Má podnik politiku analýzy rizik a ochrany informačních systémů?

Politika analýzy rizik je základem zbývajících devíti opatření

Ano, ve většině případů je zde co říci, protože analýza rizik je uvedena jako první opatření v článku 21 odst. 2 NIS2 a je tak základem, na kterém spočívá zbytek politiky. Otázka testuje nejen to, zda existuje dokument "politika rizik", ale zda podnik systematicky prověřuje, které informační systémy a procesy jsou zranitelné, a jaká opatření jim čelí. Zákazník, který tuto otázku pokládá, chce ve skutečnosti vědět, zda je bezpečnost nastavena na základě posouzení rizik, nebo ad hoc.

V praxi je toto pole často obtížné zodpovědět jednoduše ano, protože analýza rizik obvykle není samostatným politickým dokumentem, ale je propojena s dalšími prvky: je přístupová politika stanovena, včetně správy podnikových prostředků, je zde proces pro identifikaci a nápravy zranitelností, a je účinnost bezpečnostních opatření pravidelně kontrolována. Bez podkladového dokumentu popisujícího posouzení rizik — i když je to jen jednoduchý interní přehled — nelze zde podpořit "ano". Pokud tento dokument chybí, je "ne" nebo "částečně" čestnou odpovědí, případně s vysvětlením, které prvky jsou již zavedeny.

Kde přesně to plyne z článku 21 odst. 2

Článek 21 odst. 2 písmeno a) Směrnice (EU) 2022/2555 uvádí "politiku v oblasti analýzy rizik a zabezpečení informačních systémů" jako první z deseti povinných opatření, a je tak nejpříměčejším zdrojem pro tuto otázku. Směrnice sama nespecifikuje, jak má být analýza rizik nastavena — tento detail ponechává na národních prováděcích pravidlech nebo na normách, jako je ISO 27001, která se ostatně liší od této politické otázky: viz je podnik certifikován podle ISO 27001. Kdo chce prověřit, zda podnik sám spadá pod směrnici, najde odpověď u spadá podnik sám pod směrnici NIS2 nebo její národní implementaci.