Postavení MazeVault jako dodavatele subjektů regulovaných zákonem o kybernetické bezpečnosti a podklady pro hodnocení dodavatele
Verze: 1.0.0
Klasifikace: Důvěrné
Vlastník: Jednatel MAZEVAULT s.r.o.
Poslední aktualizace: 2026-05-01
Cyklus revize: Roční a při změně smluvní dokumentace nebo právní úpravy
Model poskytování služby a rozdělení odpovědnosti
MazeVault se poskytuje jako licencovaný software provozovaný u Zákazníka (on-premises nebo ve vlastním cloudovém tenantu Zákazníka), nikoli jako hostovaná služba.
- Poskytovatel (MAZEVAULT s.r.o.) vyvíjí Produkt, vydává aktualizace a bezpečnostní záplaty a poskytuje upstream produktovou podporu Partnerovi. Neprovozuje infrastrukturu Zákazníka, nehostuje Produkt ani data a standardně nemá přístup k prostředí ani datům Zákazníka (Licenční podmínky čl. VII; DPA čl. 2.3).
- Partner je nevýhradní reseller a jediný smluvní kontakt Zákazníka pro technickou podporu; SLA i DPA se uzavírají s Partnerem (SLA čl. 1.2, 3.1).
- Zákazník provozuje Produkt ve vlastní infrastruktuře, spravuje přístupy, šifrovací klíče, zálohy a obnovu (Licenční podmínky čl. IV, VII).
Poskytovatel negarantuje dostupnost Aplikace jako celku, dostupnost infrastruktury, RTO, RPO ani obnovu dat (SLA čl. 1.3). Užití Produktu samo o sobě nezakládá soulad Zákazníka se zákonem o kybernetické bezpečnosti ani NIS2 (Licenční podmínky čl. IX).
1. Postavení MazeVault
| Otázka |
Odpověď |
| Je MAZEVAULT s.r.o. povinnou osobou podle zákona č. 264/2025 Sb.? |
Ne. Nenaplňuje kritéria regulované služby (velikostní prahy ani regulovaný sektor). Poskytovatel toto posouzení každoročně přezkoumává; dojde-li ke změně, oznámí to Partnerovi a Zákazníkům. |
| Je MazeVault registrován u NÚKIB? |
Ne — registrační povinnost se na něj nevztahuje. |
| V jaké roli vystupuje vůči regulovanému Zákazníkovi? |
Dodavatel (poskytovatel softwaru a jeho údržby). Povinnosti vůči Zákazníkovi vyplývají výhradně ze smluvní dokumentace, nikoli přímo ze zákona. |
| Kdo plní povinnosti vůči NÚKIB (registrace, hlášení incidentů, bezpečnostní opatření)? |
Výhradně Zákazník jako poskytovatel regulované služby. |
2. Podklady pro hodnocení dodavatele
Regulovaný subjekt musí před uzavřením smlouvy a průběžně hodnotit rizika spojená s významnými dodavateli a promítnout bezpečnostní požadavky do smlouvy. Poskytovatel k tomu dává k dispozici:
| Podklad |
Kde |
Poznámka |
| Licenční podmínky, Seznam nezbytných programů |
Veřejně — viz Smluvní dokumenty |
Závazné znění |
| SLA, DPA, Objednávka |
Prostřednictvím Partnera |
Uzavírá Zákazník s Partnerem |
| Popis rozdělení odpovědnosti |
Tato stránka; DORA |
|
| Technický popis bezpečnostních vlastností Produktu |
Sekce Bezpečnost |
Šifrování, RBAC, autentizace, auditní log, správa klíčů — popis skutečně implementovaných funkcí |
| Podporované konfigurace a technické požadavky |
Seznam nezbytných programů (Příloha 5); Požadavky |
|
| Seznam podzpracovatelů a dodavatelů |
Seznam zpracovatelů a dodavatelů |
|
| SBOM (soupis softwarových komponent) k vydané verzi |
Na vyžádání na info@mazevault.com |
Generuje se automaticky při každém vydání |
| Výsledky skenování zranitelností k vydané verzi |
Na vyžádání, v rozsahu neohrožujícím bezpečnost Produktu (DPA čl. 10.1) |
Skenování komponent a závislostí probíhá při sestavení každé verze |
| Bezpečnostní doporučení (advisories) |
Partnerovi a Zákazníkům s aktivní licencí |
Viz Řešení incidentů a zranitelností |
| Kontaktní osoba pro bezpečnost |
info@mazevault.com (Poskytovatel); kontakty Partnera dle Objednávky |
|
Odpovědi na časté otázky bezpečnostních dotazníků jsou v oddílu 6; na dotazník ve vlastním formátu Zákazníka odpoví Poskytovatel individuálně.
3. Smluvní zajištění požadavků na dodavatele
Požadavky, které regulovaný subjekt zpravidla musí vůči významnému dodavateli smluvně zajistit, a kde jsou ve smluvní dokumentaci upraveny:
| Požadavek |
Smluvní úprava |
| Rozsah přístupu dodavatele k informacím a systémům |
Poskytovatel bez standardního přístupu (Licenční podmínky čl. VII; DPA čl. 2.3, 2.5); přístup Partnera dle rozsahu podpory/provozu (DPA čl. 2.2) |
| Bezpečnostní opatření dodavatele |
DPA Příloha B (technická a organizační opatření Partnera i Poskytovatele) |
| Bezpečnost dodávaného softwaru, aktualizace a záplaty |
Licenční podmínky čl. V; SLA čl. 10 a tabulka záplat (cílové vydání: kritická do 48 h, vysoká do 7 dnů, ostatní do 90 dnů); Seznam nezbytných programů |
| Hlášení incidentů a zranitelností |
Licenční podmínky čl. XI (Zákazník → Partner a Poskytovatel do 72 h); SLA čl. 8.2, 10.2 (Poskytovatel → Partner, předběžné varování do 4 h u aktivně zneužívané zranitelnosti); DPA čl. 7 (porušení zabezpečení osobních údajů do 24 h) |
| Komunikační kanály a kontaktní osoby |
Objednávka a SLA čl. 13; eskalace SLA čl. 12 |
| Právo na kontrolu / audit |
DPA čl. 10 — podklady na vyžádání; audit nezávislým auditorem nejvýše 1× ročně s oznámením 20 pracovních dnů předem; bez omezení při důvodném podezření nebo na pokyn dozorového úřadu |
| Řetězení dodavatelů (subdodavatelé) |
DPA čl. 8 (oznámení 30 dnů předem, námitka do 15 pracovních dnů); Seznam zpracovatelů a dodavatelů |
| Oznamování změn |
Změny Licenčních podmínek 30 dnů předem (čl. XII); konec podpory verze 3 měsíce předem (Licenční podmínky čl. V) |
| Ukončení smlouvy a výstup |
Licenční podmínky čl. X; DPA čl. 11; data trvale v infrastruktuře Zákazníka |
| Odpovědnost |
Licenční podmínky čl. IX |
| Mlčenlivost |
Licenční podmínky čl. VIII (5 let po skončení; u zdrojových kódů a bezpečnostních mechanismů bez omezení) |
| Pojištění odpovědnosti |
Licenční podmínky čl. XII — Poskytovatel udržuje pojištění profesní a produktové odpovědnosti; potvrzení na odůvodněnou výzvu |
Požaduje-li Zákazník ustanovení nad tento rámec (např. podle prováděcí vyhlášky pro svůj režim povinností), sjednává se dodatkem k Objednávce — kontaktujte Partnera.
4. Incidenty a zranitelnosti
Poskytovatel incidenty v prostředí Zákazníka nedetekuje — nemá k němu přístup. Oznamovací řetězec a lhůty jsou popsány v dokumentu Řešení bezpečnostních incidentů a zranitelností. Hlášení incidentů NÚKIB je povinností Zákazníka; Poskytovatel prostřednictvím Partnera poskytne dostupné informace o příčině a nápravě vady Produktu.
5. Co Poskytovatel nezajišťuje
- provoz, monitoring, zálohování a obnovu prostředí Zákazníka,
- garanci dostupnosti, RTO, RPO ani servisní kredity,
- přímou technickou podporu Zákazníkovi (zajišťuje Partner),
- plnění povinností Zákazníka vůči NÚKIB,
- poradenství o regulatorním souladu Zákazníka (Licenční podmínky čl. IX).
6. Odpovědi na časté otázky bezpečnostního dotazníku
Odpovědi popisují skutečně implementované vlastnosti Produktu a skutečné postupy Poskytovatele. Kde je něco odpovědností Zákazníka jako provozovatele, je to výslovně uvedeno. Na dotazník Zákazníka ve vlastním formátu odpoví Poskytovatel individuálně na základě těchto podkladů.
6.1 Ochrana dat a šifrování
| Otázka |
Odpověď |
| Šifrujete data v klidu? |
Ano. Bezpečnostní aktiva (tajemství, privátní klíče) jsou v databázi šifrována AES-256-GCM; šifrování nelze v Produktu vypnout. Šifrování disků a záloh zajišťuje Zákazník ve své infrastruktuře. Podrobně: Šifrování. |
| Jaký šifrovací algoritmus používáte? |
AES-256-GCM (NIST SP 800-38D) s náhodným nonce a autentizačním tagem; odvozování klíčů HKDF-SHA256; certifikáty RSA 2048/4096 a ECDSA P-256/P-384. |
| Podporujete HSM / externí správu klíčů? |
Ano. Integrace Azure Managed HSM / Key Vault, AWS CloudHSM, Google Cloud KMS a HSM přes PKCS#11; externí úložiště tajemství HashiCorp Vault, Azure Key Vault, AWS Secrets Manager. Konfiguruje a provozuje Zákazník. |
| Kde jsou data uložena? |
Výhradně v infrastruktuře provozované Zákazníkem (on-premise nebo vlastní cloudový tenant Zákazníka). Poskytovatel zákaznická data nehostuje a nemá k nim přístup. |
| Jsou data šifrována při přenosu? |
Ano. TLS 1.2+ na všech rozhraních; mTLS mezi agentem a serverem. |
| Kdo kontroluje šifrovací klíče? |
Zákazník. Hlavní šifrovací klíč i klíče v HSM generuje, vlastní a kontroluje Zákazník (Licenční podmínky čl. VII). Poskytovatel nemá přístup k nešifrovanému obsahu Bezpečnostních aktiv. |
6.2 Řízení přístupu a autentizace
| Otázka |
Odpověď |
| Jak řídíte přístup? |
RBAC s 8 vestavěnými rolemi (Viewer, User, Certificate Manager, Secret Manager, Project Admin, Admin, Auditor, Finance), vlastními rolemi a granulárními oprávněními; oddělení domén certifikátů a tajemství; izolace na úrovni projektů. Podrobně: RBAC. |
| Podporujete MFA? |
Ano. TOTP (kompatibilní s běžnými autentizátory) s možností vynucení pro role nebo všechny uživatele. |
| Podporujete SSO? |
Ano. Microsoft Entra ID (OpenID Connect), LDAP / Active Directory a Kerberos/SPNEGO. Integrace s identity providerem Zákazníka. Podrobně: Autentizace. |
| Jak jsou spravovány servisní/strojové přístupy? |
API tokeny s omezenými oprávněními a expirací; agenti s mTLS identitou. |
| Jak je řízena správa relací? |
Tokenové relace, konfigurovatelný časový limit nečinnosti (výchozí 30 min), možnost zneplatnění relace administrátorem. |
| Provádíte přezkum přístupů? |
V Produktu: nástroje pro Zákazníka (přehled uživatelů a rolí, auditní záznamy). U Poskytovatele: čtvrtletní přezkum přístupů ke zdrojovému kódu, registru obrazů a licenčnímu serveru; odebrání přístupu do 1 pracovního dne po skončení spolupráce. |
6.3 Audit a logování
| Otázka |
Odpověď |
| Máte auditní logování? |
Ano. Auditní záznamy všech bezpečnostně významných operací s řetězením hashů (SHA-256, každý záznam obsahuje hash předchozího) — manipulace je detekovatelná. Podrobně: Auditní logování. |
| Jaká je retence logů? |
Nastavuje Zákazník podle svých povinností; Poskytovatel konkrétní retenci negarantuje (SLA čl. 11). Dlouhodobý archiv zajišťuje Zákazník v SIEM/archivu. |
| Lze logy exportovat? |
Ano. JSON export s ověřením integrity; streamování do Elasticsearch/ELK, Splunk (HEC), syslog (CEF/LEEF — např. Microsoft Sentinel, IBM QRadar) a webhook. |
| Lze integritu logů nezávisle ověřit? |
Ano, Zákazník může hash řetězec ověřit vlastními nástroji nad exportem. |
6.4 Řízení zranitelností a bezpečný vývoj
| Otázka |
Odpověď |
| Jak řešíte zranitelnosti? |
Automatizované skenování závislostí a kontejnerových obrazů při každém sestavení (Trivy, govulncheck, npm audit) a pravidelné skenování vydaných verzí na nové CVE. Cílové lhůty vydání záplat dle SLA: kritická do 48 h, vysoká do 7 dnů, ostatní do 90 dnů. |
| Jak spravujete závislosti? |
Automatizované sledování aktualizací (Dependabot / Renovate); změny procházejí revizí a CI branami. |
| Máte SBOM? |
Ano. SBOM se generuje automaticky při každém vydání; Poskytovatel jej k vydané verzi poskytne na vyžádání. |
| Provádíte penetrační testování? |
Ano. Nezávislý penetrační test Produktu třetí stranou byl proveden v roce 2026; shrnutí výsledků poskytne Poskytovatel na vyžádání v rozsahu neohrožujícím bezpečnost. Poskytovatel dále provádí automatizované bezpečnostní testování v CI. Zákazník může testovat ve svém prostředí (Licenční podmínky čl. III). |
| Máte program zodpovědného zveřejnění? |
Ano. Hlášení na info@mazevault.com; žádost o nezveřejnění do vydání opravy (Licenční podmínky čl. XI). |
| Jak probíhá vývoj a vydávání? |
Každá změna přes pull request s revizí druhou osobou; automatizované testy a bezpečnostní skeny jako podmínka sloučení; vydání schvaluje a podepisuje výhradně jednatel Poskytovatele. |
6.5 Reakce na incidenty
| Otázka |
Odpověď |
| Máte plán reakce na incidenty? |
Ano — interní plán Poskytovatele pro vady a zranitelnosti Produktu a pro vlastní systémy; zákaznický popis: Řešení incidentů a zranitelností. Incidenty v prostředí Zákazníka řeší Zákazník. |
| Jak rychle nás budete informovat? |
Řetězcem Poskytovatel → Partner → Zákazník. Aktivně zneužívaná zranitelnost: varování Partnerovi do 4 h (SLA čl. 10.2). Porušení zabezpečení osobních údajů: do 24 h (DPA čl. 7.1). |
| Jak jsou incidenty klasifikovány? |
P1–P4 dle SLA čl. 5 podle dopadu na důvěrnost, integritu a dostupnost; zranitelnosti dle CVSS v3.1. |
| Testujete reakci na incidenty? |
Poskytovatel provádí roční stolní cvičení a přezkum po každém incidentu P1/P2. |
6.6 Kontinuita a obnova
| Otázka |
Odpověď |
| Máte BCP/DRP? |
Poskytovatel udržuje plán kontinuity vlastní činnosti (vývoj, vydávání, licenční server) s ročním testem obnovy. Kontinuitu provozu Produktu, zálohy, RTO/RPO zajišťuje Zákazník (SLA čl. 1.3). Podrobně: Kontinuita poskytování Produktu. |
| Je provoz závislý na vašich systémech? |
Produkt ověřuje licenci 1× denně; při nedostupnosti licenčního serveru běží dál na posledním ověřeném stavu. Po skončení předplatného 14denní ochranná lhůta. Jiná běhová závislost neexistuje. |
| Jakou odolnost Produkt podporuje? |
Nasazení ve více replikách (Kubernetes), failover Gateway aktivní/pasivní, replikaci databáze — vše nasazuje a provozuje Zákazník. |
| Jak jsou prováděny zálohy? |
Zálohy databáze, konfigurace a klíčů provádí Zákazník podle dokumentace. Poskytovatel zálohuje pouze vlastní licenční server (denně). |
6.7 Infrastruktura a nasazení
| Otázka |
Odpověď |
| Jakého poskytovatele cloudu používáte? |
Pro zákaznická data žádného — Produkt běží v infrastruktuře Zákazníka. Poskytovatel provozuje pouze licenční server u poskytovatele serverové infrastruktury v EU. |
| Máte segregaci prostředí? |
Poskytovatel odděluje vývoj, testování a vydávání; vývojová prostředí neobsahují zákaznická data (Poskytovatel je nemá). Segregaci vlastních prostředí (neprodukční/produkční) definuje Zákazník. |
| Používáte kontejnery? |
Ano. Produkt je dodáván jako kontejnerové obrazy (Docker Compose, Helm/Kubernetes); obrazy jsou skenovány při každém sestavení; podepsané artefakty vydání. |
| Jaké jsou síťové požadavky? |
Viz Seznam nezbytných programů (Příloha 5) čl. 4.3 — povinné HTTPS, interní porty nesmí být vystaveny do internetu, odchozí HTTPS na licenční server a volitelné integrace. |
6.8 Governance a soulad
| Otázka |
Odpověď |
| Jaké předpisy se na vás vztahují? |
GDPR (správce licenčních metadat, podmíněný podzpracovatel); nařízení o kybernetické odolnosti (CRA, EU 2024/2847) jako výrobce softwaru — povinnosti hlášení zranitelností od 9/2026, úplná shoda do 12/2027. Nejsme povinnou osobou dle zákona č. 264/2025 Sb. ani kritickým poskytovatelem dle DORA. |
| Máte bezpečnostní certifikace? |
Ne. Poskytovatel nemá certifikaci ISO/IEC 27001 ani zprávu SOC 2. Má zavedenou bezpečnostní politiku a postupy, které poskytne na vyžádání (DPA čl. 10.1). |
| Kdo odpovídá za bezpečnost? |
Jednatel Poskytovatele jako statutární orgán a odpovědná osoba za bezpečnost informací a ochranu osobních údajů. Kontakt: info@mazevault.com. |
| Jak často revidujete politiky? |
Ročně a při změně smluvní dokumentace, právní úpravy nebo organizace. |
| Máte pojištění odpovědnosti? |
Ano — profesní odpovědnost při vývoji softwaru vč. kybernetických rizik; potvrzení na odůvodněnou výzvu (Licenční podmínky čl. XII). |
6.9 Personál a dodavatelé
| Otázka |
Odpověď |
| Kdo vyvíjí Produkt? |
Jednatel Poskytovatele a externí smluvní vývojáři vázaní mlčenlivostí (bez časového omezení u zdrojového kódu), bez přístupu k zákaznickým datům a bez práva vydávat verze. |
| Školíte personál? |
Roční seznámení s bezpečnostní politikou a bezpečným vývojem (OWASP Top 10, práce s tajemstvími) pro jednatele i vývojáře. |
| Co se děje při ukončení spolupráce? |
Odebrání přístupů do 1 pracovního dne; vrácení/výmaz kopií kódu; mlčenlivost trvá. |
| Používáte podzpracovatele? |
Pro osobní údaje Zákazníka žádného dalšího. Dodavatelé Poskytovatele bez přístupu k zákaznickým datům jsou uvedeni v Seznamu zpracovatelů a dodavatelů; změny 30 dnů předem. |
| Máte exit postupy? |
Data jsou trvale v infrastruktuře Zákazníka a exportovatelná ve standardních formátech; po skončení předplatného 14denní ochranná lhůta (Licenční podmínky čl. X); podpora přechodu přes Partnera. |
7. Kontakty
| Účel |
Kontakt |
| Bezpečnostní oznámení, zranitelnosti, GDPR, právní záležitosti |
info@mazevault.com (Poskytovatel) |
| Technická podpora, incidenty, eskalace |
Partner — kanál dle Objednávky |