Každý vážný rámec kybernetické bezpečnosti začíná stejným dokumentem: písemnou politikou bezpečnosti informací (ISSP) schválenou vedením. NIS2 ji uvádí jako první mezi opatřeními pro řízení rizik v článku 21 a norma ISO/IEC 27001 ji činí požadavkem klauzule 5.2. Security Policy Express provází evropské MSP řízeným online workshopem a vygeneruje strukturovanou první verzi ve jménu vaší firmy: jde o pracovní návrh, který by měli prověřit vaši poradci, nikoli o právní poradenství.
Odpověď za minutu, pro jednatele či ředitele, který není IT specialista.
Politika bezpečnosti informací (často zkracovaná ISSP, ve francouzštině PSSI) je dokument, v němž vedení společnosti písemně uvádí, jak společnost chrání své informace a informační systémy, kdo za co odpovídá a jaká pravidla musí všichni dodržovat. Navrchu stojí krátké prohlášení o politice podepsané vedením, pod ním podrobnější pravidla pro jednotlivé oblasti a provozní postupy. Není to technický manuál: je to rozhodnutí vedení zapsané na papíře, o které se může opřít veškerá další bezpečnostní práce.
Norma ISO/IEC 27001 přiřazuje politiku „nejvyššímu vedení“ a NIS2 v článku 20 žádá, aby řídicí orgány subjektů spadajících do působnosti schvalovaly opatření pro řízení rizik kybernetické bezpečnosti a dohlížely na jejich provádění. Váš IT dodavatel vám může pomoci ji sepsat; odpovídat za ni však může jedině vedení.
Zdroje: směrnice (EU) 2022/2555, čl. 20 · ISO/IEC 27001:2022, klauzule 5Osvědčená praxe rozlišuje tři vrstvy. Politika uvádí zásady a odpovědnosti. Politiky pro jednotlivé oblasti (řízení přístupu, zálohování, kryptografie, dodavatelé...) je rozpracovávají pro každou oblast. Postupy popisují, kdo co dělá krok za krokem, když nastane určitá situace. Norma ISO/IEC 27001 v opatření 5.1 výslovně zmiňuje jak politiku, tak politiky pro jednotlivé oblasti.
Zdroj: ISO/IEC 27001:2022, příloha A, opatření 5.1Žádný evropský text nevnucuje jedinou šablonu. NIS2 v článku 21 odst. 1 požaduje opatření „vhodná a přiměřená“, s ohledem na vystavení subjektu rizikům, jeho velikost a pravděpodobnost a závažnost incidentů. Výrobní firma se čtyřiceti zaměstnanci a nemocnice nepíší stejnou politiku a psát ji nemají.
Zdroj: směrnice (EU) 2022/2555, čl. 21 odst. 1Politika napsaná jednou a uložená do šuplíku nechrání nic. Rámce očekávají, že bude sdělena zaměstnancům, potvrzena a přezkoumávána v plánovaných intervalech a po významných změnách. Proto by vaše politika měla od prvního dne obsahovat vlastní cyklus přezkumu, vlastníka a historii verzí.
Zdroj: ISO/IEC 27001:2022, klauzule 5.2 a opatření 5.1Většina malých a středních firem už některá bezpečnostní pravidla uplatňuje. Obvykle však chybí písemná, schválená a soudržná verze, kterou může regulátor, auditor, pojišťovna nebo velký zákazník skutečně přečíst.
NIS2 rozšiřuje pravidla kybernetické bezpečnosti EU na mnoho středně velkých firem v odvětvích jako výroba, potraviny, nakládání s odpady, doprava nebo digitální služby. Pro subjekty spadající do působnosti jsou „politiky analýzy rizik a bezpečnosti informačních systémů“ prvním opatřením uvedeným v čl. 21 odst. 2.
NIS2 v článku 21 odst. 2 písm. d) požaduje, aby subjekty spadající do působnosti řešily bezpečnost dodavatelského řetězce, včetně bezpečnostních aspektů vztahů s přímými dodavateli. I když nejste v působnosti, větší zákazníci vás mohou požádat, abyste v dotaznících pro dodavatele doložili písemnou bezpečnostní politiku.
Psaní politiky znamená odpovědět na mnoho otázek najednou: jaká jsou naše kritická aktiva, kdo rozhoduje, co uděláme při útoku ransomwaru, jak dlouho uchováváme zálohy? Bez struktury se cvičení odkládá čtvrtletí za čtvrtletím.
Stažené šablony často popisují organizaci s bezpečnostním manažerem, bezpečnostním operačním centrem a vyhrazeným rozpočtem. Dokument, který neodpovídá realitě, je horší než žádný: nebude uplatňován a auditor rozdíl mezi papírem a praxí snadno odhalí.
Jediný dokument naplňuje požadavky několika předpisů najednou. Zde je, co každý z nich skutečně říká. Každý odkaz vede na oficiální zdroj; vnitrostátní transpozice mohou doplnit podrobnosti.
Významné a důležité subjekty musí přijmout „vhodná a přiměřená technická, provozní a organizační opatření“ k řízení rizik kybernetické bezpečnosti, založená na přístupu zohledňujícím všechna rizika. Seznam v článku 21 odst. 2 začíná písmenem „a) politiky analýzy rizik a bezpečnosti informačních systémů“. Článek 20 dodává, že řídicí orgány subjektu tato opatření schvalují, dohlížejí na jejich provádění a absolvují školení.
Klauzule 5.2 vyžaduje, aby nejvyšší vedení stanovilo politiku bezpečnosti informací, která je přiměřená účelu organizace, poskytuje rámec pro bezpečnostní cíle a obsahuje závazky ke splnění platných požadavků a k neustálému zlepšování. Musí být zdokumentována, sdělena uvnitř organizace a podle potřeby zpřístupněna zainteresovaným stranám. Opatření 5.1 přílohy A to rozšiřuje na politiky pro jednotlivé oblasti, které mají být schváleny, zveřejněny, potvrzeny a přezkoumávány.
Článek 24 odst. 2 stanoví, že pokud je to přiměřené vzhledem ke zpracovatelským činnostem, opatření správce zahrnují „zavedení vhodných politik ochrany údajů“. Článek 32 vyžaduje vhodná technická a organizační opatření pro zajištění úrovně zabezpečení přiměřené riziku. Bezpečnostní politika je přirozené místo, kde tato opatření zdokumentovat.
Pro některé typy digitálních subjektů (například poskytovatele cloudových služeb, datových center a spravovaných služeb) přijala Komise podrobné technické a metodické požadavky. Její příloha začíná „politikou bezpečnosti síťových a informačních systémů“ a popisuje, jak je schvalována, dokumentována a přezkoumávána. I když vaše firma není jedním z těchto typů subjektů, příloha je užitečným veřejným vodítkem pro strukturování politiky.
Finanční subjekty musí podle DORA vypracovat a zdokumentovat politiku bezpečnosti informací, která stanoví pravidla pro ochranu dostupnosti, pravosti, integrity a důvěrnosti dat, informačních aktiv a aktiv IKT. Pokud jste dodavatelem IKT pro banku nebo pojišťovnu, počítejte s tím, že se váš zákazník zeptá, jak se vaše vlastní politika srovnává.
Vnitrostátní agentury pro kybernetickou bezpečnost zveřejňují bezplatné pokyny, na kterých může politika stavět. Ve Francii stanoví průvodce ANSSI pro počítačovou hygienu 42 základních opatření pro osoby odpovědné za bezpečnost informačního systému organizace. ENISA, Agentura EU pro kybernetickou bezpečnost, zveřejňuje pokyny podporující provádění NIS2 v celé Unii.
Článek 21 odst. 2 směrnice NIS2 uvádí deset minimálních opatření. Bod a) je samotná politika, ale dobře sestavená politika je také místem, kde ostatních devět opatření nachází svého vlastníka, své pravidlo a svůj postup. Takto strukturujeme vygenerovaný dokument.
Prohlášení o politice, rozsah, role a metoda, kterou identifikujete a hodnotíte rizika. Toto je páteř dokumentu.
Postup řízení incidentů: detekce, kvalifikace, eskalace, omezení, oznámení a poučení z incidentu.
Řízení záloh, obnova po havárii a řízení krizí, podle znění směrnice: kdo rozhoduje, co se obnovuje jako první, jak často se zálohy testují.
Pravidla pro výběr, smluvní zajištění a monitorování IT dodavatelů a poskytovatelů služeb, včetně bezpečnostních doložek, které od nich očekáváte.
Jak se vybírají a konfigurují nové systémy, jak se aplikují aktualizace a jak se řeší a zveřejňují zranitelnosti.
Politiky a postupy, které ověřují, že opatření fungují: ukazatele, interní kontroly, cvičení a přezkum vedením.
Každodenní pravidla (hesla, aktualizace, ostražitost vůči phishingu) a plán školení, včetně vedení, jak to vyžaduje článek 20 odst. 2 pro řídicí orgány subjektu.
Kdy musí být data šifrována (notebooky, zálohy, přenosy), které protokoly jsou přijatelné a kdo spravuje klíče.
Nástup, přesun a odchod zaměstnanců; kdo získá jaký přístup a kdo jej schvaluje; inventář aktiv s jejich vlastníky.
Kde je vyžadováno vícefaktorové nebo průběžné ověřování a jak jsou zabezpečeny hlasová, video, textová a nouzová komunikace.
Odkazy na ISO/IEC 27001 jsou orientační shody, které jsme sestavili, abychom vám pomohli se orientovat; nejde o oficiální mapování publikované ISO ani Evropskou komisí. Zdroj pro deset opatření: směrnice (EU) 2022/2555, čl. 21 odst. 2.
Vygenerovaný dokument sleduje strukturu, kterou auditor, pojišťovna nebo zákazník pozná. Každá kapitola se doplní z odpovědí, které dáte během workshopu, aby popisovala vaši společnost, nikoli fiktivní.
Závazek vedení, v několika odstavcích, podepsaný a datovaný.
Kdo rozhoduje, kdo implementuje, kdo kontroluje, včetně případů, kdy je IT outsourcováno.
Jednoduchý a opakovatelný způsob, jak identifikovat, hodnotit a řešit rizika.
Vědět, co chráníte, dříve než rozhodnete jak.
Kdo může k čemu přistupovat a jak se to prokazuje.
Technický základ, popsaný srozumitelným jazykem.
Kde je šifrování vyžadováno a jak se spravuje.
Bezpečnost ve vztazích s IT poskytovateli a cloudovými službami.
Lidská stránka, od náboru po odchod.
Prostory, serverovny a zařízení mimo kancelář.
Zásady, podrobně rozepsané v níže uvedených postupech.
Jak politika zůstává živá a pravdivá.
Politika říká, co se musí stát; postup říká, kdo to dělá, v jakém pořadí a s jakým záznamem. Těchto čtyř se zákazníci a auditoři nejčastěji ptají a mají největší váhu v den, kdy se něco pokazí.
Od prvního upozornění až po závěrečnou zprávu: jak zaměstnanci hlásí podezřelou událost, kdo ji kvalifikuje, kdo izoluje postižené systémy, kdo kontaktuje vašeho IT dodavatele, pojišťovnu a úřady a jak se uchovají důkazy.
Jak se účet žádá, schvaluje, zakládá, mění a ruší. Postup pokrývá příchody, změny role a odchody, správcovské účty, sdílené a servisní účty a pravidelný přezkum, při kterém vedoucí potvrzuje, že každá osoba stále potřebuje přístupy, které má.
Jak se popisuje, posuzuje z hlediska rizik, schvaluje, testuje, provádí a v případě potřeby vrací zpět změna produkčního systému (nová aplikace, pravidlo firewallu, velká aktualizace). V malé firmě může být postup lehký: stačí krátký formulář a záznam, pokud existují a používají se.
Co se zálohuje, jak často, kde, na jak dlouho a především jak se testuje obnova. Postup propojuje zálohy s cíli obnovy pro každou kritickou činnost a popisuje organizaci krize: kdo rozhoduje, kdo komunikuje, které systémy se obnovují jako první.
Politika je psána pro vedení a IT. Politika přijatelného použití (AUP) je psána pro všechny ostatní: je to krátká a čitelná sada pravidel, kterou každý zaměstnanec, dočasný pracovník nebo smluvní partner přijme dříve, než začne používat IT společnosti.
Používání účtů a hesel, e-mail a zprávy, přístup k internetu, zda je osobní použití tolerováno, mobilní zařízení a práce na dálku, výměnné nosiče, cloudové služby a nástroje generativní AI, důvěrnost, hlášení incidentů a to, co může společnost monitorovat a proč.
Norma ISO/IEC 27001 v opatření 5.10 požaduje, aby pravidla pro přijatelné použití informací a dalších souvisejících aktiv byla určena, zdokumentována a zavedena. Udržení těchto pravidel v samostatné příloze usnadňuje jejich čtení, podepisování, aktualizaci i připojení k pracovním smlouvám.
Pokud AUP zmiňuje protokolování nebo sledování činnosti zaměstnanců, použije se právo ochrany osobních údajů: zaměstnanci musí být informováni (GDPR čl. 13) a členské státy mohou přijmout konkrétnější pravidla pro pracovní vztahy (GDPR čl. 88). Úřady pro ochranu údajů, jako je francouzská CNIL, zveřejňují pokyny k tomu, co je přijatelné.
Aby byla AUP pro zaměstnance závazná, může být nutné splnit vnitrostátní formality. Ve Francii se například (k potvrzení s vaším poradcem podle Code du travail) takováto pravidla běžně připojují k vnitřním předpisům (règlement intérieur), které se řídí postupem stanoveným zákoníkem práce, včetně konzultace se zástupci zaměstnanců. Pravidla vaší země ověřte se svým poradcem.
Zdroje: ISO/IEC 27001:2022, A.5.10 · nařízení (EU) 2016/679, čl. 13, 88 · CNIL · Légifrance, francouzský Code du travail, čl. L1321-4 a L1321-5.
Politika popisuje společnost, která se mění: noví zaměstnanci, nový software, noví dodavatelé, nové hrozby. Rámce, které citujeme, obecně očekávají, že bude udržována aktuální. Vygenerovaný dokument obsahuje vlastní kalendář přezkumů, vlastníka a tabulku verzí.
První verzi schvaluje vedení, je datována a verzována. Podle NIS2 čl. 20 odst. 1 řídicí orgány subjektů spadajících do působnosti schvalují opatření pro řízení rizik kybernetické bezpečnosti; podle ISO/IEC 27001 klauzule 5.2 nejvyšší vedení politiku stanoví.
Politika je zveřejněna interně; AUP potvrzuje každý uživatel. Norma ISO/IEC 27001 v opatření 5.1 očekává, že politiky budou sděleny příslušným osobám a zainteresovaným stranám a jimi potvrzeny.
ISO/IEC 27001 v opatření 5.1 požaduje přezkum v plánovaných intervalech a při významných změnách. Roční přezkum je pro MSP rozumný výchozí stav; prováděcí nařízení (EU) 2024/2690 rovněž upravuje přezkum politiky u těch typů digitálních subjektů, na které se vztahuje.
Závažný incident, fúze, nová lokalita, přechod do cloudu nebo nový předpis jsou důvody k otevření dokumentu bez čekání na výroční termín. Poučení z incidentů vstupují do další verze.
Tabulka verzí, záznam o schválení, seznam změn, potvrzení. V den, kdy se na to zeptá auditor, pojišťovna nebo zákazník, je právě tato historie tím, co ukáže, že politika je uplatňována, a nejen napsána. Norma ISO/IEC 27001 v klauzuli 7.5 upravuje tyto zdokumentované informace.
Security Policy Express je navržen jako nástroj pro samoobsluhu. Obsah máte pod kontrolou; nástroj poskytuje strukturu, otázky a odkazy.
Krátký test se ptá na vaše odvětví, velikost, činnosti a zákazníky a říká vám, zda je pravděpodobné, že se na vás NIS2 vztahuje, které další texty mohou být relevantní a které části politiky jsou ve vaší situaci nejdůležitější. Pro závaznou odpověď vás odkáže na oficiální nástroje vašeho vnitrostátního úřadu.
Ve vlastních slovech odpovídáte na sérii řízených otázek kapitolu po kapitole: vaše organizace, vaše kritické činnosti, váš IT dodavatel, vaše zálohy, jak řešíte odchody, co byste udělali v případě ransomwaru. Každá otázka vysvětluje, proč se ptá a k jakému článku nebo opatření se vztahuje. Můžete kdykoli přerušit a pokračovat.
Nástroj vygeneruje politiku, čtyři postupy a přílohu o přijatelném použití ve jménu vaší společnosti na základě vašich odpovědí. Tam, kde chybí odpověď, to dokument výslovně uvede, místo aby mezeru vyplnil obecným textem. Výsledkem je pracovní návrh; před schválením vedením si jej nechte prověřit svými poradci (advokát, IT dodavatel, pověřenec pro ochranu osobních údajů).
Pokud chcete pomoci s prověřením odpovědí, přizpůsobit dokument konkrétnímu kontextu nebo připravit audit, můžete požádat o podporu partnerského konzultanta. Tento krok je volitelný: cesta samoobsluhy je bez něj úplná.
Důležité: vygenerovaný dokument je pracovní podklad. Nejde o právní poradenství a sám o sobě nezajistí, že vaše společnost bude v souladu s NIS2, ISO/IEC 27001, GDPR ani s žádným vnitrostátním právem. Soulad závisí na tom, co skutečně zavedete, a zůstává vaší odpovědností.
Tři stavební bloky, vygenerované společně ze stejného workshopu. Dostupnost a podmínky budou oznámeny při spuštění.
Hlavní dokument, podepsaný vedením.
Co dělá politiku funkční.
Abyste se v textech vyznali.
Je třeba nezaměňovat dvě situace: zákonnou povinnost pro společnosti spadající do působnosti NIS2 (nebo DORA) a silně doporučenou osvědčenou praxi pro všechny ostatní.
NIS2 se obecně vztahuje na veřejné nebo soukromé subjekty typu uvedeného v příloze I nebo II, které jsou středními podniky nebo překračují limity pro střední podniky podle doporučení Komise 2003/361/ES (čl. 2 odst. 1). Některé typy subjektů jsou pokryty bez ohledu na velikost (čl. 2 odst. 2). Subjekty jsou poté zařazeny jako „významné“ nebo „důležité“ (čl. 3), což ovlivňuje dohled a sankce, ale obě kategorie musí uplatňovat článek 21.
Příloha I (odvětví vysoké kritičnosti): energetika, doprava, bankovnictví, infrastruktury finančního trhu, zdravotnictví, pitná voda, odpadní voda, digitální infrastruktura, správa služeb IKT (mezi podniky), veřejná správa a vesmír. Příloha II (ostatní kritická odvětví): poštovní a kurýrní služby, nakládání s odpady, chemie, potraviny, výroba (včetně zdravotnických prostředků, elektroniky, elektrických zařízení, strojů a vozidel), digitální poskytovatelé a výzkum.
NIS2 je směrnice: členské státy ji musely transponovat do 17. října 2024 a uplatňovat opatření od 18. října 2024 (čl. 41). Stav transpozice a podrobnosti se v jednotlivých zemích liší a vnitrostátní právo může obsah opatření upřesnit. Vždy ověřte právo a oficiální nástroje pro posouzení způsobilosti ve své zemi.
Mimo tyto okruhy žádný obecný evropský předpis nevyžaduje, aby MSP přijalo dokument nazvaný „politika bezpečnosti informací“. GDPR se ale vztahuje téměř na každou firmu, zákazníci se stále častěji dotazují dodavatelů na bezpečnost a písemná politika je prvním krokem každého uznávaného rámce. Je to otázka obezřetnosti, nikoli zákonné povinnosti.
Zdroje: směrnice (EU) 2022/2555, čl. 2, 3, 41 a přílohy I a II · doporučení Komise 2003/361/ES · Evropská komise, stránka o směrnici NIS2 · Francie: ANSSI, stránka NIS 2 na MesServicesCyber.
Každé regulatorní nebo normativní tvrzení výše odkazuje na jeden z těchto zdrojů. Odkazy vedou k oficiálnímu vydavateli.
Tato stránka je poskytována pro informaci. Nejde o právní poradenství. Texty jsou citovány ve verzi zveřejněné v EUR-Lex; vnitrostátní transpozice a pokyny úřadů mohou doplnit další požadavky.
Workshop pro samoobsluhu se připravuje. Dotazy mezitím: contact@syaga.eu.