dotazník se ptá, zda máme krizový plán pro kybernetický incident

Krizový plán spadá pod kontinuitu podnikání, nikoli pod reakci na incident

Otázka na "krizový plán v případě hackerského útoku" se v praxi ptá na dvě věci najednou a odpověď závisí na tom, kterou z těchto dvou máte. První je plán kontinuity: jak služba zůstane v chodu nebo jak ji obnovíte, nezávisle na tom, co se přesně stalo. Druhá je plán reakce na incident: kdo dělá co, jakmile je hack objeven, kdo je informován, jak je incident omezen. Mnoho podnikatelů má druhou věc a první ne, nebo naopak, a pak vyplní "ano" na otázku, která se vlastně ptá na obě.

Máte-li pouze neformální plán — pár dohod, které všichni znají, ale které nikde nejsou napsány — pak je "ne" obvykle nejupřímnější odpovědí s vysvětlením, že přístup existuje, ale není dokumentován. Máte-li plán kontinuity bez samostatné kybernetické složky, zkontrolujte, zda výslovně jmenuje kybernetický incident jako scénář; pokud ne, pak je to mezera, kterou zákazník často signalizuje. Toto téma úzce souvisí s existují zálohy a nouzové opatření pro obnovení služby a s existuje postup pro zpracování bezpečnostních incidentů — nejdříve odpovězte na ty dvě, pak se tato otázka často vyřeší sama.

Kde se to vrací v článku 21 odst. 2 NIS2

Článek 21 odst. 2 Směrnice (EU) 2022/2555 uvádí "kontinuitu podnikání, např. správu záloh a obnovení po katastrofě, a řízení krizí" jako jednu z deseti povinných opatření — kontinuita a řízení krizí jsou tam tedy společně, nikoli jako dva oddělené požadavky. Příloha A normy ISO/IEC 27001 má podobné kontrolní opatření pro připravenost ICT na přerušení provozu. Nizozemský zákon o kybernetické bezpečnosti, který tuto povinnost převádí, vstupuje v platnost 15. srpna 2026.