musíme hlásit incident v oblasti bezpečnosti z minulého roku našemu zákazníkovi

Starý incident patří do dotazníku, ne do samostatného komunikačního kanálu

Ano, bezpečnostní incident z loňska vypln, pokud se otázka týká incidentů nebo jejich řešení — i když byl incident sám již uzavřen. Otázka ve většině dotazníků zákazníků se netýká aktuální hrozby, ale zda existuje postup a zda funguje. Vyřešený incident z loňska je pro to spíše důkazem než rizikem: ukazuje, že postupem pro řešení bezpečnostních incidentů v praxi byl průchod, od hlášení až po uzavření.

Jedná se tedy o něco jiného než o právní oznamovací povinnost vůči regulačnímu orgánu — ta má své vlastní lhůty a své vlastní příjemce, a tyto lhůty již dávno uplynuly, je-li incident z loňska. Dotazník vašeho zákazníka není místem hlášení; je to otázka odpovědnosti. Odpovězte na základě toho, co je nyní pevně stanoveno: existuje postup, byl použit, byly provedeny vylepšení na základě incidentu? Pokud to chybí, pak je "ne" nebo "částečně" stejně platnou odpovědí jako "ano" — pokud to jen odpovídá tomu, co je v řetězcovém spisu.

Odkud to pochází: článek 21 odst. 2 a příloha A

Článek 21 odst. 2 směrnice NIS2 jmenuje zvládání incidentů jako jednu z deseti povinných opatření, mimo jiné vedle analýzu rizik a zabezpečení informačních systémů a politiky kontinuity. ISO/IEC 27001 to v Příloze A rozpracovává na kontrolní opatření, která vyžadují registraci, reagování a vyhodnocení incidentů — uzavřený spis z loňska se tam přesně hodí jako ukázkový materiál. Zákon o kybernetické bezpečnosti, česká transpozice NIS2, vstupuje v platnost 15. srpna 2026 a upravuje právní oznamovací povinnost vůči státu; jedná se o jiný postup než zúčtování, které zákazník požaduje ve svém vlastním dotazníku.