zákazník se ptá, jak reagujeme na kybernetický incident, jak to mám vyplnit

Plán reagování na incidenty: proces, ne jen dokument

Otázka týkající se plánu reagování na incidenty se zabývá tím, jak organizace reaguje jakmile je zjištěn bezpečnostní incident: kdo je upozorněn, kdo rozhoduje o eskalaci, jak je spuštěno obnovení a jak se hlásí zákazníkům nebo dohledovacím orgánům. Formát často požaduje samotný důkazní dokument — plán reagování na incidenty nebo popis postupu — ale většina nakupujících stran implicitně testuje také, zda byl plán někdy použit nebo zkoušen. Odpověď "ano, existuje plán" bez toho, aby došlo k jakémukoli cvičení nebo skutečnému incidentu, je fakticky správná, ale slabá; uveďte, že procedura existuje a co o ní můžete prokázat, například zprávu o testu nebo vyhodnocení po předchozím incidentu.

Pokud chybí formálně testovaný plán, je "ne" s krátkou vysvětlivkou lepší než vyplněné "ano" bez podkladového dokumentu. Někteří zákazníci se konkrétně ptají na lhůty pro hlášení směrem k nim jako odběrateli — jedná se o smluvní dohodu, ne automaticky stejnou lhůtu jako právní povinnost hlášení. Nezaměňujte tyto dva v odpovědi: co si zavazujete vůči svému zákazníkovi v rámci SLA je odděleno od toho, co se případně musí hlásit dohledovacímu orgánu. Tato otázka často souvisí s postupem pro řešení bezpečnostních incidentů, a s otázkou, zda je obnovení a odchod do náhradního provozu dobře zajištěn prostřednictvím záloh a nouzového zálohování — formát to někdy dělí na více otázek, které v dossier spolu souvisejí.

Právní základ: článek 21 odstavec 2 NIS2 a Příloha A

Zpracování incidentů je jako samostatné opatření uvedeno v článku 21 odstavci 2 směrnice NIS2, vedle analýzy rizik a kontinuity činnosti — je to jedno z deseti opatření, která směrnice rozlišuje. ISO/IEC 27001 to rozpracovává v kontrolních opatřeních Přílohy A, kde management incidentů tvoří vlastní kategorii s požadavky na detekci, reagování a vyhodnocení. Zákon o kybernetické bezpečnosti tuto povinnost implementuje do českého práva a měl by vstoupit v platnost 15. srpna 2026; do tohoto data je soulad se samotnou směrnicí výchozím bodem pro podložení odpovědi.