můj zákazník požaduje doklady k dotazníku, co musím poskytnout

Důkazní materiál přísluší k odpovědi, nikoli k otázce jako celku

Neexistuje pevný seznam "důkaz k odpovědím na kybernetiku" — důkaz závisí na tom, kterou z deseti opatření z článku 21 odst. 2 směrnice NIS2 zákazník dotazuje. Ptá-li se na řízení přístupu, je vhodný výtah z politiky řízení přístupu, ne celá politika bezpečnosti informací. Ptá-li se na reagování na incidenty, často postačí popis procesu s eskalačními liniemi, ne protokol o incidentech s detaily. Myslíte na kategorií, které se také objevují v zásadách pro analýzu rizik, postupu při bezpečnostních incidentech a požadavcích na vlastní dodavatele navracejí se: každý vyžaduje jiný typ podložení.

Pokud nemáte důkazní materiál — například proto, že politika existuje, ale nikdy nebyla zaznamenána — je "ne" s krátkým vysvětlením čestnou odpovědí, nikoli odkaz na dokument, který neexistuje. Certifikát ISO 27001 pokrývá více otázek najednou, ale pouze pokud rozsah tohoto certifikátu skutečně zahrnuje části, na které se zákazník ptá; v opačném případě vytváří falešný pocit jistoty, který se vrací při auditu. Proto si nejdříve ověřte, zda je certifikát použitelný na dotazovanou součást, než jej předložíte jako důkaz.

Odkud to vyplývá: článek 21 odstavec 2 a Příloha A

Článek 21 odst. 2 směrnice NIS2 uvádí deset opatření, na která se zákazník obvykle ptá — od řízení rizik přes politiku přístupu až po bezpečnost dodavatelů — a každé opatření má svůj vlastní typ důkazu, nikoli jeden všeobecný dokument. Příloha A ISO/IEC 27001 obsahuje opatření pro řízení, která se často používají jako kontrolní seznam k určení, jaký důkazní materiál patří k jaké otázce; certifikát podle této normy tedy není náhradou za základní dokumenty, ale potvrzením, že byly prověřeny. Zákon o kybernetické bezpečnosti, české zavedení NIS2, nabude účinnosti 15. srpna 2026 a obsahuje stejné dělení — pro ty, kteří již nyní shromažďují důkazy, není přizpůsobení se této struktuře zbytečné úsilí.