PRÍSTUP K PROJEKTU

Vzor pre manažérsky výstup I-03

podľa vyhlášky MIRRI č. 401/2023 Z. z.

Schvaľovanie dokumentu

1. História DOKUMENTU

1. Účel dokumentu

V súlade s vyhláškou č. 401/2023 Z. z. je dokument I-02 Projektový zámer určený na rozpracovanie detailných informácií prípravy projektu, aby bolo možné rozhodnúť o pokračovaní prípravy projektu, pláne realizácie, alokovaní rozpočtu a ľudských zdrojov. Dokument Projektový zámer v zmysle vyššie uvedenej vyhlášky má obsahovať manažérske zhrnutie, rozsah, ciele a motiváciu na realizáciu projektu, zainteresované strany, alternatívy, návrh merateľných ukazovateľov, detailný opis požadovaných projektových výstupov, detailný opis obmedzení, predpokladov, tolerancií a návrh organizačného zabezpečenia projektu, detailný opis rozpočtu projektu a jeho prínosov, náhľad architektúry a harmonogram projektu so zoznamom rizík a závislostí.

Obsah

1.     História DOKUMENTU.. 1

2.     Účel dokumentu. 1

2.1      Použité skratky a pojmy. 4

2.2      Konvencie pre typy požiadaviek (príklady) 5

3.     Popis navrhovaného riešenia. 6

3.1      Kontext ku navrhovanému riešeniu. 6

3.2      Realizovanie aktivít v projekte v zmysle výzvy: 6

3.3      Zameranie projektu: 7

4.     Architektúra riešenia projektu.. 9

4.1      Biznis vrstva. 9

4.1.1       Prehľad koncových služieb – budúci stav: 10

4.2      Aplikačná vrstva. 10

4.2.1       Rozsah informačných systémov – AS IS. 12

4.2.2       Rozsah informačných systémov – TO BE. 12

4.2.3       Využívanie nadrezortných a spoločných ISVS – AS IS. 13

4.2.4       Prehľad plánovaných integrácií ISVS na nadrezortné ISVS – spoločné moduly podľa zákona č. 305/2013  e-Governmente – TO BE   13

4.2.5       Prehľad plánovaného využívania iných ISVS (integrácie) – TO BE. 13

4.2.6       Aplikačné služby pre realizáciu koncových služieb – TO BE. 13

4.2.7       Aplikačné služby na integráciu – TO BE. 13

4.2.8       Poskytovanie údajov z ISVS do IS CPDI – TO BE. 15

4.2.9       Konzumovanie údajov z IS CPDI – TO BE. 18

4.3      Dátová vrstva. 19

4.3.1       Údaje v správe organizácie. 19

4.3.2       Dátový rozsah projektu - Prehľad objektov evidencie - TO BE. 22

4.3.3       Referenčné údaje. 23

4.3.4       Kvalita a čistenie údajov. 23

4.3.5       Otvorené údaje. 28

4.3.6       Analytické údaje. 29

4.3.7       Moje údaje. 29

4.3.8       Legislatíva. 48

4.3.9       Prehľad jednotlivých kategórií údajov. 53

4.4      Technologická vrstva. 54

4.4.1       Prehľad technologického stavu - AS IS. 54

4.4.2       Požiadavky na výkonnostné parametre, kapacitné požiadavky – TO BE. 55

4.4.3       Návrh riešenia technologickej architektúry. 57

4.4.4       Využívanie služieb z katalógu služieb vládneho cloudu. 58

4.5      Bezpečnostná architektúra. 59

4.5.1       Postupy pre vytvorenie resp. revíziu bezpečnostného zámeru a DPIA. 59

4.5.2       Metodika pre DPIA. 63

5.     Závislosti na ostatné ISVS / projekty. 64

6.     Zdrojové kódy. 64

8.     Prevádzka a údržba. 65

8.1.1       Úrovne podpory používateľov. 65

8.1.2       SLA (Service Level Agreement) 66

8.1.3       Riešenie incidentov – SLA parametre. 66

8.2      Požadovaná dostupnosť IS: 69

8.2.1       Dostupnosť (Availability) 69

8.2.2       RTO (Recovery Time Objective) 69

8.2.3       RPO (Recovery Point Objective) 70

10.      Požiadavky na personál. 71

10.1     riadiaci výbor A PROJEKTOVÝ TÍM.. 71

10.2     PRACOVNÉ NÁPLNE. 72

10.2.1     Pôsobnosť a úlohy Riadiaceho výboru. 72

10.2.2     Pracovná náplň projektového tímu. 73

11.      Implementácia a preberanie výstupov projektu.. 75

11.1     Pravidlá pre riadenie kvality a požiadavky na kvalitu výstupov. 75

11.2     Pravidlá pre riadenie zmien. 75

12.      PRÍLOHY. 76

Tabuľka 1: Realizácia aktivít v projekt v zmysle výzvy.. 7

Tabuľka 2: Zoznam plánovaných služieb. 14

Tabuľka 3: Prehlaď interných a externých kapacít pre realizáciu systematického manažmentu v rámci aktivity A7.. 22

Tabuľka 4: Dátový rozsah projektu.. 23

Tabuľka 5: Tabuľka špecifikuje jednotlivé procesy spracovania údajov. 32

Tabuľka 6: Typy informácií s odkazom na článok nariadenia GDPR.. 32

Tabuľka 7: Popis  požiadavky na odber informácií o prístupe k údajom... 33

Tabuľka 8: Popis informácii s rozpadom na atribúty o prístupe k údajom... 35

Tabuľka 9: Súhrnný pohľad pre realizáciu legislatívno-právnej oblasti projektu.. 53

Tabuľka 10: Rozsah ISVS v projekte pre realizáciu BP a DPIA.. 59

Tabuľka 11: Vzor riadiaceho výboru.. 72

Tabuľka 12: Popis práce a zodpovedností jednotlivých projektových rolí 74

Obrázok 1: Prehľad biznisových služieb. 10

Obrázok 2: Navrhovaná platforma manažmentu údajov MD SR.. 11

Obrázok 3: Schéma riešenia transformačného modulu.. 27

Obrázok 4: Komunikácia s externými entitami 30

Obrázok 5: Schéma prihlásenia sa k informáciám... 33

Obrázok 6: Schéma informácie o prístupe k osobným údajom... 34

1. 1. Použité skratky a pojmy

1. 1. Konvencie pre typy požiadaviek (príklady)

Hlavné kategórie požiadaviek v zmysle katalógu požiadaviek sú rozdelené na:

• Funkčné,
• Nefunkčné,
• Technické.

Oblasti požiadaviek sú pre projekt rozdelené nasledovne:

Funkčné požiadavky používajú konvenciu: ID_číslo

Nefunkčné požiadavky používajú konvenciu: NP_ číslo

Ostatné typy požiadaviek môžu byť v neskoršej fáze projektu (realizačná fáza) upravené prípadne dodefinované PM (objednávateľom/zhotoviteľ).

1. Popis navrhovaného riešenia

1. 1. Kontext ku navrhovanému riešeniu 

Cieľom projektu je posilnenie informačného systému IS MOU, najmä pokiaľ ide o automatizáciu a efektívne spravovanie notifikácií. V rámci Ministerstva dopravy  SR sa tento projekt zameriava na rozšírenie funkčnosti informačného systému JISCD - Jednotný informačný systém v cestnej doprave  (isvs_4867), ktorý zabezpečuje efektívne riadenie, evidenciu a kontrolu výkonu štátnej správy na úseku dopravy, konkrétne v oblasti správy autoškôl, v oblasti správy technických služieb a v oblasti riadenia odborných spôsobilostí v cestnej doprave. JISCD znamená značný prínos pre občanov a podnikateľské subjekty, ktorým uľahčuje komunikáciu s orgánmi verejnej správy na úseku dopravy a poverenými organizáciami. Taktiež im zjednodušuje a zefektívňuje vybavovanie svojich záležitostí v tejto oblasti a zabezpečuje prehľadnejšie a modernejšie rozhranie na riešenie rôznych životných situácií v oblasti dopravy a cestnej premávky.

Tieto údaje sú kritické a ich správne spracovanie je nevyhnutné pre správne fungovanie agendy Ministerstva.

Projekt sa zameriava aj na zvýšenie kvality a presnosti týchto údajov (aktivita A2), čo zahŕňa podporu nástrojov na správu údajov a procesov.

Ďalším dôležitým aspektom projektu je bezpečnosť. Systém prejde dôkladným bezpečnostným auditom a bude aktualizovaný a doplnený o nové bezpečnostné opatrenia, ktoré zaručia ochranu citlivých osobných údajov, ako je definované v bezpečnostnom projekte pre systém JISCD.

Ďalej je potrebné spomenúť, že projekt zahŕňa aj aktualizáciu Dôslednej analýzy vplyvu na ochranu údajov (DPIA) v súlade s nariadením GDPR. Tento dokument bude obsahovať dôkladnú analýzu rizík a zabezpečí, že všetky procesy spracúvania údajov budú v súlade s najnovšími legislatívnymi požiadavkami na ochranu osobných údajov.

Celkovo povedané, tento projekt nie je len o rozšírení a zlepšení funkcionality informačného systému, ale aj o zabezpečení, že bude plne súčasný a schopný efektívne reagovať na budúce výzvy a požiadavky štátnej správy.

1. 1. Realizovanie aktivít v projekte v zmysle výzvy:

Tu je prehľadná tabuľka, ktorá sumarizuje predmety, podaktivity a podmienky uvedené v texte:

Tabuľka 1: Realizácia aktivít v projekt v zmysle výzvy

1.  
   1. Zameranie projektu:

Projekt bude zameraný na rozvoj informačného systému ISVS_4867 o FP:

1. Notifikácia o spracovaní osobných údajov: Informovanie dotknutých osôb o prezretí alebo spracovaní ich údajov.
2. Distribúcia/poskytovanie údajov zmenových dávok: Napr. informácia o zmene osobných údajov
3. Notifikácia o zmene osobných údajov (log): Zaznamenávanie a informovanie o zmene osobných údajov, súčasne vývoj Funkcionality pre podnety na opravu údajov
4. Notifikácia o vzniku/zápisu osobných údajov (log): Zaznamenávanie a informovanie o vzniku nových údajov.
5. Notifikácia o ukončení platnosti osobných údajov (log): Informovanie o ukončení platnosti údajov.
6. Notifikácia o vymazaní osobných údajov (log): Zaznamenávanie a informovanie o vymazaní údajov.
7. Notifikácia o zmene stavu procesu (log): Informovanie o stave spracovania údajov.

Cieľom projektu je posilnenie informačného systému IS MOU, najmä pokiaľ ide o automatizáciu a efektívne spravovanie notifikácií. V rámci projektu sa Ministerstva doprava SR zameriava na rozšírenie funkčnosti informačného systému Jednotný informačný systém v cestnej doprave JISCD (ISVS_4867), ktorý slúži ako zdrojový systém pre evidenciu dôležitých údajov v nasledovnom rozsahu:

V súčasnosti neexistuje žiadna integrácia akéhokoľvek systému Ministerstva na centrálny komponent IS CPDI v správe MIRRI

1. 1.  
2. Architektúra riešenia projektu

MD SR v súčasnosti čelí viacerým výzvam pri správe kmeňových údajov. Rezort má prístup k veľkému množstvu kritických údajov (ako sú údaje o občanoch, vozidlách, zbraniach, pasoch a iné), ktoré sú uložené v rôznych informačných systémoch. Tieto systémy fungujú často izolovane, bez centralizovaného manažmentu, čo vedie k nedostatku harmonizácie a ťažkostiam pri zabezpečení jednotnej kvality údajov. Tento fragmentovaný prístup komplikuje výmenu údajov medzi rôznymi inštitúciami a rezortmi, čo spôsobuje duplicitu a zníženie efektivity. MD SR nemá v súčasnosti plne funkčnú platformu na správu kmeňových údajov, ktorá by zabezpečila centralizovanú správu, aktualizáciu a kvalitu údajov. Existuje zrejmá snaha o vybudovanie takejto platformy, ktorá by bola schopná spravovať a riadiť kmeňové údaje (napríklad adresy, osobné údaje, údaje o vozidlách, EK, TK, atď.).

Práve preto má MD SR ambíciu tieto problémy riešiť vytvorením rezortnej platformy manažmentu údajov MD SR. Cieľom tejto platformy je zabezpečiť jednotné a centralizované riadenie údajov, ich kvality, ako aj interoperabilitu medzi rôznymi systémami v rámci štátu. Z praxe vyplýva, že kvalitné dátové štandardy, spolu s efektívnymi nástrojmi na ich validáciu, čistenie a konsolidáciu, sú nevyhnutné pre zabezpečenie správnosti a aktuálnosti údajov.

Z praktického hľadiska je jasné, že ak bude táto rezortná platforma úspešne implementovaná, MD SR sa stane kľúčovým správcom jedného z najdôležitejších dopravných údajov v štáte. Tým sa zlepší nielen kvalita údajov, ale aj efektivita verejných služieb, čím sa občanom Slovenskej republiky poskytne lepší a rýchlejší prístup k správnym a aktuálnym informáciám. Centralizácia správy údajov navyše umožní rýchlejšie riešenie krízových situácií a efektívnejšiu spoluprácu medzi rezortmi.

V predkladanom projekte má MD SR ambíciu realizovať integráciu informačného systému isvs_4867 JISCD na IS CPDI v roli poskytovateľa špecifických údajov v správe MD a následne realizovať úpravu a rozvoj systému minimálne v rozsahu podľa bodu 4 aktivity A1. Konsolidovaný prehľad budúceho stavu z pohľadu integrácii je zobrazený v tabuľke uvedenej nižšie.

MD SR teda viditeľne pracuje na tom, aby dobudovalo modernú platformu na správu kmeňových údajov, čo by zefektívnilo nielen interné procesy, ale aj sprístupnenie údajov pre iné rezorty a štátne inštitúcie v súlade s princípmi dátovej správy a interoperability údajov.

1. 1. Biznis vrstva

Projekt zabezpečí pre koncept Mojich údajov a IS MOU ako informačnú technológiu prinášajúcu koncept MyData do reálneho života, nové OE a atribúty doposiaľ občanom a podnikateľom v štruktúrovanej elektronickej podobe neposkytované (s výnimkou úradných výpisov z elektronickej matriky).

Dáta integrované do IS MOU v zmysle projektu sú považované za najžiadanejšie datasety v koncepte Mojich údajov. Majú veľký potenciál ich ďalšieho využívania občanom a podnikateľom ako registrovaným používateľom IS MOU pre zdieľanie s tretími/spoliehajúcimi sa stranami pri využívaní ich digitálnych služieb.

Proces pre riadenia kvality údajov bude navrhnutý tak aby zlepšil kvalitu spracovávaných údajov a zabezpečil efektívne spracovanie a využitie dát v celej organizácii. Hlavnou úlohou tohto projektu je zabezpečiť kvalitu, integritu a dostupnosť údajov pre interných aj externých konzumentov. Údaje sú zhromažďované z rôznych zdrojov, analyzované a pripravované na ďalšie využitie. Kľúčové procesy ako referencovanie, mapovanie a obohacovanie zabezpečujú, že údaje sú použiteľné v rámci organizácie, ale aj mimo nej spĺňajú všetky požiadavky na kvalitu. Služby na úrovni monitorovania a reporting umožňujú sledovať stav údajov, čo je kľúčové pre efektívne rozhodovanie na všetkých úrovniach organizácie. Odbor informatiky a dátová kancelária zabezpečujú technickú a správnu podporu, pričom dohliadajú na dodržiavanie štandardov a na to, aby údaje boli dostupné v požadovanej kvalite a formáte. Celkový systém je navrhnutý tak, aby umožňoval integráciu rôznych typov údajov a zabezpečoval ich správnosť a spoľahlivosť, čo je nevyhnutné pre efektívne riadenie a rozhodovanie v rámci verejnej správy a ďalších prepojených inštitúcií. Na základe analýzy architektonického obrázku poskytujem podrobný biznisový popis s dôrazom na jednotlivé časti riešenia a jeho štruktúru. Tento popis sa zameriava na funkčné časti z pohľadu podnikovej architektúry so zameraním na biznis a procesné aspekty.

Obrázok 1: Prehľad biznisových služieb

1. 1. 1. Prehľad koncových služieb – budúci stav:

 Rámci predkladaného projektu sa neplánujú budovať nové koncové služby.

1. 1. Aplikačná vrstva

V rámci predkladaného projektu plánuje ministerstvo vybudovať niekoľko modulov:

• Modul MyData slúži na správu osobných údajov jednotlivca, pričom občan má kontrolu nad tým, ktoré údaje poskytuje, komu ich poskytuje a na aké účely. Tento modul podporuje koncept transparentnosti, pričom umožňuje občanom mať prehľad o prístupe k ich dátam v digitálnych systémoch.

• Transformačný modul zabezpečuje prevod údajov z jedného formátu do iného, aby boli kompatibilné s cieľovými systémami. Umožňuje úpravu a štandardizáciu dát, čím zlepšuje ich interoperabilitu medzi rôznymi systémami a platformami.

• Modul kvality a čistenia údajov: Tento modul sa zameriava na identifikáciu a opravu nekvalitných alebo nekonzistentných údajov v databázach. Zabezpečuje validáciu, štandardizáciu, deduplikáciu a aktualizáciu údajov, čím zvyšuje ich spoľahlivosť a presnosť. Je nevyhnutný pre zlepšenie rozhodovacích procesov a analytických operácií.

• Modul riadenia údajov: Modul riadenia údajov poskytuje metodiku na správu životného cyklu dát v organizácii, od ich vytvárania a ukladania až po ich používanie a archiváciu. Zahŕňa politiky a procesy na zabezpečenie integrity, bezpečnosti a dostupnosti údajov. Tento modul podporuje efektívne riadenie údajov v organizácii a zaisťuje súlad s regulačnými požiadavkami.

• Lokálny katalóg otvorených údajov: Lokálny katalóg otvorených údajov predstavuje centralizovaný systém, kde sú zhromaždené a sprístupnené údaje z rôznych verejných a súkromných zdrojov. Umožňuje jednoduchý prístup k otvoreným dátam, ktoré môžu byť využité na rôzne analýzy, výskum alebo tvorbu aplikácií. Zvyšuje transparentnosť a podporuje opakované využívanie dát v rôznych oblastiach.

• Centrálna správa údajov: slúžiaci ako centrálna zbernica údajov v rámci Ministerstva dopravy (MD SR) plní kľúčovú úlohu pri integrácii rôznych informačných systémov rezortu, pričom jeho hlavnou úlohou je zjednodušiť a efektívne zabezpečiť výmenu údajov medzi týmito systémami. Tento komponent umožňuje prepojenie a synchronizáciu rôznych databáz používaných v rámci MD SR, čo má priamy dopad na zlepšenie procesov vnútornej komunikácie a správy údajov

Obrázok 2: Navrhovaná platforma manažmentu údajov MD SR

1. 1. 1. Rozsah informačných systémov – AS IS

V tabuľke uvedenej nižšie je uvedený prehľad dotknutých systémov v rámci predkladaného projektu, ktoré tvoria základný rámec architektúry budúceho riešenia.

1.  
   1. 1. Rozsah informačných systémov – TO BE

V nasledujúcej tabuľke je zoznam IS a modulov, ktoré budú budované alebo rozvíjané v rámci projektu_313X. 

1. 1. 1. Využívanie nadrezortných a spoločných ISVS – AS IS

Ministerstvo dopravy momentálne nevyužíva žiadne nadrezortné ani spoločné moduly v zmysle zákona č. 305/2013 Z.z. o e-Governmente.

1.  
   1. 1. Prehľad plánovaných integrácií ISVS na nadrezortné ISVS – spoločné moduly podľa zákona č. 305/2013  e-Governmente – TO BE

V predkladanom projekte ma MD SR záujem realizovať integráciu na modul procesnej integrácie a integrácie údajov v zmysle zákona o e-Governmente, konkrétne na konkrétne na centrálnu platformu dátovej integrácie (isvs_5836)

1. 1. 1. Prehľad plánovaného využívania iných ISVS (integrácie) – TO BE

V projekte sa neplánuje integrácia na iný ISVS.

1. 1. 1. Aplikačné služby pre realizáciu koncových služieb – TO BE

V rámci predkladaného projektu sa neplánujú budovať nové koncové služby. 

1. 1. 1. Aplikačné služby na integráciu – TO BE

V rámci budovania Rezortnej platformy manažmentu údajov MD SR budú vybudované služby, ktoré budú zastrešovať nasledovné oblasti:

Služby pre zabezpečenie požiadaviek IS MOÚ:

• • • Poskytnutie údajov pre  IS MOU – služba, ktorá poskytne odpoveď na základe požiadavky MOÚ (požiadavky IS MOÚ môžu byť typu overenie alebo zaslanie požiadavky na opravu údajov)
    • Poskytnutie zmenových dávok IS MOU – služba, ktorá bude do IS MOÚ posielať zmenové dávky
    • Poskytnutie notifikácií pre IS MOU – služba, ktorá bude do IS MOÚ zasielať jednotlivé typy notifikácií

Služby zabezpečujúce komunikáciu s Externými ISVS alebo subjektami

Služby pre Interné IS MD SR:

• • • Publikovanie údajov – služba zabezpečujúca komunikáciu medzi jednotlivými agendovými IS a modelmi Rezortnej integračnej platformy.
    • Poskytnutie základných a štatistických číselníkov – služba zabezpečujúca distribúciu alebo získanie údajov ZČ a ŠČ.

Poskytnutie číselníkov – služba zabezpečujúca distribúciu rezortných číselníkov, číselníky agendových systémov využívaných viac ako jedným systémom, push metódou alebo na vyžiadanie podľa integračného zámeru.

Publikovanie údajov do MOU – služba zabezpečujúca komunikáciu medzi agendovým IS a modulom MyData, ktorý rieši orchestráciu zasielania údajov a notifikácií do MOU.

Transformácia vstupu do 5* – služba zabezpečujúca transformáciu vstupu, vo formáte xml, alebo iného požadovaného formátu (XML RDF, JSON-LD, TTL (Turtle), ...)

Stotožňovanie a dátová kvalita – služba zabezpečujúca stotožnenie datasetov voči referenčným registrom, sledovanie dátovej kvality údajov, poskytnutie reportu o dátovej kvalite.

Služby poskytované Dátovej kancelárii:

• • • Správa číselníkov – služba zabezpečujúca správu rezortných číselníkov (založenie, úprava, zneplatnenie číselníka resp. položky číselníka).
    • Správa metadát – služba zabezpečujúca správu metadát datasetov v DCAT-SK formáte.

V nasledujúcej tabuľke je zoznam aplikačných služieb, ktoré budú budované alebo rozvíjané v rámci výzvy:

Tabuľka 2: Zoznam plánovaných služieb

V tabuľke uvedenej nižšie sú uvedené interné budované aplikačné služby.

1. 1. 1. Poskytovanie údajov z ISVS do IS CPDI – TO BE

V nasledujúcej tabuľke je prehľad poskytovaných údajov (objektov evidencie, ďalej OE) z ISVS do IS CPDI v TO BE stave.

1. 1. 1. Konzumovanie údajov z IS CPDI – TO BE

V nasledujúcej tabuľke je uvedený prehľad konzumovaných údajov z IS CPDI v TO BE stave. Súčasné dostupné objekty evidencie a údaje v IS CPDI sú uvedené v integračnom manuáli IS CPDI.

1. 1. Dátová vrstva

V nasledujúcich kapitolách sú popísané pre jednotlivé oblasti aktivity týkajúce sa údajov a práce s nimi. 

1. 1. 1. Údaje v správe organizácie

Každá inštitúcia musí mať zavedený systematický manažment údajov vrátane nastavenia príslušných procesov a metodík pre správu celého životného cyklu údajov. Súčasne inštitúcia musí byť schopná evidovať a spravovať údaje v strojovo-spracovateľnej podobe avšak na to potrebuje disponovať internými kapacitami so znalosťami v oblastí dátovej vedy. S takýmto prístupom sa Ministerstvo Dopravy SR stotožňuje, a preto je cieľom realizovať Aktivitu A7 zameranú na podporu, alebo posilnenie internej dátových kancelárie MD SR.

Údaje v organizácii MD SR sa posledné roky nemanažujú systematicky. Chýbajú jasné pravidlá a metodiky pre jednotlivé úrovne, ako sú používanie údajov, riadenie údajov a samotná správa údajov. Neexistuje ani konzistentné modelovanie týchto oblastí v príslušných vrstvách architektúry, najmä dátová architektúra. Pravidlá a metodiky nezahŕňajú potrebné definície dátových prvkov, ich použitie, spôsob odvodzovania údajov ani spôsob interpretácie. Tento nedostatok vedie k absencii vysokoúrovňového prístupu k manažmentu údajov v rámci inštitúcie.

V súčasnosti je dátová kancelária Ministerstva dopravy SR personálne nedostatočne obsadená, najmä v oblasti odborníkov na správu údajov, interoperabilitu dát, procesy čistenia údajov a tvorbu metodík pre riadenie a správu údajov v rámci organizácie. Bez týchto expertov nie je možné adekvátne rozvíjať oblasť dátovej vedy, ktorá vyžaduje široké spektrum odborných znalostí a skúseností. Navyše, legislatívne pokrytie pre oblasť dátovej správy a dátovej vedy v súčasnosti chýba, čo sťažuje zavádzanie systematických a právne ukotvených postupov pre správu a ochranu údajov. Jedinou pozíciou, ktorá je v súčasnosti obsadená, je dátový kurátor, avšak jeho rola nedokáže pokryť všetky aspekty dátovej vedy. Ide o veľmi rôznorodú a širokú oblasť, ktorá si vyžaduje špecializované odborné znalosti v oblastiach ako analýza dát, prediktívne modelovanie, prevencia údajov na vstupe, monitoring dátovej kvality, správa dátových tokov, bezpečnosť a právne aspekty dát a v neposlednom rade neustále zvyšovanie kvality údajov.

Ministerstvo vníma príležitosť rozvoja dátovej kancelárie v rámci organizácie ako riadený subjekt, ktorý sa komplexne zaoberá správou dát, kvalitou, právnymi aspektami a bezpečnosťou. Tento orgán vytvára rámec pre správu  dát a manipuláciu s nimi, ktorý zahŕňa politiky a postupy na zabezpečenie, že dáta sú zhromažďované, spravované a chránené v súlade s internými a externými regulačnými normami. Cieľom dátových kancelárií je optimalizovať procesy týkajúce sa správy dát, aby organizácie mohli efektívne využívať dáta a zlepšovať služby poskytované inštitúciou v rámci verejnej správy.

Cieľom realizácie aktivity A7 je vytvorenie alebo posilnenie dátovej kancelárie, ktorá bude zabezpečovať dôveryhodnú správu údajov, zavedie rôzne prístupy k rozhodovaniu o tom, kto by mal mať prístup k údajom, na aké účely a v čí prospech, a uľahčí ich zdieľanie a využívanie pre nové technológie. Kľúčové prínosy a výsledky projektu sú:

• Koordinácia a udržateľnosť procesov životného cyklu dát.
• Jasne definované pravidlá pre zdieľanie dát a ich využívanie na MD SR.
• Centralizácia know-how a jeho využitie pre podporu vývoja a implementácie nových technológií.
• Implementácia nástrojov na čistenie a správu a dát.

1. 1. 1. 1. Spôsob realizácie aktivity

Problematika manažmentu kvality a dostupnosti údajov z nových zdrojov dát si vyžaduje odbornú koordináciu procesov životného cyklu dát ako zberu, čistenia a spracovania dát, a zároveň technickú prevádzku dátových skladov a odbornú asistenciu pri využívaní moderných analytických nástrojov. Takéto úlohy je vhodné riešiť profesionálne prostredníctvom Rezortnej dátovej kancelárie verejnej správy, ktorá bude mať na starosti bázu dát príslušného rezortu a poskytovanie podpory a asistencie ostatným v rezorte pôsobiacim dátovým expertom. Vzhľadom na nedostatočný počet expertov, je v hodným riešením zabezpečenie externých kapacít v podobe dátových expertov ako dočasná pomoc počas dĺžky realizácie projektu, ktorí budú v súčinnosti s interným expertami, riešiť aktivity súvisiace  úpravou interných procesov v organizácií, aby podporili aplikáciu postupov dátovej vedy pri rozhodovaní („evidence-based policy“, „spending reviews“, „impact assessment“) a implementovali princípy štátu fungujúceho na základe využívania znalostí („Data-driven state“) a princípu hodnoty za verejné peniaze.

Rezortná dátová kancelária má možnosť spolupracovať s Centrálnou dátovou kanceláriou MIRRI, ktorá sa dlhodobo zaoberá komplexným manažmentom údajov verejnej správy.

Rezortná dátová kancelária by mala pomáhať organizáciám v pôsobnosti rezortu kategorizovať a sprístupňovať údaje pri zachovaní kvality v dôveryhodnom prostredí spôsobom, ktorý umožní rozdeľovať vzniknutú hodnotu. Správcovia dátového trustu majú právne záväznú zodpovednosť za zohľadnenie záujmov držiteľov údajov, používateľov údajov, občanov a iných zainteresovaných strán. Prevzatím úloh a činností v oblasti správy údajov možno dôveryhodnosť údajov použiť na zníženie nákladov a zručností potrebných na správu a zdieľanie údajov.

Držitelia údajov z verejného sektora sa často zameriavajú na poskytovanie konkrétnych verejných služieb, no napriek tomu majú údaje, ktoré by mohli mať širšiu sociálnu a ekonomickú hodnotu. Rezortná dátová kancelária by mohla preskúmať túto širšiu hodnotu spôsobom, ktorý zastupuje záujmy všetkých zainteresovaných strán. Teda, ako potenciálny zdroj údajov, môže rezortná dátová kancelária vytvoriť nové príležitosti pre začínajúce podniky a iné podniky na inovácie s údajmi. Na makroúrovni by prijatie dátového trustu mohlo podporiť vývoj nových technológií ako je AI, ktoré pomáhajú ľuďom robiť informovanejšie rozhodnutia, vytvárať pracovné miesta a stimulovať ekonomický rast.

Realizáciou aktivity A7 bude zabezpečená komplexná analýza, čím si inštitúcia zabezpečí celkové zmapovanie jej dátového manažmentu. Kombinácia interných a externých odborníkov v oblasti dátovej vedy bude viesť ku nasledovných výstupom:

1. Bude vytvorený dátový katalóg: Popíšu sa všetky objekty evidencie až na úroveň atribútov, ktoré inštitúcia:

1. Bude údaje originálne vytvárať a evidovať v zdrojových registroch (agendové informačné systémy verejnej správy) v rámci rozsahu projektu.
2. Bude údaje spracúvať za účelom výkonu príslušnej agendy inštitúcie.

1. Budú definované a popísané plánované procesy organizácie riadenia celého životného cyklu správy údajov:

1. Budú zrozumiteľne zdokumentované dátové štruktúry, proces tvorby údajov, štatistické metodológie (ak budú použité), dátové zdroje, kontext a ďalšie aspekty manažmentu údajov.
2. Proces riadenia pre manažment údajov bude zavedený nad informačným systémom isvs_4867, ktoré budú obsahovať objekty evidencie riešené v projekte.

1. Bude podporovaná a rozvíjaná inštitucionálna dátová kancelária.

1. Kancelária bude slúžiť ako špecializovaný útvar pre dáta v rámci inštitúcie, súčasne bude zodpovedná za riadenie systematického manažmentu údajov.
2. budú definované zodpovednosti za jednotlivé aspekty manažmentu údajov. V prípade potreby budú rozdelené údaje do jednotlivých segmentov podľa typu/druhu údajov.

V kapitole č. 10 sú identifikované kľúčové role a kapacity potrebné na efektívne riadenie dátového manažmentu a budovanie dátovej kancelárie. Tento rámec je nevyhnutný pre zabezpečenie vysokej kvality údajov, ich legislatívnej správnosti. Cieľom je dosiahnuť systematický prístup k správe dát a ich kvality, čo je kľúčové pre moderné verejné inštitúcie.

1. 1. 1. Dátový rozsah projektu - Prehľad objektov evidencie - TO BE

V tabuľke uvedenej nižšie sú uvedené objekty evidencie, pre ktoré bude počas realizačnej fáze projektu vytvorený doménový model, ktorý definuje návrh dátových prvkov. 

V nasledujúcej tabuľke je uvedený zoznam objektov evidencie ktoré budú poskytované do IS MOU v zmysle aktivity A1. Doménový model pri týchto objektoch evidencie nepopisujeme, keďže je ten je súčasťou zdrojových IS. 

Tabuľka 4: Dátový rozsah projektu

1. 1. 1. Referenčné údaje

Táto kapitola nie je pre predkladaný projekt relevantná, pretože výzva „Lepšie využívanie údajov“ sa zameriava na koncepčný rozvoj služby „Moje údaje“ a na zlepšovanie kvality služieb poskytovaných prostredníctvom zdrojových informačných systémov napr. v podobe zasielania zmenových dávok. Rozvoj systémov MD SR minimálne o funkčné požiadavky definované vo výzve sú prioritne určené na podporu systému IS Manažment osobných údajov a rozvoja myšlienky „Moje údaje“.

1. 1. 1. Kvalita a čistenie údajov

Počas realizačnej fázy projektu bude Ministerstvo realizovať nasledovné oblasti z pohľadu dátovej kvality a interoperability v rozsahu:

1. Čistenie údajov a zvyšovanie kvality údajov
2. Riadenie dátovej kvality na vstupe (prevencia vzniku nekvality)
3. Zavádzanie dátovej interoperability
4. Monitoringu dátovej kvality (zavedenie monitoringu)

1. 1. 1. 1. Čistenie údajov a zvyšovanie kvality údajov

Riadenie dátovej kvality predstavuje pre Ministerstvo strategicky dôležitý faktor pre efektívnu správu údajov a zabezpečenie optimálnej prevádzky agend. Ministerstvo využíva nástroj na čistenie a zvyšovanie kvality údajov Metis, aby zabezpečilo systematický manažovanie prác nad údajmi v organizácii. Cieľom takéhoto nástroja je pomáhať udržiavať integritu, dostupnosť a dôvernosť údajov, pričom by sa výrazne zlepšila efektivita práce dátovej kancelárie, ktorá má na vo svojej kompetencii a agende zaoberať sa komplexným manažment údajov a procesným riadením dátovej kvality.

Cieľom procesného zabezpečenia riadenia dátovej kvality bude, aby proaktívne riadenie dátovej kvality bolo súčasťou každodenných procesov organizácie. Každý OVM v prvom rade musí poznať údaje, ktoré sú súčasťou jeho ISVS. Za týmto účelom je potrebné určiť aké dáta, z akého zdroja a za akým účelom zbiera.

Preto bude organizácia aktualizovať resp. v niektorých prípadoch vytvárať informácie minimálne v rozsahu:

• používanom dátovom modeli,
• zdroji dát,
• používanom dátovom slovníku,
• používaných referenčných dátach,
• používaných objektoch evidencie.

Takáto dokumentácia musí byť dostupná za všetky ISVS organizácie a vždy musí byť prístupná vlastníkovi kvality údajov, pretože tieto informácie sú podmienkou pre riadne vykonávanie procesov súvisiacich s celým životným cyklom údajov vrátane riadenia kvality údajov. Pre vytvorenie potrebnej dokumentácie sa bude organizácia riadiť dostupnou metodikou vydanou MIRRI s názovom „Metodika merania dátovej kvality vo verejnej správe“. Informácie v metodike sú totiž významným vstupom pre riadenie dátovej kvality.

1. 1. 1. 1. Požiadavky metódy čistenia a zvyšovania kvality údajov

Na riešenie takých problémov, akými sú chyby, duplicity, odľahlé hodnoty pri snahe o dodržanie parametrov strojovej spracovateľnosti, konzistencie, aktuálnosti a jedinečnosti, správnosti, presnosti a komplexnosti, bude dodržaný pracovný postup čistenia dát, ktorý zahŕňa niekoľko krokov:

• Strojová spracovateľnosť: Údaje musia byť vo formáte, ktorý môžu stroje ľahko spracovať a analyzovať.
• Konzistencia: zaisťuje, že dátové prvky majú rovnaký význam a formát v celom súbore údajov.
• Aktuálnosť a jedinečnosť: Aktuálnosť sa vzťahuje na aktuálnosť údajov a jedinečnosť zaisťuje, že každý záznam je odlišný.
• Správnosť: zahŕňa zabezpečenie toho, aby údaje presne reprezentovali entity alebo udalosti skutočného sveta.
• Presnosť a komplexnosť: úzko súvisí so správnosťou a vzťahuje sa na to, ako dobre údaje predstavujú skutočné hodnoty alebo stavy. Metódy na zlepšenie presnosti zahŕňajú:

• • Profilovanie údajov
  • Odstránenie odľahlých hodnôt
  • Zjednodušenie dátových štruktúr

Za účelom zvýšenia kvality vstupných datasetov bude integrácia rozšírená aj o funkcionalitu stotožňovania a referencovania voči číselníkom a referenčným registrom. V tomto prípade je možné z číselníka dotiahnuť relevantné atribúty, ktoré sú súčasťou prenášaného pojmu. V prípade, že v číselníku nebude nájdená prenášaná hodnota, tak bude vystavená správa pre poskytovateľa dát o danom zistení. Funkcionalita bude implementovaná architektúrou mikroslužieb s REST API. Budú udržiavané v repozitári služieb a môžu byť použité aj inými aplikáciami.

1. 1. 1. 1. Prevencia vzniku nekvality

Dôležitou oblasťou, je riadenie dátovej kvality na vstupe (prevencia). To by umožňovalo eliminovať chyby alebo nekonzistencie v údajoch už v počiatočných fázach spracovania, čím by sa znížila potreba neskorších korekcií a zvýšila celková efektivita správy dát. Takýto nástroj by poskytoval mechanizmy na identifikáciu potenciálnych chýb už pri samotnom vstupe údajov, čím by sa zabezpečilo, že do ďalších fáz spracovania prechádzajú iba údaje vysokej kvality.

Okrem toho by nástroj umožnil evidovať všetky údajové objekty až na úroveň jednotlivých atribútov. Táto funkcionalita by ministerstvu poskytla komplexný prehľad o všetkých údajoch, ktoré sú v rámci organizácie vytvárané a spracovávané, čo by uľahčilo ich správu a umožnilo presnejšie a rýchlejšie rozhodovanie na základe kvalitných údajov. Tento aspekt by bol obzvlášť dôležitý pri tvorbe a správe dátového katalógu, ktorý je základným prvkom efektívneho dátového manažmentu.

Pre riadenie dátovej kvality na vstupe bude ministerstvo postupovať podľa nasledovných krokov.

1. Organizácia nebude zbierať dáta, ktoré budú referenčnými dátami.

Organizácia najprv vyhodnotí, či údaje, ktoré bude potrebovať, nebudú referenčnými údajmi. Zoznam vyhlásených referenčných registrov bude verejne dostupný, spolu s uvedením údajov, ktoré budú vyhlásené za referenčné dáta. Ak budú požadované údaje referenčnými údajmi, organizácia ich nebude zbierať ani vytvárať, ale použije hodnoty z referenčného registra (stotožňovanie).

1. Organizácia bude používať definované základné číselníky

Pred získaním údajov organizácia určí, ktoré číselníky sa budú vzťahovať na dané údaje. Pre zachovanie interoperability budú v zdrojových ISVS používať zverejnené základné číselníky. Ak číselník nebude súčasťou zoznamu základných číselníkov alebo bude potrebné existujúci číselník upraviť, organizácia ho definuje a požiada o zaradenie do zoznamu v súlade s usmernením pre základné číselníky.

1. Organizácia zosúladí dátové prvky s Centrálnym modelom údajov.

Organizácia zosúladí svoj dátový model s Centrálnym modelom údajov verejnej správy. Ak centrálny model nebude poskytovať relevantný dátový prvok, ktorý bude potrebný, OVM požiada MIRRI o štandardizáciu a evidenciu nového dátového prvku do centrálneho modelu.

1. Organizácia definuje biznis pravidlá pre jednotlivé atribúty.

Pri riadení dátovej kvality organizácia určí biznis pravidlá, ktoré budú predstavovať formalizované požiadavky pre hodnoty údajov v jednotlivých atribútoch databázy. Pri tvorbe biznis pravidiel sa zapoja aj vecní vlastníci údajov, ktorí reálne databázu využívajú. Organizácia zohľadní už existujúce biznis pravidlá v centrálnom zozname a v prípade, že bude zbierať údaje, ktoré budú zdrojovými údajmi referenčného registra, prevezme pravidlá referenčného registra.

1. Organizácia zavedie automatické kontroly údajov na vstupe.

Automatické kontroly údajov na vstupe umožnia odchytenie prvotných nedostatkov údajov, čím sa zníži potreba následných opráv. Konkrétny ISVS budú mať nastavené automatické kontroly voči biznis pravidlám a ukazovateľom dátovej kvality, pri ktorých sa bude dať definovať vzorec pre systémovú kontrolu.

1. 1. 1. 1. Zavádzanie dátovej interoperability

Platforma MOU je založená na projekte s otvoreným zdrojovým kódom Solid. Solid je skratkou pre sociálne prelinkované údaje („Social Linked Data“), teda ide o Linked Data, ktoré vychádzajú zo štandardov W3C ako RDF, len môžu obsahovať aj osobné údaje o dotknutej osobe alebo subjekte. Preto údaje, ktoré sa ukladajú v MOU sú plne v súlade s Centrálnym modelom údajov a sú v štandarde RDF ako otvorené údaje. Údaje zo zdrojových informačných systémov verejnej správy preto treba pred ich nahratím do MOU transformovať.  

Zavedenie dátovej interoperability bude realizované najmä pre objekty evidencie uvedené v kapitole Moje údaje, ktoré sú súčasťou prioritného zoznamu mojich údajov. 

Hlavným cieľom dátovej transformácie inštitúcie bude zvýšenie interoperability medzi systémami verejnej správy, priblíženie sa odporúčaniam a štandardom EÚ pre interoperabilitu verejnej správy a medzi krajinami EÚ a zjednodušenie prístupu k údajom pre konzumentov. Pre službu „Moje dáta“ je stanovená úroveň kvality údajov podľa štandardu RDF, v serializácii RDF / XML alebo JSON-LD cez API (kvalita úrovne 5). Za týmto účelom vznikne transformačný modulu v MD SR, ktorý zabezpečí transformáciu dát do RDF štandardu v 5★ kvalite prelinkovaných údajov („Linked Data“). Ide o preferovaný scenár, kedy sú údaje upravené priamo na zdrojovom systém pod správou OVM. Vybudovanie modulu bude súvisieť s úpravou kľúčových  IS VS poskytujúcich údaje, aj keď ide o technicky a časovo náročnú alternatíva, ale dôveryhodnosť údajov vtedy garantuje samotný zdrojový systém rovnako, ako v prípade pôvodných údajov. 

Konzumentami transformovaných údajov môžu byť, rovnako ako v prípade netransformovaných údajov, informačné systémy v správe OVM, ale najmä platforma MOU. V rámci projektu MOU sa počíta s využitím údajov aj na právne záväzné úkony. Preto je základnou požiadavkou, aby údaje po transformácii mali minimálne rovnakú dôveryhodnosť ako pred transformáciou. Presnejšie, aby procesom transformácie, pri ktorom dochádza k zmene štruktúry, formátu aj objemu pôvodných dát, nedošlo k zníženiu ich dôveryhodnosti. 

V procese transformácie údajov MD SR, ktoré sú na úroveň atribútu popísane v kapitole č. 4.4.8 tohto dokumentu, sa predpokladá teda aj obohatenie a doplnenie pôvodných údajov tak, aby spĺňali požiadavku na kvalitu výstupu na úrovni 5★ RDF a aby boli v súlade s CMÚ.

1. 1. 1. 1. Vybudovanie transformačného modulu

Cieľom riešenia je zabezpečenie poskytovania kvalitných dát, ktoré zodpovedajú moderným štandardom pre zdieľanie údajov. Medzi preferované štandardy spĺňajúce kritériá pre kvalitu a interoperabilitu, ktoré majú veľký potenciál pre opakované použitie údajov aj v budúcnosti, je štandard RDF, v našom prípade realizovaný vo forme serializácie JSON-LD.  

Potreba pre navrhované riešenie vznikla na základe potrieb systému IS MOU, ktorý požaduje, aby všetky konzumované údaje boli poskytované vo forme JSON-LD. Vzhľadom na fakt, že poskytovatelia (až na ojedinelé výnimky) neposkytujú svoje údaje v tomto formáte (ale väčšinou vo formáte XML), navrhujeme vývoj a nasadenie Transformačného modulu na zdroji, ktorý výrazne uľahčí prípravu vstupov a samotná transformácia vstupných údajov (ideálne priamo z databázy) do požadovaného výstupného štandardu RDF vo formáte JSON-LD už prebehne automaticky. Transformačný modul nájde využitie okrem aktuálneho projektu MOU aj pre ďalšie potenciálne projekty a systémy, vyžadujúce transformáciu dát do dátových štandardov pre sémantickú interoperabilitu. 

Implementácia transformačného modulu pre spracovanie datasetov MD SR, nevyhnutná pre zabezpečenie efektívnej správy a interoperability údajov v rámci verejnej správy, bude rozdelená do dvoch hlavných častí, pričom každá má za cieľ zabezpečiť kvalitatívnu úroveň dát, ktorú vyžaduje vyhláška 78/2020 o štandardoch pre informačné technológie verejnej správy. 

Pre pokrytie funkcionality transformačného modulu je potrebné vytvoriť centrálny katalóg dát, ktorý bude obsahovať atribúty (metadáta) jednotlivých datasetov (OE). Ako všeobecný dátový model využijeme existujúci Centrálny Model Údajov (CMU). 

Súčasťou dátovej integrácie je aj jednoznačná interpretácia jednotlivých atribútov prenášaného datasetu (tzv. Objektu Evidencie). V rámci integračných manuálov sú atribúty popísané, aby konzumujúca organizácia dokázala správne atribúty spracovať. Spoločný dátový model (CDM) obsahuje jednotný súbor metadát, čo umožňuje zdieľanie dát a ich významu medzi aplikáciami. 

Vytvorí sa tým prostredie (reprezentované vhodným GUI) pre efektívne mapovanie atribútov vstupného datasetu na prvky CMU. Za účelom zvýšenia miery automatizácie plánujeme pre prvotné mapovania aplikovať aj algoritmy strojového učenia. Výsledné mapovania budú udržiavané v Dátovom katalógu (repository).  

Pre samotnú transformáciu datasetu do JSON-LD bude vytvorený transformačný program (jednou z odporúčaných knižníc na prácu so štandardom RDF je Apache Jena RDF), ktorý bude generický a konfigurovateľný pomocou vstupných parametrov a konfiguračných údajov. 

Vstupmi pre každú transformáciu budú: 

• Konfiguračné údaje 

• Sada mapovaní atribútov datasetu na prvky CMU (v repository Dátového katalógu) 

• Pravidlá pre mapovanie uzlov JSON-LD 

• Súvisiace ontológie (ontológie súvisiace s výstupným datasetom) 

Výhody riešenia: 

• Výraznou mierou urýchli proces tvorby transformácií do RDF.  

• Riešenie bude založené na centrálnom dátovom katalógu (mapovania) a ontológiách. 

• V Dátovom katalógu bude zriadený centrálny repozitár atribútov datasetov s ich popisom. 

• Mapovaním atribútov datasetov na prvky CMU a ich centrálnym udržiavaním v rámci Dátového katalógu, bude zavedený proces využitia kanonického/všeobecného dátového modelu. 

• Špecifikáciou a udržiavaním pravidiel pre mapovanie uzlov JSON-LD bude usmerňovaná štruktúra výstupných JSON-LD. 

1. 1. 1. 1. Monitoringu dátovej kvality (zavedenie monitoringu)

Riadenie zmien nekončí po implementácii. Je dôležité monitorovať a hodnotiť účinnosť zmien a dátovej kvality v dlhodobom horizonte. To umožňuje identifikovať prípadné nedostatky alebo oblasti, ktoré vyžadujú ďalšie zlepšenie. Monitorovanie a hodnotenie pokroku sa teda neobmedzuje na obdobie realizácie akčného plánu ale zahŕňa aj obdobie po zavedení zmeny do rutinnej praxe.

Cieľom tejto podaktivity je vypracovať automatizované alebo poloautomatizované riešenia merania DQ.

Ministerstvo zavedie monitoring dátovej kvality, do ktorého vstupom budú pravidelné správy o stave dátovej kvality v podobe súhrnnej správy.

Výstupom monitoringu v podobe je súhrnná správa, ktorá obsahuje najmä:

• zhodnotenie stavu úloh a ich zmien oproti poslednej správe z monitoringu,
• identifikovanie úloh, ktoré neboli vyriešené v termíne stanovenom pre riešenie úloh,
• informácia o dôvodoch nesplnenia úloh a o ďalšom postupe

Správu z monitoringu bude Ministerstvo koordinovať s centrálnou dátovou kanceláriou MIRRI a výsledky zverejňovať na svojom webovom sídle, resp. na dohodnutom verejne dostupnom priestore dedikovanom pre oblasť dátovej kvality vo verejnej správe. Zverejnená správa nesmie obsahovať konkrétne metadata, len súhrnné štatistiky z dôvodu ochrany osobných údajov(GDPR)

Z pohľadu definovania významu kvality údajov pre biznis procesy (možné riziká v dôsledku dátovej nekvality), t.j. ak bude údaj nepresný, bude mať nesprávnu hodnotu, formát, nebude vyplnený, alebo stotožnený voči referenčnému registru, ako významne to ovplyvní príslušnú agendu je v tabuľke uvedenej nižšie zhodnotenie jednotlivých oblastí nasledovne: 

1. 1. 1. Otvorené údaje

V roku 2023 bol realizovaný Národný katalóg otvorených údajov (ďalej ako „NKOD“), ktorý slúži ako centrálna databáza s viac ako 11 000 dátovými súbormi. Boli implementované štandardy otvorených údajov, ktoré zabezpečujú kvalitu a interoperabilitu týchto údajov.

Súčasný Národný katalóg otvorených údajov obsahuje metadátové záznamy datasetov poskytovaných rôznymi inštitúciami verejnej správy. Tieto metadáta sú prístupné cez SPARQL endpoint. V katalógu sú zrkadlené záznamy z datasetov registrovaných priamo v NKOD, ako aj z Lokálnych katalógov otvorených údajov (LKOD), ktoré spravujú samotní poskytovatelia dát (inštitúcie verejnej správy). NKOD momentálne zbiera údaje z LKOD a z prijatých registračných záznamov datasetov, ktoré ukladá do RDF databázy.

V rámci projektu bude vybudovaný lokálny katalóg otvorených údajov, ktorý bude založený na štandardoch SPARQL a RDF pre prepojené údaje (Linked Data). Tento katalóg bude slúžiť na efektívnu správu a sprístupňovanie otvorených údajov organizácie, pričom bude zohľadňovať národné a medzinárodné štandardy a zabezpečovať interoperabilitu s inými katalógmi údajov.

Hlavným cieľom katalógu je zabezpečiť otvorenosť údajov, umožniť ich jednoduché vyhľadávanie a sťahovanie, podporovať rozhodovacie procesy a poskytovať prepojené dáta na lokálnej aj medzinárodnej úrovni. Údaje budú štruktúrované podľa štandardu RDF, čo zabezpečí ich kompatibilitu a možnosť dotazovania prostredníctvom SPARQL endpointu. Tento endpoint umožní efektívne vyhľadávanie a získavanie údajov podľa zadaných kritérií, čím zjednoduší prácu s dátami pre interných aj externých používateľov.

Kľúčovými vlastnosťami katalógu budú správa metadát, prepojenie s centrálnym repozitárom otvorených údajov SR, škálovateľnosť a flexibilita. Katalóg bude navrhnutý tak, aby umožnil automatickú synchronizáciu dát s národnými platformami, čím zabezpečí ich dostupnosť na širšej úrovni. Dáta budú kategorizované a opisované pomocou informácií o autorovi, formáte, licencii a periodicite aktualizácie, čo zabezpečí ich transparentnosť a správne využitie.

Katalóg bude v súlade s legislatívnymi požiadavkami, vrátane zákona o informačných technológiách vo verejnej správe (95/2019 Z. z.) a vyhlášky č. 78/2020 Z. z..

V nasledujúcej tabuľke sú uvedené objekty evidencie, ktoré budú realizáciou projektu sprístupnené ako otvorené údaje.

1. 1. 1. Analytické údaje

Táto kapitola nie je pre predkladaný projekt relevantná, pretože výzva „Lepšie využívanie údajov“ sa zameriava na koncepčný rozvoj služby „Moje údaje“ a na zlepšovanie kvality služieb poskytovaných prostredníctvom zdrojových informačných systémov napr. v podobe zasielania zmenových dávok. Rozvoj systémov MD SR minimálne o funkčné požiadavky definované vo výzve sú prioritne určené na podporu systému IS Manažment osobných údajov a rozvoja myšlienky „Moje údaje“.

1. 1. 1. Moje údaje

1. 1. 1. 1. Popis existujúcich rozhraní v IS MOU - všeobecná informácia o funkčnosti IS MOU

Úprava systémov bude nadväzovať na Modul logovania údajov v IS MOU, ktorý primárne zabezpečuje pre registrovaného používateľa informovanie o prístupe k jeho údajom.

Informácie o prístupe k údajom delíme na tieto základné kategórie:

• Spracovanie osobných údajov – napríklad, úradník si pozrie osobné údaje na karte dotknutej osoby. Ďalším príkladom môže byť spracovanie osobných údajov dotknutej osoby pri vybavovaní žiadosti. Cieľom tohto modulu nie je obmedzovať spracovávanie osobných údajov, naopak IS MOU podporuje budovanie služieb založených na efektívnom využívaní osobných údajov, ale cieľom je zabezpečiť, aby dotknutá osoba bola o spracovaní osobných údajov informovaná, v prípade že si takúto službu vyberie.
• Zmena osobných údajov – typickým príkladom je zmena adresy. Pod zmenu údajov sa zahŕňa aj vznik a vymazanie osobných údajov. Je potrebné zdôrazniť, že úlohou modulu Logovanie prístupov nie je prenos samotných zmenených údajov (ten zabezpečuje modul Správa osobných údajov), ale iba získanie informácie o tejto zmene. To znamená, že aj informačný systém, ktorý nepodporuje zasielanie zmien údajov, môže podporiť zasielanie informácie o zmene údajov.
• Prenos osobných údajov – prenos medzi OVM, prenos zo zdrojového OVM do osobného úložiska dotknutej osoby a poskytnutie osobných údajov z osobného úložiska tretej strane na základe súhlasu.

Obrázok 4: Komunikácia s externými entitami

Projekt primárne navrhuje vybudovanie technologického riešenia a zabezpečenie zbierania informácií o prístupe k osobným údajom ako údajom registrovaného používateľa. Projekt realizuje len vybranú časť z celkového programu Manažment údajov a počíta, že mimo projektu sa realizuje vybudovanie kapacít na strane IS VS, ktoré budú zdrojom informácií o prístupe k údajom.

Vysvetlenie súvisiacich pojmov. Odlišnosti medzi pojmami notifikácia, informácia, záznam, log nie sú veľké a možno ich do istej miery považovať za synonymá, zväčša je z kontextu zrejmé, v akom význame sú myslené. V texte sa ďalej používajú takto:

• Informácia o udalosti v zmysle informácie o akcii, či udalosti, ktorá niekde nastala a dotknutá osoba sa o nej má dozvedieť. Napríklad informácia o zmene údajov v registri. S aktuálnymi poznatkami sa plánuje zmena označenia modulu Logovanie prístupov na modul Informovanie o prístupe k údajom.
• Notifikácia ako mechanizmus, pomocou ktorého sa občan o informácii dozvie. Napríklad, občan dostal push notifikáciu na mobil obsahujúcu informáciu o zmene údajov.
• Záznam alebo log – uložená informácia, hlavne o činnosti používateľa. Napríklad pri udelení súhlasu vznikne záznam/log v systéme. Alebo do logu bola uložená informácia o zmene údajov.

To znamená, že keď nastane napr. udalosť týkajúca sa údajov, zdroj informácií, v tomto prípade RFO a RA, pošlú do IS MOU informáciu o tejto udalosti. Informácia sa zaznamená v osobnom úložisku dotknutej osoby a dotknutá osoba dostane notifikáciu o tejto udalosti.

Žiadaným stavom je, aby isvs_4867 spracovávajúci údaje, umožňoval poskytovanie údajov a zároveň poskytoval informácie o prístupe k údajom. Vtedy má dotknutá osoba možnosť získať svoje údaje a poskytovať ich tretím stranám a zároveň je informovaná o každom prístupe k týmto  údajom.

Súčasný stav IS VS je, že vedia poskytovať osobné údaje cez IS CPDI, ale nevedia poskytovať informácie o prístupe k údajom. V prostredí VS správy je častým javom, že niektorý IS nevie poskytovať osobné údaje (napríklad kvôli bezpečnosti), ale vie poskytovať informácie o prístupe k údajom.

Z pohľadu stratégie rozvoja konceptu Moje údaje je okrem iného cieľom dostávať informácie o prístupe k údajom dotknutej osoby, napríklad o zmene údajov, ich spracovaní, či prenose. Dotknutá osoba sa môže rozhodnúť, ktoré z týchto informácií chce dostávať a prihlási sa k ich odoberaniu. Informácie o prístupe k údajom delíme na:

• Informácia o spracovaní údajov (napr. použitie údajov v IS OVM alebo IS tretej strany, typický príklad je, že príslušný zamestnanec orgánu verejnej moci si za účelom výkonu pozrie kartu občana). Zdrojom takejto informácie je spracovávateľ informácie, to znamená IS VS alebo IS tretej strany.
• Informácia o zmene osobných údajov. Zdrojom takejto informácie je IS VS, ktorý tieto údaje spravuje (napr. referenčný register).
  • Informácia o vzniku osobných údajov
  • Informácia o zmene v osobných údajoch
  • Informácia o ukončení platnosti osobných údajov
  • Informácia o vymazaní osobných údajov
  • Informácia o zmene stavu procesu
• Informácia o prenose osobných údajov – nie sú predmetom projektu, lebo tieto informácie zabezpečuje centrálny komponent IS CPDI, prípadne samotné IS MOU.
• Informácia o prenose údajov medzi IS VS – zdrojom informácie je IS CPDI, cez ktorý sa informácie prenášajú.
  • Informácia o prenose údajov do osobného úložiska – zdrojom informácie je zdrojová služba IS MOU, ktorá na základe súhlasu dotknutej osoby zabezpečí prenos údajov zo zdroja do osobného úložiska.
  • Informácia o prenose údajov k tretej strane – zdrojom informácie je konzumentská služba IS MOU v IS MOU, ktorá na základe súhlasu dotknutej osoby, zabezpečila prenos údajov z osobného úložiska tretej strane.

Všetky vyššie popísané typy informácií o prístupe k osobným údajom budú zaznamenané (zalogované) priamo v osobnom úložisku (PODe) dotknutej osoby (technológia IS MOU)

Tabuľka uvedená nižšie poskytuje prehľad rôznych typov informácií súvisiacich so spracovaním osobných údajov v informačných systémoch verejnej správy (IS VS). Zameriava sa na zdroje týchto informácií, ich kategorizáciu a špecifiká jednotlivých procesov. Vysvetľuje, ako informačné systémy generujú a spracúvajú údaje týkajúce sa zmien osobných údajov, prenosu údajov v rámci verejnej správy, ako aj prenosu údajov do osobných úložísk a tretím stranám na základe súhlasu dotknutých osôb. Tabuľka tiež zdôrazňuje dôležitosť zabezpečenia zdieľania informácií prostredníctvom štandardizovaných API rozhraní a budúce zlepšenia v oblasti logovania a poskytovania informácií o prístupoch k osobným údajom.

Tabuľka 5: Tabuľka špecifikuje jednotlivé procesy spracovania údajov

1. 1. 1. 1. Popis dátových entít pre informácie ku údajom

Kapitola poskytuje detailný prehľad o spôsobe a forme realizovania požadovaných typov informácií z pohľadu funkčného rozvoja IS, poskytujúceho predmetné údaje. Definícia jednotlivých entít vychádza z návrhu NotificationApi v MyData.org a OpenTelemetry.io, pričom bola rozšírená pre potreby IS MOU.

1. 1. 1. 1. Definícia typov informácií o prístupe k osobným údajom

Typ informácie umožňuje zoskupovanie a filtrovanie informácií. Využívame ho:

• Pri prihlasovaní sa k odoberaniu informácií, aby dotknutá osoba/registrovaný používateľ IS MOU mohla zúžiť množstvo informácií, ktoré chce odoberať.
• Pri rozhodovaní, či zdroj informácie takúto informáciu dotknutej osobe/registrovanému používateľovi MOU pošle alebo nie.

• Pri prezeraní a zobrazovaní informácií (historický log) pre vyhľadávanie alebo filtrovanie informácií.

Tabuľka poskytuje prehľad rôznych typov informácií týkajúcich sa spracovania osobných údajov, v súlade s nariadením GDPR, v prípade, že ide o údaje fyzickej osoby. Každý typ informácie je stručne popísaný, pričom sú uvedené konkrétne príklady, ako aj príslušné články nariadenia GDPR, ktoré sa vzťahujú na danú činnosť. Tento prehľad slúži ako rýchly orientačný nástroj na pochopenie jednotlivých typov spracovania údajov a je tiež kľúčový pre zabezpečenie transparentnosti, ako aj pre riadenie prístupu k osobným údajom v rámci verejnej správy, čo je nevyhnutné pre zaistenie súladu so zákonnými požiadavkami na ochranu osobných údajov. Legislatívne zakotvenie v danom prípade tvoria najmä čl. 15, 19 a 20 GDPR.

Tabuľka 6: Typy informácií s odkazom na článok nariadenia GDPR

1. 1. 1. 1. Definícia zdrojov informácií o prístupe k osobným údajom

Zdroj informácie je kľúčový pri prihlasovaní sa k odberu informácií.

Zoznam zdrojov informácií sa nachádza v Registri zdrojov informácií, ktorý je spravovaný správcom IS MOU (podobne ako register služieb).

V registri zdrojov informácií sa automaticky registrujú zdrojové a konzumentské služby. Zároveň je zaregistrovaný ako zdroj informácií CIP/IS CPDI ako poskytovateľ informácií o prenose údajov medzi OVM.

1. 1. 1. 1. Definícia prihlasovania sa k správam

Prihlásenie sa k informáciám je nutný krok pre odoberanie informácií. Dotknutá osoba ako registrovaný používateľ IS MOU ním prejaví záujem o informácie a príslušný zdroj informácií sa dozvie, že má tieto informácie dotknutej osobe poskytovať.

Pri registrácii zdroja informácií je povinné zadať adresu, na ktorej má vystavenú službu pre prihlasovanie k informáciám. Požiadavku na prihlásenie vytvára IS MOU, následne je preposlaná zdroju informácií na zadanú adresu.

Obrázok 5: Schéma prihlásenia sa k informáciám

Tabuľka 7: Popis  požiadavky na odber informácií o prístupe k údajom

1. 1. 1. 1. Definícia Správy

Informácia je záznam o akcii týkajúcej sa údajov registrovaného používateľa, posiela ju zdroj informácií do IS MOU. Informácia má hlavnú časť (Message) a obsah správy (MessagePayload), ktorý sa mení podľa typu informácie.

Obrázok 6: Schéma informácie o prístupe k osobným údajom

Tabuľka 8: Popis informácii s rozpadom na atribúty o prístupe k údajom

V tejto časti sú uvedené  informácie súvisiace s údajmi, ktoré spadajú do kategórie mojich údajov, z pohľadu budúceho TO BE stavu projektu. V podkapitole je uvedený presný rozsah objektov evidencie s rozpadom na atribúty (údajov) pre budúce poskytovanie údajov zo zdrojových informačných systémov pre informačný systém IS MOU:

1. 1. 1. 1. Údaje o emisnej kontrole

Vstupný formát v súčasnom stave: XML

Výstupný formát v budúcom stave: JSON-LD

1. 1. 1. 1. Údaje o emisnej kontrole (Rozsah atribútov pre e-preukaz) 

Vstupný formát v súčasnom stave: XML

Výstupný formát v budúcom stave: JSON-LD

1. 1. 1. 1. Evidencia o inštruktoroch autoškôl

Vstupný formát v súčasnom stave: XML

Výstupný formát v budúcom stave: JSON-LD

1. 1. 1. 1. Evidencia o inštruktoroch autoškôl (Rozsah atribútov pre e-Preukaz)

Vstupný formát v súčasnom stave: XML

Výstupný formát v budúcom stave: JSON-LD

1. 1. 1. 1. Osvedčenie odbornej spôsobilosti na vykonávanie taxislužby

Vstupný formát v súčasnom stave: XML

Výstupný formát v budúcom stave: JSON-LD

1. 1. 1. 1. Osvedčenie vozidla taxislužby

Vstupný formát v súčasnom stave: XML

Výstupný formát v budúcom stave: JSON-LD

1. 1. 1. 1. Preukaz vodiča vozidla taxislužby (Rozsah atribútov pre e-Preukaz)

Vstupný formát v súčasnom stave: XML

Výstupný formát v budúcom stave: JSON-LD

1. 1. 1. 1. Protokol o kontrole originality

Vstupný formát v súčasnom stave: XML

Výstupný formát v budúcom stave: JSON-LD

1. 1. 1. 1. Údaje o technickej kontrole

Vstupný formát v súčasnom stave: XML

Výstupný formát v budúcom stave: JSON-LD

1. 1. 1. 1. Údaje o Technickej kontrole (Rozsah atribútov pre e-preukaz)  

Vstupný formát v súčasnom stave: XML

Výstupný formát v budúcom stave: JSON-LD

1. 1. 1. 1. Údaje o technikoch jednotlivých typov kontroly TK/EK/KO/MPZ

Vstupný formát v súčasnom stave: XML

Výstupný formát v budúcom stave: JSON-LD

1. 1. 1. 1. Údaje o ADR bezpečnostný poradca

Vstupný formát v súčasnom stave: XML

Výstupný formát v budúcom stave: JSON-LD

1. 1. 1. 1. Údaje o Vodičovi ADR, Licenciách a povoleniach

Vstupný formát v súčasnom stave: XML

Výstupný formát v budúcom stave: JSON-LD

1. 1. 1. Legislatíva

1. 1. 1. 1. Analýza legislatívnych podmienok sprístupňovania údajov

V národnom právnom systéme sa základná právna úprava konceptu Mojich údajov a sprístupňovania údajov fyzickým osobám nachádza v zákone č. 305/2013 Z. z. o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení niektorých zákonov (zákon o e-Governmente) v znení zákona č. 301/2023 Z. z. a zákone č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení zákona č. 301/2023 Z. z.. Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení zákona č. 301/2023 Z. z., konkrétne § 12 ods. 1 písm. k) s účinnosťou od 1.8. 2023 doplnil pre Orgány riadenia povinnosť „sprístupňovať orgánom verejnej moci a osobám prostredníctvom modulu procesnej integrácie a integrácie údajov (ktorého súčasťou je aj IS CPDI a IS MOU) údaje evidované v informačných systémoch verejnej správy a aktualizovať ich“;

Zákon č. 305/2013 Z .z. o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení niektorých zákonov (zákon o e-Governmente) v znení zákona č. 301/2023 Z. z. s účinnosťou od 1.8. 2023 rozšíril funkcionalitu Modulu procesnej integrácie a integrácie údajov v § 10 ods. 11 písm. j) o sprístupňovanie údajov fyzickej osobe, fyzickej osobe podnikateľovi alebo právnickej osobe, ktoré sa takejto osoby týkajú, a správu týchto údajov takouto osobou, a to aj prostredníctvom mobilnej aplikácie v správe ministerstva investícií; správa údajov zahŕňa najmä ich získavanie, ukladanie, zobrazovanie alebo podávanie žiadosti o ich opravu elektronicky, pričom údaje takto poskytované fyzickej osobe, fyzickej osobe podnikateľovi alebo právnickej osobe sa považujú za úplné, zodpovedajúce skutočnosti a použiteľné na právne účely, ak sa zobrazujú prostredníctvom mobilnej aplikácie alebo inej informačnej technológie verejnej správy určenej na správu údajov fyzickej osoby, fyzickej osoby podnikateľa alebo právnickej osoby a ktorej správcom je ministerstvo investícií.

Predmetný zákon obsahuje aj nové samostatné ustanovenie o sprístupňovaní údajov fyzickej osobe, fyzickej osobe podnikateľovi alebo právnickej osobe (§ 10a):

„(1) Fyzickej osobe, fyzickej osobe podnikateľovi alebo právnickej osobe sa elektronicky automatizovaným spôsobom podľa § 10 ods. 11 písm. j) a v rozsahu podľa odseku 2 sprístupňujú údaje evidované v informačných systémoch verejnej správy, notifikácie o zmenách a opravách takýchto údajov a notifikácie o skutočnosti, aký orgán verejnej moci, kedy a z akého právneho dôvodu k jej údajom pristupoval, ak sprístupňovanie takýchto údajov a súvisiacich notifikácií nevylučuje osobitný predpis.

(2) Ministerstvo investícií je na účely sprístupňovania údajov fyzickej osobe, fyzickej osobe podnikateľovi alebo právnickej osobe podľa odseku 1 a na účely správy týchto údajov oprávnené určiť rozsah takto sprístupňovaných údajov. Orgán verejnej moci je povinný údaje určené v rozsahu podľa prvej vety ministerstvu investícií poskytovať, a to vždy v ich aktuálnej podobe.

(3) Na účely notifikácie osoby o zmenách v jej údajoch sprístupňovaných podľa § 10 ods. 11 písm. j) a o skutočnosti, aký orgán verejnej moci, kedy a z akého právneho dôvodu k týmto údajom pristupoval, je orgán verejnej moci povinný poskytovať ministerstvu investícií notifikácie o zmenách takýchto údajov a notifikácie obsahujúce údaje o tom, aký orgán verejnej moci, kedy a z akého právneho dôvodu k jej údajom pristupoval, a to bezodkladne potom, čo k zmenám takýchto údajov alebo k pristúpeniu k takýmto údajom došlo.“

Daná právna úprava znamená ideový posun MyData konceptu v tom zmysle, že právo na sprístupňovanie údajov priznáva nielen fyzickým osobám ako dotknutým osobám v zmysle GDPR a národného zákona č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov v znení neskorších predpisov, ale aj fyzickým osobám - podnikateľom a právnickým osobám s cieľom nielen umožniť im kontrolu nad spracúvaním ich údajov, ale aj ich praktické a zmysluplné využívanie bezpečným spôsobom ich vydieľaním s konkrétnou treťou/tzv.

Spoliehajúcou sa stranou, ktorú predstavuje najčastejšie subjekt z podnikateľského sektora ponúkajúci konkrétnu digitálnu službu (výnimočne sa v danom prípade môže jednať aj o subjekt verejnej správy, napr. Policajné orgány pri kontrole údajov obsiahnutých v dokladoch), ktorej využitím si fyzická, alebo právnická osoba vyrieši konkrétnu životnú situáciu. K sprístupňovaniu údajov má pritom dochádzať v štátom garantovanom bezpečnom  digitálnom prostredí prostredníctvom štátom prevádzkovanej informačnej technológie IS MOU ako garanciu spoľahlivosti technického riešenia, v ktorom sa spracúvajú citlivé osobné údaje (či dokonca osobitné kategórie osobných údajov v zmysle čl. 9 GDPR) a zároveň garanciou dôveryhodnosti údajov zdieľaných registrovaným používateľom IS MOU tretej strane.

Vyššie uvedená právna úprava predstavuje generálnu právnu úpravu horizontálneho charakteru. V danej súvislosti je opäť potrebné poukázať na vzťah “lex generalis” a “lex specialis”, ktorý je podstatou dôvodu legislatívno-právnej činnosti uvedenej v písmene A1.

1. 1. 1. 1. Právna analýza procesu opravy chybných/neaktuálnych údajov a návrh úpravy legislatívy pre opravu údajov

V projekte bude realizovaná právna analýza konkrétnych ustanovení osobitných predpisov vytvárajúcich zákonné prekážky aplikácie v realizačnej fáze projektu pre Aktivitu A1vypracovanie konkrétneho návrhu noviel súvisiacich právnych predpisov/ návrhu nového zákona

Per analógiám je uvedený vzťah všeobecnej a osobitnej právnej úpravy dôvodom legislatívno-právnej aktivity uvedenej v písmene A2. Pre komplexné fungovanie funkcionalít IS MOU je potrebné zanalyzovať, či v danom kontexte existuje v konkrétnej právnej úprave špecifický proces opravy chybných/neaktuálnych údajov, či dokonca proces ich výmazu (najčastejšie konkrétne návrhové konanie), či je ho potrebné zachovať, alebo upraviť, či dokonca navrhnúť úplne nový proces opravy/výmazu údajov alebo je možné použiť generálne vyvíjaný technický proces IS MOU bez nutnosti podávania osobitnej žiadosti na zdrojový orgán verejnej moci.

V danom kontexte je nutné zohľadniť Európsku dátovú stratégiu a z nej vyplývajúce právne záväzné akty Európskej únie vytvárajúce právny rámec pre aktívne, ale aj bezpečné využívanie údajov vznikajúcich v každodennom živote v digitálnom priestore širokým spektrom subjektov, avšak pri dôslednom rešpektovaní a zachovávaní práv dotknutej osoby na ochranu jej osobných údajov, ale aj vysokých požiadavkách na kyberbezpečnosť súvisiacich technológií a na druhej strane na pozitívnu používateľskú skúsenosť súvisiacich aktérov.

Ide najmä o Nariadenie Európskeho parlamentu a Rady (EÚ) 2024/1183 z 11. apríla 2024, ktorým sa mení nariadenie (EÚ) č. 910/2014, pokiaľ ide o zriadenie európskeho rámca digitálnej identity, a naň nadväzujúce vykonávacie nariadenia, z ktorých vyplynula nevyhnutnosť dynamicky akcelerovať vývoj v oblasti sprístupňovania údajov fyzickým osobám. Nariadenie predpokladá vytvorenie tzv. Európskej digitálnej identity pre občanov členských štátov v podobe EUDIWu – EU Digital Identity Walletu. Každý členský štát je povinný do konca roka 2026 poskytnúť svojim občanom minimálne jedno štátom garantované technické riešenie pre Európsku digitálnu peňaženku identity, ktorá bude obsahovať súbor atomizovaných štátom garantovaných, dôveryhodných a vždy aktuálnych atribútov zo spoľahlivého zdroja pre vytvorenie podmienok pre jej používateľa na aktívne využívanie digitálnych služieb spoliehajúcich sa strán. V danom kontexte vzniká v národnom právnom režime koncept digitálnych dokladov rešpektujúci dizajnové požiadavky EUDIWu a umožňujúci aktívne využívanie atomizovaných datasetov dokladov prostredníctvom štátom dodaných mobilných aplikácií.

Ďalším európske právne záväzným aktom, ktorý predpokladá aktívne riadenie údajov dotknutou osobou je nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1724 z 2. októbra 2018 o zriadení jednotnej digitálnej brány na poskytovanie prístupu k informáciám, postupom a asistenčným službám a službám riešenia problémov a o zmene nariadenia (EÚ) č. 1024/2012 a naň nadväzujúce vykonávacie predpisy (nariadenia).

Uvedený právny predpis vo svojej podstatnej časti predpisuje v cezhraničnom kontexte implementáciu funkcionality výmeny údajov medzi orgánmi verejnej moci, čiže realizáciu princípu „1 x a dosť“, prostredníctvom tzv. OOTS = Once only technical system. Aktívna spolupráca dotknutej osoby sa v danom kontexte predpokladá (okrem možnosti prístupu k elektronickým službám členského štátu prostredníctvom autentifikácie cez EUDIW) pri “prehliadaní a schvaľovaní” sprístupňovania jej údajov získaných z informačných systémov verejnej správy členských štátov príslušným orgánom verejnej moci iného členského štátu prostredníctvom tzv. “preview space”, v súlade s ideami Mydata.

1. 1. 1. 1. Právna analýza konkrétnych ustanovení osobitných predpisov

Predmetom legislatívno-právnych aktivít v tejto časti počas realizačnej fázy projektu bude právna analýza konkrétnych ustanovení osobitných predpisov uvedených nižšie potenciálne vytvárajúcich zákonné prekážky aplikácie v realizačnej fáze projektu a tiež návrh vhodnej právnej úpravy pre Aktivitu:

Aktivita A3

Realizácia poskytovateľskej dátovej integrácie – 3.1: Realizácia dátovej integrácie na centrálnu integračnú platformu (IS CPDI) za účelom poskytovania údajov – 3.2: Vyhlásenie referenčných údajov,

Základnú právnu úpravu referencovania, referenčných registrov a referenčných údajov obsahuje zákon č. 305/2013 Z. z. o e-Governmente vo svojej šiestej časti.

Výmenu dát medzi orgánmi verejnej moci generálne zakotvuje § 17 ods. 6 zákona o e-Governmente, a tiež zákon č. 177/2018 Z. z. o niektorých opatreniach na znižovanie administratívnej záťaže využívaním informačných systémov verejnej správy a o zmene a doplnení niektorých zákonov (zákon proti byrokracii) v znení neskorších predpisov. Špecifické podmienky pre výmenu dát týkajúce sa najmä konkrétneho rozsahu atribútov a účelov ich spracúvania pritom obsahujú osobitné zákony inštitúcie.

Aktivita A4

Realizácia dátovej integrácie na centrálnu integračnú platformu (IS CPDI) za účelom konzumovania údajov

Aktivita A5

Automatizované publikovanie otvorených údajov

Publikovanie otvorených údajov nadväzuje na smernicu Európskeho parlamentu a Rady (EÚ) 2019/1024 z 20. júna 2019 o otvorených dátach a opakovanom použití informácií verejného sektora a Vykonávacie nariadenie Komisie (EÚ) 2023/138 z 21. decembra 2022, ktorým sa stanovuje zoznam konkrétnych súborov údajov s vysokou hodnotou a podmienky ich uverejňovania a opakovaného použitia.

V národnom právnom systéme je všeobecne upravené v § 21b a nasl. zákona č. 211/2000 Z. z. o slobodnom prístupe k informáciám a o zmene a doplnení niektorých zákonov (zákon o slobode informácií) v znení neskorších predpisov a súvisiacich štandardizačných všeobecne záväzných právnych predpisoch, najmä vo vyhláške Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy v znení neskorších predpisov.

 oci.

1. 1. 1. 1. Vypracovanie komplexného dátovo-právneho manažmentu

V realizačnej fáze projektu bude vypracovaný komplexné dátovo-právny manažment v rozsahu rezortných zákonov týkajúcich sa spracúvania údajov, t.j. právna analýza osobitných právnych predpisov, ktorá sa bude zameriavať na identifikáciu právnych základov a právnych účelov pre:

1. konzumáciu údajov od iných inštitúcií verejnej správy (identifikácia právneho základu pre spracúvanie údaja na konkrétnu spracovateľskú operáciu),
2. poskytovanie údajov evidovaných v registroch inštitúcie verejnej správy
   1. orgánom verejnej moci na účely výkonu úradnej činnosti,
   2. iným subjektom mimo verejnej správy na iné účely,
3. poskytovanie údajov evidovaných v registroch inštitúcie verejnej správy na účely analytického spracúvania údajov vytvára základný právny nástroj pre činnosť Rezortnej dátovej kancelárie v rámci aktivity A7 -Zavedenie systematického manažmentu údajov. Komplexný dátovo-právny manažment inštitúcie bude základným zdrojom pre napĺňanie Registra oprávnení a povinností v rámci Centrálneho metainformačného systému,
4. poskytovanie údajov evidovaných v registroch inštitúcie verejnej správy ako otvorených údajov.

Preto aktivity v legislatívno-právnej oblasti sa budú realizovať najmä podľa písmena A1 a A2,  pričom sa budú primárne týkať týchto zákonov a na ne nadväzujúcich vykonávacích predpisov:

• Zákon č. 106/2018 Z. z.o prevádzke vozidiel v cestnej premávke a o zmene a doplnení niektorých zákonov
  • Vyhláška Ministerstva dopravy a výstavby Slovenskej republiky č.  133/2018 Z. z. ktorou sa ustanovujú podrobnosti o dokladoch vozidla
  • Vyhláška Ministerstva dopravy a výstavby Slovenskej republiky č.  134/2018 Z. z. ktorou sa ustanovujú podrobnosti o prevádzke vozidiel v cestnej premávke
  • Vyhláška Ministerstva dopravy a výstavby Slovenskej republiky č.  135/2018 Z. z. ktorou sa ustanovujú podrobnosti o cestnej technickej kontrole
  • Vyhláška Ministerstva dopravy a výstavby Slovenskej republiky č.  136/2018 Z. z. ktorou sa ustanovujú podrobnosti o technickej službe overovania
  • Vyhláška Ministerstva dopravy a výstavby Slovenskej republiky č.  137/2018 Z. z. ktorou sa ustanovujú podrobnosti v oblasti technickej kontroly
  • Vyhláška Ministerstva dopravy a výstavby Slovenskej republiky č.  138/2018 Z. z.
  • ktorou sa ustanovujú podrobnosti v oblasti emisnej kontroly
  • Vyhláška Ministerstva dopravy a výstavby Slovenskej republiky č.  139/2018 Z. z. ktorou sa ustanovujú podrobnosti v oblasti kontroly originality
  • Vyhláška Ministerstva dopravy a výstavby Slovenskej republiky č.  141/2018 Z. z.
  • ktorou sa ustanovujú podrobnosti o štátnom odbornom dozore a odbornom dozore technických služieb na úseku prevádzky vozidiel v cestnej premávke
    • preukaz Kontrolóra
• Zákon č. 56/2012 Z. z. o cestnej doprave
  • Vyhláška Ministerstva dopravy a výstavby Slovenskej republiky č. 124/2012 Z. z.
• Zákon č. 280/2006 Z.z. o povinnej základnej kvalifikácii a pravidelnom výcviku niektorých vodičov
• Zákon č. 93/2005 Z.z. o o autoškolách a o zmene a doplnení niektorých zákonov

Tabuľka uvedená nižšie zobrazuje súhrnný pohľad pre realizáciu aktivitu A11 v legislatívno-právnej oblasti počas realizačnej fázy projektu.

Tabuľka 9: Súhrnný pohľad pre realizáciu legislatívno-právnej oblasti projektu

1. 1. 1. Prehľad jednotlivých kategórií údajov

Počet dopytov (volaní) konkrétnych údajov

1. 1. Technologická vrstva

1. 1. 1. Prehľad technologického stavu - AS IS

Z hladiska IT infraštruktúry sú v súčasnom riešení hardvérové zariadenia umiestnenie v dvojici dátových centier Železničných telekomunikácií, a to v lokalite Kováčska 3, Bratislava a Trnavská cesta 27, Bratislava.

Využívajú sa servery typu Lenovo x3550 M4, zdieľané diskové úložiská od spol. EMC a datacentrová LAN infraštruktúra od spol. Cisco. Sieťový loadbalancing je zabezpečený prostredníctvom zariadení od spol. F5.

V čase vypracovania tohto dokumentu je prevažná väčšina zariadení v stave bez podpory zo strany výrobcov (end of support), a to jednak z hľadiska hardvéru samotného, ako aj firmware a systémového SW.

Platformový softvér, ktorý zahŕňa aj systémy riadenia bázy dát je prevažne od spol. Oracle, pričom nasadené verzie sú prevažne bez zabezpečenia podpory zo strany výrobcov, a zároveň mnohé z nich obsahujú závažné, verejne známe bezpečnostné zraniteľnosti. Toto je spôsobené najmä tým, že prípadný upgrade platformového softvéru by si vyžiadal rozsiahle úpravy aplikačného kódu, čo je jednak časovo a jednak finančne mimoriadne náročné. Zároveň však, týmto vzniká technologický dlh a znižuje sa bezpečnosť riešenie (toto zahŕňa aj dostupnosť, ale napr. aj riziko odcudzenia dát).

Aplikačný softvér je prevažne postavený na platforme Java 1.7.

V súčasnosti sa využívajú 2 dátové centrá Železničných telekomunikácií, a to v lokalitách: Kováčska 3, Bratislava a Trnavská cesta 27, Bratislava. Uvedené dátové centrá sú prepojené optickými vláknami, pričom dĺžka prepojenia po vlákne je 2,3 km (priame spojenie) a 9,8 km (spojenie cez Klemensova – Hlavná stanica).

Pre produkčné prostredia 2x EMC VNX5600 s prezentovanou kapacitou 213 TB za obe diskové polia a pre testovacie prostredia 1x EMC VNX5200 s prezentovanou kapacitou 12 TB.

1. 1. 1. Požiadavky na výkonnostné parametre, kapacitné požiadavky – TO BE

Tento podrobný popis obsahuje všetky relevantné informácie o softvérových a hardvérových požiadavkách systému budúcom stave. Upravuje požiadavky na základe potreby vysokého výkonu, spoľahlivosti a škálovateľnosti, pričom rešpektuje moderné postupy v oblasti IT infraštruktúry a nasadenia aplikácií.

Kontajnerizácia:

• Všetky komponenty systému METIS sú vyvíjané a distribuované vo forme kontajnerov (tzv. „cloud-ready“ riešenie). Táto kontajnerizácia umožňuje jednoduché nasadenie na akúkoľvek cloudovú infraštruktúru alebo v on-premise prostredí s podporou kontajnerových technológií.
• Kontajnery zjednodušujú správu závislostí medzi komponentmi a umožňujú efektívne riadenie ich nasadenia, škálovania a údržby.

Orchestrácia:

• Aplikačná vrstva (Application Layer): Pre správu a orchestráciu aplikačných služieb sa využíva Oracle SOA Suite, ktoré zabezpečuje spoľahlivú a flexibilnú správu biznis procesov a integrácie medzi rôznymi komponentmi.
• Infraštruktúrna vrstva (Infrastructure Layer): Pre správu infraštruktúry a orchestráciu kontajnerov je odporúčaný Kubernetes.
  • Štandardne v rámci METIS: Kubernetes slúži na orchestráciu kontajnerov a zabezpečuje automatizáciu nasadenia, škálovania a správy aplikácií v reálnom čase.

Licencie a softvér tretích strán:

Systém METIS ani ďalšie komponenty nevyžadujú žiadne platené licencie tretích strán. Všetky komponenty sú postavené na open-source technológiách, čo minimalizuje náklady na prevádzku a podporuje transparentnosť a flexibilitu pri ďalšom vývoji.

HW Požiadavky METIS:

Hardvérové požiadavky systému METIS sú stanovené na základe objemu spracovávaných dát, kvality týchto dát a počtu kritérií, podľa ktorých sa hodnotia. Navyše sa zohľadňuje množstvo pravidiel a počet spracovávaných procesov.

Architektúra:

• 64-bitová architektúra je nevyhnutná na plnohodnotné využitie pamäte a spracovateľských kapacít.

Požiadavky na CPU:

• Minimálne: 16 jadier
• Odporúčané: 24 jadier
• Optimálne: 32 jadier

Backend METIS je založený na asynchrónnom spracovaní serverových procesov, ktoré vyžadujú vyšší počet jadier. Výkon systému priamo závisí od počtu spracovateľských jadier, čo zabezpečuje rýchle a efektívne spracovanie úloh bez zbytočných prestojov. Preto sa nekladie dôraz na počet procesorov (CPU), ale na počet jadier, ktoré môžu paralelne spracovávať požiadavky.

Požiadavky na RAM:

• Minimálne: 32 GB
• Odporúčané: 48 GB
• Optimálne: 64 GB

RAM je dôležitá pre spracovanie veľkého množstva dát v reálnom čase. Vyššia kapacita pamäte umožňuje rýchlejšie načítanie a spracovanie dát, čo zvyšuje celkový výkon systému.

Úložisko:

Systém METIS vyžaduje dostatočnú úložnú kapacitu na ukladanie obsahu, histórie a záznamov o priebehu procesov. Odporúčané rozdelenie úložného priestoru je nasledovné:

• 1 TB SSD – NiFi Content Repository: Úložisko pre obsah spracovávaný v rámci dátových tokov.
• 500 GB (odporúčané: 1 TB) SSD – MongoDB: Úložisko pre relačné a nestrukturované dáta, ktoré sú kritické pre prevádzku aplikácie.
• 150 GB akékoľvek HDD – NiFi Flow File a Provenance Repository: Úložisko pre záznamy o dátových tokoch a súboroch.
• 100 GB SSD – Pre systém a Kubernetes: Priestor vyhradený pre operačný systém a Kubernetes infraštruktúru, ktorá orchestruje kontajnery a aplikačné komponenty.

Požiadavky na sieť:

• 2x 1 Gbps sieťová karta: Pre zabezpečenie dostatočnej šírky pásma na spracovanie dát a efektívnu komunikáciu medzi jednotlivými komponentmi systému.

Záložné riešenie (Failover):

Pre zabezpečenie vysokej dostupnosti a zálohovania systému by malo existovať záložné riešenie s rovnakou hardvérovou konfiguráciou. Toto záložné riešenie môže byť virtualizované a zabezpečené v rámci rovnakého cloudového alebo on-premise prostredia, čím sa zabezpečí kontinuita prevádzky v prípade zlyhania primárneho systému.

Poznámky a odporúčania:

• Veľkosť úložísk uvedená vyššie je odhadovaná a môže sa líšiť v závislosti od reálneho množstva a veľkosti spracovávaných dát, ako aj od stratégie verzionovania a archívovania.
• V prípade, že by bolo potrebné rozšíriť pojem „vysokej dostupnosti“ aj na úroveň dátovej infraštruktúry (t.j. odolnosť voči výpadkom a zabezpečenie integrity dát), bude nutné zmeniť a doplniť hardvérové požiadavky. Tieto doplnenia by mali zahŕňať mechanizmy na zrkadlenie dát (data replication), zálohovanie (backup) a prípadnú implementáciu vysoko dostupného úložného riešenia (napr. SAN alebo cloud-based storage).

1. 1. 1. Návrh riešenia technologickej architektúry

Systém JISCD je komplexným informačným systémom a pre rozbitie zložitosti je potrebné prevádzkovanie integračno-orchestračnej platformy, ktorá prepája jednotlivé agendové služby v previazaných business procesoch.

Keďže je smerovanie budúcej architektúry do cloud prostredia, tak boli zvažované aj rôzne typy metodík pre realizáciu procesných úkonov v distribuovaných systémoch. Existuje viacero metodických postupov ako realizovať takúto orchestračnú distribuovanú architektúru. V moderných aplikáciách sa uprednostňuje, podľa CAP teorému, vysoká dostupnosť a sieťové oddelenie. To znamená, že nie je možné zachovať silnú konzistenciu synchrónnymi službami tak ako je tomu teraz v JISCD. Je preto náročné vybrať takú technologickú zmenu aby to bolo nákladovo akceptovateľné a zároveň aby bolo možné potvrdiť, že budúce smerovanie JISCD je cloud-ready a zároveň umožňuje prechod efektívnejšie na distribuované mikro-služby v budúcnosti.

Modernizácia softvérového riešenia so zachovaním podstatnej časti existujúcej softvérovej bázy a jej umiestnenie na novú infraštruktúru v rámci on-premises riešenia

Tento prístup zahŕňa modernizáciu, a v niektorých prípadoch výmenu, softvérových platforiem (databázové systémy, aplikačné servery, integračná platforma, CMS, aplikačné frameworky a ďalšie), ako aj nevyhnutné úpravy aplikácií pre beh na aktuálnych LTS verziách JVM. Zároveň však zostane zachovaný monolitický koncept riešenia, bez využitia orchestračných kontajnerizačných platforiem, resp. nasadenie orchestračných platforiem pre relatívne malý rozsah riešenia.

Riešenie bude umiestnené on-premises v rámci dátových centier Ministerstva dopravy, resp. v prenajatých dátových centrách.

Tento prístup prináša nasledovné výhody:

• Ministerstvo dopravy bude mať pod plnou kontrolou riešenie z hľadiska HW aj SW.
• Eliminácia rizík pre poskytovanie IT služieb JISCD z dôvodu nízkej kvality štátnych cloudových riešení (prevádzkové, výkonové, bezpečnostné parametre) – v prípade umiestnenia riešenia do jedného zo štátom spravovaných cloudov.
• Eliminácia rizík pre poskytovanie IT služieb JISCD z dôvodu bezpečnostných a prevádzkových charakteristík, ako aj geopolitických rizík v prípade umiestnenia do jedného z verejných cloudov.
• Modernizáciou HW dôjde k výraznému zníženiu energetických nárokov na napájanie a chladenie infraštruktúry, ako aj umiestnenie zariadení v dátových centrách. Toto je dôležitý aspekt v rámci ochrany životného prostredia.
• Výrazné zvýšenie bezpečnosti riešenia prostredníctvom eliminácie softvérových bezpečnostných zraniteľností.
• V primeranej miery využité princípy automatizácie konfiguračných a administračných činností (deklaratívnou formou) zvýšia flexibilitu riešenia a riešenie bude budované ako cloud ready (v zmysle možnosti rýchleho a jednoduchého umiestnenia u niektorého z verejných, resp. komunitných poskytovateľov cloudových služieb), a to jednak z technologického hľadiska (serverová virtualizácia), ako aj z hľadiska licenčnej kompatibility medzi on-premises a cloudovými prostrediami.

S týmto prístupom sú spojené nasledovné nevýhody a riziká:

• Vzhľadom na veľký technologický dlh, ktorý vznikol v dôsledku nedostatočných investičných aktivít v oblasti modernizácie JISCD sa jedná o značný rozsah prác v rámci modernizácie riešenia.
• Problematické ocenenie z hľadiska rozsahu prác pre modernizáciu riešenia vzhľadom na archaické verzie softvérových súčastí.
• Náhrada technických riešení, pri ktorých výrobcovia zastavili ďalší vývoj, môže byť komplikované a časovo náročné.

1. 1. 1. Využívanie služieb z katalógu služieb vládneho cloudu

Neplánujú sa využívať služby vládneho cloudu

1.  
   1. Bezpečnostná architektúra

V rámci predkladaného projektu bude realizovaná aktivita A10 výzvy, ktoré hlavným účelom bude rozvoj informačných systémov z pohľadu bezpečnosti a zabezpečenie súladu s GDPR (právo dotknutej osoby na prístup k údajom).

Informačné systémy, ktoré spracúvajú osobné údaje alebo citlivé údaje, vyžadujú pravidelnú identifikáciu a analýzu rizík spojených s bezpečnosťou týchto údajov. Je potrebné zabezpečiť, aby boli identifikované potenciálne hrozby a zraniteľnosti, ktoré môžu ohroziť dôvernosť, integritu a dostupnosť údajov. Tento krok je základom pre vytvorenie alebo aktualizáciu bezpečnostného projektu.

V rámci predkladaného projektu bude MD SR realizovať aktivitu 10 výzvy v nasledovnom rozsahu.

1. Aktualizácia bezpečnostného projektu projekt pre:
   •  informačný systém ISVS_4867

1. Vytvorenie dokumentu na vplyvu na ochranu údajov (DPIA) pre:

• informačný systém ISVS_4867

Tabuľka 10: Rozsah ISVS v projekte pre realizáciu BP a DPIA

1. 1. 1. Postupy pre vytvorenie resp. revíziu bezpečnostného zámeru a DPIA

1. 1. 1. 1. Metodika pre bezpečnostný projekt

Metodika pre tvorbu bezpečnostného projektu prípadne jeho aktualizáciu (ak už existuje) bude prebiehať v súlade s požiadavkami na analýzu rizík a vyhodnotenie súladu implementovaných opatrení podľa vyhlášky Úradu podpredsedu vlády SR pre investície a informatizáciu č. 179/2020 Z. z., ktorá upravuje spôsob kategorizácie a obsah bezpečnostných opatrení pre informačné technológie vo verejnej správe. Táto vyhláška predpokladá vykonávanie revízie analýzy rizík minimálne raz za 12 mesiacov.

Revíziu bezpečnostného zámeru a analýzy rizík vykonáme aj v rámci kratšej periódy, ak dôjde k narušeniu dôvernosti alebo integrity chránených alebo prísne chránených informácií, ako aj pri zásadnej zmene funkčnosti informačného systému, ktorá bude mať vplyv na spracúvanie chránených a prísne chránených informácií.

Bezpečnostný zámer vymedzí základné bezpečnostné ciele, ktoré bude potrebné dosiahnuť na ochranu Informačného systému verejnej správy počas jeho vývoja, nasadzovania a prevádzky.

1. 1. 1. 1. Ohraničenia bezpečnostného projektu

Bezpečnostný projekt bude vypracovaný pre integrovaný informačný systém Ministerstva dopravy SR (MD SR) podľa príslušných kompetencií, ktoré stanovuje legislatíva. Tento projekt nebude riešiť komplexné bezpečnostné požiadavky všetkých informačných systémov v pôsobnosti MD SR, ale sa bude sústrediť na potreby konkrétneho integrovaného systému isvs_4867.

Projekt má viacero externých integrácií, ktoré nepredstavujú základný rozsah projektu a preto tieto systémy ako externé aktívum pravdepodobne nebudú sú súčasťou bezpečnostného projektu. Viac informácii ohľadne ohraničenia projektu bude detailne rozpracované v realizačnej fáze projektu.

Z hľadiska legislatívnych a vecných požiadaviek budú pre bezpečnostný projekt relevantné najmä nasledovné východiská a vstupy, ktorých bezpečnostné požiadavky bude potrebné vyhodnotiť a zabezpečiť praktický súlad v požadovanej miere.

1. 1. 1. 1. Zoznam právnych predpisov

• Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov,
• Vyhláška Národného bezpečnostného úradu č. 362/2018 Z. z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení,
• Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov,
• Vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy,
• Zákon 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov. Tento zákon upravuje ochranu práv fyzických osôb pred neoprávneným spracúvaním ich osobných údajov, práva, povinnosti a zodpovednosť pri spracúvaní osobných údajov fyzických osôb, postavenie, pôsobnosť a organizáciu Úradu na ochranu osobných údajov Slovenskej republiky.
• ISO/IEC 27001 Informačné technológie. Bezpečnostné metódy. Systémy riadenia informačnej bezpečnosti. Požiadavky (ISO/IEC 27001:2013 vrátane Cor. 1: 2014 a Cor. 2: 2015).
• ISO/IEC 27002 Informačné technológie. Bezpečnostné metódy. Pravidlá dobrej praxe riadenia informačnej bezpečnosti.
• ISO/IEC 27005 Informačné technológie. Bezpečnostné metódy. Riadenie rizík informačnej bezpečnosti
• ISO/IEC 29100 Privacy framework. (DPIA analýza voči dotknutým osobám )
• CSIRT - Metodika pre systematické zabezpečenie organizácií verejnej správy v oblasti informačnej bezpečnosti

Informačným systémom v zmysle zákona č. 95/2019 Z.z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov (ďalej ako „Zákon o ISVS“) je funkčný celok zabezpečujúci cieľavedomú a systematickú informačnú činnosť prostredníctvom technických a programových prostriedkov, pričom informačnou činnosťou je získavanie, poskytovanie a sprístupňovanie údajov, zhromažďovanie, spracúvanie, prenos, ukladanie, archivácia a likvidácia údajov .

Informačným systémom verejnej správy je IS v pôsobnosti povinnej osoby ako správcu, ktorý slúži na výkon verejnej správy a ktorého prevádzkovanie vyplýva z osobitného predpisu alebo z právomoci rozhodovať o právach a povinnostiach fyzických osôb alebo právnických osôb v oblasti verejnej správy.

Zákon o ISVS upravuje práva a povinnosti povinných osôb v oblasti ISVS a činnosti, ktoré zabezpečujú ich prevádzku a základné podmienky na zabezpečenie integrovateľnosti a bezpečnosti ISVS.

Je potrebné prihliadať na rozdielnosť definície pojmu „informačný systém“ podľa zákona o ISVS oproti definícii podľa zákona o ochrane osobných údajov (podobne tieto zákony rozdielne definujú aj iné pojmy, napr. „prevádzkovateľ informačného systému“).

1. 1. 1. 1. Opatrenia technické, organizačné a personálne a ich hodnotenie

Pre účely zmierňovania rizík použijeme v projekte nasledovné zdroje opatrení:

• CSIRT – Metodiku pre systematické zabezpečenie organizácií verejnej správy v oblasti informačnej bezpečnosti (Verzia dokumentu 2.1),
• HECK LIST – Základných bezpečnostných zásad a opatrení pre projektované ISVS (Vyhláška NBÚ SR č. 362/2018 Z. z. a Príloha č. 2 k vyhláške č. 179/2020 Z. z.),
• Maturity model hodnotenia SPICE: ISO/IEC 15504, pre proces vývoja softvéru a súvisiace funkcie podnikového manažmentu,
• Odporučené hodnotenie NIST v systéme CSF a lokálne podľa Metodiky KCCKB - Štandard na výkon auditu kybernetickej bezpečnosti.
• Metodika analýzy rizík

Analýza bezpečnosti bude zameraná nasledovne:

• Cieľom bude presne špecifikovať požadovanú úroveň bezpečnosti a identifikovať okolnosti, ktoré môžu narušiť bezpečnosť ISVS (hrozby).
• Analýza bude metodicky zameraná podľa normy STN ISO/IEC 27002:2013 s dôrazom na riziká špecifické pre ISVS.
• Vykonáme sumarizáciu a popis hrozieb a ich dopadov na aktíva ISVS.
• Vyhodnotíme závažnosť dopadov pri realizácii jednotlivých hrozieb kvalitatívnou formou.
• Podrobnosť analýzy bezpečnosti bude dostatočná na to, aby (pri zohľadnení súčasných poznatkov o informačnej bezpečnosti) bolo možné považovať všetky riziká, ktoré nebudú uvedené po implementácii navrhovaných bezpečnostných opatrení, za akceptovateľné zostatkové riziká.
• Pre každé riziko popísané v analýze bezpečnosti popíšeme spôsob jeho minimalizácie pomocou navrhovaných bezpečnostných opatrení.
• Cieľom bude navrhnúť systém bezpečnostných opatrení takým spôsobom, aby boli všetky riziká identifikované v rámci analýzy bezpečnosti minimalizované na úroveň zodpovedajúcu zostatkovým rizikám vymedzeným v tomto bezpečnostnom zámere.
• Pre jednotlivé riziká uvedieme mieru zostatkového rizika kvalitatívnou formou, po zohľadnení konkrétnych implementovaných, resp. navrhovaných bezpečnostných opatrení.
• Technické opatrenia týkajúce sa priamo ISVS, popísané v tomto dokumente, musia byť implementované počas jeho vývoja a zavádzania do prevádzky.
• Technické opatrenia týkajúce sa okolia ISVS, personálne a organizačné opatrenia budú mať odporúčací charakter a ich zavedenie do praxe zabezpečí prevádzkovateľ systému.

Použitá metodika analýzy rizík IS Informačný systém verejnej správy (ISVS) bude mať kvalitatívno/kvantitatívny  charakter. Obsahová štruktúra analýzy bezpečnosti a návrhu opatrení bude vychádzať z nasledovných okruhov bezpečnosti stanovených štandardami

• STN ISO/IEC 27005: 2013 Informačné technológie. Bezpečnostné metódy. Pravidlá dobrej praxe riadenia informačnej bezpečnosti,
• ISO/IEC 27001 Informačné technológie. Bezpečnostné metódy. Systémy riadenia informačnej bezpečnosti. Požiadavky (ISO/IEC 27001:2013 vrátane),
• ISO/IEC 27002 Informačné technológie. Bezpečnostné metódy. Pravidlá dobrej praxe riadenia informačnej bezpečnosti,
• ISO/IEC 27005 Informačné technológie. Bezpečnostné metódy. Riadenie rizík informačnej bezpečnosti,
• ISO/IEC 29100 Privacy framework. (DPIA analyza voci dotknutym osobam ).

Pri realizácii analýzy bezpečnosti a návrhu bezpečnostných opatrení budú zohľadnené všetky aspekty implementácie a prevádzky ISVS, rovnako ako aj všetky relevantné požiadavky na opatrenia pri ochrane IS stanovené v záväzných predpisoch.

1. 1. 1. 1. Vymedzenie a popis okolia informačného systému

Okolím ISVS pre účely tohto bezpečnostného projektu bude každý bod, z ktorého bude možný priamy prístup k aktívam ISVS alebo ktorý bude ovplyvňovať jeho prevádzku, jej podmienky alebo bezpečnosť. Okolie ISVS budú tvoriť najmä nasledovné typy štruktúr:

• Organizačné prostredie prevádzkovateľa a relevantné vnútorné predpisy.
• Legislatíva upravujúca účel ISVS, podmienky jeho prevádzky a rozsah spracúvaných údajov.
• Miestnosti a objekty, v ktorých sa budú nachádzať zariadenia používané systémom alebo kde budú uložené jeho údaje.
• Osoby nezastávajúce žiadnu rolu pri prevádzke a správe IS, ale ktoré budú mať možnosť prístupu do priestorov uvedených vyššie.
• Systémy zabezpečujúce prijateľné podmienky prostredia (napr. teplota, vlhkosť, prašnosť, vibrácie) v týchto priestoroch.
• Systémy zabezpečujúce fyzickú bezpečnosť týchto priestorov (napr. ochrana pred neoprávneným vstupom, narušením integrity priestorov, monitorovaním činností vykonávaných v priestoroch).
• Komunikačné linky, po ktorých budú prenášané údaje ISVS.
• Infraštruktúra počítačovej siete, v ktorej bude systém prevádzkovaný a zariadenia do nej pripojené.
• Systém napájania elektrickou energiou.
• Aplikácie, od ktorých bude závisieť prevádzka ISVS.
• Aplikácie poskytujúce dátové vstupy do ISVS.
• Ostatné aplikácie, ktoré budú prevádzkované na zariadeniach využívaných ISVS.
• Prenosné nosiče údajov používané pri práci s ISVS alebo nachádzajúce sa v jeho blízkosti, alebo zariadenia, ktoré môžu byť použité ako nosiče údajov.
• Ostatný materiál potrebný na prevádzku ISVS.
• Osoby využívajúce služby ISVS.
• Osoby podieľajúce sa na prevádzke a správe ISVS, vrátane pracovníkov externých zmluvných partnerov.

Z hľadiska budovania a implementácie systému IS Informačný systém verejnej správy (ISVS) sú štruktúry tvoriace okolie IS Informačný systém verejnej správy (ISVS) považované za priamo neovplyvniteľné (pre dodávateľa systému v nich nie je možné priamo zavádzať bezpečnostné opatrenia).

V rámci tohto bezpečnostného projektu je však možné na okolie IS Informačný systém verejnej správy (ISVS) klásť požiadavky alebo predpoklady za účelom dosiahnutia požadovanej bezpečnosti IS Informačný systém verejnej správy (ISVS) takým spôsobom, aby predpoklady boli v súlade s realitou a požiadavky boli dosiahnuteľné za akceptovateľných podmienok.

Požiadavky na okolie budú uvedené vo forme návrhu bezpečnostných opatrení, ktoré majú odporúčací charakter – vyhodnotenie zostatkových rizík bude realizované na základe reálneho predpokladu efektívneho nasadenia daného opatrenia do praxe v okamihu, od kedy je to pre bezpečnosť IS Informačný systém verejnej správy (ISVS) relevantné.

1. 1. 1. Metodika pre DPIA

1. 1. 1. 1. Posúdenie vplyvu na ochranu osobných údajov (DPIA)

Okrem štandardu ISO 27005 používame tzv. Privacy Framework založený na štandardoch ISO 29100, ISO 29134 a ISO 29151. Analýza rizík prinesie odpoveď na otázku, pôsobeniu akých hrozieb bude dotknutá osoba vystavená, ako budú aktíva voči hrozbám zraniteľné, aká vysoká bude pravdepodobnosť, že hrozba zneužije určitú zraniteľnosť, a aký dopad by to na dotknutú osobu mohlo mať.

Riadením rizík prostredníctvom prijatých opatrení znížime riziko na úroveň prijateľnú, ktorá bude posudzovaná podľa vyhlášky Úradu na ochranu osobných údajov Slovenskej republiky č. 158/2018 Z.z. o postupe pri posudzovaní vplyvu na ochranu osobných údajov.

Na posúdenie vplyvu DPIA (Data Protection Impact Assessment) v súlade s článkom 35 GDPR aplikujeme nasledovnú metodiku a aktivity:

1. Popis činnosti spracúvania:

Jednoznačne definujeme účel, rozsah a kontext činnosti spracúvania. DPIA bude obsahovať dokumentáciu o tom, aké osobné údaje budú spracúvané, kategórie subjektov údajov a zapojené spracovateľské operácie.

1. Hodnotenie nutnosti a proporcionality:

Zhodnotíme, či bude spracúvanie nevyhnutné na dosiahnutie zamýšľaného účelu a či bude proporcionálne k cieľom. Zvážime alternatívy, ktoré by mohli dosiahnuť rovnaké ciele s menšími rizikami pre súkromie.

1. Identifikácia a hodnotenie rizík:

Identifikujeme potenciálne riziká pre práva a slobody subjektov údajov. Zvážime riziká týkajúce sa bezpečnosti údajov, presnosti, dôvernosti, transparentnosti a ďalších relevantných faktorov. Tento krok bude zahŕňať hodnotenie pravdepodobnosti a potenciálneho dopadu každého rizika.

1. Hodnotenie právnych a regulačných požiadaviek:

Posúdime, či činnosť spracúvania bude spĺňať relevantné právne a regulačné požiadavky. Zvážime príslušné zákony o ochrane údajov a ostatné špecifické predpisy.

1. Konzultácie s zainteresovanými stranami:

Zahrnieme príslušné zainteresované strany, vrátane ÚOOÚ SR a všetky ďalšie relevantné strany, aby sme získali pohľady a perspektívy týkajúce sa potenciálnych rizík a opatrení na ich zmierňovanie.

1. Znižovanie rizík:

Odporučíme zavedenie opatrení na zmiernenie identifikovaných rizík. To môže zahŕňať úpravu postupov, zavedenie technických zabezpečení alebo zavedenie ďalších kontrol na zmiernenie rizík.

1. Hodnotenie, dokumentácia a monitoring:

Odporučíme pravidelné prehodnotenie a aktualizovanie DPIA, aby bola zabezpečená presnosť a aktuálnosť údajov, a udržiavanie kontinuálneho monitoringu vplyvu spracúvania na ochranu súkromia.

1. Zahrnutie DPIA do rozhodovacieho procesu:

Odporučíme použitie zistení z DPIA na usmernenie rozhodnutí týkajúcich sa činnosti spracúvania.

1. Transparentnosť:

Odporučíme udržiavanie komplexných záznamov o procese DPIA, vrátane hodnotení, zistení, prijatých opatrení a výsledkov. Zabezpečíme transparentnosť tým, že relevantné informácie o DPIA budú dostupné subjektom a úradom, ak to bude potrebné.

1. Závislosti na ostatné ISVS / projekty

Projekt nie je závislí od iných IT projektov, ktoré v súčasnosti realizuje MD SR .

1. Zdrojové kódy

Zdrojové kódy vytvorené počas projektu sa budú zverejňovať v zmysle § 31 vyhlášky UPVII č. 78/2020 Z. z. o štandardoch pre informačné technológie verejnej správy v nadväznosti na § 15 ods. 2 písm. d) prvý bod zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov buď  pre verejnosť bez obmedzenia (podľa § 31 ods. 4 písm. a) vyhlášky) alebo s obmedzenou dostupnosťou iba pre orgán vedenia a orgány riadenia (podľa § 31 ods. 4 písm. b) vyhlášky) spolu s odôvodnením v závislosti od jeho charakteru a posúdenia z hľadiska bezpečnosti a súvisiacich okolností.

1.  
2. Prevádzka a údržba

1. 1. 1. Úrovne podpory používateľov

Systém Help Desk vo verejnej správe je organizovaný cez tri úrovne podpory, pričom všetky úrovne budú zabezpečené dodávateľsky. Cieľom tohto systému je efektívne riešiť problémy a požiadavky koncových používateľov, ktorí pracujú s informačnými systémami a aplikáciami správy. Každá úroveň má svoje špecifické úlohy a zodpovednosti, ktoré sú kľúčové pre zaisťovanie kvalitných a efektívnych služieb v oblasti verejnej správy.

L1 predstavuje počiatočnú vrstvu podpory zameranú na riešenie základných problémov a požiadaviek koncových užívateľov informačných systémov vo verejnej správe.

Hlavné funkcie:

• Zhromažďovanie informácií: Rýchle a efektívne zhromažďovanie relevantných údajov o problémoch od užívateľov, vrátane informácií o používaných systémoch a prostrediach.
• Základná analýza: Posúdenie hlásených problémov a ich klasifikácia na základe vopred definovaných kritérií, ako sú priorita, typ problému a kategória.
• Riešenie bežných problémov: Riešenie jednoduchých a priamych problémov, ako sú:
  • Zabudnuté heslá a základné používateľské problémy (napr. prístup k systémom).
  • Overenie dostupnosti infraštruktúry (napr. sieťové pripojenie, funkčnosť aplikácií).

Komunikácia: Úroveň L1 zabezpečuje priamu interakciu s koncovými užívateľmi prostredníctvom telefónu, e-mailu a online chatov, pričom sa zameriava na efektívne a rýchle riešenie problémov.

Úroveň L2 je zložená z riešiteľských tímov s hlbšími technologickými znalosťami v oblasti informačných systémov vo verejnej správe, ktorí sa zaoberajú problémami, ktoré boli eskalované z úrovne L1.

Hlavné funkcie:

• Spolupráca s L1: Riešitelia L2 úzko spolupracujú s tímom L1 pri analýze a riešení eskalovaných hlásení, pričom poskytujú technickú asistenciu a poradenstvo.
• Hĺbková analýza: Vykonávanie podrobnejších analýz a identifikácia príčin zložitých problémov, ktoré neboli vyriešené na L1, vrátane analýzy logov a systémových správ.
• Validácia a klasifikácia: Spätná kontrola a podrobné overenie údajov z hlásení od L1, pričom sa potvrzuje, upresňuje alebo prehodnocuje problém v súlade s požiadavkami a normami verejnej správy.
• Eskalácia: V prípade, že problém nie je možné vyriešiť na úrovni L2, je možné ho eskalovať na L3, pričom sa zabezpečuje kompletná dokumentácia predchádzajúcich krokov.
• Základné diagnostické postupy na identifikáciu technických problémov a overenie nastavení softvéru a hardvéru.

Komunikácia: Riešitelia L2 nekomunikujú priamo s koncovými užívateľmi, ale poskytujú podporu tímu L1 a prispievajú k riešeniu problémov na pozadí.

Úroveň L3 predstavuje najvyššiu vrstvu podpory, ktorá sa zameriava na riešenie najzložitejších a najnáročnejších problémov v oblasti informačných systémov vo verejnej správe.

Hlavné funkcie:

• Riešenie komplexných problémov: Riešitelia L3 sa zaoberajú technicky náročnými problémami, ktoré vyžadujú pokročilé znalosti a odborné skúsenosti v oblasti informačných technológií a správy.
• Hĺbkové analýzy a investigácie: Vykonávanie detailných analýz a diagnostiky na identifikáciu základných príčin problémov, ktoré nie je možné vyriešiť na nižších úrovniach, vrátane preverovania architektúry systémov a databáz.
• Vypracovanie odporúčaní: Na základe analýz a zistení tím L3 navrhuje riešenia a zlepšenia procesov, ktoré môžu predchádzať opakovaniu problémov a zvyšovať efektivitu a bezpečnosť systémov.
• Spolupráca s vývojovým a technickým tímom: Úroveň L3 úzko spolupracuje s vývojovými a technickými tímami na implementácii zmien a vylepšení, ktoré zvyšujú stabilitu a funkčnosť systémov v rámci verejnej správy.

Komunikácia: Riešitelia L3 nemajú priamy kontakt s koncovými užívateľmi, ale poskytujú technickú podporu tímom L1 a L2 a zabezpečujú, že zložitý problém je správne riešený a zdokumentovaný.

1. 1. 1. SLA (Service Level Agreement)

Pre všetky úrovne podpory sú definované nasledujúce parametre SLA:

• Dostupnosť: Help Desk je dostupný pre vybrané skupiny užívateľov prostredníctvom telefónu a e-mailu.
• Evidencia incidentov: Všetky incidenty sú zaznamenávané v informačnom systéme (IS) pre zabezpečenie transparentnosti a sledovateľnosti.
• Dostupnosť L2 a L3:
  • Čas: Podpora L2 a L3 je dostupná 8 hodín denne, 5 dní v týždni (od 8:00 do 16:00 počas pracovných dní).

Help Desk bude realizovaný cez 3 úrovne podpory, s nasledujúcim označením:

• Aktuálna prevádzka systému  zabezpečená internými personálnymi kapacitami na úrovni podpory L1
• L2 podpory IS (Level 2, postúpenie požiadaviek od L1) - vybraná skupina garantov, so znalosťou IS (zabezpečuje prevádzkovateľ IS).
• L3 podpory IS (Level 3, postúpenie požiadaviek od L2) - na základe zmluvy o podpore IS (zabezpečuje úspešný uchádzač).

1. 1. 1. Riešenie incidentov – SLA parametre

V zmluve o dielo budú pre jednotlivé systémy definované nasledovné požiadavky závažnosti incidentov, ktoré sa používajú na kategorizáciu a priorizáciu incidentov v informačných systémoch na základe ich dopadu na prevádzku, používateľov a kritickosť služieb. Každý stupeň závažnosti vyžaduje odlišnú úroveň reakcie a má rozdielne požiadavky na čas riešenia.

Označenie naliehavosti incidentu:

možný dopad:

Výpočet priority incidentu je kombináciou dopadu a naliehavosti v súlade s best practices ITIL V3 uvedený v nasledovnej matici:

Vyžadované reakčné doby:

Vysvetlivky k tabuľke

(1) Reakčná doba je čas medzi nahlásením incidentu verejným obstarávateľom (vrátane užívateľov IS, ktorí nie sú v pracovnoprávnom vzťahu s verejným obstarávateľom) na helpdesk úrovne L3 a jeho prevzatím na riešenie.

(2) DKVI znamená obnovenie štandardnej prevádzky - čas medzi nahlásením incidentu verejným obstarávateľom a vyriešením incidentu úspešným uchádzačom (do doby, kedy je funkčnosť prostredia znovu obnovená v plnom rozsahu). Doba konečného vyriešenia incidentu od nahlásenia incidentu verejným obstarávateľom (DKVI) sa počíta počas celého dňa. Do tejto doby sa nezarátava čas potrebný na nevyhnutnú súčinnosť verejného obstarávateľa, ak je potrebná pre vyriešenie incidentu. V prípade potreby je úspešný uchádzač oprávnený požadovať od verejného obstarávateľa schválenie riešenia incidentu.

(3) Maximálny počet incidentov za kalendárny mesiac. Každá ďalšia chyba nad stanovený limit spoľahlivosti sa počíta ako začatý deň omeškania bez odstránenia vady alebo incidentu. Duplicitné alebo technicky súvisiace incidenty (zadané v rámci jedného pracovného dňa, počas pracovného času 8 hodín) sú považované ako jeden incident.

(4) Incidenty nahlásené verejným obstarávateľom úspešnému uchádzačovi v rámci testovacieho prostredia majú prioritu 3 a nižšiu

Vzťahujú sa výhradne k dostupnosti testovacieho prostredia. Za incident na testovacom prostredí sa nepovažuje incident vztiahnutý k práve testovanej funkcionalite.

Vyššie uvedené SLA parametre nebudú použité pre nasledovné služby:

• Služby systémovej podpory na požiadanie (nad paušál)
• Služby realizácie aplikačných zmien vyplývajúcich z legislatívnych a metodických zmien (nad paušál)

Pre tieto služby budú dohodnuté osobitné parametre dodávky.

1. 1. Požadovaná dostupnosť IS:

Požiadavky na dostupnosť informačných systémov, ktoré sú predmetom projektu a zároveň slúžia ako zdrojové systémy pre údaje poskytované prostredníctvom IS CPDI, musia byť zhodné s požiadavkami na systém, pre ktorý sú tieto údaje určené, konkrétne IS MOU. Tieto požiadavky sú definované v rámci nasledujúcich parametrov:

• Maximálna kumulatívna doba plánovaných odstávok za mesiac: 12 hodín / *48 hodín
• Garantovaná doba odozvy (synchrónna / asynchrónna komunikácia): 20 sekúnd / 60 sekúnd

 V prípade plánovanej aktualizácie systému IS CPDI na novú verziu softvéru, sa počíta s predĺženou víkendovou odstávkou, pričom maximálna povolená doba odstávok za mesiac môže dosiahnuť 48 hodín.

(**) V prípade incidentu v prostredí gCloud musí byť primárne obnovená vrstva gCloud, následne služba. Prostredie gCloud predstavuje vládny cloud, v ktorom je prevádzkovaný IS CPDI.

Poznámka: Uvedené SLA parametre platia pre 99,9 % prípadov. Všetky parametre sú garantované na rozhraní systémov.

1. 1. 1. Dostupnosť (Availability)

Dostupnosť (Availability) je vyjadrená ako percento času v danom období, obvykle za rok. Predpokladá sa dostupnosť na úrovní 98% dostupnosť, čo znamená kumulatívny výpadok 7,30 dňa ročne resp. 14 hodín mesačne.

1. 1. 1. RTO (Recovery Time Objective)

RTO (Recovery Time Objective) - 4 hodiny + RTO gCloud[1], hodnota musí byť totožná s hodnotou pre IS MOU. hodín – doba obnovenia systému, t.j. za ako dlho po výpadku musí byť systém funkčný.

1. 1. 1. RPO (Recovery Point Objective)

RPO (Recovery Point Objective) - 6 hodín- aké množstvo dát môže byť stratené od vymedzeného okamihu.

1.  
2. Požiadavky na personál

1. 1. riadiaci výbor A PROJEKTOVÝ TÍM

V rámci prípravnej a iniciačnej fázy projektu sa určí Zloženie Riadiaceho výboru, ktorý bude mať nasledovnú formu:

1. Riadiaci výbor bude mať minimálne 3 členov, vrátane predsedu Riadiaceho výboru (ďalej len „predseda“).

1. Riadiaci výbor projektu bude tvoriť:
   1. predseda Riadiaceho výboru projektu,
   2. vlastník alebo vlastníci procesov objednávateľa (biznis vlastník) alebo nimi poverený zástupca alebo zástupcovia,
   3. zástupcu kľúčových používateľov objednávateľa (end user),
   4. zástupca za Dodávateľa v zmysle Zmluvy.

1. Väčšina členov Riadiaceho výboru s hlasovacím právom budú osoby navrhnuté objednávateľom a zastupujú záujmy objednávateľa,

V rámci prípravnej a iniciačnej fázy projektu sa menuje Projektový manažér, na ktorého

návrh sa vymenuje projektový tím, pričom predseda riadiaceho výboru projektu alebo projektový manažér objednávateľa na základe poverenia zabezpečia:

• určenie rozsahu úloh všetkých členov projektového tímu,
• určenie vhodných kandidátov na pozície členov projektového tímu, pričom bude obsadenie projektových rolí v rozsahu (v zmysle vyhlášky MIRRRI č.401/2023 Z. z.  o riadení projektov):

1. kľúčový používateľ,
2. IT analytik alebo biznis analytik,
3. IT architekt,
4. biznis vlastník,
5. manažér kvality pri veľkých projektoch; pri ostatných projektoch, ak je to potrebné,
6. manažér IT prevádzky, ak je to potrebné,
7. manažér kybernetickej a informačnej bezpečnosti, ak je to potrebné,
8. UX dizajnér, ak je to potrebné,
9. iná špecifická rola, ak je to potrebné,

Vzor štruktúry riadiaceho výboru

Tabuľka 11: Vzor riadiaceho výboru

1.  
   1.  PRACOVNÉ NÁPLNE

1. 1. 1. Pôsobnosť a úlohy Riadiaceho výboru

Základnou úlohou Riadiaceho výboru je najmä:

1. schválenie predmetu projektu, inkrementov, priebežné a záverečné schválenie manažérskych produktov a špecializovaných produktov, 
2. základné rozhodnutia v projekte, najmä rozhodnutia o rozsahu, rozpočte a harmonograme projektu,
3. zabezpečenie finančných zdrojov a schvaľovanie zmien financovania projektu,
4. účelnosť vynakladaných finančných prostriedkov a kontrolu BC/CBA – odôvodnenia projektu pred začatím projektu a priebežnú kontrolu aktualizácie zdôvodnenia projektu po ukončení každej fázy projektu, 
5. pravidelnú kontrolu projektového manažéra objednávateľa, činnosti projektového tímu a riadenia projektu, 
6. priebežnú kontrolu a pravidelné vyhodnotenie dosahovania určených merateľných ukazovateľov,
7. dodržanie bezpečnostných štandardov, štandardov informačných technológií verejnej správy a dodržanie legislatívy v oblasti ochrany osobných údajov pri realizácii projektu, 
8. schválenie požiadaviek na zmenu alebo odchýlky od špecifikácie a zadania projektu,
9. určenie rozsahu manažérskych produktov vytváraných počas celého projektu a akceptáciu rozsahu a kvality dodávaných projektových výstupov, 
10. berie na vedomie výsledky zverejneného vyhodnotenia verejného pripomienkovania manažérskych produktov na webovom sídle objednávateľa, ktoré sú vstupom do Verejného obstarávania
11. zabezpečuje zverejňovanie zápisov z Riadiacich výborov projektu a schvaľovaných projektových (manažérskych a špecializovaných) výstupov vo verejnej časti centrálneho metainformačného systému verejnej správy,
12. schválenie obsahov manažérskych produktov, ktoré  sú vstupom do Verejného obstarávania,
13. schválenie manažérskych a špecializovaných produktov,
14. schválenie prechodu do nasledujúcej fázy alebo etapy,
15. zabezpečenie dodržania princípov hospodárnosti, efektívnosti, účinnosti a účelnosti využívania verejných prostriedkov aj pri tvorbe, modernizácii, úprave a rozvoji informačných technológií verejnej správy, ktorú zabezpečuje riadiaci výbor projektu v čase realizácie projektu, ako aj v čase správy a prevádzky informačného systému, ktorý je v rámci projektu vytvorený,
16. prerokovanie a rozhodovanie o problémoch eskalovaných z nižšieho stupňa riadenia projektu
17. akceptácia a schvaľovanie Výstupov Etáp pre jednotlivé Časti Diela v rámci príslušného Vydania a celkového Diela,
18. schvaľovanie Stratégie testovania, Plánu testovania a Testovacích scenárov finálnych testov pre otestovanie plnej funkcionality riešenia,  
19. posudzovanie, ktorá zo Zmluvných strán nesie zodpovednosť za vzniknutú vadu časti Diela alebo Diela pri nezhode Zmluvných strán,
20. schválenie opatrení na odstránenie bezpečnostných a iných chýb odhalených po uvedení Diela do produkčnej prevádzky,
21. rozhodovanie o požiadavkách na zmenu počas implementácie a prevádzkovania
22. schválenie zmeny Zmluvy,
23. schválenie zmien štatútu,
24. rozhodovanie o nevhodnosti pokynov zo strany Objednávateľa,
25. prijímanie strategických rozhodnutí súvisiacich s prevádzkou.

1. 1. 1. Pracovná náplň projektového tímu

Tu je prehľadná tabuľka popisu práce a zodpovedností jednotlivých projektových rolí:

Tabuľka 11: Popis práce a zodpovedností jednotlivých projektových rolí

1. Implementácia a preberanie výstupov projektu

Súčasťou aktivity je odovzdanie riešenia do pilotnej prevádzky. Nasadenie riešenia do produkčného prostredia a odovzdanie diela bude realizované na základe úspešných akceptačných testov za účasti zodpovedných osôb poverených inštitúciou, ktoré preveria funkčnosť všetkých častí dodaného riešenia a taktiež služieb. Výstupom aktivity budú protokoly z testovania, akceptované moduly a jednotlivé požiadavky nachádzajúce sa v katalógu požiadaviek a akceptačný protokol o prevzatí diela, alebo jeho častí.

1. 1. Pravidlá pre riadenie kvality a požiadavky na kvalitu výstupov

Cieľom riadenia kvality je definovanie prístupu k zabezpečeniu a dosiahnutiu požadovanej kvality výstupov projektu a definovanie akceptačného procesu, v súlade s metodikou PRINCE2, PRINCE2 AGILE a v zmysle vyhlášky MIRRI č. 401/2023 o riadení projektov.

Proces riadenia kvality bude postavený na vzájomnej súčinnosti, transfere znalostí, kontrole, overovaní  a verifikácii výstupov Objednávateľa / Dodávateľa.

V rámci dodávania častí diela budú jednotlivé požiadavky prechádzať svojim životným cyklom, pričom v rámci jednotlivých fáz tohto cyklu budú uskutočňované aktivity zamerané na overovanie kvality.

Predpoklady odovzdania a akceptácie výstupov projektu sa budú realizovať v zmysle Zmluvy o dielo so všetkými prílohami, podľa článku IX Odovzdanie a akceptácia a článku X Zodpovednosť za kvalitu a zodpovednosť za škodu.

1. 1. Pravidlá pre riadenie zmien

Pravidlá pre riadenie zmien sú definované na základe Zmluvy o dielo - Zmenové konanie.

Návrh na zmenu v projekte bude predložený projektovým manažérom objednávateľa alebo dodávateľa.

Návrh na zmenu musí obsahovať vyjadrenie k potrebnosti a realizovateľnosti navrhovaných zmien, spolu s ich finančným a časovým ocenením, resp. ďalšími predpokladmi ich uskutočnenia. Návrh na zmenu obsahuje nasledujúcu klasifikáciu navrhovanej zmeny:

1. zmenu je možné realizovať bez dopadu na náklady alebo harmonogram plnenia;
2. zmenu je možné realizovať, ale s dopadom na harmonogram plnenia a je potrebné prijať rozhodnutie o uzavretí dodatku ku Zmluve;
3. zmenu je možné realizovať, ale s dopadom na náklady plnenia a je potrebné prijať rozhodnutie o uzavretí dodatku ku Zmluve.

Návrh na zmenu dohodnutého plnenia predmetu ZoD predloží predkladateľ projektovému manažérovi druhej Zmluvnej strany a vyžiada si od neho stanovisko k predmetnému Návrhu na zmenu. Stanovisko podľa predchádzajúcej vety je povinný príslušný projektový manažér poskytnúť predkladateľovi Návrhu na zmenu najneskôr do 5 pracovných dní od jeho doručenia, pričom stanovisko obsahuje najmä vyjadrenie k vhodnosti, potrebnosti a realizovateľnosti navrhovaných zmien, spolu s ich finančným a časovým ocenením, resp. ďalšími predpokladmi ich uskutočnenia. Stanovisko obsahuje nasledujúcu klasifikáciu navrhovanej zmeny:

1. zmenu je možné realizovať bez dopadu na náklady alebo harmonogram plnenia;
2. zmenu je možné realizovať, ale s dopadom na harmonogram plnenia a je potrebné prijať rozhodnutie o uzavretí dodatku ku Zmluve;
3. zmenu je možné realizovať, ale s dopadom na náklady plnenia a je potrebné prijať rozhodnutie o uzavretí dodatku ku Zmluve;
4. zmenu neodporúča realizovať s uvedením dôvodov;
5. zmenu nie je možné realizovať s uvedením dôvodov;
6. zmenu nie je možné realizovať v rámci existujúcej Zmluvy, s prípadným odporúčaním, ako námet pre nový projekt.

Projektový manažér objednávateľa/dodávateľa predkladá RV na schválenie Požiadavku na zmenu v projekte.

Riadiaci výbor posúdi predložený Návrh na zmenu a stanovisko a následne rozhodne o schválení alebo neschválení návrhu. Schválený Návrh na zmenu je podkladom pre uzatvorenie dodatku ku ZoD, ktorý bude predložený štatutárnym zástupcom Zmluvných strán. Projektový manažér objednávateľa/dodávateľa zabezpečuje komunikáciu rozhodnutí RV o zmenách na nižšie úrovne riadenia.

Predkladateľ návrhu na zmenu  v projekte (Projektový manažér objednávateľa/dodávateľa) zabezpečí evidenciu návrhu na zmenu spolu so stanoviskami v nástroji riadenia, najneskôr do 5 kalendárnych dní odo dňa predloženia Návrhu na zmenu.

1. PRÍLOHY

Príloha : Zoznam rizík a závislostí (Excel): https://www.mirri.gov.sk/sekcie/informatizacia/riadenie-kvality-qa/riadenie-kvality-qa/index.html

Inštrukcie k verejnému pripomienkovaniu:

• Podľa §4 ods. 10 vyhlášky č. 401/2023 Z.z je potrebné zrealizovať pripomienkovanie Projektového prístupu odbornou verejnosťou, zaevidovať a vyhodnotiť pripomienky odbornej verejnosti.
• Oznámenie o začatí verejného pripomienkovania zverejniť v centrálnom metainformačnom systéme verejnej správy na mieste určenom Orgánom vedenia.
• Dať na schválenie riadiacemu výboru výstupy po zverejnení vyhodnotenia pripomienok.
• Vyhodnotenie zverejniť na webovom sídle objednávateľa (do projektového adresára).

[1] V prípade incidentu na vrstve gCloud musí byť obnovená najskôr táto vrstva a následne služba. gCloud označuje prostredie vládneho cloudu, v ktorom je prevádzkovaný IS MOU.