Klient pýta, ako reagujeme na kybernetický incident, ako to vyplním

Plán reagovania na incidenty: proces, nie len dokument

Otázka týkajúca sa plánu reagovania na incidenty sa týka toho, ako organizácia reaguje v momente, keď je zistený bezpečnostný incident: kto je upozornený, kto rozhoduje o eskalácii, ako sa spúšťa obnovenie a ako sa hlási zákazníkom alebo regulačným orgánom. Formulár často požaduje samotný dôkaz — plán reagovania na incidenty alebo popis postupu — ale väčšina nadobúdajúcich strán implicitne testuje aj to, či bol plán kedy použitý alebo testovaný. Odpoveď "áno, existuje plán" bez toho, aby kedy prebehlo cvičenie alebo skutočný incident, je fakticky správna, ale slabá; uveďte, že existuje postup a čo o ňom môžete preukázať, napríklad správu z testu alebo vyhodnotenie po predchádzajúcom incidente.

Ak chýba formálne testovaný plán, potom je "nie" s krátkym vysvetlením lepšie ako vyplnené "áno" bez podkladového dokumentu. Niektorí zákazníci konkrétne pýtajú na lehoty hlásenia voči nim ako odberateľom — to je zmluvná dohoda, nie automaticky rovnaká lehota ako zákonná povinnosť hlásenia. Nezamieňajte tieto dva prípady v odpovedi: to, čo sa zaväzujete voči svojmu zákazníkovi v SLA, je nezávislé od toho, čo sa potenciálne musí hlásiť regulačnému orgánu. Táto otázka často súvisí s postupom na spracovanie bezpečnostných incidentov, a s otázkou, či je obnova a výnimka dobre upravené prostredníctvom záloh a núdzového opatrenia — niektorý formát niekedy rozdelí túto otázku na viacero otázok, ktoré v spise patria k sebe.

Právny základ: článok 21 odsek 2 NIS2 a Príloha A

Spracovanie incidentov je uvedené ako samostatné opatrenie v článku 21 odsek 2 smernice NIS2, popri analýze rizík a kontinuite podnikania — je to jedno z desiatich opatrení, ktoré smernica rozlišuje. ISO/IEC 27001 to rozpracuje v kontrolných opatreniach Prílohy A, kde riadenie incidentov tvorí vlastnú kategóriu s požiadavkami na detekciu, reakciu a vyhodnotenie. Zákon o kybernetickej bezpečnosti transponuje túto povinnosť do holandského práva a má nadobudnúť účinnosť podľa očakávania 15. augusta 2026; do tohto dátumu je prispôsobenie sa samotnej smernici východiskom pri zdôvodnení odpovede.