jak vyplnit, že zaměstnanci mohou nahlásit incident v oblasti bezpečnosti

Interní hlasitelna je dokladem, nikoli záměrem

Tato otázka se týká samotného komunikačního kanálu: mohou zaměstnanci hlásit incident interně a skutečně tak činí. To je něco jiného než otázka, zda organizace incidenty zaznamenává nebo řeší — to patří do postupem pro řešení bezpečnostních incidentů. Zde chce klient konkrétně vědět, zda existuje dostupná a známá cesta, kterou může zaměstnanec něco nahlásit: e-mailová adresa, systém tiketů, jméno na intranetu. Dokladem tedy není procedura jako celek, ale konkrétní kanál plus něco, co ukazuje, že zaměstnanci kanál znají — snímek intranetu, pasáž z dokumentu onboardingu nebo snímek školení.

Pokud jsi to zvlášť nezaznamenal, pak je "ne" nebo "částečně" čestná odpověď, a to i v případě, že existuje procedura incidentů, kterou používá pouze IT tým. Nevyplňuj "ano" pouze na základě procedury; otázka prověřuje vědomí a dostupnost, ne pouze proces. Pokud existuje školení k seznámení s vědomím, které se zabývá hlasitelnou, je to často nejsilnější doklad — ověř jej pod školením v základních postupech pro kybernetickou hygienu, protože tyto dvě odpovědi musí být navzájem konzistentní. Pokud si neodpovídají, je to pravděpodobněji zjištěno při auditu vzorku než jeden chybějící důkaz.

Odkud to pochází: článek 21 odst. 2 a příloha A

Tato povinnost vychází z čl. 21 odst. 2 směrnice NIS2, kde řešení incidentů je jedním z deseti povinných opatření; zákon o kybernetické bezpečnosti to transponuje do českého práva s účinností od 15. srpna 2026. Norma ISO/IEC 27001 to rozpracovává v Příloze A až na úroveň komunikačních kanálů a povědomí; klienti, kteří používají dotazník ISO, si často přímo vyžádají tento kontrolní bod Přílohy A. Je-li samotná organizace certifikována, důkaz je obvykle již připraven — viz certifikát ISO 27001 jak to lze doložit.