vyplnenie tohto bezpečnostného dotazníka ma vždy stojí príliš veľa času

Stále rovnakých desať tém, iba v inom balení

Najčastejšie za tým stojí jedna vec: každý klient prekladá rovnakých desať opatrení z článku 21 ods. 2 NIS2 do svojich vlastných slov a vlastného poradia. Jeden portál sa pýta "máte proces na riešenie incidentov", druhý "popíšte váš postup pri bezpečnostných incidentoch" — ide o rovnakú otázku ako existuje postup na riešenie bezpečnostných incidentov?. Bez jedného centrálneho spisu preto hľadáte túto odpoveď desať krát za rok znova, v desiatich rôznych formuláciách.

Čas nie je v odpovídaní, čas je v hľadaní dôkazu. Ktorý dokument zásad, ktorá verzia, ktorý certifikát — toto vyhľadávanie a preformulovanie odpovede na formát konkrétneho klienta, to je celý deň. Otázky o viacfaktorové overovanie, o kontrole prístupu a správe majetku a o bezpečnostných požiadavkách na vlastných dodávateľov sa nachádzajú na takmer každom zozname, len inak usporiadané. Ten, kto raz na typ otázky stanoví, čo je faktickou odpoveďou a kde sa nachádza dôkaz, potom už len musí rozpoznať, ktoré z desiatich tém je myslené — a to je práca na minúty, nie na deň.

Vediteľné k rovnakým desiatim opatreniam

Článok 21 ods. 2 Smernice (EÚ) 2022/2555 uvádza desať opatrení, na ktoré sa priamo alebo nepriamo odvolávajú takmer všetky zoznamy bezpečnostných otázok — či pochádzajú od banky, poisťovne alebo veľkého klienta: od riadenia rizík a spracovania incidentov až po kryptografiu a kontrolu prístupu. Kto aplikuje ISO/IEC 27001, spozná rovnaké témy späť v kontrolných opatreniach Prílohy A, čo vysvetľuje, prečo sa zoznam otázok o "bezpečnosti informácií" a o "dodržiavaní NIS2" vo veľkej časti pýta na rovnaké fakty. Holandský Cybersecurity Act, ktorý túto smernicu do 15. augusta 2026 transpozuje, nemení túto základnú štruktúru — otázky, ktoré klienti už teraz kladú, zostávajú v podstate rovnakými otázkami aj po tomto dátume.