musím náš plán reagování poslat jako dokument zákazníkovi

Obvykle ne celý dokument, spíše základní údaje

Ne, ve většině případů není nutné přikládat úplný plán reakce na incidenty jako přílohu. Portály, které se ptají na reakci na incidenty — součást postupem pro řešení bezpečnostních incidentů — obvykle chtějí vědět nebo zda existuje postup, kdo je odpovědný a v jaké lhůtě se incident eskaluje a hlásí. Jsou to otázky, na které odpovídáte ano/ne a stručným vysvětlením, nikoli úplným manuálem včetně seznamů kontaktů a názvů systémů.

Existují dvě situace, kdy je příloha skutečně požadována: pokud má klient explicitně uvedeno "nahrajte váš plán reakce na incidenty" jako typ otázky, nebo pokud jde o kontrolní seznam otázek, který vyžaduje doklady. V takovém případě stačí často souhrnná verze — jedna stránka s rozsahem, rolemi, termíny hlášení a cestami eskalace, bez citlivých technických detailů. Zda je potřeba úplný plán či souhrn, vyplývá z vlastního textu otázky; pokud je tam místo "nahrajte" uvedeno "popište", je textová odpověď vhodnější než příloha.

Proč toto rozlišení existuje: článek 21 odst. 2 NIS2

Článek 21 odst. 2 směrnice NIS2 uvádí řešení incidentů jako jednu z deseti povinných opatření, ale neurčuje formu dokumentu — směrnice požaduje proces, nikoli specifický formát nahrání. ISO/IEC 27001 Příloha A to rozpracovává na kontrolní opatření týkající se reakce a obnovy, a tam vidíte stejný vzor: norma ověřuje, zda proces existuje a funguje, nikoli zda existuje jeden jasně vymezený dokument s názvem "plán reagování na incidenty". To vysvětluje, proč jsou si většina portálů spokojená s popisem v poli odpovědi, a proč je příloha potřebná až tehdy, když to otázka doslova požaduje. Pokud jste proces ještě nezaznamenali, často je snadnější jej nejdříve politiku analýzy rizik a bezpečnosti informací uvést do pořádku — reagování na incidenty na tom obvykle navazuje.