nerozumím technické otázce z dotazníku, kdo na ni může odpovědět

Převeďte otázku na jednu z deseti opatření

Technická otázka z dotazníku je téměř vždy překlad jednoho z deseti opatření z článku 21 odst. 2 směrnice NIS2 nebo řídícího opatření z přílohy A normy ISO/IEC 27001. Portál klienta často používá vlastní formulaci — "jak je vaše segmentace sítě uspořádána" nebo "jaký standard šifrování používáte pro data v klidu" — ale podkladová otázka je známá. Vyplatí se nejdříve určit, do jaké kategorie otázka spadá: jde o přístup, o šifrování, o zranitelnosti nebo o řetězec. Jakmile je kategorie stanovena, lze otázku obvykle odpovědět pomocí existující dokumentace, i když je přesný termín nový.

Máte-li pochybnosti o přesné technické implementaci — který protokol, která délka klíče, jaká frekvence skenování — je IT oddělení nebo externí správce určeným partnerem, nikoli obchodní nebo právní kontaktní osoba, která seznam obdrží. Kdo se pravidelně setkává se stejnými technickými otázkami ohledně šifrování, může to zaznamenat jako pevnou odpověď pro daný předmět nebo zda existuje politika týkající se kryptografie a šifrování, aby se tato otázka nemusela řešit pokaždé znovu. Totéž platí pro otázky o vícefaktorové autentizaci nebo řízení přístupu: jedná se o samostatné otázky v seznamu, ale z věcného hlediska jde o stejný předmět vždy znovu formulovaný.

Odkud pochází deset opatření

Článek 21 odst. 2 směrnice (EU) 2022/2555 uvádí deset kategorií opatření, od analýzy rizik přes kryptografii až po lidské chování v rámci organizace. Příloha A normy ISO/IEC 27001 dále rozpracovává podobná témata v konkrétní řídící opatření, což vysvětluje, proč se auditní otázka a otázka klienta často rovnají, i když se formulace liší. Zákon o kybernetické bezpečnosti převádí článek 21 do českého práva a podle očekávání vstoupí v platnost 15. srpna 2026; do té doby je samotná směrnice výchozím bodem pro ty, kteří chtějí ověřit, pod jaké opatření otázka spadá.