# Technická dokumentace: Přístup exekutorského úřadu k základním registrům (ROB / AISEO přes ISZR)

**Určeno pro:** projekt EXEMASTER, součinnost exekutorského úřadu se základními registry (lustrace osob v ROB/AISEO)
**Rozsah:** **pouze získání přístupů**, tedy co je potřeba zřídit, kde a v jakém pořadí. Programování (volání služeb, formát zpráv) tento dokument záměrně neřeší.
**Stav:** první verze, sestavená z oficiálních příruček DIA, z vlastní zkušenosti z implementace (cca 2024, jiný exekutorský úřad) a ze vzpomínek zadavatele. Místa označená **(ověřit)** jsou zatím nepotvrzená.
**Datum sestavení:** 29. 9. 2026

---

## 1. Přehled: proč je tato součinnost nejsložitější

Na rozdíl od ostatních součinností (VZP, ČSSZ, CRV, Portál ZP) nestačí „podat žádost a dostat login“. Přístup do základních registrů se skládá z **řetězu navazujících registrací**, kde každý krok podmiňuje ten další:

```
[1] Exekutor je v RPP jako OVM + má oznámený výkon agendy A479
        │
[2] Přístup do JIP (Czech POINT): uživatelský účet + komerční certifikát + role
        │
[3] RPP (AIS RPP Působnostní) → menu ISVS → registrace aplikace (AIS) → přidělí AIS_ID
        │
[4] RAZR → žádost o připojení AIS (AIS_ID, agenda, IP adresy, CSR) → certifikát CA DIA
        │        (zvlášť TESTOVACÍ, pak zvlášť PRODUKČNÍ)
[5] AISEO → samostatné povolení přístupu k nereferenčním údajům (služby E171/E172)
        │
[6] Test v testovacím prostředí ISZR → teprve potom žádost do produkce
```

### 1.1 Slovníček

| Zkratka | Význam |
|---|---|
| **ZR** | Základní registry (ROB – obyvatel, ROS – osob, RÚIAN – adres, RPP – práv a povinností) |
| **ISZR** | Informační systém základních registrů, přes který jdou všechna volání (eGON služby) |
| **RPP** | Registr práv a povinností. Eviduje OVM, agendy, činnostní role a **ISVS/AIS**. Aplikace: *AIS RPP Působnostní (AISP)* |
| **ISVS / AIS** | Informační systém veřejné správy / agendový informační systém, tedy **naše aplikace JustEx** tak, jak je vedená v RPP |
| **AIS_ID** | Číselný identifikátor AIS, který přidělí RPP při registraci (u předchozí implementace `19679`) |
| **RAZR** | Registrační autorita základních registrů. Přes ni se žádá o připojení AIS a o **certifikát** |
| **JIP / KAAS** | Jednotný identitní prostor, přihlašování úředníků (spravuje se přes Czech POINT) |
| **CA DIA** | Certifikační autorita Digitální a informační agentury, vydává certifikát pro přístup AIS do ISZR (od 20. 9. 2023, dříve CA SZR) |
| **AISEO** | Agendový IS evidence obyvatel (MV). **Nereferenční** údaje (rodiče, partner, děti, doklady…) |
| **DIA** | Digitální a informační agentura, správce ZR (dříve SZR) |

---

## 2. Identifikační údaje, které se v přístupu používají

Ze stávající (funkční) implementace pro **jiného** exekutora:

| Položka | Hodnota z předchozí implementace | Platí i pro nového exekutora? | Kde vzniká |
|---|---|---|---|
| **Agenda** | `A479` | **Ano**, stejná | Agenda ohlášená v RPP (ohlašovatel: Ministerstvo spravedlnosti, **(ověřit)** přesný název agendy) |
| **Agendová (činnostní) role** | `CR1932` | **Ano**, stejná | Činnostní role v rámci agendy A479 v RPP |
| **OVM** | `01051857` | **Ne**, IČO nového exekutora: **`72694041`** | IČO exekutora v RPP (typ OVM „Soudní exekutoři“) |
| **Subjekt** | `01051857` | **Ne**, IČO nového exekutora: **`72694041`** | Totéž IČO |
| **AIS** | `19679` | **Ne**, nové AIS_ID: **`22676`** (JustEx, exekutor Svoboda, 10/2026) | Přidělí RPP po registraci aplikace pod novým exekutorem (kap. 5) |
| **Uživatel** | `Daniel_Nemec_lav` | Pravděpodobně ano (identifikátor uživatele v naší aplikaci) | Volíme sami (kap. 8) |
| **Certifikát** | `cert.pem` + `priv.pem`, zvlášť test / prod | **Ne**, nový | Vydá CA DIA přes RAZR (kap. 6) |

> **Priorita zdrojů:** hodnoty agendy **A479** a role **CR1932** pocházejí z funkční PHP třídy a jsou **závazné**. Registrace pod novým exekutorem (RPP, RAZR) musí být udělaná tak, aby třída fungovala beze změny, s nově dosazeným jen OVM/subjekt (IČO), AIS_ID a certifikátem. Pokud se jakýkoli jiný podklad v tomto dokumentu (příručky, návod úřadu) s třídou rozchází, platí třída.
>
> Pozor na záměnu: **A113 / CR56618** (kap. 4.1.1) je jen **uživatelská role v JIP** pro evidenci AIS v RPP. S voláním ISZR nemá nic společného a do konfigurace aplikace nepatří.

> **Důsledek:** pro nového exekutora se musí **celý řetěz kap. 3–7 projít znovu**, protože AIS_ID i certifikát jsou vázané na IČO správce AIS (exekutora). Agenda a role zůstávají.

---

## 3. Krok 0: Předpoklady na straně exekutora

1. **Exekutor je zapsaný v RPP jako OVM.** Soudní exekutoři jsou v RPP vedeni jako typ OVM „Soudní exekutoři“ (seznam na rpp-ais.egon.gov.cz). Nový exekutor tam tedy už být má, stačí ověřit podle IČO.
2. **Datová schránka exekutora.** Výsledky (sdělení k žádosti v RAZR, výzvy z RPP) chodí do DS exekutora. Někdo musí mít přístup a výsledky předat.
3. **Písemný vztah exekutor a BSP Technology.** Správce AIS (exekutor) nese odpovědnost za bezpečnost privátního klíče. Pokud klíč předává třetí straně (nám), **musí ji písemně zavázat k jeho ochraně** (příručka DIA). Doporučeno řešit v rámci zpracovatelské smlouvy (DPA).

---

## 4. Krok 1: Přístup do JIP (Czech POINT)

Do **RPP (AISP)** i do **RAZR** se přihlašuje **identitou z JIP**. Bez ní se dál nedostaneme.

### 4.1 Co je potřeba

| Položka | Popis |
|---|---|
| **Lokální administrátor exekutora** | Osoba u exekutora, která v JIP spravuje uživatele svého OVM. Aplikace *Správa dat OVM*: https://www.czechpoint.cz/spravadat/ |
| **Uživatelský účet v JIP** | Pro osobu, která bude registrace provádět (typicky Daniel Němec). Založí ho lokální administrátor exekutora **pod OVM exekutora**. |
| **Komerční certifikát** | Osobní komerční certifikát (PostSignum, I.CA, eIdentity) přiřazený k účtu v JIP. Slouží k přihlášení do JIP spolu se jménem a heslem. |
| **Přístup do informačních systémů** | Nastavuje lokální administrátor v účtu uživatele (viz tabulka 4.1.1) |
| **Agendová činnostní role** | **A113 / CR56618**, viz tabulka 4.1.1. Bez ní nejde evidovat AIS v RPP. |

#### 4.1.1 Přesné nastavení účtu v JIP (ověřeno z předchozí registrace, 10/2025)

Takto nastavil účet `Daniel_Nemec_lav` IT technik exekutorského úřadu (Exekutorský úřad Cheb) ve *Správě OVM*:

| Položka účtu | Hodnota |
|---|---|
| Přístup do informačních systémů | **RAZR-Internet** (DIA): *Editace agendových IS*, *Prohlížení agendových IS* |
| | **RAZR-KIVS** (DIA): *Editace agendových IS*, *Prohlížení agendových IS* |
| | **RPP AIS Působnostní – A113** (DIA): *Ohlašovatel působnosti v agendě* |
| Agendové činnostní role | **A113** – Registrace agend a orgánů veřejné moci pro výkon agendy: **CR56618** – Poskytování údajů o IS veřejné správy do evidence AIS |
| Napárované certifikáty | Komerční certifikát PostSignum (+ v účtu byl i kvalifikovaný PostSignum, pro přihlášení stačí komerční) |
| Přístup do agend / Czech POINT / Czech POINT@office | nic (není potřeba) |

Nic dalšího ve Správě OVM potřeba není.

### 4.2 Postup

1. **Lokální administrátor exekutora** (typicky IT technik úřadu) ve *Správě OVM* (https://www.czechpoint.cz/spravadat/):
   1. založí uživatele pro Daniela Němce pod OVM exekutora (v minulosti jmenná konvence `Daniel_Nemec_<zkratka úřadu>`),
   2. napáruje k účtu jeho **komerční certifikát** (PostSignum). Stačí mu poslat **veřejnou část** (`.pem`/`.crt`) a pro kontrolu vydavatele a sériové číslo (hex, např. `0107B3FB`). Privátní klíč nikdy.
   - Adresa je v účtu povinná, ale slouží jen jako kontakt. Může být adresa úřadu (jak to bylo minule) nebo vlastní, na párování certifikátu ani přihlášení nemá vliv.
   3. nastaví přístupy a roli přesně podle tabulky 4.1.1.
2. Úřad předá uživatelské jméno a počáteční heslo.
3. **Ověření Správy OVM:** přihlášení na https://www.czechpoint.cz/as/login, záložka **„Certifikátem“** + uživatelské jméno a heslo.
4. **Ověření RPP:** https://rpp-ais.egon.gov.cz/AISP/verejne → *Přihlásit se* → **„Certifikátem >>“**. Po přihlášení je vpravo nahoře vidět jméno a OVM exekutora.
   - **Ověřeno v praxi (10/2026):** hláška *„Nemáte roli pro přístup do aplikace.“* znamená, že přihlášení (certifikát + heslo) proběhlo v pořádku, ale v účtu chybí přístup **RPP AIS Působnostní – A113** a/nebo role **CR56618**. Po jejich doplnění adminem přístup funguje. Pozor, admin je napoprvé nenastavil, i když byly v e-mailu uvedené. Vyplatí se ověřit hned po založení účtu.
5. **Ověření RAZR:** https://razr.egon.gov.cz → *JIP* → **„Certifikátem >>“**.
   - RAZR vyžaduje pro správce AIS přihlášení **komerčním certifikátem, OTP nebo NIA** (úroveň záruky min. „značná“). Samotné jméno a heslo nestačí.
   - Přihlášení bývá pomalé. Když se načte jen pozadí, pomůže obnovit stránku (F5).
   - Volba *„Spravovat AIS pro přístup k základním registrům“* se v RAZR objeví **až po registraci AIS v RPP** (kap. 5).

> Pozn.: RAZR nepovoluje současné vícenásobné přihlášení jednoho uživatele.

---

## 5. Krok 2: Registrace aplikace v RPP (menu ISVS)

**Aplikace:** AIS RPP Působnostní (AISP), https://rpp-ais.egon.gov.cz/AISP/
**Výsledek:** aplikace **JustEx** je vedena jako AIS exekutora a má přidělené **AIS_ID**.

### 5.1 Postup

1. Přihlásit se do AISP přes JIP (kap. 4) za OVM exekutora.
2. V menu **Katalog ISVS → Moje ISVS** (https://rpp-ais.egon.gov.cz/AISP/isvs/moje-isvs) stisknout **„Vytvořit nový ISVS“**. Obecný postup popisuje kompendium DIA *RPP_kompendium_AIS_novy.pdf* (dia.gov.cz → Návody ke stažení). **V jeho bodě 4.3 je nutná součinnost exekutorského úřadu přes datovou schránku**, proto je dobré to s úřadem domluvit předem.
3. Vyplnit formulář po záložkách. Hodnoty níže jsou **přesně ty, se kterými byl ISVS „LitEx“ (AIS_ID 19679) v 10/2025 schválen** a se kterými funguje PHP třída. U nového exekutora se mění jen údaje správce (IČO, název, adresa, datová schránka).

#### Záložka „Základní údaje“

| Pole | Hodnota (minule) |
|---|---|
| Název ISVS | **`JustEx`** (minule `LitEx`, tento název už neplatí) |
| Datum vzniku ISVS | datum registrace |
| Kontakt | daniel.nemec@bsptechnology.eu |
| Charakteristika ISVS | *IS pro vedení spisové služby a souvisejících agend s vazbou na provádění exekuční činnosti soudního exekutora* |
| Komentář | *Součásti IS: - procesní vedení exekučního spisu - finanční vyjádření spisu - podatelna (e-mail, listinná, DS) - zpracování listinných příchozích dokumentů - skenování, import do IS - autorizovaná konverze - komunikace se systémy 3. stran a import výsledků do IS pro vedení spisové agendy soudního exekutora* |
| Typ etapy živ. cyklu | Vznik a provoz |
| Určený systém | Ano |
| Bezpečnostní úroveň | 1. Nízká |
| Využití cloud computingu – Způsob provozu ISVS | Bez cloud computingu |
| **Agendovost ISVS** | **Definovat výčet agend → A479 – Agenda soudních exekutorů** |
| Správce ISVS – OVM správce | IČO a název exekutora (minule `01051857`, Lavička Josef, JUDr. – soudní exekutor), adresa se doplní z RPP |
| Provozovatel shodný se správcem | Ano |
| Správce ISVS – útvar správce | Útvar: `IT`, e-mail: daniel.nemec@bsptechnology.eu, telefon: 724231418 |
| *(pozn. k editaci správce)* | Vyplňuje se v dialogu **„Editace správce ISVS“**. OVM, název a adresa se načtou z RPP samy podle přihlášeného OVM. **E-mail u OVM správce je nepovinný**, nechává se prázdný. Útvar, telefon a e-mail útvaru jsou povinné. Zaškrtávátka: *Provozovatel shodný se správcem* = ano, *Útvar provozovatele shodný s útvarem správce* = ne. (Ověřeno 10/2026, exekutor Svoboda, IČO 72694041.) |
| Útvar provozovatele shodný s útvarem správce | Ne |
| Datová schránka správce ISVS | DS exekutora (typ `OVM_PFO`) |
| Právní předpisy | **120/2001 Sb.** (exekuční řád), **§ 33**; **111/2009 Sb.** (o základních registrech), **§ 58**. Pozor: vyhledávání předpisů je pomalé (načítá se na pozadí), takže hláška „nenalezeno“ může přijít dřív než výsledky. **Chvíli počkat**, předpis se pak nabídne (ověřeno 10/2026 u 111/2009). |

##### Vysvětlení méně jasných polí

| Pole | Co znamená | Proč u JustEx tato hodnota |
|---|---|---|
| **Určený systém** | Podle metodiky Rejstříku ISVS (DIA) je „určený“ ten ISVS, který splňuje aspoň jednu podmínku: (1) **využívá nebo poskytuje služby referenčního rozhraní (ISZR)**, (2) má vazby na takový systém, (3) slouží ≥ 5000 uživatelům ročně se zaručenou identitou. | **Ano**, protože JustEx volá základní registry přes ISZR (bod 1). |
| **Typ etapy živ. cyklu** | Fáze, ve které se systém nachází (vznik, provoz, ukončení…). | **Vznik a provoz**: systém se zavádí a rovnou provozuje. |
| **Bezpečnostní úroveň** | Zařazení ISVS do bezpečnostní úrovně (1 – nízká až 4 – kritická). Souvisí s pravidly NÚKIB pro využívání cloud computingu orgány veřejné moci. **(ověřit)** přesnou vazbu, metodika Rejstříku ISVS ji nepopisuje. | **1. Nízká**: systém neprovozujeme v cloudu (viz níže) a minule to schvalovatel přijal. |
| **Využití cloud computingu** | Zda je ISVS provozován formou cloud computingu (pak se řídí bezpečnostní úrovní výše). | **Bez cloud computingu**: vlastní server. |
| **Agendovost ISVS** | Pro které agendy systém slouží. „Definovat výčet agend“ = vyjmenují se konkrétní agendy. | **A479 – Agenda soudních exekutorů**. Tato agenda se pak nabízí v RAZR a používá se ve voláních ISZR. |
| **Provozovatel shodný se správcem** | Zda systém provozuje sám správce (exekutor), nebo jiný subjekt. | **Ano**, minule takto schváleno (úřad je správce i provozovatel, BSP Technology figuruje jen jako kontaktní útvar „IT“). |
| **Útvar správce / provozovatele** | Kontaktní útvar, na který se obrací DIA a schvalovatel. | Útvar `IT` s kontaktem na Daniela Němce. |

#### Záložka „Využití“

| Pole | Hodnota |
|---|---|
| Úroveň sdílení ISVS | Individuální |
| Orgány veřejné moci – Úroveň využití ISVS | Pouze správce IS |
| Soukromoprávní uživatelé údajů | nic |

- *Úroveň sdílení:* **Individuální** = systém používá jen jeden OVM (na rozdíl od „centrálně sdíleného“ nebo „sdíleného mezi více OVM“).
- *Úroveň využití:* **Pouze správce IS** = data a funkce používá jen sám exekutor.

#### Záložka „Subjekty zajišťující ISVS“

| Pole | Hodnota |
|---|---|
| OVM provozovatele | exekutor (shodný se správcem) |
| Útvar provozovatele | `IT`, daniel.nemec@bsptechnology.eu, 724231418 |
| Datová schránka provozovatele | DS exekutora (`OVM_PFO`) |

#### Záložka „Zpracování osobních údajů“

Minule vyplněno všude **„Ne“** (zpracovávají se osobní údaje: Ne; žádný právní titul) a schvalovatel to přijal. Pozn.: aplikace osobní údaje ve skutečnosti zpracovává (RČ, adresy), takže pokud by schvalovatel měl připomínku, lze uvést „Ano“ s titulem *Nezbytné pro splnění právních povinností* / *Nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci*.

#### Záložka „Prostředí ISVS“

| Typ | Popis | Identifikátor ISVS v prostředí |
|---|---|---|
| Produkční | Prostředí pro produkční nasazení aplikace | `<AIS_ID>.1` (minule 19679.1) |
| Testovací | Prostředí pro QA testy | `<AIS_ID>.2` (minule 19679.2) |
| Vývojové | Prostředí pro kontinuální vývoj aplikace | `<AIS_ID>.3` (minule 19679.3) |

Prostředí se přidávají ručně (typ + popis), zkušební provoz: Ne u všech.

#### Ostatní záložky

**Etapy životního cyklu, Aplikační členění, Finanční parametry** se nevyplňují (minule i 10/2026 prošlo bez nich, žádné povinné pole). Identifikátory prostředí přidělí RPP. Ve volání registrů (PHP třída) se používá **samotné AIS_ID bez přípony** (`19679`).

4. Stisknout **„Odeslat žádost“**. Registrace **podléhá schválení** (minule: vznik 29. 10. 2025, poslední změna 30. 10. 2025, tedy vyřízeno zhruba za den).
   - **Průběh 10/2026 (JustEx, exekutor Svoboda):** odesláno k registraci **1. 10. 2026 v 10:09**, **schváleno týž den kolem 11:13, tedy za cca 1 hodinu**, bez připomínek schvalovatele. Datum zveřejnění 1. 10. 2026. Po schválení se jako „Uživatel, který odeslal IS k zápisu do RPP“ i „Autor poslední změny“ zobrazuje schvalovatel na straně DIA (Ing. Pavel Kajml), ne my. U datové schránky správce se zobrazily dvě: `PFO` i `OVM_PFO` exekutora. **AIS_ID (Identifikátor ISVS): `22676`** (prostředí 22676.1 produkce, 22676.2 test, 22676.3 vývoj).
5. **Sledovat stav žádosti** a případně opravit chyby:
   - záložka *Základní údaje* úplně dole: **„Připomínky schvalovatele“**,
   - záložka **„Historie“** v detailu žádosti.
6. **Poznamenat přidělené AIS_ID.** Bude potřeba v RAZR (kap. 6), v CSR (OU) i v konfiguraci aplikace (`ais`).
7. *(Jen při problému.)* Navázání AIS na působnost exekutora v A479 u role CR1932 se u LitExu **ručně nikdy nedělalo** a knihovna přesto funguje. Řešit až tehdy, kdyby volání vracelo chybu `SEC-038`, viz kap. 8a.

> Příručka DIA: RAZR **neumí** registrovat nový subjekt, agendu ani nový AIS. Všechno z této kapitoly musí být v RPP hotové dřív, než se jde do RAZR.

---

## 6. Krok 3: Registrace AIS v RAZR a získání certifikátu

**Aplikace:** RAZR, https://razr.egon.gov.cz (z internetu), přihlášení přes JIP.
**Výsledek:** AIS je povolen v ISZR a exekutor má **certifikát CA DIA** (a jeho privátní klíč) pro dané prostředí.

Žádosti jsou **dvě samostatné**: nejdřív **testovací prostředí**, po úspěšném otestování **produkční**. Každé prostředí má vlastní certifikát.

### 6.1 Příprava: technická žádost o certifikát (CSR)

1. Vygenerovat pár klíčů a CSR (formát **PKCS#10**):
   - RSA **3072 bitů** (test i produkce),
   - platnost vydaného certifikátu **36 měsíců**,
   - buď aplikací **GeneratorCertRAZR** od DIA, nebo přes OpenSSL (návod DIA: *Postup pro vytvoření žádosti o digitální certifikát*).
2. **Privátní klíč nikam neposílat.** Zůstává u nás (vznikne z něj `priv.pem`). Do RAZR jde jen CSR.
3. Pro test a pro produkci **vygenerovat zvlášť** klíč i CSR.
4. **Obsah subjektu CSR** podle skutečně použitých konfigurací z dřívější registrace (úřad Cheb, AIS Evolio, ID 5926):

| Pole | Testovací | Produkční | Pravidlo |
|---|---|---|---|
| `commonName` (CN) | `Evolio.execheb.cz` | `Evolio.execheb.cz` | název AIS + doména úřadu |
| `organizationName` (O) | `01051857` | `01051857` | **IČO exekutora** |
| `organizationalUnitName` (OU) | `AIS5926-P/TEST` | `5926-P/PROD` | **AIS_ID + prostředí** |
| `countryName` (C) | `CZ` | `CZ` | |
| `localityName` (L) | `Obec=Cheb,Ulice=26. dubna,PSC=35002` | totéž | adresa sídla úřadu |
| `stateOrProvinceName` (ST) | `Exekutorsky urad` | totéž | |

   Pro nového exekutora se dosadí: název naší aplikace (**JustEx**, tedy CN `JustEx.<doména>`), IČO, nové AIS_ID a adresa sídla. Formát OU se ručně neřeší, GeneratorCertRAZR ho sestaví sám (kap. 6.1.1). **Ověřeno 10/2026:** u JustExu vyšlo `OU=22676-E/TEST` a CA DIA certifikát s tímto subjektem vydala.

#### 6.1.1 Generování v aplikaci GeneratorCertRAZR (použito 10/2026)

Aplikace DIA *GeneratorCertRAZR* (Windows, ver. 1.5 z 8. 12. 2023), záložka **„Vytvoření žádosti o digitální certifikát“**. Subjekt (včetně OU) sestaví sama, takže se formát ručně neřeší. Generuje se **offline** a nezávisí na tom, zda už je AIS vidět v RAZR.

| Pole | Hodnota (JustEx, test) |
|---|---|
| IČO správce AIS * | `72694041` |
| Číslo AIS * | `22676` |
| Název, obec, ulice, PSČ správce | nepovinné, **nevyplněno** (stačí jen povinná pole) |
| DNS jméno serveru / Alternativní DNS | nepovinné u čtenářského AIS (zvažovaný CN `justex.bsptechnology.eu`) |
| Kód země | CZ |
| Prostředí | **Testovací** (pro produkci později *Produkční*) |
| AIS publikuje na ISSS | **Ne (čtenářský AIS)** |
| Délka privátního klíče | 3072 |
| HASH funkce | SHA384 |

- Pozor: aplikace si **pamatuje hodnoty z minula** (IČO a číslo AIS předchozího exekutora). Před generováním je přepsat.
- Výstup: CSR jako textový soubor **`<IČO>_<AIS_ID>_<Prostředí>.txt`** (např. `72694041_22676_Test.txt`, obsahuje `BEGIN CERTIFICATE REQUEST`). Ten se nahrává do RAZR na záložce *Certifikáty / IP adresy → Soubor s žádostí o certifikát*. Dále privátní klíč chráněný heslem, uložený lokálně u D. Němce (umístění záměrně neuvedeno).
- Záložka **„Spárovat žádost a certifikát“** slouží později ke spojení vydaného certifikátu s privátním klíčem.

### 6.2 Podání žádosti v RAZR

1. Přihlásit se přes JIP za OVM exekutora.
2. Na hlavní stránce RAZR stisknout **„Spravovat AIS pro přístup k základním registrům“**. Otevře se formulář *„Žádost o přístup k ZR : Spravovat AIS pro přístup k základním registrům“* ve stavu **Příprava**, s předvyplněným subjektem (název, IČO, ID subjekt).
   - **Výběr (A)IS:** AIS se nevybírá ze seznamu na stránce, ale **přes ikonu lupy vedle pole „Vybrat (A)IS“**. V ní se najde AIS_ID z RPP (JustEx = `22676`).
   - **Pozor (ověřeno 10/2026):** AIS se v RAZR **neobjeví hned po schválení v RPP**, data se propisují se zpožděním, zřejmě **přes noc**: JustEx schválený v RPP 1. 10. 2026 kolem 11:13 se odpoledne v RAZR ještě nenabízel, **2. 10. 2026 v 7:00 už ano** (přesný čas propsání neznámý). Počítat tedy s cca **1 dnem**. Mezitím lze připravit CSR (kap. 6.1).
   - **Prostředí:** rozbalovací seznam, nejdřív **Test**. Pod ním RAZR ukazuje stav certifikátů („Pro test/produkci nebyl certifikát doposud vydaný“).
   - **Sekce Správce** (10/2026): název, DS a IČ se načtou z RPP. Adresa je předvyplněná (ulice, č.p., obec, PSČ), **Kraj je potřeba vybrat ručně** (Hlavní město Praha). Přes **„Zadat nebo změnit osobu odpovědnou za (A)IS“** přidat Daniela Němce (funkce, telefon 724231418, e-mail).
   - **Záložka „Certifikáty / IP Adresy“:** nahoře *Platné certifikáty* (zatím 0), zaškrtávátko *Expirace certifikátů správci* (nechat). *Soubor s žádostí o certifikát* → Procházet → CSR `.txt`. Dole tabulka **„Ostatní IP subjektu“** ukazuje IP adresy, které exekutor používá pro **jiné AIS** (u Svobody: 6107 AISoft EX). **Nekopírovat**, patří jinému dodavateli. Vlastní IP přes *Přidat IP adresu → Přidat IP adresu do žádosti*. **JustEx test (10/2026): `46.28.107.136`** (první žádost) **+ `109.164.126.235`** (přidána dodatečnou žádostí bez CSR po jejím uvolnění z LitExu, schváleno do 23. 10. 2026). Loni u LitEx test: 109.164.126.235, 77.78.99.241.
     - **⚠ Omezení zjištěné 10/2026:** jedna IP adresa **nesmí být použita u AIS dvou různých subjektů** (v daném prostředí). Pokus přidat `109.164.126.235` skončil hláškou *„IP adresu … nelze pro (A)IS použít, protože ji používá (A)IS subjektu s IČ 01051857 – Lavička Josef, JUDr. – soudní exekutor.“* **Důsledek pro SaaS model BSP Technology:** každý exekutor potřebuje v RAZR **vlastní, s nikým nesdílenou** odchozí IP adresu, případně se IP musí nejdřív odebrat z AIS předchozího subjektu (to může jen jeho správce).
   - **Záložka „Agendy“:** seznam *„Agendy, ve kterých má můj subjekt působnost podle RPP a AIS je nemá přiřazené“* (u Svobody 15 agend). Zaškrtnout **jen A479 – Agenda soudních exekutorů**. A102 ani jiné nepřidávat (A102 loni vedla k chybě oprávnění, viz kap. 8a). Agendy označené červeně „Vyhrazena“ (A112, A113, A345) nejdou vybrat.
   - **Záložka „Rekapitulace a odeslání“:** náhled PDF přehledu žádosti. Pole *„Název v technické žádosti o certifikát“* zůstává **prázdné**, pokud CSR nemá vyplněné DNS jméno. **Je to v pořádku**, minule i 10/2026 stačila jen 2 povinná pole v GeneratorCertRAZR a certifikát byl vydán. *Expirace certifikátů správci* = DIA upozorní správce na konec platnosti, nechat zaškrtnuté. Zaškrtnout **„Informovat e-mailem“** a pak **„Odeslat žádost k vyřízení na DIA“**. Po odeslání nejde žádost měnit, přidělí se číslo jednací a lze stáhnout PDF přehled.
   - **Průběh 10/2026 (JustEx, test):** žádost odeslána **2. 10. 2026 ve 12:24**, certifikát připraven k vyzvednutí v RAZR **nejpozději 23. 10. 2026**. Výjimečně dlouho kvůli **volbám, kdy DIA zpracování žádostí pozastavila**. Následná žádost (odebrání IP u LitExu) už byla vyřízena **do druhého dne**. Za běžných okolností tedy počítat s 1–2 dny, v období voleb s výrazným zdržením.
   - **Uvolnění IP adresy z AIS jiného subjektu (10/2026):** `109.164.126.235` byla odebrána z LitExu (19679, Lavička) přes starý účet `Daniel_Nemec_lav`: Spravovat AIS → LitEx → Test → záložka *Certifikáty / IP Adresy* → dole tabulka IP s checkboxem **„Odebrat“**. **Ze všech IP adres odebrat nejde, validace vyžaduje, aby AIS měl aspoň jednu IP** (na rozdíl od nového AIS, kde je prázdný seznam jen varování). U LitExu proto zůstala `77.78.99.241`.
   - **Úplné ukončení starého AIS (LitEx), zatím neprovedeno:** v RAZR zneplatnit certifikát (*Zneplatnit* + *Důvod zneplatnění*), odebrat agendu, a v RPP ukončit ISVS (datum zániku / platnost do). Záznamy se nemažou, jen ukončují. Sdělení jde do DS původního exekutora.
   - **Dodatečná změna IP adres** (nebo agend) se dělá stejným formulářem *Spravovat AIS → AIS → prostředí*, **bez nahrání CSR**. Nový certifikát se nevydává, protože certifikát je vázán na AIS, ne na IP (ověřeno loni: přidání A479 k LitExu v 1/2026 proběhlo se stávajícím certifikátem).
   - **Sekce Provozovatel:** nepovinná. Ponechána **prázdná**, protože v RPP je provozovatel shodný se správcem.
   - Ovládání formuláře: *Další krok ->* / *<- Výběr žádosti*, *Uložit* (žádost zůstane rozpracovaná), *Validovat*, *Opustit*, *Zkopírovat údaje* (převezme údaje z jiné žádosti, hodí se později pro produkci).
3. Vyplnit formulář:

| Položka | Co vyplnit |
|---|---|
| AIS | AIS_ID z kap. 5 |
| Prostředí | Testovací (první žádost) |
| Agendy | **A479** (RAZR nabídne jen agendy s oznámeným výkonem). Musí to být přesně ta agenda, ve které aplikace volá s rolí **CR1932**. |
| IP adresy | Veřejné IPv4 adresy serveru, ze kterého půjdou dotazy (max. 4 na prostředí, jen jednotlivé adresy, jen z EU, IPv6 nepodporováno). **Pro testovací prostředí nezapomenout uvést i vlastní veřejnou IP BSP Technology** (vývoj), vedle IP adres úřadu. Doporučení IT úřadu z minula. |
| Správce AIS | Exekutor |
| Provozovatel | BSP Technology s.r.o. (může být externí subjekt) |
| Odpovědná osoba | Kontakt pro DIA |
| Certifikát | Přiložit CSR (PKCS#10) z kap. 6.1 |
| Bezpečnostní požadavky | Potvrdit, že AIS splňuje *Bezpečnostní požadavky na AIS* |

4. Zkontrolovat a **odeslat na DIA**. Odesláním se akceptuje Certifikační politika CA DIA a Provozní řád ISZR.

### 6.3 Vyřízení a převzetí certifikátu

| Stav v RAZR | Význam |
|---|---|
| Připravuje se | Rozpracováno, neodesláno |
| Vyřizuje se | Odesláno, DIA zpracovává |
| Vyřízená | Hotovo, **sdělení odchází do DS exekutora** |
| Převzatá | Výsledek (certifikát) stažen |

1. Certifikát stáhnout z RAZR, nebo ho převzít ze sdělení v datové schránce exekutora.
2. Z certifikátu a privátního klíče vzniknou soubory `cert.pem` a `priv.pem` pro dané prostředí. **Postup ověřený 10/2026:**
   1. Z RAZR se stáhne certifikát jako **`.txt` ve formátu PEM**.
   2. *GeneratorCertRAZR* → záložka **„Spárovat žádost a certifikát“**: *Certifikát → Hledat* (vybrat stažený `.txt`), *Vyhledat privátní klíč k certifikátu* (případně ručně *Privátní klíč → Hledat*), **„Vytvořit PFX (certifikát + klíč)“** s heslem.
   3. Z PFX přes OpenSSL. **PFX z GeneratorCertRAZR je šifrované starým algoritmem RC2-40**, takže OpenSSL 3 bez přepínače `-legacy` hlásí `unsupported … Algorithm (RC2-40-CBC)`:
      ```bash
      openssl pkcs12 -legacy -in <soubor>.pfx -clcerts -nokeys -out cert.pem
      openssl pkcs12 -legacy -in <soubor>.pfx -nocerts -noenc -out priv.pem   # starší OpenSSL: -nodes
      ```
      `priv.pem` je **bez hesla** (PHP třída heslo ke klíči nepředává), proto omezit přístupová práva. Umístění pro aplikaci: `certifikaty/<PROVOZOVNA_ID>/statniSpravaRegistr/certifikatTest/` (resp. `certifikatProd/`).
3. Do důvěryhodných CA na serveru doplnit **certifikáty CA DIA** (ke stažení na crliszr1.egon.gov.cz).
   - **Zkušenost z minula (10/2025, nemusí být stále aktuální):** sub a root CA certifikáty stažené z webu ISZR **nefungovaly**. Funkční řetěz se podařilo získat přímo ze serveru ISZR:

     ```bash
     openssl s_client -connect pub.egon.gov.cz:443 -servername pub.egon.gov.cz -showcerts </dev/null \
     | awk '/BEGIN CERTIFICATE/,/END CERTIFICATE/{print}' > /tmp/pub_egon_chain.pem
     csplit -z -f /tmp/egon_cert_ /tmp/pub_egon_chain.pem '/-----BEGIN CERTIFICATE-----/' '{*}'
     # vzniknou soubory /tmp/egon_cert_00, _01, _02 ...
     ```

     `egon_cert_00` = certifikát serveru, **`_01` = mezilehlá (sub) CA**, **`_02` = root CA**. Doporučení: před nasazením porovnat otisky (`openssl x509 -noout -fingerprint -sha256 -in …`) s certifikáty CA DIA zveřejněnými na webu, aby se nedůvěřovalo slepě tomu, co server pošle.
4. Pokud IP adresu RAZR odmítne: ra@szrcr.cz nebo Service Desk DIA.

### 6.4 Produkční prostředí

Po úspěšném otestování (kap. 8) zopakovat kap. 6.1 až 6.3 pro **produkční prostředí**: nový klíč, nové CSR, nová žádost v RAZR, produkční IP adresy.

---

## 7. Krok 4: Přístup k AISEO (nereferenční údaje)

Aplikace používá služby **E171 (AiseoCtiAifo2)** a **E172 (AiseoCtiPodleUdaju2)**, které čtou z **AISEO**, nikoli jen z ROB. AISEO obsahuje nereferenční údaje: vazby na rodiče, partnera a děti, doklady, rodinný stav, omezení svéprávnosti apod.

- Podle příručky DIA přístup k AISEO **není automatický** s připojením k ZR. **Schvaluje ho správce AISEO (Ministerstvo vnitra)** podle samostatného dokumentu *Proces připojování AIS k AISEO*.
- Rozsah čtených údajů je dán oprávněním agendy A479 / role CR1932 v RPP. Co agenda nemá povoleno, služba nevrátí.
- **(ověřit)** Jak tento krok proběhl u předchozího exekutora: zda šlo o samostatnou žádost na MV, nebo zda bylo AISEO povoleno automaticky přes agendu v RAZR.
- Alternativa pouze přes ROB: služba **E278 (RobCtiPodleUdaju2)** vrací jen AIFO a referenční údaje z ROB. V kódu je připravená, ale nepoužívá se (E172 dohledává osoby lépe).

---

## 8. Krok 5: Test a přechod do produkce

1. Každý AIS **musí být otestován v testovacím prostředí** před podáním produkční žádosti (povinné dle DIA).
2. Test = úspěšné volání služeb (E172, E171) s testovacím certifikátem, z IP adres uvedených v RAZR, s parametry: agenda `A479`, role `CR1932`, OVM a subjekt = IČO exekutora, AIS = nové AIS_ID.
   - **Testovací osoby** zveřejňuje DIA na stránce *Testovací data registru obyvatel*: https://www.szrcr.cz/cs/sluzby/spravci-a-vyvojari/vyvojari-agendovych-informacnich-systemu/testovaci-data-rob (soubory *Vyhledavani_testovacich_dat_ROB_062025v2.xlsx*, *Testovaci_osoby_pouze_ROB_cyklicke_zmeny_062025.xlsx*, *SZR_-_testovací_data_fixni_20220729.xls* + číselníky). Pro ROS obdobně stránka *testovaci-data-ros*.
3. Hodnotu **Uživatel** si volíme sami (identifikace konkrétního uživatele naší aplikace pro audit, např. `Daniel_Nemec_lav`).
4. Po úspěšném testu podat produkční žádost (kap. 6.4).

---

## 8a. Poučení z loňské komunikace s DIA (11/2025 – 3/2026, LitEx)

Zdroj: e-maily a požadavky Service Desku DIA č. 227328, 227613, 236435, 245356 a Sdělení RAZR DIA 2026-K201. **Rok staré, kontext jiného exekutora.** Brát jako zkušenost, ne jako aktuální pravidla.

### Chyby, na které jsme narazili, a jejich příčina

| Chyba z ISZR | Příčina | Řešení |
|---|---|---|
| `SEC-038: Neplatné oznámení OVM o výkonu působnosti v agendě` (volání s A102/CR938) | (1) V hlavičce byla činnostní role, kterou OVM v dané agendě **nemá přidělenou**. (2) **AIS nebyl na působnosti OVM uveden u dané činnostní role.** | Volat jen s rolí, kterou má OVM v detailu své působnosti (záložka **Činnosti**). **AIS přidat na působnost k činnostní roli (záložka AIS na působnosti) a působnost odeslat k přeregistraci.** |
| `NENI OPRAVNENI EGON` / `GEN_OPRAVNENI_POLOZKY ITM-01/02/03: Není oprávnění na požadované položky` | Volání přes agendu **A102**, která exekutorovi tyto údaje nedává. Navíc agenda A479 **nebyla u AIS přidaná v RAZR**. | Exekutor má volat přes **A479** (potvrdila DIA). A479 přidat k AIS v RAZR. Činnostní role musí být u A479 a mít oprávnění na požadované položky podle kategorie OVM **KO118 – Soudní exekutoři**. |
| Chybějící `AutorizaceInfo/SeznamUdaju` v požadavku | Chyba v sestavení XML (programová, mimo rozsah tohoto dokumentu). | Viz dokumentace služby (např. E278) na webu DIA. |

### Z toho plynoucí kontrolní body (jen pro řešení problémů)

> U LitExu se bod 1 ručně nikdy neprováděl a po přidání A479 v RAZR vše fungovalo. Body níže jsou tedy **diagnostika pro případ chyby**, ne povinný postup.

1. **Působnost exekutora v A479** (AIS RPP Působnostní, detail působnosti OVM v agendě A479):
   - záložka **Činnosti**: OVM musí mít přidělenou roli **CR1932** (tu používá PHP třída),
   - záložka **AIS**: u role CR1932 musí být uveden **náš AIS (JustEx 22676)**. Pokud není, přidat a **odeslat působnost k přeregistraci**. Tohle je nejspíš ten krok, kdy je potřeba **součinnost úřadu přes datovou schránku** (kompendium bod 4.3).
2. **Oprávnění k údajům:** v detailu agendy A479 (veřejný katalog https://rpp-ais.egon.gov.cz/gen/agendy-detail/) záložka **„Oprávnění k údajům“** ukazuje, které položky ROB/AISEO smí role číst. Ohlašovatel může mít definováno víc oprávnění, stačí jedno povolující.
3. **V RAZR u AIS musí být agenda A479.** U LitExu byla nejdřív jen A102 a A479 se přidávala dodatečně (Sdělení 2026-K201 z 21. 1. 2026).
4. Agendu A102 (registr osob) není potřeba. Pro exekutora je správně A479.

### Časové údaje z minula

- ISVS LitEx zaregistrován v RPP 29.–30. 10. 2025 → **testovací certifikát platný od 31. 10. 2025** (platnost 3 roky, do 30. 10. 2028). AIS se tedy do RAZR propsal a certifikát byl vydán do cca 1–2 dnů.
- Testovací prostředí: v RAZR byly uvedeny 2 veřejné IP adresy.
- Dodatečné přidání agendy A479 v RAZR: žádost a vyřízení **týž den** (21. 1. 2026), výsledkem je **Sdělení o žádosti** (PDF, podepsané RAZR) e-mailem z ra@dia.gov.cz. Obsahuje seznam agend AIS, IP adresy a S/N evidovaného certifikátu.
- Sdělení připomíná: certifikát je třeba před instalací spojit se soukromým klíčem v **GeneratorCertRAZR** a mezi důvěryhodné přidat kořenové a vydávající certifikáty CA ISZR (crliszr1.egon.gov.cz / crli.szrcr.cz), staré CA ponechat.

### Užitečné pro vývojáře (mimo rozsah, jen odkaz)

- XSD popis datových typů eGON: https://www.szrcr.cz/cs/sluzby/spravci-a-vyvojari/vyvojari-agendovych-informacnich-systemu (balík `egon_YYYYMMDD.zip`).

---

## 9. Provoz a údržba přístupu

| Událost | Co udělat |
|---|---|
| Konec platnosti certifikátu (36 měsíců) | DIA pošle upozornění e-mailem 1 měsíc předem. O nový lze žádat nejdříve 3 měsíce předem, v RAZR typem „certifikát“ (nové CSR). |
| Dva platné certifikáty | AIS může mít dva platné certifikáty souběžně max. 3 měsíce, pak DIA starší zneplatní. |
| Změna IP adres serveru | Žádost o změnu v RAZR. |
| Únik / ztráta privátního klíče | Zneplatnění v RAZR, DIA zneplatní do 1 pracovního dne. |
| Změna IČO správce / AIS_ID | Certifikát se zneplatňuje, nutná nová registrace. |

---

## 10. Kontakty a odkazy

| Účel | Kontakt / URL |
|---|---|
| RPP (AISP) | https://rpp-ais.egon.gov.cz/AISP/ |
| RAZR (internet) | https://razr.egon.gov.cz |
| Správa uživatelů JIP | https://www.czechpoint.cz/spravadat/ |
| Průvodce připojením | https://pruvodcepripojenim.gov.cz/ |
| **Service Desk DIA (hlavní kanál)** | Požadavky se zadávají přes portál **https://helpdesk.dia.gov.cz/home** (e-mail na podpora@dia.gov.cz odpoví jen odkazem sem). Notifikace k požadavkům chodí z `szr.sd@szrcr.cz` (automatické, neodpovídat). Ověřeno 11/2025–3/2026: odpovědi typicky do několika hodin až dnů, požadavek se podle tématu přesouvá mezi skupinami (L2 → ISZR → RPP_IS → DIA_RAZR). |
| Registrační autorita (RAZR) | Sdělení o žádostech chodí z **ra@dia.gov.cz** (+ do DS exekutora). Starší příručky uvádějí ra@szrcr.cz. |
| Obecná podpora | podpora@dia.gov.cz |
| Certifikáty CA DIA (CRL) | http://crliszr1.egon.gov.cz/ |

---

## 11. Otevřené otázky

1. **Přesný název agendy A479** a role CR1932 v RPP (kód je potvrzený funkční implementací, název ne).
2. ~~Jak se zřizuje účet v JIP~~ **Vyřešeno:** zakládá ho lokální administrátor (IT) exekutorského úřadu ve Správě OVM (kap. 4.2).
3. ~~Přesné názvy rolí v JIP~~ **Vyřešeno:** viz tabulka 4.1.1 (RAZR-Internet, RAZR-KIVS, RPP AIS Působnostní – A113, role CR56618).
4. ~~Zda registrace ISVS v RPP podléhá schválení~~ **Vyřešeno:** ano, schvaluje se, stav a připomínky jsou v detailu žádosti (kap. 5.1).
5. **AISEO:** samostatná žádost na MV, nebo součást RAZR (kap. 7)?
6. ~~Aktuálnost příručky DIA k IP adresám~~ **Vyřešeno:** přístup z veřejného internetu funguje (ověřeno 23. 10. 2026, JustEx test).

---

## 12. Zdroje

- [Příručka pro správce AIS a SSVÚ – připojení k ZR (DIA)](https://www.szrcr.cz/images/Prirucka_pro_spravce_AIS_230331.pdf)
- [RAZR – Příručka pro správce AIS (DIA)](https://www.szrcr.cz/images/dokumenty/spr%C3%A1vci_AIS/RAZR_-_Pr%CC%8Ci%CC%81ruc%CC%8Cka_pro_spra%CC%81vce_AIS.pdf)
- [DIA – Připojení AIS k základním registrům](https://www.szrcr.cz/cs/sluzby/spravci-a-vyvojari/vyvojari-agendovych-informacnich-systemu-2)
- [RPP – typ OVM „Soudní exekutoři“](https://rpp-ais.egon.gov.cz/gen/ovm-souhrnne-typy/Typ118.html)
- [RPP kompendium – metodika Rejstříku ISVS (DIA)](https://www.dia.gov.cz/media/430/download/RPP_kompendium_AIS_metodika_Rejstriku_ISVS.pdf?v=1), definice „určeného systému“
- Vlastní návod D. Němce „Jak zaregistrovat svoji aplikaci do seznamu státní správy ISVS“ (registrace ISVS LitEx, 10/2025) se snímky vyplněného formuláře
- Návod IT technika Exekutorského úřadu Cheb (e-mail 22. 10. 2025, „VCA certifikát, přístup k inf. systémům + oprávnění pro zprovoznění ZR“): nastavení účtu JIP, přihlášení do RPP/RAZR, konfigurace CSR
- Vlastní implementace (`zrLibrary.php`, šablony E171/E172/E278, konfigurace `EGON_CONFIG_JSON`), použito jen pro identifikační údaje, ne pro popis programování