Čl. 1 - Úvodní ustanovení

1. Cílem tohoto opatření je nastavení vnitřních procesů na Univerzitě Karlově (dále jen „univerzita“) za účelem zvyšování institucionální odolnosti univerzity proti vlivům cizí moci, zejména formou zvyšování povědomí o hrozbách a rizicích, kterým je vystavena jak univerzita jako celek, tak její jednotliví zaměstnanci a studenti.

2. „Institucionální odolností“ se rozumí zejména odolnost proti vlivovému působení cizí moci na univerzitě, kybernetická bezpečnost a dodržování předpisů a pravidel týkajících se mezinárodních kontrolních režimů, zejména omezení nehmotného přenosu technologií, a mezinárodních sankcí, včetně omezení technické pomoci (dále jen „mezinárodní kontrolní a sankční režimy“).

3. Univerzita vychází zejména z obecně závazných právních předpisů¹, principů v materiálech Centra proti terorismu a hybridním hrozbám Ministerstva vnitra České republiky² a Finančního analytického úřadu České republiky³ a dalších právních předpisů a metodických materiálů souvisejících s touto oblastí.

Čl. 2 - Bezpečnostní manažer univerzity

1. Bezpečnostní manažer organizačně spadá do kanceláře rektora.

2. Bezpečnostní manažer je vybírán na základě otevřeného výběrového řízení podle Řádu výběrového řízení univerzity. S výsledkem výběrového řízení a kandidátem na bezpečnostního manažera seznámí rektor Akademický senát univerzity (dále jen „senát“). V případě uvolnění místa bezpečnostního manažera vypíše rektor výběrové řízení na jeho místo bez zbytečného odkladu.

3. V době nepřítomnosti zastupuje bezpečnostního manažera jeho přímý nadřízený, případně osoba určená rektorem.

4. Bezpečnostní manažer zejména

   a.	odpovídá za oblast institucionální odolnosti na univerzitě,
   b.	nastavuje a průběžně upravuje systém institucionální odolnosti na univerzitě,
   c.	sleduje aktuální vývoj a průběžně se vzdělává v institucionální odolnosti,
   d.	průběžně informuje rektora, případně kolegium rektora o změnách a aktuální situaci v oblasti institucionální odolnosti,
   e.	pravidelně vyhodnocuje rizika, včetně identifikace rizikových oblastí vzdělávání, studijních programů, vědních oborů a přístrojů, zařízení či technologií na univerzitě,
   f.	nastavuje systém a harmonogram školení zaměstnanců a studentů ke zvýšení institucionální odolnosti,
   g.	poskytuje zaměstnancům a studentům konzultace a poradenství týkající se institucionální odolnosti,
   h.	spolupracuje s fakultami a dalšími součástmi, zpravidla prostřednictvím jejich pověřenců pro institucionální odolnost,
   i.	přijímá a vede evidenci hlášení podle čl. 5 a 6 a evidenci zpracovaných hodnocení rizik u partnerů podle čl. 7, a to včetně souvisejících dokumentů,
   j.	spolupracuje s dalšími osobami v oblasti kybernetické bezpečnosti,
   k.	může konzultovat otázky v oblasti institucionální odolnosti s odborníky, například akademiky a vědci, na univerzitě,
   l.	spolupracuje s dalšími vysokými školami, orgány státní správy, bezpečnostními složkami, zastupitelskými úřady, mezinárodními organizacemi a dalšími relevantními aktéry.

5. Kontrolu nad bezpečnostním manažerem vykonává senát. V tomto smyslu bezpečnostní manažer zejména

   a.	každoročně během prvního čtvrtletí předkládá po projednání v kolegiu rektora senátu zprávu o stavu institucionální odolnosti na univerzitě za uplynulý rok,
   b.	na výzvu předsednictva senátu se dostaví na zasedání senátu nebo předsednictva senátu,
   c.	na výzvu předsednictva senátu mu předloží požadované relevantní dokumenty, pokud to není v rozporu s obecně platnými právními předpisy.

Čl. 3 - Pověřenci institucionální odolnosti

1. Na fakultě děkan, na další součásti ředitel a na rektorátu kvestor (dále jen „děkan“) stanoví pověřence institucionální odolnosti pro danou součást. Pokud tak rozhodne rektor, může funkci pověřence institucionální odolnosti na rektorátu vykonávat bezpečnostní manažer univerzity.

2. Pověřenec institucionální odolnosti součásti zejména

   a.	spolupracuje s bezpečnostním manažerem univerzity a řídí se jeho pokyny a doporučeními,
   b.	zprostředkovává informace mezi bezpečnostním manažerem univerzity a vedením součásti,
   c.	pravidelně prochází vzděláváním v oblasti institucionální odolnosti,
   d.	přijímá informace a hlášení týkající se institucionální odolnosti od zaměstnanců univerzity zařazených na součásti a studentů zapsaných na součásti,
   e.	poskytuje zaměstnancům a studentům konzultace a poradenství týkající se institucionální odolnosti,
   f.	pravidelně vyhodnocuje a identifikuje rizikové studijní programy, oblasti vzdělávání, vědní obory i konkrétní výzkumné týmy, projekty, přístroje, zařízení a technologie na součásti; tyto informace předává bezpečnostnímu manažerovi univerzity.

Čl. 4 - Povinnosti zaměstnanců a studentů

1. Zaměstnanci a studenti univerzity jsou povinni se chovat tak, aby nedocházelo k možnostem uplatňovat vliv cizí moci na univerzitě a aby nedocházelo k porušování předpisů týkajících se mezinárodních kontrolních a sankčních režimů.

2. Pokud k pokusům o uplatňování vlivu cizí moci nebo porušení předpisů podle odstavce 1 dojde, jsou zaměstnanci a studenti povinni tyto incidenty bez zbytečného odkladu hlásit (čl. 5 a 6).

3. Před uzavřením smluvního vztahu s externím partnerem jsou zaměstnanci povinni prověřit rizika spolupráce s příslušnou smluvní stranou (čl. 7). To platí i pro uzavírání memorand a deklarací o spolupráci.

4. Zaměstnanci jsou povinni absolvovat školení týkající se institucionální odolnosti, zpravidla společně se školením bezpečnosti a ochrany zdraví při práci a požární ochrany, a pravidelně školení obnovovat. Vybraní zaměstnanci, kteří by zejména s ohledem na vedoucí funkce, vědní obor nebo oblast vzdělávání, ve kterých působí, mohli být cílem vlivového působení s vyšší pravděpodobností, absolvují školení v rozšířeném rozsahu.

5. Studenti jsou povinni absolvovat školení týkající se institucionální odolnosti, pokud o tom rozhodne bezpečnostní manažer.

6. Porušení povinností podle odstavce 1 až 4 bude u zaměstnanců považováno za závažné porušení povinností vyplývajících z právních předpisů vztahujících se k zaměstnancem vykonávané práci ve smyslu § 52 odst. g) zákoníku práce.

7. Porušení povinností podle odstavce 1 až 3 a 5 bude u studentů považováno za porušení povinností stanovených právními předpisy nebo vnitřními předpisy univerzity ve smyslu § 64 zákona o vysokých školách.

Čl. 5 - Hlášení bezpečnostních incidentů

1. Pokud má zaměstnanec nebo student podezření, že dochází k uplatňování vlivu cizí moci nebo k pokusu o něj, nahlásí bez zbytečného odkladu tyto skutečnosti bezpečnostnímu manažerovi univerzity nebo pověřenci institucionální odolnosti na své součásti, který informaci bez zbytečného odkladu předá bezpečnostnímu manažerovi.

2. Z hlášení podle odstavce 1 musí být patrno, kdo jej činí a čeho se týká. Bezpečnostní manažer může vydat vzor takového hlášení.

3. Bezpečnostní manažer v době přiměřené okolnostem a závažnosti obsahu hlášení toto vyhodnotí, poskytne zpětnou vazbu a případně doporučí další postup. V případech, kdy to je nutné nebo vhodné, skutečnosti ohlásí orgánům státní správy nebo bezpečnostním složkám nebo s nimi situaci konzultuje.

4. Závažné bezpečnostní incidenty hlásí bezpečnostní manažer rektorovi nebo děkanovi spolu se svým doporučením. O dalším postupu v takovém případě rozhoduje rektor nebo děkan, zpravidla po projednání ve svém kolegiu.

5. Na nedůvodná a účelová hlášení nebude brán zřetel.

Čl. 6 - Povinná hlášení týkající se mezinárodních sankčních a kontrolních režimů

1. V případech, kdy existuje podezření, že jsou uchazeč o studium, uchazeč o zaměstnání nebo potenciální partner spolupracující na výzkumném nebo vzdělávacím projektu ze zemí, proti kterým jsou uvaleny mezinárodní sankce⁴ týkající se zákazu technické pomoci, je povinno studijní oddělení fakulty, personální oddělení součásti nebo daný projektový tým toto bez zbytečného odkladu ohlásit bezpečnostnímu manažerovi nebo pověřenci institucionální odolnosti na součásti.

2. Z hlášení podle odstavce 1 musí být patrno, kdo jej činí a čeho se týká. Bezpečnostní manažer může vydat vzor takového hlášení.

3. Bezpečnostní manažer doporučí podle pravomoci v dané věci rektorovi nebo děkanovi další postup, zejména zda je možné v přijímacím řízení, výběrovém řízení či přípravě projektu pokračovat, případně za jakých podmínek. Při tomto doporučení se řídí individuálními okolnostmi daného případu, studijním programem, vzdělávací oblastí či vědním oborem, kterého se případ týká. Je povinen dodržet všechny obecně závazné právní předpisy, včetně informování nebo získání stanoviska či povolení od orgánů státní správy⁵. O dalším postupu rozhodne rektor nebo děkan, zpravidla po projednání ve svém kolegiu.

4. Pokud v některém z mezinárodních sankčních režimů dojde k takové změně, která by mohla mít vliv na oblast vzdělávání nebo vědeckého výzkumu, informuje bezpečností manažer pověřence institucionální odolnosti na součástech a následně prověří, zda je nutné podniknout další kroky ve vztahu k uchazečům o studium, studentům, uchazečům o zaměstnání, zaměstnancům nebo smluvním či výzkumným partnerům. Pokud jsou takové kroky nutné, informuje rektora. Odstavec 3 se použije přiměřeně.

Čl. 7 - Hodnocení rizik u partnerů (due diligence)

1. Před uzavřením smluvního vztahu s externím partnerem, zejména pak partnerské smlouvy, smlouvy o výzkumu nebo memoranda a deklarace o vzájemné spolupráci jsou zaměstnanci zodpovědní za přípravu takové smlouvy nebo memoranda povinni vyhodnotit rizika spolupráce s druhou smluvní stranou.

2. V případě, že uzavřením takového smluvního vztahu nebo memoranda hrozí riziko poškození dobrého jména univerzity nebo zapojených zaměstnanců či studentů, uplatnění vlivu cizí moci, porušení omezení vyplývajících z mezinárodních kontrolních a sankčních režimů nebo krádeže duševního vlastnictví, je zaměstnanec povinen se obrátit na bezpečnostního manažera univerzity nebo pověřence institucionální odolnosti součásti, kteří situaci posoudí a doporučí další postup.

3. Bezpečnostní manažer může stanovit vybrané součásti univerzity, studijní programy, oblasti vzdělávání, vědní obory, vědecké či vzdělávací projekty, země původu smluvního partnera nebo jiné znaky smluvního vztahu, u kterých je nutné zpracovat hodnocení rizik písemně. Toto hodnocení následně předloží bezpečnostní manažer podle pravomoci v dané věci rektorovi nebo děkanovi spolu se svým doporučením. O dalším postupu rozhodne rektor nebo děkan, zpravidla po projednání ve svém kolegiu.

4. Bezpečnostní manažer může stanovit náležitosti, které takové hodnocení rizik musí splňovat.

Čl. 8 - Přechodná ustanovení

1. Rektor vypíše výběrové řízení na místo bezpečnostního manažera do měsíce po nabytí účinnosti tohoto opatření.

2. Děkani, ředitelé a kvestor určí pověřence institucionální odolnosti na své součásti do tří měsíců od nabytí účinnosti tohoto opatření.

3. Manažer bezpečnosti předloží kolegiu rektora plán práce v roce 2022 do konce února 2022.

4. Univerzita zprovozní do jednoho roku od nabytí účinnosti tohoto opatření rejstřík donorů a sponzorů.

Čl. 9 - Závěrečná ustanovení

Toto opatření nabývá účinnosti dne 15. listopadu 2021.

V Praze dne 11. listopadu 2021