Bezpečnostní řád Správy železniční dopravní cesty, státní organizace

Organizačně-řídící předpis Úroveň přístupu: A R6 Bezpečnostní řád Správy železniční dopravní cesty, státní organizace Účinnost od 1. července 2013 Nahrazení předchozích vnitřních předpisů Dnem nabytí účinnosti tohoto řádu se zrušuje Řád SŽDC č. 6 Bezpečnostní řád státní organizace Správy železniční dopravní cesty, účinný od 1. února 2011. Schváleno generálním ředitelem Správy železniční dopravní cesty, státní organizace č. j. S 20058/2013 - OKŘ V Praze dne 6. 6. 2013

SŽDC R6 Gestorský útvar: Správa železniční dopravní cesty, státní organizace Odbor krizového Dlážděná 1003/7 Praha 1 Rok vydání: 2013

OBSAH ZÁZNAMY O PROVEDENÝCH ZMĚNÁCH... 4 ROZSAH ZNALOSTI... 4 SEZNAM POUŽITÝCH ZNAČEK A ZKRATEK... 5 ČÁST PRVNÍ... 6 ZÁKLADNÍ USTANOVENÍ... 6 ČÁST DRUHÁ... 7 ÚKOLY BEZPEČNOSTNÍ POLITIKY A POVINNOSTI ZAMĚSTANCŮ... 7 ČÁST TŘETÍ... 9 BEZPEČNOST PROVOZOVÁNÍ DRÁHY A DRÁŽNÍ DOPRAVY... 9 ČÁST ČTVRTÁ... 9 KRIZOVÉ ŘÍZENÍ... 9 ČÁST PÁTÁ... 12 OCHRANA OSOB A MAJETKU... 12 ČÁST ŠESTÁ... 14 OCHRANA INFORMAČNÍCH AKTIV... 14 ČÁST SEDMÁ... 16 BEZPEČNOST INFORMAČNÍCH SYSTÉMŮ A TECHNOLOGIÍ... 16 ČÁST OSMÁ... 17 PERSONÁLNÍ BEZPEČNOST A OCHRANA OSOBNÍCH ÚDAJŮ... 17 ČÁST DEVÁTÁ... 18 OCHRANA ŽIVOTNÍHO PROSTŘEDÍ... 18 ČÁST DESÁTÁ... 19 OBLAST POŽÁRNÍ BEZPEČNOSTI... 19 ČÁST JEDENÁCTÁ... 19 BEZPEČNOST A OCHRANA ZDRAVÍ... 19 ČÁST DVANÁCTÁ... 20 ZÁVĚREČNÁ USTANOVENÍ... 20 SOUVISEJÍCÍ PŘEDPISY A NORMY... 21 Příloha 1 PŘEHLED ODPOVĚDNOSTI... 22 3/23

ZÁZNAMY O PROVEDENÝCH ZMĚNÁCH Číslo změny Čj. změny Datum schválení Změna se týká ustanovení a příloh: Datum účinnosti změny Změnu provedl příjmení a jméno / podpis 1. 2. 3. 4. 5. 6. ROZSAH ZNALOSTI Pracovní zařazení nebo činnost Generální ředitel Náměstkové generálního ředitele Ředitelé odborů Odbor krizového všichni zaměstnanci Ředitelé OJ Zaměstnanci pro krizové OJ Ostatní zaměstnanci úplná: celý řád úplná: celý řád úplná: celý řád Znalost ustanovení úplná: část I, II informativní: ostatní části řádu 4/23

SEZNAM POUŽITÝCH ZNAČEK A ZKRATEK BOZP... Bezpečnost a ochrana zdraví při práci CO... Civilní ochrana ČR... Česká republika IS... Informační systém/informační systémy IT... Informační technologie OJ... Organizační jednotka/organizační jednotky OS... Organizační složka/organizační složky (OJ a generální ředitelství) OZO PO... Odborně způsobilá osoba v požární ochraně SŽDC... Správa železniční dopravní cesty, státní organizace UIC... Mezinárodní železniční unie (Union Internationale des Chemins de fer) 5/23

ČÁST PRVNÍ ZÁKLADNÍ USTANOVENÍ Článek 1 1.1 Bezpečnostní řád definuje cíle, principy, oblasti a odpovědnost za a realizaci bezpečnostní politiky ve státní organizaci Správa železniční dopravní cesty (dále jen SŽDC nebo organizace ). Generální ředitelství SŽDC a organizační jednotky SŽDC (dále též OJ ) zajišťují realizaci včasných a účinných opatření v oblasti bezpečnosti v souladu s právním řádem České republiky, bezpečnostní politikou státu a organizace a ve shodě s dokumenty vnitropodnikové legislativy. Konkrétní postupy jsou definovány v návazných směrnicích, metodických pokynech a opatřeních SŽDC. Bezpečnostní řád je závazný pro všechny organizační složky (dále též OS ) a všechny zaměstnance SŽDC. 1.2 Cílem přijímaných opatření v oblasti bezpečnosti je dosažení takového stavu, ve kterém bude spolehlivě zajištěna: a) bezpečnost a ochrana života a zdraví zaměstnanců organizace a všech uživatelů dráhy, b) ochrana všech aktiv organizace, c) bezpečnost produktů a služeb poskytovaných zákazníkům organizace, d) ochrana strategie rozvoje a vývoje organizace, včetně konkurenčního zpravodajství, s dodržením bezpečnostních evropských standardů, e) obnova klíčových činností organizace při všech krizových situacích. Článek 2 2.1 Za aktiva se považuje veškerý hmotný i nehmotný majetek, včetně duševního vlastnictví, s nímž má SŽDC právo hospodařit a nese za něj odpovědnost. Za svá hlavní aktiva SŽDC považuje: a) zaměstnance a jejich odborné znalosti, schopnosti, dovednosti a zkušenosti (lidský potenciál, know-how ), b) železniční dopravní cestu, provozní technologie, budovy, informační, telekomunikační a další za využívané k zajištění a poskytování služeb (hmotná aktiva), c) systémové a aplikační programové vybavení provozovaných technologií (nehmotná, programová aktiva), d) informační zdroje, elektronická data, datové soubory, databáze a ostatní dokumenty v tištěné nebo elektronické podobě (informační aktiva), e) finanční prostředky, cenné papíry a ceniny (finanční aktiva), f) zásoby a pohledávky (oběžná aktiva), g) dobré jméno, pověst, důvěryhodnost a logo společnosti (nehmotná aktiva). 6/23

Článek 3 3.1 Hlavní oblasti, ve kterých se realizuje bezpečnostní politika, jsou: a) provozní bezpečnost železniční dopravní cesty, b) zajištění a rychlá obnova klíčových činností SŽDC při všech krizových situacích, c) ochrana osob a majetku v souvislosti s provozovanou železniční dopravní cestou, d) ochrana informačních aktiv, e) bezpečnost informačních systémů a technologií, f) personální bezpečnost a ochrana osobních údajů, g) ochrana životního prostředí, h) požární bezpečnost, i) bezpečnost a ochrana zdraví při práci. ČÁST DRUHÁ ÚKOLY BEZPEČNOSTNÍ POLITIKY A POVINNOSTI ZAMĚSTANCŮ Článek 4 4.1 Bezpečnostní politika je v rámci SŽDC realizována podle těchto základních principů: a) ochrana života a zdraví osob je nadřazena ochraně ostatních aktiv, b) objekty jsou kategorizovány podle provozní důležitosti a podle úrovně bezpečnostních rizik, prostory jsou dále rozděleny na veřejné, veřejnosti nepřístupné, chráněné a režimové s odpovídající úrovní zabezpečení, c) informace, data a dokumenty společnosti jsou kategorizovány na veřejné, mající charakter obchodního tajemství podle zákona č. 513/1991 Sb., obchodní zákoník, ve znění pozdějších předpisů, a na utajované informace podle zákona č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti, ve znění pozdějších předpisů (dále jen zákon č. 412/2005 Sb. ), d) informační systémy jsou provozovány v souladu se zajištěním důvěrnosti, integrity a dostupnosti dat a informací, e) pro řešení krizových a mimořádných situací jsou zpracovávány a trvale aktualizovány příslušné krizové plány, v souladu s platnou legislativou, f) jako součást procesu zachování kontinuity činností jsou zpracovávány příslušné plány, 7/23

g) provozování dráhy, resp. obnova provozu je zajišťována nepřetržitě i po dobu ohrožení státu a válečného stavu v souladu s potřebami obrany státu a potřebami hospodářských opatření pro krizové stavy, h) trvalý monitoring, vyhodnocování a analýza bezpečnostních rizik, pravidelná evidence škod, spolupráce při šetření bezpečnostních incidentů a bezodkladná realizace opatření k eliminaci rizik, i) prevence a zvyšování bezpečnostního povědomí je součástí vzdělávacího procesu v SŽDC, j) trvalá kontrolní činnost. Článek 5 5.1 Vedoucí zaměstnanci jsou povinni znát bezpečnostní politiku a bezpečnostní standardy organizace, zajistit jejich realizaci v oblasti své působnosti za účelem minimalizace škod a ztrát. 5.2 Vedoucí zaměstnanci pravidelně analyzují řízené procesy, projekty a činnosti z pohledu bezpečnostních rizik, stanovují úroveň ochranných opatření ve fázi jejich přípravy, zavádění do provozu a při vlastním provozu. 5.3 Vedoucí zaměstnanci musí být připraveni řešit krizové a mimořádné situace podle připravených plánů a další návazné dokumentace. 5.4 Vedoucí zaměstnanci provádějí pravidelnou kontrolu funkčnosti a účinnosti přijatých opatření, důsledně řeší všechny zjištěné bezpečnostní incidenty. Článek 6 6.1 Každý zaměstnanec je povinen řádně hospodařit, střežit a ochraňovat aktiva a majetek organizace, a nejednat v rozporu s oprávněnými zájmy SŽDC. Je povinen počínat si tak, aby nedocházelo ke škodám na životě a zdraví osob a majetku organizace. 6.2 Hrozí-li škoda na životě a zdraví osob nebo majetku organizace, je každý zaměstnanec povinen provést potřebná opatření k jejímu odvrácení a na hrozící nebezpečí neprodleně upozornit vedoucího zaměstnance. Je-li k odvrácení škody nutno provést neodkladný zákrok, je zaměstnanec povinen zakročit. Nemusí tak učinit, brání-li mu v tom důležitá okolnost, nebo jestliže by tím vystavil vážnému ohrožení sebe nebo ostatní zaměstnance. 6.3 Každý zaměstnanec je povinen poskytnout účinnou pomoc kontrolním orgánům při vyšetřování mimořádných událostí, bezpečnostních incidentů a při jejich kontrolní činnosti, zejména poskytnout objektivní informace a vyžadované podklady. Výjimku tvoří informace chráněné zákonem č. 412/2005 Sb., pro sdělení takovýchto informací je nutné, v souladu s citovaným zákonem, zproštění mlčenlivosti. 8/23

ČÁST TŘETÍ BEZPEČNOST PROVOZOVÁNÍ DRÁHY A DRÁŽNÍ DOPRAVY Článek 7 7.1 Bezpečnost provozování dráhy a drážní dopravy vychází z ustanovení zákona č. 266/1994 Sb., o dráhách, ve znění pozdějších předpisů, souvisejících právních norem, prováděcích předpisů a dalších dokumentů vnitropodnikové legislativy. 7.2 Všichni zaměstnanci SŽDC jsou povinni dodržovat právní normy a dokumenty vnitropodnikové legislativy související s bezpečností provozování dráhy a drážní dopravy. Všichni zaměstnanci jsou povinni soustavně se vzdělávat v této oblasti v rozsahu vyplývajícím z jejich pracovní náplně. 7.3 Gestorem systému bezpečnosti provozování dráhy a drážní dopravy je odbor systému bezpečnosti provozování dráhy. Základním posláním odboru systému bezpečnosti provozování dráhy je zajištění činností stanovených zákonem č. 266/1994 Sb., o dráhách, ve znění pozdějších předpisů, a to šetření příčin a okolností vzniku mimořádných událostí a zajištění činností stanovených vyhláškou č. 376/2006 Sb., o systému bezpečnosti provozování dráhy a drážní dopravy a postupech při vzniku mimořádných událostí na dráhách, ve znění pozdějších předpisů, včetně zpracování příslušných evidenčních přehledů pro SŽDC, orgány státní správy, UIC a další organizace, zabezpečení oblasti šetření smrtelných a určených pracovních úrazů, obhajování zájmů SŽDC v oblasti zjišťování příčin a okolností vzniku mimořádných událostí a provádění kontrolních činností v dané oblasti. 7.4 Působnost odboru systému bezpečnosti provozování dráhy je stanovena Organizačním řádem SŽDC a Organizačním řádem generálního ředitelství. 7.5 Do systému bezpečnosti provozování dráhy a drážní dopravy SŽDC jsou zařazeny organizační složky uvedené v dokumentech Shrnutí manuálu systému zajišťování bezpečnosti provozování dráhy u Správy železniční dopravní cesty, státní organizace a Shrnutí manuálu systému zajišťování bezpečnosti provozovatele drážní dopravy u Správy železniční dopravní cesty, státní organizace. 7.6 Působnost jednotlivých útvarů generálního ředitelství a organizačních jednotek je stanovena Organizačním řádem SŽDC, Organizačním řádem generálního ředitelství a organizačními řády jednotlivých organizačních jednotek. ČÁST ČTVRTÁ KRIZOVÉ ŘÍZENÍ Článek 8 8.1 Proces obnovy činnosti při řešení krizových situací je realizován pomocí krizového v souladu s platnými zákony, prováděcími předpisy a uzavřenými smlouvami. Krizové je souhrn řídících činností věcně příslušných orgánů zaměřených na analýzu a vyhodnocení bezpečnostních rizik, plánování, organizování, realizaci a kontrolu činností prováděných v souvislosti s přípravou na řešení krizové situace. 8.2 Ministerstvo dopravy v souladu se zákonem č. 240/2000 Sb., o krizovém ve znění pozdějších předpisů, a nam vlády č. 432/2010 Sb., o kritériích pro určení prvku kritické infrastruktury, ve znění pozdějších předpisů, určilo SŽDC subjektem kritické infrastruktury. Na základě této skutečnosti je SŽDC povinna 9/23

zpracovávat Plán krizové připravenosti subjektu kritické infrastruktury za účelem přípravy organizace k řešení krizových situací a ochrany prvků kritické infrastruktury. 8.3 Správa státních hmotných rezerv v souladu se zákonem č. 241/2000 Sb., o hospodářských opatřeních pro krizové stavy, ve znění pozdějších předpisů, a na základě smlouvy o mobilizační dodávce jmenovala SŽDC subjektem hospodářské mobilizace. Článek 9 9.1 K zajištění připravenosti na řešení jednotlivých druhů krizových situací se v rámci SŽDC zpracovávají jednotlivé plány s návrhem opatření pro přípravu reakce organizace na krizové situace: a) Plán vyrozumění a svolání, který řeší způsoby vyrozumění a svolání příslušných zaměstnanců k řešení mimořádných situací, b) Plán krizové připravenosti subjektu kritické infrastruktury, který obsahuje návrh opatření pro řešení krizových situací nevojenského charakteru, majících za následek vyhlášení stavu nebezpečí nebo nouzového stavu, c) Plán opatření hospodářské mobilizace, který obsahuje návrh opatření po vyhlášení hospodářské mobilizace a pokynů k realizaci nezbytné dodávky, d) Plán činnosti pro přechod na zabezpečení mobilizační dodávky a Plán technické ochrany a obnovy železniční infrastruktury, který obsahuje návrh opatření po vyhlášení vojenských krizových stavů stav ohrožení státu nebo válečný stav, e) Plán kontinuity činností, který obsahuje návrhy opatření při ostatních krizových situacích organizace. 9.2 Ředitel odboru krizového odpovídá za přípravu a zpracování příslušné dokumentace k výše uvedeným činnostem a procesům, a to jak za generální ředitelství SŽDC, tak i vrcholově za SŽDC. 9.3 Odbor krizového koncepčně a metodicky řídí zpracování příslušné dokumentace pro organizační jednotky SŽDC, k tomu vydává příslušné dokumenty vnitropodnikové legislativy. 9.4 Organizační jednotky vytvářejí předepsanou dokumentaci pro vlastní potřebu. Za přípravu a vlastní zpracování příslušné dokumentace k výše uvedeným činnostem a procesům odpovídají ředitelé jednotlivých organizačních jednotek. 9.5 Organizační jednotky spolupracují při zpracování krizové dokumentace s odborem krizového a poskytují nezbytnou součinnost. Odbor krizového kontroluje celou oblast krizového v rámci SŽDC. Článek 10 10.1 Cílem procesu kontinuity činností je příprava SŽDC na nepředvídané události, které mohou ovlivnit její činnost. Prostředkem zachování kontinuity činností je zpracování plánů reakcí a kontinuity. Následně implementace postupů a úkolů, které umožní SŽDC zmírnit dopad událostí a zachovat kontinuitu 10/23

klíčových (kritických) činností. Součástí kontinuity činností je rovněž zpracování plánů obnovy pro konkrétní činnost, za a technologie. 10.2 Proces kontinuity činností je v SŽDC realizován podle těchto kroků: a) stanovení politiky a odpovědností, b) analýza dopadů definování kritických procesů a činností, c) ohodnocení rizik ohrožujících aktiva a kontinuitu činností, d) tvorba a implementace plánů reakce, kontinuity a obnovy, e) testování a aktualizace plánů kontinuity činností. 10.3 Odbor krizového metodicky řídí proces kontinuity činností SŽDC a zpracovává plán kontinuity činností generálního ředitelství SŽDC. Organizační jednotky zpracovávají plány kontinuity činností v rámci své působnosti. Článek 11 11.1 Oblast civilní ochrany v rámci SŽDC vychází ze zákona č. 239/2000 Sb. o integrovaném záchranném systému, ve znění pozdějších předpisů, vyhlášky Ministerstva vnitra č. 380/2002 Sb. k přípravě a provádění úkolů ochrany obyvatelstva, ve znění pozdějších předpisů, Koncepce ochrany obyvatelstva do roku 2013 s výhledem do roku 2020 (Usnesení vlády České republiky č. 165 ze dne 25. 2. 2008) a ČSN 73 9050 Údržba stálých úkrytů CO. 11.2 Gestorem za oblast civilní ochrany je, který ve spolupráci se zaměstnanci pro krizové OJ zabezpečuje ve prospěch zaměstnanců SŽDC následující úkoly: a) informování o hrozících mimořádných událostech a plánovaných opatřeních, b) varování, evakuace, ukrytí, c) organizování záchranných prací, d) organizování přípravy k sebeochraně a vzájemné pomoci. Článek 12 12.1 Krizové je součástí manažerského SŽDC. Gestorem procesu obnovy činnosti při řešení všech krizových situací a krizového je. Působnost odboru krizového je stanovena Organizačním řádem SŽDC a Organizačním řádem generálního ředitelství. 12.2 Ve smyslu ustanovení zákona č. 240/2000 Sb., o krizovém, ve znění pozdějších předpisů, a pro koordinaci příprav na řešení krizových situací je v rámci generálního ředitelství zřizována bezpečnostní rada jako stálá pracovní komise generálního ředitele v oblasti krizové připravenosti. Obdobně jsou zřizovány bezpečnostní rady na úrovni všech organizačních jednotek. 12.3 Bezpečnostní rada se schází minimálně dvakrát ročně. Na svých jednáních především projednává a koordinuje dokumenty krizového plánování a stav připravenosti na řešení jednotlivých krizových situací. 11/23

12.4 Při vzniku krizové situace se bezpečnostní rada transformuje na krizový štáb, který řídí odstraňování následků krizové situace. 12.5 Podmínky a pravidla činnosti bezpečnostní rady (krizového štábu) včetně vzorové dokumentace (působnost, jednací řád) zpracovává a vydává jako vnitřní normativní akt. 12.6 Úkoly v oblasti krizového na příslušný rok jsou stanoveny a konkretizovány v dokumentu Hlavní zaměření úkolů a činnosti v působnosti odboru krizového SŽDC. ČÁST PÁTÁ OCHRANA OSOB A MAJETKU Článek 13 13.1 Ochrana majetku a ochrana osob je jedním ze stěžejních procesů ochrany aktiv SŽDC. Základ procesu ochrany majetku a ochrany osob je tvořen pomocí kategorizace objektů, prostředků k zabezpečení hmotných aktiv a zásad ochrany hotovosti a cenin. 13.2 Veškeré prostory, objekty a za v obvodu dráhy, dle ustanovení 4a zákona č. 266/1994 Sb., o dráhách ve znění pozdějších předpisů, jsou veřejnosti nepřístupné. Výjimku tvoří místa, kde: a) je železniční trať vedená po pozemní komunikaci, b) dochází ke křížení železniční trati s pozemní komunikací, c) jsou určeny prostory pro veřejnost: nástupiště, přístupové cesty k nástupištím, v budovách, které se nacházejí v obvodu dráhy, pokud jsou v nich poskytovány služby související s drážní dopravou, d) jsou veřejně přístupné účelové komunikace v obvodu dráhy, e) jsou volné plochy vzdálené nejméně 2,5 m od osy krajní koleje. 13.3 Objekty SŽDC jsou kategorizovány podle důležitosti do skupin A, B, C. Objektové prostory jsou dále rozděleny na veřejné, chráněné a režimové s odpovídajícím stupněm zabezpečení. Každé skupině objektů (C nejvyšší důležitost) odpovídá standard zabezpečení sestávající z prvků a prostředků k zabezpečení hmotných aktiv. 13.4 Kritéria pro kategorizaci objektů: a) aktuální bezpečnostní rizika v souladu s výsledky analýzy rizik, b) průchodnost (počet, objem za časovou jednotku), c) celkový finanční objem umístěných hmotných a nehmotných aktiv (systémy, technologie, za, kolejová a pozemní vozidla, citlivé informace a data, apod.), 12/23

d) statistika škod za časovou jednotku, e) objem zpracovávané hotovosti. 13.5 Vnitřní objektové prostory jsou rozděleny následovně: a) I. Veřejné prostory prostory veřejnosti přístupné, b) II. Neveřejné prostory prostory veřejnosti nepřístupné, c) III. Chráněné prostory prostory veřejnosti nepřístupné, zázemí SŽDC (např. kanceláře, technologické a služební prostory, provozní depa, parkoviště apod.), d) IV. Režimové prostory prostory vyhrazené jen autorizovaným zaměstnancům SŽDC (např. dohledová provozní a bezpečnostní pracoviště, pokladny a úložiště hotovosti, místnosti se servery informačních a komunikačních systémů, místnosti s řídící a záznamovou bezpečnostní technikou, zabezpečené oblasti dle zákona č. 412/2005 Sb.). 13.6 Za definování standardů kategorizace objektů a vnitřních objektových prostor odpovídá krizového. 13.7 Za provedení kategorizace objektů odpovídá vrcholově správního, v prostředí organizační jednotky její ředitel. Za realizaci příslušných opatření vyplývajících z provedené kategorizace objektů odpovídá za generální ředitelství správního, za organizační jednotku její ředitel. Článek 14 14.1 Fyzickou ostrahou se rozumí bezprostřední fyzické střežení objektů, prostorů, předmětů a jiných chráněných zájmů SŽDC. 14.2 Fyzická ostraha je zajišťována vlastními silami a prostředky, smluvně prostřednictvím civilních bezpečnostních agentur a dále ve spolupráci s Policií ČR, obecní a městskou policií. 14.3 Ve zvláštních a výjimečných případech může být fyzická ostraha zajišťována a realizována ve spolupráci s Armádou ČR. 14.4 Za realizaci fyzické ostrahy objektů a prostor generálního ředitelství odpovídá správního. Za realizaci fyzické ostrahy objektů a prostor organizačních jednotek odpovídají ředitelé OJ. 14.5 Odbor krizového metodicky řídí a kontroluje vlastní organizaci a realizaci fyzické ostrahy v rámci celé SŽDC. Článek 15 15.1 Pravidla pro vstup, vjezd a klíčový režim v objektech SŽDC jsou doplňkovými bezpečnostními opatřeními. 15.2 Pravidla pro vstup a vjezd definují a upravují režim vstupu a vjezdu do všech objektů a prostor SŽDC jak zaměstnanců, tak i zákazníků či dodavatelů služeb. 13/23

15.3 Klíčový režim definuje pravidla pro ukládání a manipulaci s klíči od veškerých prostor SŽDC, s důrazem na manipulaci s klíči od prostor chráněných a režimových. 15.4 Ředitel odboru správního odpovídá za definování pravidel pro vstup a vjezd do objektů a prostor generálního ředitelství a za stanovení klíčového režimu pro potřeby generálního ředitelství. 15.5 Oblast vydávání průkazů zaměstnanců SŽDC a povolení ke vstupu do prostor SŽDC a provozované železniční dopravní cesty je v gesci odboru krizového. 15.6 Ředitelé organizačních jednotek odpovídají za vydání vlastních (místních) pravidel pro vstup, vjezd a klíčový režim v objektech a prostorách OJ a za realizaci těchto pravidel. Článek 16 16.1 Ochrana hotovosti a cenin je prvkem oblasti ochrany majetku a aktiv SŽDC. 16.2 Zaměstnanci, kteří disponují s hotovostí SŽDC, musí mít uzavřenou Dohodu o odpovědnosti za schodek na svěřených hodnotách, které je zaměstnanec povinen vyúčtovat. Tito zaměstnanci musí mít vlastní a jedinečný prostředek (klíč, vstupní kartu apod.) umožňující bezpečné uložení hotovosti pod výhradní kontrolou zaměstnance. Při ztrátě tohoto jedinečného prostředku je nutno bezodkladně provést opatření k zamezení zneužití (výměna zámku, deaktivaci vstupní karty apod.). 16.3 Režimové prostory, ve kterých je manipulováno s hotovostí, se dělí: a) prostory, které splňují standardy bezpečnosti (např. certifikace trezoru, pojištění hotovosti apod.), b) prostory, které nesplňují standardy bezpečnosti. Pro každou kategorii režimových prostor jsou stanoveny jiné limity ukládané hotovosti. 16.4 Veškeré informace o způsobu ukládání finanční hotovosti a o přepravě finanční hotovosti nesmí být zpřístupněny nepovolaným osobám. 16.5 Gestorem ochrany hotovosti a cenin je odbor finanční, který proces ochrany hotovosti a cenin metodicky řídí a kontroluje. Odbor finanční stanovuje základní pravidla pro manipulaci s peněžní hotovostí, ceninami a šeky. 16.6 Ředitel organizační jednotky stanoví režim pro manipulaci a přepravu finančních hotovostí a jiných hodnot a odpovídá za realizaci příslušných pravidel a vlastní ochranu hotovosti a cenin. ČÁST ŠESTÁ OCHRANA INFORMAČNÍCH AKTIV Článek 17 17.1 Ochrana informačních aktiv je soubor opatření, který zahrnuje vznik informací, jejich kategorizaci, způsob uchovávání, předávání, zpracovávání, evidování, nakládání s nimi a okruh osob, které se mohou s nimi seznamovat. Tento soubor 14/23

opatření je zaměřený na to, aby se s informací nemohla seznámit nepovolaná osoba, a zahrnuje ochranu osob, které jsou nositeli informací. Cílem ochrany informací je zachování důvěrnosti, integrity a dostupnosti dat a informací v souladu s platnou legislativou ČR a dokumenty vnitropodnikové legislativy. 17.2 V rámci SŽDC se informace dělí: a) informace veřejné, b) informace mající charakter obchodního tajemství ve smyslu zákona č. 513/1991 Sb., obchodní zákoník, ve znění pozdějších předpisů, c) informace utajované z pohledu zákona č. 412/2005 Sb. Článek 18 18.1 Gestorem poskytování informací veřejných a poskytování informací ve smyslu zákona č. 106/1999 Sb., ve znění pozdějších předpisů, je odbor komunikace. 18.2 Odbor komunikace stanovuje vnitřním normativním aktem pravidla poskytování informací v souladu s platnou legislativou. 18.3 Gestorem poskytování provozních dat (např. informace o poloze vlaků, data informačních systémů pro cestující, Portál provozování dráhy) je odbor základního provozu. Článek 19 19.1 Informace mající charakter obchodního tajemství v tištěné i elektronické podobě musí být bezpečně uloženy a zajištěny před neoprávněným přístupem. Za evidenci a distribuci těchto informací odpovídá zpracovatel. Za bezpečné uložení informací odpovídá zpracovatel informací, příjemce informací a provozovatel informačního systému. 19.2 Porušení pravidel pro nakládání s informacemi mající charakter obchodního tajemství je považováno za porušení povinností vyplývajících z právních předpisů vztahujících se k zaměstnancem vykonávané práci zvlášť hrubým způsobem. 19.3 Odpovědnost za metodické ochrany informací mající charakter obchodního tajemství v procesu zadávání veřejných zakázek má. Ředitelé organizačních jednotek jsou odpovědni za realizaci a dodržování pravidel pro nakládání s informacemi mající charakter obchodního tajemství. Článek 20 20.1 Základní pravidla pro vznik a manipulaci s utajovanými informacemi jsou definovány zákonem č. 412/2005 Sb. a příslušnými prováděcími vyhláškami. 20.2 Bezpečnostní ředitel krizového odpovídá za upřesnění jednotlivých pravidel v souladu s výše uvedeným zákonem a vyhláškami do podmínek SŽDC. 20.3 Upřesnění je realizováno prostřednictvím příslušných odborných opatření ředitele odboru krizového. Návazné činnosti a postupy řídí a jejich realizaci kontroluje. 15/23

ČÁST SEDMÁ BEZPEČNOST INFORMAČNÍCH SYSTÉMŮ A TECHNOLOGIÍ Článek 21 21.1 Informačním systémem (dále jen IS ) je jeden nebo více počítačů včetně jejich programového vybavení, příslušná periferní za. Informační technologie (dále jen IT ) zahrnuje správu informačního systému a k tomuto systému se vztahující procesy nebo prostředky schopné provádět sběr, tvorbu, zpracování, ukládání, zobrazení nebo přenos informací. 21.2 Certifikovaný informační systém podle vyhlášky NBÚ č. 53/2005 Sb. o bezpečnosti informačních a komunikačních systémů, ve znění pozdějších předpisů, slouží k nakládání s utajovanými informacemi ve smyslu zákona č. 412/2005 Sb. 21.3 Pro zajištění bezpečnosti IS jsou využívány tyto základní prostředky, postupy a opatření: a) ohodnocení aktiv a provedení analýzy rizik, b) zajištění fyzické ochrany IT s tím, že centrální servery, za pro ukládání dat a klíčová komunikační za jsou umisťována do režimových prostor, c) řízený přístup k IT a k aplikacím IS s využitím identifikačních a autentizačních prostředků a se zamezením přístupu nepovolaných osob k IT/IS, d) řízené přidělování přístupových práv k jednotlivým systémům a aplikacím, e) ochrana přístupu k uživatelským účtům jménem a heslem s vynucením změny hesla v určených intervalech splňujícím password komplexity, f) šifrování důvěrných dat při přenosu nedůvěryhodnými sítěmi, g) logické oddělení sítě IS SŽDC od sítě internet, h) systémový bezpečnostní audit s pravidelným vyhodnocováním logů a s řešením bezpečnostních incidentů, i) bezpečné ukládání zálohovaných dat, j) instalace a pravidelná aktualizace antivirové ochrany, k) pravidelná instalace důležitých bezpečnostních záplat, l) zpracování a pravidelná aktualizace plánu obnovy IS/IT v rámci procesu zachování kontinuity činností. 21.4 Ředitel odboru informatiky je odpovědný za definování pravidel a metodickou kontrolu systému bezpečnosti informací. Odbor informatiky zpracovává Bezpečnostní politiku IS a IT, kterou pak konkretizuje v provozním řádu informatiky SŽDC. 21.5 Odbor krizového, ve spolupráci s určenými zaměstnanci odboru informatiky, je odpovědný za definování pravidel, metodické a používání certifikovaného informačního systému. 16/23

21.6 Ředitelé organizačních jednotek jsou odpovědni za realizaci a dodržování definovaných pravidel. ČÁST OSMÁ PERSONÁLNÍ BEZPEČNOST A OCHRANA OSOBNÍCH ÚDAJŮ Článek 22 22.1 Personální bezpečnost je soubor opatření, jehož cílem je zabezpečit, aby byla v maximální možné míře zajištěna ochrana majetku, informací a dalších aktiv SŽDC. Opatření zároveň splňují podmínky pro ochranu utajovaných informací, osobních údajů a informací svěřených SŽDC obchodními partnery. 22.2 V SŽDC jsou přijímána opatření k zajištění ochrany zaměstnanců a dalších osob (např. zákazníků a dodavatelů SŽDC) ve smyslu realizace stanovených bezpečnostních standardů, opatření a postupů v objektech SŽDC. 22.3 Součástí personální bezpečnosti je definování zaměstnaneckých pozic pro zpracování utajovaných informací podle zákona č. 412/2005 Sb. a realizace návazných personálních postupů. 22.4 Opatření k ochraně majetku a ostatních aktiv, s nimiž má SŽDC právo hospodařit, v soustavě opatření personální bezpečnosti je realizováno prostřednictvím ověřování bezúhonnosti a spolehlivosti zaměstnanců v procesu jejich výběru, přijímání a průběhu zaměstnání. 22.5 U zaměstnanců, kteří jsou zařazeni na pracovní pozice vedoucích zaměstnanců nebo na pozice, kde se seznamují s citlivými informacemi, jsou průběžně ověřovány skutečnosti, které by mohly v konečném důsledku vést ke ztrátě spolehlivosti a bezúhonnosti. 22.6 Za zpracování seznamu zaměstnaneckých funkcí, u kterých se předpokládá přístup k utajovaným informacím podle zákona č. 412/2005 Sb. odpovídá odbor krizového. Článek 23 23.1 Personální bezpečnost při ochraně utajovaných informací ve smyslu zákona č. 412/2005 Sb. je realizována: a) výběrem zaměstnanců pro funkce, kde je potřebné seznamovat se s utajovanými informacemi a ověřováním splnění podmínek pro přístup k utajovaným informacím, b) ověřováním bezpečnostní způsobilosti zaměstnanců vykonávající citlivou činnost ve smyslu 157a zákona č. 137/2006 Sb., o veřejných zakázkách, ve znění pozdějších předpisů, cestou Národního bezpečnostního úřadu, c) pravidelným ověřováním splnění podmínek pro přístup k utajovaným informacím, d) pravidelným proškolováním zaměstnanců z právních předpisů v oblasti ochrany utajovaných informací. 17/23

23.2 Výkon a provádění personální bezpečnosti při ochraně utajovaných informací se řídí zákonem č. 412/2005 Sb., souvisejícími nami vlády České republiky a vyhláškami Národního bezpečnostního úřadu v platném znění. 23.3 Za uplatňování, realizaci a plnění podmínek daných legislativními normami v podmínkách SŽDC odpovídá generální ředitel SŽDC jako odpovědná osoba, resp. krizového jako bezpečnostní ředitel SŽDC podle zákona č. 412/2005 Sb. Článek 24 24.1 Ochranu osobních údajů ve smyslu zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů: a) opatření fyzické ochrany, b) opatření personálně - organizační, c) opatření pro automatizované zpracování osobních údajů. 24.2 Gestorem oblasti shromažďování, zpracovávání, uchovávání, zabezpečování a předávání osobních údajů ve smyslu 13 zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů, mimo oblast automatizovaného zpracování osobních údajů (kamerové systémy), je odbor personální. 24.3 Gestorem automatizovaného zpracování osobních údajů (kamerové systémy) je. 24.4 Ředitelé organizačních jednotek odpovídají za zpracování dokumentu Pokyn vedoucího zaměstnance pro ochranu osobních údajů. V případě zpracovávání osobních údajů prostřednictvím kamerových systémů odpovídají ředitelé organizačních jednotek za zpracování dokumentu Provozní řád pro ochranu osobních údajů. Článek 25 25.1 Nedílnou součástí personální bezpečnosti je i oblast bezpečnostního vzdělávání nejen v rámci vstupního školení nových zaměstnanců, ale i formou periodických školení pro všechny zaměstnance SŽDC: a) gestorem zpracování obsahu a realizaci bezpečnostního školení je odbor personální, b) gestorem organizace a provádění školení v oblasti ochrany utajovaných informací je. ČÁST DEVÁTÁ OCHRANA ŽIVOTNÍHO PROSTŘEDÍ Článek 26 26.1 Zajištění ochrany životního prostředí je nedílnou a nezastupitelnou součástí každodenní činnosti SŽDC a vychází ze zákona č. 17/1992 Sb., o životním 18/23

prostředí, ve znění pozdějších předpisů a příslušných prováděcích vyhlášek a přepisů. 26.2 Oblast životního prostředí, především stanovení koncepce ochrany životního prostření a ochrany veřejného zdraví v souladu se státní politikou životního prostředí a v souladu se závazky SŽDC plynoucími z členství v mezinárodních organizacích, je v gesci odboru provozuschopnosti. ČÁST DESÁTÁ OBLAST POŽÁRNÍ BEZPEČNOSTI Článek 27 27.1 Požární bezpečnost je nenahraditelný prvek bezpečnostního systému SŽDC. Celý systém preventivní požární ochrany vychází z požární bezpečnosti staveb, dále se zabývá požární bezpečností provozu a v případě požáru se zjišťují příčiny jeho vzniku a šíření. OS jsou odpovědny za realizaci a dodržování stanovených opatření a vytváření podmínek pro zajištění požární bezpečnosti během přípravy a realizace u všech staveb drah a staveb na dráze realizovaných v jejich působnosti. 27.2 Plnění odborných úkolů v oblasti preventivní požární ochrany je v OS SŽDC zabezpečováno především prostřednictvím OZO PO, které jsou bezprostředně spojené s provozováním činností a zabezpečují preventivní činnosti přímo na pracovištích s přihlédnutím ke konkrétním podmínkám a charakteru jednotlivých provozovaných činností. 27.3 Na plnění úkolů v oblasti požární bezpečnosti, zejména v procesu zjišťování a odstraňování nesouladu s právními předpisy a normativními požadavky, tj. zejména na vydávání adresných organizačně-technických opatření, se musí podílet kromě odborných zaměstnanců také všichni dotčení vedoucí zaměstnanci. 27.4 Nedílnou součástí bezpečnostního systému při ochraně životů a zdraví zaměstnanců jakož i majetku spravovaného SŽDC před požáry a při poskytování účinné pomoci při mimořádných událostech, které ohrožují život a zdraví, majetek nebo životní prostředí a které vyžadují provedení záchranných, resp. likvidačních prací, jsou i jednotky požární ochrany Hasičského záchranné služby SŽDC. 27.5 Gestorem koordinace, metodické a kontroly opatření k zajištění úkolů požární prevence v souladu s právním řádem ČR je. Při koordinaci plnění odborných úkolů v oblasti preventivní požární ochrany odbor krizového spolupracuje jak s dotčenými orgány a organizacemi státní správy (zejména s Hasičským záchranným sborem ČR), tak i OS SŽDC (zejména s Hasičskou záchrannou službou SŽDC, oblastními ředitelstvími a stavebními správami). ČÁST JEDENÁCTÁ BEZPEČNOST A OCHRANA ZDRAVÍ Článek 28 28.1 Oblast bezpečnosti a ochrany zdraví při práci (dále též BOZP ) je řešena v souladu s platnou legislativou. V podmínkách SŽDC je upravena mimo jiné Pracovním řádem SŽDC a příslušnými předpisy řešící oblast bezpečnosti a ochrany zdraví při práci. 19/23

28.2 Předpis řešící oblast BOZP v podmínkách SŽDC stanovuje základní podmínky a předpoklady k zajištění BOZP. Předpis je závazný pro všechny zaměstnance SŽDC a pro ostatní právnické a fyzické osoby, které na základě smluvního vztahu se SŽDC vykonávají pro SŽDC práce nebo jinou činnost a tímto smluvním vztahem jsou k tomu vázány. Výše uvedené subjekty musí znát a dodržovat další související zákony, vyhlášky, předpisy a příslušné technické normy, se kterými byli řádně a prokazatelně seznámeni. 28.3 Ředitel odboru personálního odpovídá za BOZP především v oblasti metodiky, realizace a kontroly dodržování pravidel včetně organizace, a zajištění povinného vzdělání v oblasti BOZP. ČÁST DVANÁCTÁ ZÁVĚREČNÁ USTANOVENÍ Článek 29 29.1 Na Bezpečnostní řád navazují další dokumenty vnitropodnikové legislativy SŽDC, které rozpracovávají a konkretizují jednotlivé oblasti. Aktualizace stávajících a vydání nových dokumentů vnitropodnikové legislativy, které mají návaznost na Bezpečnostní řád, bude provedeno do 31. 12. 2014. 29.2 Všichni zaměstnanci SŽDC budou prokazatelně seznámeni s tímto předpisem v duchu rozsahu znalostí uvedených na straně číslo 4. 29.3 Bezpečností řád nabývá účinnosti dnem 1. července 2013. 20/23

a) obecně závazné právní předpisy SOUVISEJÍCÍ PŘEDPISY A NORMY zákon č. 266/1994 Sb., o dráhách, ve znění pozdějších předpisů, zákon č. 239/2000 Sb., o integrovaném záchranném systému, ve znění pozdějších předpisů, zákon č. 240/2000 Sb., krizový zákon, ve znění pozdějších předpisů, zákon č. 241/2000 Sb., o hospodářských opatřeních pro krizové stavy, ve znění pozdějších předpisů, zákon č. 412/2005 Sb., o ochraně utajovaných informací a bezpečnostní spolehlivosti, ve znění pozdějších předpisů, zákon č. 101/2000 Sb., o ochraně osobních údajů, ve znění pozdějších předpisů, zákon č. 513/1991 Sb., obchodní zákoník, ve znění pozdějších předpisů, zákon č. 17/1992 Sb., o životním prostředí, ve znění pozdějších předpisů, zákon č. 137/2006 Sb., o veřejných zakázkách, ve znění pozdějších předpisů, zákon č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů. b) dokumenty vnitropodnikové legislativy SŽDC v platném znění R1 Organizační řád Správy železniční dopravní cesty, státní organizace, R1/1 Organizační řád generálního ředitelství, R4 Pracovní řád Správy železniční dopravní cesty, státní organizace. 21/23

Příloha 1 PŘEHLED ODPOVĚDNOSTI Příloha č. 1 k Bezpečnostnímu řádu SŽDC Oblast bezpečnosti Krizové Zpracování dokumentace krizového Systém bezpečnosti provozování dráhy a drážní dopravy Definování standardů pro kategorizaci objektů a vnitřních objektových prostor Kategorizace objektů a objektových prostor Klíčový režim Fyzická ostraha metodické Gestor SŽDC odbor systému bezpečnosti provozování dráhy odbor správní odbor správní Fyzická ostraha - realizace --- Pravidla vstupů, vjezdů, klíčový režim Vydávání průkazů zaměstnance SŽDC Ochrana hotovosti a cenin odbor správní odbor finanční Generální ředitelství Organizační jednotka Odpovědnost Zpracovatel Odpovědnost Zpracovatel krizového krizového krizového správního správního podle článku 6 tohoto řádu odbor správní odbor správní pro krizové pro krizové --- --- --- --- --- --- správního správního krizového finančního odbor správní odbor správní odbor finanční pro krizové 22/23

Oblast bezpečnosti Ochrana informačních aktiv (veřejné informace) Ochrana informačních aktiv (informace charakteru obchodního tajemství a utajované) Ochrana provozních dat Bezpečnost informačních systémů a technologií (mimo Certifikovaný informační systém) Personální bezpečnost Ochrana osobních údajů (mimo kamerových systémů) Ochrana osobních údajů (kamerové systémy) Oblast ochrany utajovaných informací (včetně Certifikovaného informačního systému) Požární bezpečnost BOZP Gestor SŽDC odbor komunikace odbor základního provozu odbor informatiky odbor personální odbor personální odbor personální Generální ředitelství Organizační jednotka Odpovědnost Zpracovatel Odpovědnost Zpracovatel komunikace krizového základního provozu informatiky personálního personálního krizového krizového krizového personálního odbor komunikace odbor základního provozu odbor informatiky odbor personální odbor personální odbor personální pro krizové OZO PO 23/23