dotazník sa pýta, či sme v posledných rokoch zažili incident kybernetickej bezpečnosti

Otázka o incidente sa týka faktov, nie obrazu spoločnosti

Otázka, či ste v posledných rokoch mali kybernetický incident, vyžaduje faktickú odpoveď: áno alebo nie, a v prípade áno väčšinou s krátkou skúškou o povahe, vplyve a vyriešení. Neexistuje dobrá alebo zlá odpoveď — "áno" s riadnym vyriešením je pre mnohých klientov dôveryhodnejšie ako neodôvodnené "nie" od dodávateľa, ktorý nemôže ukázať nič o svojej bezpečnosti. Na čom záleží: viete si svoju odpoveď zatriediť?

Ak došlo k incidentu, dôkazom nie je samotný incident, ale jeho riešenie: bolo to nahlásené, vyšetrené a nasledované podľa pevného postupu? To je presne to, čo postupom na spracovanie bezpečnostných incidentov sa pýta, a zákazníci často kombinujú túto otázku s tými dvoma. Ak k incidentu nedošlo, potom je "nie" odpoveď, prípadne s odkazom na detekčné opatrenia, ktoré to dokazujú — pozri procesom na detekciu a opravu zraniteľností. Bez registra alebo denníka incidentov je "nie" stále platnou odpoveďou, ale ide o odpoveď bez základného dôkazného dokumentu; môžete to uviesť v poznámke namiesto toho, aby ste vymysleli dôkaz, ktorý neexistuje.

Prečo to patrí medzi desať opatrení

Riešenie incidentov ("incident handling") je jedným z desiatich konkrétnych opatrení, ktoré článok 21 ods. 2 Smernice NIS2 (Smernica (EU) 2022/2555) uvádza ako súčasť bezpečnostnej politiky subjektu. V holandskej transpozícii prostredníctvom zákona o kybernetickej bezpečnosti — ktorý nadobúda účinnosť 15. augusta 2026 — sa rovnaký požiadavka objavuje pre subjekty, ktoré spadajú pod tento zákon. Tým je otázka o skorších incidentoch v praxi často nepriamym testom na otázku, či má organizácia proces na riešenie incidentov, nielen na samotný incident. Kto aplikuje ISO/IEC 27001, pozná rovnakú tému v prílohe A v rámci opatrení na kontrolu "správy bezpečnostných incidentov informácií".