seznam otázek se ptá, zda je management zapojen do kybernetické bezpečnosti

Zapojení vedení je samostatné povinností podle NIS2, oddělené od deseti opatření

Tato otázka se netýká techniky, ale zásad správy: je vedení samo zapojena do kybernetické bezpečnosti, nebo je to zcela delegováno IT oddělení. Podle čl. 21 odst. 2 směrnice NIS2 se nachází samotná desatka opatření, ale čl. 20 směrnice dále určuje, že orgány dozoru musí schválit opatření ke zvládání rizik a dohlížet na jejich provádění, a že členové vedení musí absolvovat školení, aby byli schopni posuzovat kybernetická rizika. Je to tedy samostatný bod dotazníku: ne "jaká opatření máte", ale "ví to a schvaluje to vrcholový management".

Jako doklad se obvykle počítá fragment zápisu, v němž vedení vypracovalo nebo vyhodnotilo bezpečnostní politiku, organizační schéma, které ukazuje zpravodajské linie směřující k vedení, nebo bod programu z periodické porady vedení o kybernetických rizicích. Pokud to chybí, pak je "ne" zde upřímná odpověď — dodavatel, který to vyplní bez podkladu, riskuje, že se na to zákazník později vrátí. Tato otázka je často spojena s otázkou je účinnost bezpečnostních opatření pravidelně ověřována, protože ověřování bez řízení vedením je pro zákazníka jen částečnou odpovědí. Relevantní je také, zda vaše podnik spadá pod směrnici NIS2, protože pak nejde jen o otázku vašeho zákazníka, ale o vlastní zákonnou povinnost od 15. srpna 2026, kdy vstoupí v platnost zákon o kybernetické bezpečnosti.

Zdroj: článek 20 vedle článku 21 NIS2

Článek 20 Směrnice (EU) 2022/2555 se zabývá odpovědností a zapojením orgánů dozoru, oddělené od deseti věcných opatření v článku 21 odst. 2; ISO/IEC 27001 nemá v příloze A doslova ekvivalent, ale prostřednictvím základních požadavků normy (klauzule 5, vedení) vyžaduje dokazatelné zapojení vedení, které se často předkládá jako samostatný doklad vedle opatření přílohy A.