kako izpolnim, da zaposleni lahko prijavijo varnostni incident

Notranja pot za prijavo je dokaz, ne pa namera

To vprašanje se nanaša na samo komunikacijski kanal: ali lahko zaposleni incident interno prijavijo in ali se to res dogaja. To je kaj drugega kot vprašanje, ali organizacija incidente evidentira ali reši — to spada v postopkom za obravnavo varnostnih incidentovTukaj želi kupec specifično vedeti, ali obstaja dostopna, znana pot, preko katere lahko zaposleni kaj nakaže: e-poštni naslov, sistem za oddajanje zahtevkov, ime na intranetni strani. Dokaz torej ni postopek kot celota, ampak konkreten kanal plus kaj, kar kaže, da zaposleni ta kanal poznajo — posnetek zaslona intranetne strani, odstavek iz dokumenta o uvajanju ali diapozitiv usposabljanja.

Če tega nisi posebej dokumentiral, je »ne« ali »delno« pošten odgovor, tudi če obstaja postopek za obravnavo incidentov, ki ga uporablja samo IT-ekipa. Na podlagi samega postopka ne izpolni »da«; vprašanje preverja ozaveščenost in dostopnost, ne zgolj proces. Če obstaja usposabljanje za ozaveščenost, ki obravnava komunikacijski kanal, je to pogosto najmočnejši dokaz — preverite ga napram usposabljanju v temeljnih praksah kibernetske higieneker morata biti ta dva odgovora medsebojno skladna. Če se ne ujemata, je to pri revizijskem vzorčenju bolj očitno kot enega samega manjkajočega dokaza.

Izvor: člen 21(2) in Annex A

Ta zahteva izhaja iz člena 21(2) direktive NIS2, kjer je obravnava incidentov ena od desih obveznih ukrepov; Zakon o kibernetski varnosti to prenese v slovensko pravo 15. avgusta 2026. ISO/IEC 27001 to razdelano predstavi v Prilogah A na ravni komunikacijskih kanalov in ozaveščenosti, kupci, ki uporabljajo vprašalnik ISO, pa pogosto v celoti vprašajo to kontrolno točko iz Prilog A. Če je organizacija sama certificirana, je ta dokaz običajno že pripravljen — glejte certifikat ISO 27001 kako to dokazljivo predstaviti.