czy muszę przesłać nasz plan reagowania jako dokument do klienta

Zwykle nie cały dokument, ale kluczowe informacje

Nie, w większości przypadków nie trzeba dołączać pełnego planu reagowania na incydenty. Portale, które pytają o reagowanie na incydenty — część procedurą obsługi incydentów bezpieczeństwa — zwykle chcą wiedzieć lub czy istnieje procedura, kto jest odpowiedzialny i w jakim czasie incydent zostaje eskalowany i zgłoszony. To pytania, które odpowiadasz tak/nie i krótkim wyjaśnieniem, a nie pełnym planem działania wraz z drzewami kontaktów i nazwami systemów.

Istnieją dwie sytuacje, w których załącznik jest wymagany: jeśli klient ma wyraźnie wpisane "prześlij swój plan reagowania na incydenty" jako typ pytania, lub jeśli jest to formularz audytu, który wymaga dokumentów potwierdzających. W takim przypadku wersja podsumowania — jedna strona z zakresem, rolami, terminami zgłoszenia i ścieżkami eskalacji, bez wrażliwych szczegółów technicznych — jest często wystarczająca. To, czy potrzebny jest pełny plan czy podsumowanie, wynika z samego tekstu pytania; jeśli zawiera "opisz" zamiast "prześlij", odpowiedź tekstowa jest bardziej odpowiednia niż załącznik.

Dlaczego to rozróżnienie istnieje: artykuł 21 ust. 2 dyrektywy NIS2

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia obsługę incydentów jako jeden z dziesięciu obowiązkowych środków, ale nie określa formy dokumentacji — dyrektywa wymaga procesu, a nie konkretnego formatu przesyłania. ISO/IEC 27001 Załącznik A rozwija to na środki kontrolne dotyczące reagowania i odzyskiwania, i tam widzisz ten sam schemat: norma ocenia, czy proces istnieje i funkcjonuje, a nie czy istnieje jeden, wyraźnie określony dokument zwany "planem reagowania na incydenty". To wyjaśnia, dlaczego większość portali zadowala się opisem w polu odpowiedzi, i dlaczego załącznik jest potrzebny tylko wtedy, gdy pytanie to wyraźnie wymaga. Jeśli proces nie został jeszcze udokumentowany, często łatwiej jest go najpierw polityki dotyczącej analizy ryzyka i bezpieczeństwa informacji doprowadzić do porządku — reagowanie na incydenty zwykle na tym się opiera.

Na czym to się opiera

Sama rozporządzenie znajduje się na EUR-Lex. Powołujemy się na każde stwierdzenie; nie musisz nam wierzyć.

Co konkretnie musisz zrobić

Szczegóły dla każdego obowiązku, wraz z mającymi zastosowanie terminami i szablonami do ich dokumentacji, znajdują się w subskrypcji.

Zapoznaj się z subskrypcją Najpierw bezpłatny szybki przegląd

To nie jest porada prawna. Ta strona zawiera ogólne informacje o przepisach, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W razie wątpliwości co do Twojego konkretnego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.

Napisane za pomocą AI na podstawie powyższych źródeł, sprawdzane przez człowieka w dniu 2026-09-05. Coś się nie zgadza? Daj nam znać — poprawki mają priorytet.