upitnik pita imamo li plan reagiranja na incident

Plan odgovora na incidente jedan je od deset mjera iz članka 21

Da, ovo je prepoznatljiv dio: članak 21 stavak 2 podstavka b NIS2 direktive navodi "handling incidenata" kao jednu od deset obaveznih mjera. Klijent ovdje ne pita o nejasnoj spremnosti da se ikad nešto učini pri napadu, već o uspostavljenoj proceduri: tko prijavljuje incident, tko vrednuje utjecaj, tko odlučuje o eskalaciji i komunikaciji, i u kojem vremenskom roku. Ako ta procedura postoji i napisana je, ovo je potvrdan odgovor s dokumentom kao dokazom. Ako je nema, ili postoji samo u glavama ljudi, tada je "ne" iskren odgovor — poluusmjereno "da" bez temeljnog dokumenta pri reviziji nanosi veću štetu nego "ne" s objašnjenjem da je u razvoju.

Primijetite razliku od pitanja o otkrivanju i detekciji: plan odgovora na incidente govori o onome što se događa nakon što se nešto utvrdi, ne o tome kako se pronalaze ranjivosti — potonje pripada procesom za prepoznavanje i ispravljanje ranjivosti. Neki upitnici postavljaju ovo kao zasebno pitanje, drugi ga spajaju s kontinuitetom ("kako obnavljate svoju uslugu"), što je drugačit predmet i odgovara se putem pitanja o sigurnosnim kopijama i nužnim mjerama. Dakle, trebate u ketendossieru čuvati plan odgovora na incidente i kontinuitet kao zaseban dokaz, čak i ako su u praksi u jednom dokumentu.

Gdje je to navedeno u Direktivi i normi

Članak 21 stavak 2 podstavka b Direktive (EU) 2022/2555 navodi "handling incidenata" doslovno kao obaveznu mjeru pored ostalih devet iz tog stavka. U normi ISO/IEC 27001 to se pojavljuje pod Prilogom A, kod mjera upravljanja o vođenju sigurnosnih incidenata informacijskih sustava — tko je već za drugi cilj certificiran prema ISO 27001 vjerojatno već ima taj dokaz. Zakon o kibernetskoj sigurnosti provodi članak 21 u hrvatske zakonske propise, ali stupnjuje na snagu tek 15. kolovoza 2026.; do tada je sama direktiva okvir koji se trebao primjenjivati za one koji trebaju provjeriti je li sve to na mjestu.