lista kontrolna pyta, czy opracowaliśmy plan reagowania na incydenty

Plan reagowania na incydenty to jeden z dziesięciu środków z artykułu 21

Tak, to jest rozpoznawalny element: artykuł 21 ust. 2 lit. b dyrektywy NIS2 wymienia "obsługę incydentów" jako jeden z dziesięciu obowiązkowych środków. Klient nie pyta tutaj o niejasną gotowość do kiedyś cokolwiek zrobienia w przypadku ataku, ale o ustalona procedurę: kto zgłasza incydent, kto ocenia wpływ, kto decyduje o eskalacji i komunikacji oraz w jakim terminie. Jeśli taka procedura istnieje i jest udokumentowana na piśmie, jest to odpowiedź potwierdzająca z dokumentem jako dowodem. Jeśli jej nie ma lub istnieje tylko w głowach ludzi, wtedy "nie" jest uczciwą odpowiedzią — półśrodkowe "tak" bez powiązanego dokumentu przynosi przy audycie więcej szkody niż nie z wyjaśnieniem, że jest w opracowaniu.

Zwróć uwagę na różnicę między pytaniem o detekcję i wykrywanie: plan reagowania na incydenty dotyczy tego, co się dzieje po stwierdzeniu czegoś, a nie jak znajduje się luki w zabezpieczeniach — to ostatnie należy do procesem identyfikacji i usuwania podatności. Niektóre kwestionariusze zadają to jako oddzielne pytanie, inne łączą go z ciągłością ("jak przywracacie usługę"), co jest innym zagadnieniem i odpowiada się przez pytanie o kopie zapasowe i środki awaryjne. Dlatego ważne jest, aby w dossier łańcucha trzymać plan reagowania na incydenty i ciągłość jako oddzielny dokument dowodowy, nawet jeśli w praktyce znajdują się w jednym dokumencie.

Gdzie to znajduje się w dyrektywie i normie

Artykuł 21 ust. 2 lit. b Dyrektywy (UE) 2022/2555 wymienia "obsługę incydentów" dosłownie jako obowiązkowy środek obok pozostałych dziewięciu z tego ustępu. W ISO/IEC 27001 powraca to w Załączniku A, przy środkach kontroli dotyczących zarządzania incydentami bezpieczeństwa informacji — kto już ma certyfikat zgodnie z ISO 27001 prawdopodobnie ma już ten dokument dowodowy. Ustawa o cyberbezpieczeństwie implementuje artykuł 21 w polskich przepisach, ale wchodzi w życie dopiero 15 sierpnia 2026 r.; do tego czasu sama dyrektywa jest ramą do stosowania dla tych, którzy muszą ocenić, czy jest to już w porządku.