upitnik pita jesmo li u posljednjim godinama doživjeli kibernetički incident

Pitanje o incidentu govori o činjenicama, ne o imidžu

Pitanje je li u posljednjim godinama bilo kybernetskog incidenta traži činjenični odgovor: da ili ne, a ako je odgovor da, obično s kratkim objašnjenjem o vrsti, utjecaju i rješavanju. Nema dobrog ili lošeg odgovora — "da" s primjerenim rješavanjem često je vjerodostojnije za mnoge klijente nego neobjašnjeni "ne" od dobavljača koji ne može pokazati ništa o svojoj sigurnosti. Ono što je važno: možeš li dokazati svoj odgovor?

Ako je bilo incidenta, dokaz nije sam incident već njegovo rješavanje: je li prijavljen, istražen i praćen prema utvrđenoj proceduri? Upravo na to postupkom rukovanja incidentima sigurnosti pita, i klijenti često kombiniraju ovo pitanje s ona dva. Ako nije bilo incidenta, odgovor je "ne", eventualno s upućivanjem na mjere otkrivanja koje to dokazuju — vidi procesom za prepoznavanje i ispravljanje ranjivosti. Bez registra ili dnevnika incidenta, "ne" je i dalje validan odgovor, ali tada bez podupirućeg dokaza; to možeš spomenuti u obrazloženju umjesto da izmišljaš dokaz koji ne postoji.

Zašto se to ubraja u deset mjera

Rukovanje incidentima ("incident handling") jedna je od deset konkretnih mjera koje članak 21. stavak 2. Direktive NIS2 (Direktiva (EU) 2022/2555) navodi kao dio politike sigurnosti entiteta. U nizozemskoj transpoziciji kroz Zakon o kibernetskoj sigurnosti — koji stupava na snagu 15. kolovoza 2026. — ista obveza pojavljuje se za entitete koji spadaju pod taj zakon. Time je pitanje o prethodnim incidentima u praksi često neizravna provjera postoji li u organizaciji proces za rukovanje incidentima, ne samo o samom incidentu. Tko primjenjuje ISO/IEC 27001, prepoznaje istu temu u Dodatku A, pod mjerama kontrole za "upravljanje incidentima informacijske sigurnosti".