Как попълнявам, че служителите могат да докладват за инцидент на безопасност

Вътрешният маршрут за докладване е доказателството, а не намерение

Този въпрос се отнася до самия канал за докладване: могат ли служителите да докладват инцидент вътрешно и се случва ли това наистина. Това е различно от въпроса дали организацията записва или разрешава инцидентите — това е включено в процедурата за обработка на инциденти в областта на сигурносттаТук клиентът конкретно иска да знае дали има лесен и известен път, чрез който служител може да повдигне проблем: имейл адрес, система за билети, име на интранета. Доказателството следователно не е процедурата в целост, а конкретния канал плюс нещо, което показва, че служителите познават този канал — екранна снимка от интранета, отговор от документа за онбординг или слайд от обучение.

Ако не сте го документирали отделно, тогава "не" или "частично" е честният отговор, дори ако съществува процедура за инциденти, която се използва само от IT екипа. Не попълвайте "да" въз основа само на процедурата; въпросът тества осведеност и достъпност, а не само процес. Ако има обучение по повишаване на осведеността, което разглежда канала за докладване, това е често най-силното доказателство — проверете го срещу обучението в основните практики за киберхигиена, защото тези два отговора трябва да бъдат взаимно последователни. Ако не се съответстват помежду си, това ще бъде открито по-бързо при извадкова проверка, отколкото един единствен липсващ доказателствен документ.

Откъде идва това: член 21, параграф 2 и Приложение А

Това изискване произтича от член 21, параграф 2 на Директивата за NIS2, където управлението на инцидентите е една от десетте задължителни мерки; Законът за кибербезопасността трансформира това в нидерландско право с дата 15 август 2026. ISO/IEC 27001 разработва това в Приложение A до нивото на канали за докладване и осведеност, и клиентите, които използват списък с въпроси ISO, често поискват буквално този контролни пункт на Приложение A. Ако организацията е сертифицирана, то това доказателство обикновено вече е готово — вижте сертификатът ISO 27001 как да го направите документирано.