dotazník se ptá, jak reagujeme na útok ransomwarem

Ransomware spadá pod řešení incidentů, nikoli pouze pod kontinuitu

Otázka o ransomwaru obvykle testuje váš postup odezvy, nikoli vaši techniku. Zákazníci chtějí vidět, že existuje zavedený proces: detekce, omezení, obnovení a hlášení příslušným stranám. Jedná se přesně o postup pro bezpečnostní incidenty z článku 21 odstavec 2 písm. b směrnice NIS2 — pokud jste popsali tento postup, použijte zde tento text, nikoli samostatný ransomwarový oddíl. Samostatná ransomwarová politika tedy není požadavkem; postup řešení incidentů, který jmenuje ransomware jako scénář, obvykle postačuje.

Co se často řeší zvlášť, je část obnovy: lze obnovit službu bez placení výkupného. To patří do záloh a nouzového opatření pro obnovení poskytování služeb — písm. c stejného seznamu, kontinuity podnikání a řízení krizí. Pokud nemáte nedávno testovanou zálohu a obnovu, je vaše odpověď na ransomwarový scénář fakticky slabá, i když je váš postup řešení incidentů na papíře v pořádku. Odpovězte na tuto část tedy až poté, co budete vědět, zda byla provedena poslední test obnovy a kdy.

Kde se to přesně nachází: článek 21 odstavec 2, písm. b a c

Článek 21 odstavec 2 směrnice NIS2 uvádí deset opatření, která musí subjekt přijmout; písm. b je řešení incidentů, písm. c je kontinuita podnikání včetně správy záloh a zotavení po havárii. Ransomwarový útok se dotýká obojího: detekce a odezva spadají pod b, obnovení bez placení útočníkovi spadá pod c. V zákoně o kybernetické bezpečnosti — české transpozici NIS2, která nabývá účinnosti 15. srpna 2026 — se tyto povinnosti opakují pro subjekty spadající pod zákon; v případě pochybností zkontrolujte, zda podnik sám spadá pod směrnici NIS2 nebo její национальní implementaci, protože to určuje, zda se jedná o povinnost nebo pouze o očekávání zákazníka. Pracujete-li s ISO 27001, ekvivalent naleznete v Příloze A: A.5.24 až A.5.26 pro řešení incidentů, A.5.29 a A.5.30 pro kontinuitu a zotavení po havárii. Pokud nemáte ani jedno formálně dokumentováno, nejupřímější odpovědí je, že máte neformální přístup a žádný zdokumentovaný postup — to je jiná odpověď než "ano" a stojí za to si tento rozdíl ponechat.