ptají se, kdo všechno má přístup k jejich datům

Zásady přístupu, nikoli seznam jmen

Zákazník zde obvykle nechce vědět, která jednotlivá osoba se přihlašuje, ale zda existuje systém, který upravuje, kdo má přístup kam. To spadá pod správu přístupu: kdo má přístup k jakým systémům a údajům, na základě jaké role a jak se přístup přiděluje a odvolává. Odpověď tedy sestává ze dvou částí: zásad (jak se přístup přiděluje, kontroluje a odvolává při odchodu ze zaměstnání) a praxe (pracuje se s oprávněními založenými na rolích, principem nejmenšího privilegia, periodickou kontrolou, kdo má stále přístup).

Pokud neexistuje samostatný dokument se zásadami přístupu, ale praxe je v pořádku — například role v systému, pevný proces při nástupu a odchodu ze zaměstnání — často to stačí na odpověď "ano", pokud je to také skutečně prokazatelné. Pokud chybí obojí, pak je "ne" poctivou odpovědí; otázka na toto téma se nepředstavuje jako "ano" bez zdroje v řetězcovém spisu. Příbuzné otázky na stejném seznamu se často týkají vícefaktorová autentizace pro firemní systémy a zásad analýzy rizik a bezpečnosti informačních systémů — tyto dva patří věcně k sobě, protože přístup je obvykle jednym z kontrolních opatření, která vyplývají z analýzy rizik.

Lze vysledovat na článek 21 odst. 2 a přílohu A

Řízení přístupu je jedním z deseti opatření uvedených v článku 21 odstavci 2 směrnice NIS2 (Směrnice (EU) 2022/2555): explicitně jmenuje politiku kontroly přístupu a správu majetku podniku jako povinnou součást řízení rizik. V normě ISO/IEC 27001 se to vyskytuje v kontrolních opatřeních přílohy A v kategorii kontrola přístupu. Zákazníci, kteří sami podléhají zákonu o kybernetické bezpečnosti — nizozemské transpozici NIS2, která vstoupí v platnost 15. srpna 2026 — proto stále častěji standardně předkládají tuto otázku svým dodavatelům, a to i v případě, že sami ještě nejsou určeni jako subjekt podle směrnice.