dotazník se ptá, zda prověřujeme zaměstnance před nástupem

Prověřování personálu patří do bezpečnosti lidských zdrojů, nikoli do řízení přístupu

Dotaz na prověřování před nástupem spadá pod bezpečnost personálu, jednu z deseti opatření z článku 21 odst. 2 NIS2 — výslovně uvedenou v bodě (g), společně s pracovními podmínkami a disciplinárními opatřeními při porušení. Jde o jiné pole než řízení přístupu: prověřování se týká toho, koho si najmeš, zásady přístupu se týkají toho, co může člověk vidět nebo dělat, jakmile je uvnitř. Nevyplňujte tedy automaticky "ano" u této otázky pouze proto, že již existuje přístupová matice — to je jiný doklad.

Jaký důkaz se počítá, závisí na tom, co se děje v praxi. Povinnost VOG (prohlášení o chování) pro funkce s přístupem k citlivým systémům je nejkonkrétnějším důkazem. Pokud chybí, počítá se také pevný postup v procesu náboru: ověření referencí, ověření totožnosti a u společností certifikovaných podle ISO 27001 klauzule o prověřování z přílohy A 6.1 (před nástupem do zaměstnání). Bez certifikátu ISO a bez zásad VOG je odpověď obvykle "ne" nebo "částečně" — a je naprosto v pořádku to takto vyplnit. Nevymýšlejte si screeningový proces, který neexistuje; pokud zákazník na to dále tlačí, je upřímné "ne, ale pro funkce X a Y ano" silnější než ano, které se při auditu neobstojí.

Zdroj: článek 21 odst. 2 písmeno g) a příloha A 6.1

Deset opatření z článku 21 odst. 2 NIS2 výslovně zmiňuje bezpečnost personálu v písmeni (g), vedle řízení přístupu a správy podnikových prostředků. V praxi se to často posuzuje společně s školením v oblasti kybernetické hygieny, protože obojí spadá pod tutéž zásadu lidských zdrojů. U společností s certifikátem ISO 27001 se související opatření kontroly nachází v příloze A v klauzuli o prověřování před nástupem do zaměstnání — zeptejte se tedy, zda certifikát ISO 27001 podniku pokrývá tuto klauzuli, neboť ne všechny certifikáty mají stejný rozsah. U společností, které se zákona o kybernetické bezpečnosti podřídí teprve po 15. srpnu 2026, to zatím není právní povinnost, ale zákazníci se na to často ptají předem s ohledem na povinnosti v řetězci.