môj zákazník si vyžaduje doklady pri zozname otázok, čo mám doručiť

Dôkazný dokument patrí k odpovedi, nie k otázke ako celku

Neexistuje pevný zoznam "dôkaz pri cyberantwortech" — dôkaz závisí od toho, ktoré z desiatich opatrení z článku 21 ods. 2 smernice NIS2 klient vzťahuje. Ak sa pýta na kontrolu prístupu, potom je vhodný výťah z politiky kontroly prístupu, nie celá politika bezpečnosti informácií. Ak sa pýta na obnovu po incidentoch, často postačí opis postupu s eskalačnými líniami, bez protokolu o incidentoch s podrobnosťami. Pri klasifikácii myslite na kategórie, ktoré sa tiež objavujú v politike analýzy rizika, postupu pri bezpečnostných incidentoch a požiadavkách na vlastných dodávateľov každý vyžaduje iný druh podkladu.

Ak nemáte dôkazný dokument — napríklad preto, že politika síce existuje, ale nikdy nebola napísaná — potom je "nie" s krátky vysvetlením poctivou odpoveďou, nie odkazom na dokument, ktorý neexistuje. Certifikát ISO 27001 pokrýva viaceré otázky naraz, ale len ak rozsah tohto certifikátu skutočne zahŕňa časti, na ktoré sa klient pýta; inak to vytvára zdanlivú istotu, ktorá sa objaví pri audite. Preto si najskôr skontrolujte, či je certifikát vzťahuje sa na požadovanú oblasť, než ho uvediete ako dôkaz.

Odkiaľ to vyplýva: článok 21 odsek 2 a Príloha A

Článok 21 ods. 2 smernice NIS2 stanovuje desať opatrení, na ktoré sa klient zvyčajne pýta — od riadenia rizík až po politiku kontroly prístupu až po bezpečnosť dodávateľov — a každé opatrenie má svoju vlastnú vrstvu dôkazov, nie jeden jednotný dokument. ISO/IEC 27001 Príloha A obsahuje kontrolné opatrenia, ktoré sa často používajú ako kontrolný zoznam na určenie, aký dôkazný dokument k akej otázke patrí; certifikát proti tejto norme teda nie je náhradou za základné dokumenty, ale potvrdením, že boli preskúmané. Zákon o kybernetickej bezpečnosti, holandská implementácia NIS2, nadobúda účinnosť 15. augusta 2026 a obsahuje rovnakú štruktúru — pre tých, ktorí práve teraz zbierajú dôkazy, nie je prispôsobenie tejto štruktúre zbytočné úsilie.