vprašalnik sprašuje, ali smo pripravili načrt odziva na incidente

Načrt za ukrepanje ob incidentih je ena od desetih ukrepov iz člena 21

Da, to je prepoznaven del: člen 21 odstavek 2 točka b Direktive NIS2 izrecno omenja "incident handling" kot enega od desetih obveznih ukrepov. Stranka tu ne sprašuje po nejasni pripravljenosti, da bi kdaj kaj storili ob kibernetskem napadu, ampak po postopku, ki je zapisan: kdo prijavi incident, kdo oceni vpliv, kdo odloči o povečanju stopnje in komunikaciji ter v katerem časovnem roku. Če tak postopek obstaja in je dokumentiran, je to potrdilen odgovor z dokumentom kot dokazom. Če ne obstaja ali pa živi samo v glavah ljudi, je "ne" pošten odgovor — okorna "ja" brez sostoječega dokumenta povzroči pri reviziji večjo škodo kot ne s pojasnilom, da je postopek v razvoju.

Pazljivo razlikujte od vprašanja o zaznavanju in detekciji: načrt za ukrepanje ob incidentih obravnava, kaj se zgodi, ko je nekaj ugotovljeno, ne pa tudi, kako se najdejo ranljivosti — slednje sodi v postopkom za odkrivanje in odpravljanje ranljivostiNekatere vprašalnike to sprašujejo kot ločeno vprašanje, druge ga kombinirajo s kontinuiteto ("kako obnovite storitve"), kar je drugačna tema in se odgovori preko vprašanja o varnostnih kopijah in zasilnih ukrepih. Zato je primerno, da v ketendossierju incident response in kontinuiteto obidete kot ločena dokazila, tudi če sta v praksi v enem dokumentu.

Kje je to v Direktivi in normi

Člen 21 odstavek 2 točka b Direktive (EU) 2022/2555 izrecno omenja "incident handling" kot obvezni ukrep poleg ostalih devetih iz tega odstavka. V ISO/IEC 27001 se to pojavi v Prilogah A pri varnostnih ukrepih za upravljanje varnostnih incidentov — kdor je že certificirano po ISO 27001 za drugačen namen, certificiran je po ISO 27001 ima to dokazilo verjetno že na voljo. Zakon o kibernetski varnosti preslika člen 21 v življenjske nemške pravile, vendar se začne uporabljati šele 15. avgusta 2026; do tega datuma je direktiva sama okvir, ki ga je treba spoštovati, da bi ugotovili, ali je to že v redu.