NIS2 a CSN EN ISO 27001: co certifikát pokrývá a co ještě chybí ke shodě s KSC

V mnoha firmách začíná debata o NIS2 otázkou na certifikát CSN EN ISO 27001. To je pochopitelné, ale z pohledu vedení a vlastníků procesů nejde o správný výchozí bod. Nejprve je nutné určit, zda se na organizaci vztahují příslušné povinnosti, kterých služeb a aktiv se týkají a kdo za ně odpovídá. Teprve poté lze věcně posoudit, co stávající systém řízení bezpečnosti informací skutečně pokrývá a co ještě chybí ke shodě s KSC. Právě zde se v praxi ukazuje rozdíl mezi funkčním systémem a nákladnou iluzí připravenosti.

Nejdražší chyba: zaměnit certifikát za shodu

Největší počáteční chybou není absence certifikátu CSN EN ISO 27001, ale předpoklad, že jeho získání automaticky potvrzuje splnění povinností vyplývajících z NIS2 a vnitrostátních předpisů implementujících KSC. Vedení by se nemělo ptát pouze „máme CSN EN ISO 27001?“, ale především „vztahují se na nás dané povinnosti, v jakém postavení a vůči kterým službám, procesům a aktivům?“. Teprve po určení statusu subjektu, rozsahu činností podléhajících požadavkům a odpovědnosti vedení lze vyhodnotit, nakolik stávající systém podporuje skutečnou shodu a kde pouze vytváří dojem pořádku.

Toto rozlišení má přímý dopad na podobu projektu i rozpočet. Certifikát potvrzuje shodu systému řízení s požadavky normy ve vymezeném rozsahu certifikace, který bývá uveden na certifikátu a dále upřesněn v prohlášení o aplikovatelnosti. Nenahrazuje však analýzu zákonných povinností, identifikaci významných služeb, posouzení závislostí na dodavatelích ani stanovení formálních kroků, které musí regulovaný subjekt provést. Vedení proto musí oddělit tři oblasti, jež se v praxi často směšují: systém řízení, regulatorní shodu a provozní schopnost reagovat pod tlakem incidentu.

Nejvyšší dodatečné náklady vznikají u projektů vedených v opačném pořadí. Organizace nejprve upraví dokumentaci a kontrolní mechanismy pro certifikační audit a teprve následně zjistí, že mimo rozsah zůstaly kritické procesy, povinnosti hlášení incidentů, požadavky na dodavatele, odpovědnost vedení nebo odvětvové požadavky. V takové situaci nestačí doplnit několik postupů. Je nutné přepracovat rozsah systému, rozhodovací role i způsob reakce.

Z provozního hlediska proto nemá smysl sledovat pouze existenci certifikátu. Důležité jsou zejména tři ukazatele: soulad rozsahu certifikace s kritickými službami, výsledek sebehodnocení z hlediska působnosti KSC a počet mezer mezi popsaným postupem a skutečnou schopností jednat. Přirozeným prvním krokem tedy není rozšiřování dokumentace, ale ověření, zda organizace spadá do rozsahu povinností a jaké formální kroky musí provést. Tuto posloupnost dobře vysvětluje také téma NIS2: sebehodnocení a zápis do seznamu KSC – co musí udělat výrobní společnost?, protože právě zde se rozhoduje, zda firma buduje systém podle skutečných povinností, nebo podle pohodlné, avšak nákladné představy o připravenosti.

Co CSN EN ISO 27001 pokrývá skutečně, nikoli pouze deklarativně

Největší praktická hodnota CSN EN ISO 27001 nespočívá v samotném certifikátu. Dobře zavedený systém umožňuje řídit bezpečnost jako plnohodnotnou oblast managementu. Nejsilnější podporu poskytuje tam, kde organizace potřebuje procesní přístup: při hodnocení a ošetření rizik, tvorbě politik a kontrolních pravidel, přidělování rolí a odpovědností, identifikaci informačních aktiv, reakci na incidenty, zajištění kontinuity činností a při přezkoumávání a zlepšování. Pokud tyto prvky skutečně fungují a nejsou udržovány jen pro potřeby auditu, má firma pevný základ pro prokázání, že bezpečnost není souborem izolovaných opatření, ale řízeným systémem propojeným s provozním rozhodováním.

Vedení by však nemělo hodnotit pouze certifikát, ale především jeho využitelnost ve vztahu ke službám, procesům a závislostem s regulatorním významem. Tentýž certifikát může představovat vyspělý systém zahrnující kritické procesy, pravidelné přezkoumávání, nápravná opatření a reálný dohled vlastníků procesů. Může však také pokrývat jen úzce vymezenou část organizace. Před sebehodnocením podle NIS2 a KSC je proto vhodné prověřit nejen prohlášení o aplikovatelnosti, ale rovněž seznam procesů zahrnutých do hodnocení rizik, výsledky interních auditů, výstupy z přezkoumání systému managementu a to, zda se rozhodnutí o rizicích promítají do rozpočtu, smluv, architektury služeb a režimu reakce.

Zřetelně se to projevuje u firem zapojených do dodavatelských řetězců. CSN EN ISO 27001 obvykle pomáhá systematizovat smluvní požadavky, klasifikaci informací, pravidla přístupu, odpovědnost dodavatelů a dokumentování výjimek. Jde o užitečný základ zejména tam, kde zákazníci požadují prokazatelný dohled nad obchodními partnery. Norma však automaticky neřeší veškerá odvětvová očekávání ani specifická sektorová kritéria. Podobné rozhodování se týká také tématu CSN EN ISO 27001, nebo TISAX – co zvolit, když zákazník požaduje bezpečnost informací v dodavatelském řetězci? Certifikace v praxi pomáhá uspořádat vztahy a odpovědnosti, nenahrazuje však ověření, které povinnosti je ještě nutné doplnit do smluv, eskalačních postupů a dohledu nad externě zajišťovanými službami.

Závěr je jednoznačný: certifikace může významně zkrátit cestu k systematickému řízení bezpečnosti, sama však není důkazem splnění povinností vyplývajících z KSC. Certifikační audit posuzuje shodu systému řízení s požadavky normy v určeném rozsahu. Nejde o totéž jako hodnocení zákonných povinností a provozní připravenosti. Organizace by proto měla paralelně ověřit, zda rozsah systému zahrnuje významné procesy, zda bylo hodnocení rizik aktualizováno podle skutečných služeb a závislostí a zda postupy reakce, kontinuity a dohledu nad dodavateli fungují v praxi.

Kde samotný certifikát nestačí

První mezera se týká regulatorní shody. Systém řízení bezpečnosti informací pomáhá nastavit pravidla, role a dohled, sám však neodpovídá na otázku, zda byl subjekt správně identifikován z hlediska povinností KSC, kdo odpovídá za formální oznámení, kdo udržuje vztahy s příslušným orgánem a jakým způsobem se rozhodnutí eskalují vedení. Nejde o chybějící jednotlivý dokument, ale o nedostatek v nastavení odpovědností. Nejsou-li tyto prvky začleněny do skutečného modelu fungování společnosti, certifikát přináší vnitřní pořádek, ale ještě nezajišťuje řiditelnost regulatorních povinností.

Druhá mezera se týká rozsahu. Řada organizací má certifikaci omezenou na vybranou lokalitu, jednu společnost, konkrétní organizační útvar nebo část podpůrných služeb. Posouzení připravenosti podle KSC však musí vycházet ze skutečné mapy služeb, kritických procesů, aktiv a závislostí, nikoli z hranic certifikačního auditu. Pokud je významná nebo důležitá služba poskytována několika subjekty v rámci skupiny a využívá externí datové centrum, společný tým údržby nebo distribuovaný proces řešení incidentů, může formálně správný certifikát pokrývat pouze část celku. Rozhodnutí vedení se pak neomezuje na otázku rozšíření certifikace. Je nutné určit, zda vznikne jeden integrovaný program shody, nebo dva souběžné proudy – certifikační a regulatorní.

Třetí mezera se týká důkazů a obvykle se projeví až při incidentu, cvičení nebo kontrole. Organizace má postupy pro reakci, kontinuitu činností a dohled nad dodavateli, nedokáže však prokázat, že tyto mechanismy provozně fungují. Chybí registr incidentů, záznamy o rozhodnutích vedení, výsledky cvičení, přezkoumání po událostech, ukazatele účinnosti nebo zdokumentovaná nápravná opatření. Systém je v takovém případě popsán, nikoli prokázán. Právě zde vznikají nejnákladnější úpravy, protože nestačí změnit obsah postupů. Je nutné upravit také reporting vedení, rytmus přezkoumávání a odpovědnost vlastníků procesů. Tentýž mechanismus lze pozorovat i v jiných systémech řízení, mimo jiné v tématu IATF 16949 – které požadavky působí v každodenním řízení kvality největší problémy a jak je řídit bez předstírané shody.

Čtvrtá mezera se týká dodavatelského řetězce a externích závislostí. Norma pomáhá uspořádat požadavky na dodavatele, avšak shoda s KSC může vyžadovat podrobnější mapování: které externí služby podporují poskytování kritické služby, kde existují jednotlivé body selhání, jaké scénáře narušení je nutné řešit a do jaké míry lze nahradit dodavatele, personál nebo lokalitu. V praxi proto nestačí sledovat existenci smluv a hodnocení dodavatelů. Je vhodné porovnat rozsah certifikace se skutečnou mapou kritických služeb, ověřit úplnost evidence incidentů a cvičení a posoudit aktuálnost přezkoumání dodavatelů a závislostí. Teprve takové hodnocení ukáže, zda organizace disponuje funkčním systémem, nebo pouze jeho formální podobou.

Program shody musí vycházet ze služeb, nikoli z dokumentace

Častou počáteční chybou je zahájení projektu revizí politik, postupů a záznamů CSN EN ISO 27001 namísto identifikace služeb, které musí být skutečně zachovány, a souvisejících regulatorních povinností. Správné pořadí je opačné: nejprve se určují služby, procesy, aktiva a závislosti kritické z hlediska kontinuity a odpovědnosti podle KSC. Teprve následně se k nim přiřazují systémové požadavky a požadované důkazy. Pouze tak lze odlišit potřebné dokumenty od nadbytečné administrativy.

Pro vedení to znamená rozhodnout o vytvoření mapy kritických služeb, závislostí na dodavatelích a systémech a přehledu existujících postupů, které lze využít bez zdvojování mechanismů. Až na tomto základě lze určit, zda současný systém pokrývá to, co je skutečně důležité pro zachování služby a shodu, nebo pouze oblasti historicky zahrnuté do rozsahu certifikace.

Druhým krokem je nastavení odpovědností. Pokud je bezpečnost informací rozdělena mezi IT, kvalitu, compliance, údržbu a nákup bez jednoznačného vymezení rolí, projekt se rychle změní v soubor nesouvisejících lokálních iniciativ. Je proto nutné stanovit, kdo vlastní rizika, kdo řídí řešení incidentů, kdo dohlíží na vztahy s dodavateli, kdo přijímá rozhodnutí na úrovni vedení a kdo udržuje důkazy o shodě. V praxi se osvědčuje jednoduchá matice rolí a odpovědností a jednotný rytmus přezkoumání vedením namísto několika paralelních reportovacích cest. V této fázi je rovněž vhodné rozhodnout, zda bude pro shodu a bezpečnost ustaven jeden řídicí výbor a zda bude provozní technologie začleněna do stejného modelu řízení rizik.

U výrobních organizací a společností s více provozy je tato logika obzvlášť důležitá. Incident zde nekončí ztrátou důvěrnosti dat. Může způsobit odstavení výrobní linky, narušení plánování, ztrátu sledovatelnosti šarží nebo omezení schopnosti poskytovat službu. Bezpečnost informací proto musí být propojena s provozní kontinuitou, údržbou a prostředím provozních technologií. Pokud systém řízení zahrnuje pouze kancelářskou vrstvu a opomíjí řízení technologií, vzdálený servis, závislost na integrátorech nebo nouzové postupy v závodě, bude obraz rizik formálně uspořádaný, avšak provozně neúplný. Stejná projektová disciplína je patrná i v jiných vysoce regulovaných oblastech, včetně tématu ASME, NQA-1 a ISO 19443 — tři zkratky, které musí znát dodavatel pro jaderný průmysl.

Teprve na tomto základě má smysl využít stávající CSN EN ISO 27001 jako výchozí vrstvu a provést samostatnou analýzu mezer vůči KSC. Jejím účelem není zpochybnit certifikát, ale ověřit, kde existuje skutečné pokrytí a kde jsou zapotřebí další postupy, registry, eskalační cesty nebo důkazy o fungování. Tento přístup omezuje nadbytečnou dokumentaci a umožňuje lépe řídit provázanost mechanismů než několik oddělených a vzájemně si konkurujících implementací.

Jak ověřit skutečný stav před auditem nebo kontrolou

Před auditem, sebehodnocením nebo kontrolou není podstatné pouze to, zda organizace „má CSN EN ISO 27001“. Rozhodující je, zda dokáže prokázat reálnou připravenost k jednání a dohledatelnost přijatých rozhodnutí. Připravenost je vhodné hodnotit ve čtyřech vrstvách: nejprve potvrdit rozsah a status povinností, následně prověřit návrh systému řízení, poté účinnost procesů a nakonec úplnost důkazů. Pouze tak lze odlišit pořádek v dokumentaci od provozní způsobilosti.

Nejužitečnější otázky proto nezní „máme postup?“, ale „víme, kdy jej aktivovat, kdo přijímá rozhodnutí, jaké jsou prahové hodnoty pro eskalaci, jak postup doložíme a zda jsme tento scénář procvičili?“. Pokud řešení incidentu závisí na znalostech jediné osoby, vztahy s dodavateli nemají stanovená bezpečnostní kritéria a vedení dostává pouze obecné zprávy bez rozhodnutí a termínů, může být systém formálně v souladu s vlastním popisem, ale stále nemusí být připraven fungovat pod tlakem.

Přezkoumání připravenosti proto musí zahrnovat rozhraní mezi vedením, provozem, IT, údržbou a dodavateli. Právě v těchto místech se nejčastěji odhalují mezery, které v samotných postupech nejsou viditelné. V praxi se osvědčuje analýza mezer vedená obdobně jako provozní audit. Nehodnotí pouze obsah dokumentů, ale také průběh rozhodování, eskalační cesty, záznamy o incidentech, výsledky testů a cvičení a evidenci neshod, zjištění a nápravných opatření.

Vhodným testem je jednoduchý scénář: u klíčového dodavatele dojde k incidentu nebo nastane narušení výrobního prostředí. Organizace musí určit, kdo událost klasifikuje, kdo zahájí komunikaci, kdo posoudí dopad na službu a jaké důkazy po tomto rozhodnutí zůstanou. Pokud jsou odpovědi roztříštěné a firma se odvolává na „zavedenou praxi“, kterou nikdo nedokáže doložit záznamy, je připravenost pouze zdánlivá – i když je systém řízení jinak formálně udržován.

Má-li organizace zavedené interní audity CSN EN ISO 27001, je vhodné je využít jako nástroj této verifikace. Kritéria auditu však musí být rozšířena o regulatorní povinnosti a důkazy očekávané z hlediska KSC. Auditorské dovednosti jsou v tomto směru velmi užitečné, stejně jako kompetence osob připravujících se na roli vedoucího nebo interního auditora. Přirozeným referenčním materiálem může být také Vedoucí auditor CSN EN ISO 27001: komplexní průvodce certifikací a požadavky normy. Je však nutné zachovat správné pořadí: auditorská kompetence pomáhá systém prověřit, ale nenahrazuje analýzu právních a organizačních povinností, které se na konkrétní firmu skutečně vztahují.

Rozhodnutí vedení: certifikát jako základ, nikoli jako alibi

Nejracionálnější je přistupovat k CSN EN ISO 27001 jako k základu řádného řízení, nikoli jako k samostatnému důkazu splnění všech povinností vyplývajících z NIS2 a KSC. Certifikovaný systém pomáhá nastavit odpovědnosti, hodnocení rizik, dohled nad incidenty, auditování a zlepšování. Nezbavuje však organizaci povinnosti určit, které požadavky se na ni vztahují, v jakém rozsahu a jakými důkazy prokáže účinnost zavedených opatření.

Největším rizikem pro vedení není chybějící dokument, ale iluze připravenosti: přesvědčení, že certifikovaný systém automaticky znamená připravenost na požadavky vnitrostátního právního rámce. Rozhodnutí proto nemá být omezeno na zachování nebo rozšíření certifikace. Nejprve je třeba vyřešit tři manažerské otázky:

• potvrdit status organizace a rozsah jejích povinností,
• provést analýzu mezer mezi současným systémem a požadavky KSC,
• nastavit model dohledu nad realizací opatření a důkazy o jejich účinnosti.

Teprve na tomto základě lze rozhodnout, zda firma potřebuje rozšířit rozsah certifikace, nebo zda postačí využít současný systém CSN EN ISO 27001 a doplnit chybějící organizační, právní a provozní mechanismy. Praktickou podporu poskytují tři jednoduché manažerské nástroje: porovnání aktuálního rozsahu certifikace s mapou kritických procesů, seznam mezer s hodnocením dopadu na riziko a shodu a akční plán s vlastníky úkolů, termíny a kritérii uzavření.

Pokud organizace teprve volí postup, pořadí kroků není univerzální. Tam, kde existuje silný tlak zákazníků nebo požadavky výběrových řízení, může být budování systému pro certifikaci oprávněným prvním krokem – za předpokladu, že se současně neodkládá analýza regulatorních povinností. U firem s vysokým provozním rizikem nebo roztříštěnými odpovědnostmi může být naopak rozumnější nejprve uzavřít regulatorní mezery a až poté upravit rozsah certifikace. Nejde o spor o pořadí formalit, ale o pořadí snižování rizik. Také téma Certifikát ISO: přínosy a proces zavedení je proto vhodné posuzovat jako součást širšího rozhodnutí o řízení shody, nikoli odděleně od provozního modelu firmy.

Nejlepších výsledků dosahuje jeden ucelený program, v němž jsou bezpečnost informací, kontinuita činností, dohled nad dodavateli a regulatorní povinnosti řízeny jako součást provozního modelu firmy, nikoli jako oddělené iniciativy různých útvarů. V polských podmínkách oslabuje důkazní i výkonnou připravenost nejčastěji právě roztříštěnost odpovědností. Závěr je jednoduchý: certifikát pomáhá a může významně zkrátit cestu k systematickému řízení, shodu je však stále nutné navrhnout, zavést a doložit v podmínkách odpovídajících NIS2 a KSC.