dotazník se ptá na naši politiku pro mobilní zařízení a notebooky

Zásady pro mobilní zařízení spadají pod správu aktiv a přístup

Tato otázka se vztahuje na článek 21 odstavec 2 písm. d a i směrnice NIS2: bezpečnost při nákupu, vývoji a údržbě a zásady řízení přístupu včetně obchodních aktiv. Notebooky a telefony jsou "assets" — obchodní prostředky, na kterých jsou uložena obchodní data nebo prostřednictvím kterých existuje přístup k systémům. Zákazník tedy chce vědět, zda existuje písemné pravidlo, které vymezuje: kdo smí používat jaké zařízení, jak je šifrováno, co se stane při ztrátě nebo krádeži a zda je povoleno soukromé používání obchodních zařízení (nebo naopak BYOD) a za jakých podmínek.

Pokud neexistuje samostatný dokument "mobile device policy", není to hned problém — zkontrolujte, zda jeho jádro není již někde obsaženo: v zásadách přístupu včetně firemních prostředků, v prohlášení ISO 27001 v Příloze A (řízení aktiv a mobile device policy jsou tam jako opatření kontroly), nebo v příručce IT. Pokud zcela chybí, pak je "ne" upřímnou odpovědí — písemná zásada je něco jiného než volná praxe bez dokumentace. Šifrování samotných zařízení sem také patří; to se překrývá s otázkou týkající se kryptografie a šifrování, a je užitečné vědět, jaká odpověď tam už byla uvedena, aby tyto dva údaje si neodporovaly.

Odkud to pochází: článek 21 odst. 2 a příloha A

Článek 21 odst. 2 směrnice NIS2 uvádí pod bodem i "bezpečnost personálu, politika přístupu a správa podnikových prostředků" jako jedno z deseti povinných opatření; mobilní zařízení spadají pod poslední kategorii. ISO/IEC 27001 to dále rozpracovává v Příloze A se specifickými kontrolními opatřeními pro "mobile devices" a "asset management" — organizace s certifikátem ISO 27001 to mívá obvykle již zdokumentované. Zákon o kybernetické bezpečnosti tuto povinnost implementuje do českého práva a vstoupí v platnost 15. srpna 2026; do té doby je sama směrnice opěrným bodem, nikoli národní zákon.