dotazník se ptá, zda jsme v poslední době měli kybernetický incident

Otázka o incidentu se týká faktů, nikoli image

Otázka, zda jste v posledních letech zažili kybernetický incident, vyžaduje faktickou odpověď: ano nebo ne, a v případě ano obvykle krátké vysvětlení týkající se povahy, dopadu a řešení incidentu. Neexistuje správná nebo špatná odpověď — "ano" s řádným vyřešením je pro mnohé zákazníky věrohodnější než neodůvodněné "ne" od dodavatele, který nemůže předložit nic o své bezpečnosti. Jde o to: můžete svou odpověď doložit?

Pokud došlo k incidentu, důkazním materiálem není sám incident, ale jeho řešení: byl incident nahlášen, vyšetřen a řešen podle stanoveného postupu? Přesně o to postupem pro řešení bezpečnostních incidentů se ptá, a zákazníci často kombinují tuto otázku se dvěma dalšími. Pokud k incidentu nedošlo, odpověď zní "ne", případně s odkazem na detekční opatření, která to dokazují — viz procesem pro odhalování a odstraňování slabých míst. Bez registru nebo logu incidentů je "ne" stále platnou odpovědí, ale bez podpůrného dokladu; místo vytváření neexistujícího důkazu to můžete zmínit v poznámce.

Proč to patří mezi deset opatření

Řízení incidentů ("incident handling") je jedním z deseti konkrétních opatření, která článek 21 odstavec 2 Směrnice NIS2 (Směrnice (EU) 2022/2555) uvádí jako součást bezpečnostní politiky subjektu. V českém právním řádu je stejný požadavek obsažen v zákoně o kybernetické bezpečnosti — který nabude účinnosti 15. srpna 2026 — pro subjekty, které pod tento zákon spadají. Otázka na předchozí incidenty tedy v praxi často představuje nepřímý test na to, zda má organizace proces řízení incidentů, a ne pouze na samotný incident. Kdo používá ISO/IEC 27001, pozná stejné téma v Příloze A pod opatřeními pro "management bezpečnostních incidentů informací".