kako popunim da zaposlenici mogu prijaviti sigurnosni incident

Interni kanal za prikupljanje prijava je dokaz, ne namjera

Ovo pitanje se odnosi na samo kanał prikupljanja prijava: mogu li zaposlenici interno prijaviti incident i da li se to zaista i događa. To je nešto potpuno drugačije od pitanja je li organizacija registrira ili rješava incidente — to je dio postupkom rukovanja incidentima sigurnostiOvdje klijent želi specifično znati postoji li jednostavan i poznat put kroz koji zaposlenici mogu postaviti pitanje: adresa e-pošte, sustav za otvaranje zahtjeva, ime na intranetu. Dokaz nije cijela procedura, već konkretni kanal plus nešto što pokazuje da zaposlenici poznaju taj kanal — snimak ekrana sa intraneta, odlomak iz dokumenta za upućivanje novih zaposlenika ili slajd iz obuke.

Ako to nisi zasebno zabilježio, tada je "ne" ili "dijelomično" pošten odgovor, čak i ako procedura za rukovanje incidentima postoji i koristi je samo IT-tim. Ne upisuj "da" na temelju same procedure; pitanje ispituje svjesnost i dostupnost, ne samo proces. Ako postoji obuka o osviještenosti koja pokriva kanal prikupljanja prijava, to je često najsnažniji dokaz — provjeri je u odnosu na obuku iz osnova prakse za sigurnost podatakajer ta dva odgovora moraju biti međusobno usklađena. Ako se ne poklapa, to će padati u slučajnom uzorku tijekom revizije brže nego jedan sam nedostajući dokaz.

Odakle ovo dolazi: članak 21 stavak 2 i Prilog A

Ovaj zahtjev proizlazi iz članka 21. stavka 2. Direktive NIS2, gdje je rukovanje incidentima jedna od deset obaveznih mjera; Zakon o kibernetskoj sigurnosti ovo prevodi u hrvatsko pravo od 15. kolovoza 2026. ISO/IEC 27001 to pojašnjava u Prilogu A do razine kanala prikupljanja prijava i osviještenosti, a klijenti koji koriste upitnik ISO-a često doslovno postavljaju to kontrolno pitanje iz Priloga A. Ako je sama organizacija certificirana, ovaj dokaz obično već postoji — pogledaj ISO 27001 sertifikat kako to učiniti provjerljivo.