jak wpisuję, że pracownicy mogą zgłaszać incydent bezpieczeństwa

Wewnętrzna ścieżka zgłoszenia jest dowodem, a nie zamiarom

To pytanie dotyczy samego kanału zgłoszenia: czy pracownicy mogą zgłosić incydent wewnętrznie i czy to faktycznie się dzieje. To coś innego niż pytanie, czy organizacja rejestruje incydenty lub je obsługuje — to należy do procedurą obsługi incydentów bezpieczeństwa. Tutaj klient chce konkretnie wiedzieć, czy istnieje łatwa i dobrze znana droga, przez którą pracownik może coś zgłosić: adres e-mail, system zgłoszeń, nazwa w intranecie. Dowodem nie jest zatem procedura jako całość, ale konkretny kanał plus coś, co pokazuje, że pracownicy znają ten kanał — zrzut ekranu z intranetu, fragment dokumentu wdrożeniowego lub slajd szkoleniowy.

Jeśli tego nie masz osobno udokumentowane, wtedy "nie" lub "częściowo" jest szczerą odpowiedzią, nawet jeśli istnieje procedura obsługi incydentów, którą używa tylko zespół IT. Nie wypełniaj "tak" tylko na podstawie procedury; pytanie weryfikuje świadomość i dostępność, a nie tylko proces. Jeśli istnieje szkolenie w zakresie podstawowej higieny cybernetycznej, które obejmuje kanał zgłoszenia, jest to często najpotężniejszy dowód — porównaj go z szkoleniem w zakresie podstawowej higieny cybernetycznej, bo te dwie odpowiedzi muszą być ze sobą spójne. Jeśli się nie zgadzają, będzie to wyraźnie widać w próbie audytowej niż jeden brakujący dowód.

Skąd to pochodzi: artykuł 21 ust. 2 i Załącznik A

Ten wymóg wynika z artykułu 21 ust. 2 dyrektywy NIS2, gdzie obsługa incydentów jest jednym z dziesięciu obowiązkowych środków; Ustawa o cyberbezpieczeństwie transpozycji to na prawo holenderskie od 15 sierpnia 2026 roku. ISO/IEC 27001 opracowuje to w Aneksie A aż do poziomu kanałów zgłoszenia i świadomości, a klienci korzystający z kwestionariusza ISO często pyta literalnie o ten punkt kontrolny Aneksu A. Jeśli sama organizacja jest certyfikowana, ten dowód zwykle jest już gotowy — zobacz certyfikat ISO 27001 jak to uczynić weryfikowalnym.