Nemáme formálnu bezpečnostnú politiku, môžem aj tak odpovedať áno na dotazník

Nie, nie bez dokumentu, ktorý túto politiku preukázuje

Nie, "áno" je možné vyplniť tu nemôže byť, ani keď je prax väčšinou v poriadku. Otázka na bezpečnostnú politiku sa nepýta, či pracujete bezpečne, ale či je to stanovené: dokument s tým, kto je za čo zodpovedný, ktoré opatrenia platia a ako často sa to prehodnocuje. Bez takéhoto dokumentu nie je nič na predloženie pri "áno", ak sa zákazník ďalej pýta alebo to audítor požaduje. Supplia nenavrhuje áno, ak reťazový spis nemá zdrojový súbor — a to tu v plnej miere platí, aj keď je samotná otázka pre skúseného vypĺňajúceho rozpoznateľná.

Čo zvyčajne funguje: "áno, neformálne" alebo "nie, v rámci vývoja" s krátkym vysvetlením, plus odkaz na to, čo je fakticky uvedené — kontrola prístupu, postup pri incidentoch, zmluva so zákazníkmi s bezpečnostnými požiadavkami. Mnohí zákazníci oceňujú takúto čestnosť viac ako "áno", ktoré sa pri overovaní nepotvrdí. Ak je niečo zaznamenaté, ale nie jeden centrálny dokument, zvyčajne je silnejšie odkazovať na jednotlivé časti: politikou prístupu a riadením podnikateľských prostriedkov, postupu spracúvania incidentov bezpečnostia politika okolo zraniteľností. Spoločne tvoria zvyčajne už jadro toho, čo otázka vlastne myslí, aj bez toho, aby sa tomu hovorilo "bezpečnostná politika".

Pokiaľ to vyplýva z desiatich opatrení

Politika analýzy rizík a bezpečnosti informácií je prvou z desiatich opatrení v článku 21 ods. 2 Smernice NIS2 (Smernica (EU) 2022/2555) — pozri tiež čo zákazník rozumie analýzou rizík. Kto spadá pod Zákon o kybernetickej bezpečnosti, musí to byť schopný preukázať, hneď ako vstúpi zákon do platnosti. ISO/IEC 27001 požaduje v prílohe A rovnako vypracovanú politiku ako samostatné opatrenie na kontrolu, nezávisle od otázky, či je samotný podnik certifikovaný.