zoznam otázok sa pýta, či sme si vypracovali plán reagovania na incidenty

Plán na reakciu na incidenty je jedným z desiatich opatrení z článku 21

Áno, toto je rozpoznateľná súčasť: článok 21 odsek 2 písmeno b smernice NIS2 výslovne spomína "incident handling" ako jedno z desiatich povinných opatrení. Klient sa tu nepýta na vágnu pripravenosť niekedy niečo urobiť pri hacker útoku, ale na ustálený postup: kto hlási incident, kto hodnotí vplyv, kto rozhoduje o eskalácii a komunikácii a v akom čase. Ak tento postup existuje a je písomne zdokumentovaný, ide o potvrdzujúcu odpoveď s dokumentom ako dôkazom. Ak neexistuje alebo existuje len v hlavách ľudí, potom je "nie" poctivá odpoveď — pol meradla "áno" bez podkladového dokumentu spôsobí pri audite väčšiu škodu ako nie s vysvetlením, že sa nachádza vo vývoji.

Pozor na rozdiel v porovnaní s otázkou na detekciu a odhalenie: plán na reakciu na incidenty sa týka toho, čo sa stane potom, čo sa niečo zistí, nie toho, ako sa nájdu zraniteľnosti — toto posledné patrí k procesom na detekciu a opravu zraniteľností. Niektoré zoznamy otázok sa ho pýtajú ako samostatnej otázky, iné ho kombinujú s kontinuitou ("ako obnovíte svoju službu"), čo je iný predmet a odpovedá sa prostredníctvom otázky týkajúcej sa záloh a núdzových opatrení. Je preto vhodné uchovávať v reťazovom spise plán na reakciu na incidenty a kontinuitu ako samostatný dôkazný dokument, aj keď sú v praxi v jednom dokumente.

Kde je to uvedené v smernici a norme

Článok 21 odsek 2 písmeno b Smernice (EÚ) 2022/2555 výslovne spomína "incident handling" ako povinné opatrenie vedľa ostatných deväť z tohto odseku. V norme ISO/IEC 27001 sa to vracia v prílohe A, medzi kontrolnými opatreniami týkajúcimi sa riadenia bezpečnostných incidentov informácií — kto má už certifikáciu podľa ISO 27001 na iný účel certifikovaný podľa normy ISO 27001 má tento dôkazný dokument pravdepodobne už k dispozícii. Zákon o kybernetickej bezpečnosti transpozuje článok 21 do českých predpisov, ale začína platiť až 15. augusta 2026; do tej doby je samotná smernica rámcom, ktorý sa má dodržiavať pre tých, ktorí musia overovať, či je to už v poriadku.