Dotazník se ptá, zda jsme vypracovali plán řešení incidentů

Plán reakce na incidenty je jedním z deseti opatření z článku 21

Ano, jedná se o poznatelnou součást: článek 21 odstavec 2 písmo b směrnice NIS2 uvádí "řešení incidentů" jako jedno z deseti povinných opatření. Zákazník se zde neptal na vágní ochotu něco jednou dělat při hackerském útoku, ale na stanovenou proceduru: kdo hlásí incident, kdo posuzuje dopad, kdo rozhoduje o eskalaci a komunikaci a v jaké lhůtě. Pokud taková procedura existuje a je písemně zaznamenána, jedná se o kladnou odpověď s dokumentem jako důkazem. Pokud neexistuje, nebo existuje pouze v hlavách lidí, pak je "ne" upřímná odpověď — polopravdivé "ano" bez podkladového dokumentu při auditu způsobí více škody než "ne" s vysvětlením, že je ve vývoji.

Pozorujte rozdíl vůči otázce na detekci a odhalení: plán reaktivní odezvy na incidenty se týká toho, co se stane poté, co je něco zjištěno, nikoli toho, jak jsou zranitelnosti nalezeny — to druhé patří do procesem pro odhalování a odstraňování slabých místNěkteré seznamy otázek se na to ptají jako na samostatnou otázku, zatímco jiné jej spojují s kontinuitou ("jak obnovujete poskytování služeb"), což je jiné téma a je zodpovězeno prostřednictvím otázky týkající se záloh a nouzových opatření. Je tedy třeba v řetězovém spisu uchovávat incident response a kontinuitu jako samostatný důkaz, i když v praxi figurují v jednom dokumentu.

Kde se to v směrnici a normě nachází

Článek 21 odst. 2 písm. b směrnice (EU) 2022/2555 explicitně jmenuje "incident handling" jako povinné opatření vedle devíti dalších z tohoto odstavce. V ISO/IEC 27001 se to objevuje v Příloze A mezi kontrolními opatřeními týkajícími se řízení incidentů v informační bezpečnosti — ten, kdo je již certifikován podle ISO 27001 pro jiný účel, je již certifikován podle ISO 27001, má tento důkaz zřejmě již k dispozici. Zákon o kybernetické bezpečnosti implementuje článek 21 v české úpravě, ale vstupuje v platnost až 15. srpna 2026; do té doby je sama směrnice rámcem, kterého se má držet ten, kdo musí ověřit, zda je to již v pořádku.