, zda primární aktiva souvisí s poskytováním regulované služby, a
c) u primárních aktiv podle písmene b) určí podpůrná aktiva.
(3) Poskytovatel regulované služby eviduje aktiva, která jsou součástí stanoveného rozsahu, a primární aktiva, která byla ze stanoveného rozsahu vyjmuta, včetně důvodů jejich vyjmutí.
(4) Platí, že primární aktiva, která ještě nebyla posouzena podle odstavce 2 písm. b), a podpůrná aktiva, která ještě nebyla určena podle odstavce 2 písm. c), jsou součástí stanoveného rozsahu.
(5) Stanovený rozsah je poskytovatel regulované služby povinen pravidelně přezkoumávat a aktualizovat.