Povinný audit KSC: které klíčové subjekty se musí připravit na první posouzení shody

Příprava na povinný audit KSC nezačíná výběrem auditora ani kompletováním směrnic. Nejdříve je nutné potvrdit status konkrétního subjektu, vymezit služby spadající pod regulaci a jednoznačně určit odpovědnost za rizika, bezpečnostní opatření i důkazy o jejich fungování. Bez těchto rozhodnutí může organizace investovat do nesprávných oblastí, přehlédnout kritické závislosti nebo vstoupit do auditu s dokumentací, která neodpovídá skutečnému způsobu poskytování služeb. Připravenost k prvnímu posouzení proto neurčuje počet postupů, ale soulad mezi právní kvalifikací, provozním rozsahem, řízením rizik a každodenní praxí.

Koho se první audit týká

Prvním krokem je ověřit, zda konkrétní právnická osoba podléhá KSC, do které kategorie byla zařazena a jaké požadavky na audit a termíny se na ni vztahují. Posouzení musí zohlednit odvětví, skutečně vykonávanou činnost, velikost organizace a zvláštní podmínky stanovené aktuálními předpisy. Klíčové subjekty nelze automaticky ztotožňovat s dřívějšími provozovateli základních služeb ani jejich status určovat pouze podle kódu PKD. Kód může posloužit jako vodítko, nenahrazuje však analýzu služeb, jejich příjemců a role organizace v daném odvětví.

Prvním pracovním dokumentem by měla být schválená kvalifikační analýza. Ta má uvádět činnosti spadající pod regulaci, organizační útvary, které je vykonávají, poskytované služby, podpůrné informační systémy a zdůvodnění přijatého stanoviska. Vlastníkem procesu souladu s KSC může být určený útvar právní, compliance nebo kybernetické bezpečnosti. Samotnou kvalifikaci by však měl formálně schválit orgán oprávněný rozhodovat jménem subjektu. V nejednoznačných případech je vhodné vyžádat si právní stanovisko, nikoli založit celý program přípravy na nedoloženém předpokladu.

V rámci skupiny společností se status jedné společnosti automaticky nevztahuje na ostatní. Každou právnickou osobu, její činnost, velikost a zvláštní podmínky je nutné posoudit samostatně. Teprve poté lze identifikovat sdílená servisní centra, infrastrukturu, systémy a dodavatele. Toto oddělení je nezbytné pro přiřazení odpovědnosti za rizika, stanovení hranic auditu a plánování, jak připravit firmu na audit druhou stranou u klíčového dodavatele.

Konkrétní prahové hodnoty, výjimky, postupy identifikace, zápisu či oznámení a termíny auditů je nutné ověřit podle aktuálního znění zákona o národním systému kybernetické bezpečnosti a příslušných prováděcích předpisů. Absence úředního oznámení by sama o sobě neměla analýzu zastavit, pokud profil činnosti naznačuje možné zahrnutí do regulace. Teprve potvrzený status umožňuje odpovědně stanovit rozsah a harmonogram prvního auditu.

O výsledku rozhoduje správně vymezený rozsah

Nejzávažnější přípravnou chybou je ztotožnit rozsah auditu KSC s oddělením IT. Předmětem posouzení je způsob řízení bezpečnosti služeb a systémů. Hranice auditu proto musí zahrnovat také provozní procesy, údržbu, nákup, personalistiku, kontinuitu činností, řešení incidentů a dohled vedení. Příliš úzký rozsah opomíjí závislosti důležité pro odolnost služby. Zahrnutí celé organizace bez jasného zdůvodnění naopak zvyšuje pracnost a ztěžuje rozlišení zásadních zjištění od vedlejších.

Rozsah je třeba navrhovat od služeb podléhajících regulaci. Následně je nutné přes podpůrné procesy a informace dojít až k aplikacím, infrastruktuře, lokalitám, personálu a externím subjektům. Samotná inventarizace zařízení nevysvětluje, které zdroje podmiňují poskytování služby ani kdo odpovídá za související rizika. U každé služby je proto nutné určit vlastníka, závislé procesy, klíčová informační aktiva, systémy, dodavatele a důkazy o fungování bezpečnostních opatření. Mapa závislostí musí umožnit vysledovat důsledky nedostupnosti nebo narušení, aniž by se dokumentovaly vazby bez vlivu na posuzovanou službu.

Praktický význam tohoto přístupu je dobře patrný u zálohování. Zálohy mohou být prováděny včas, monitorovány a spravovány v souladu s postupem. Pokud však vlastník provozního procesu nestanovil požadovanou dobu obnovy, nelze potvrdit, že technické opatření odpovídá potřebám organizace. Stejně tak musí být systém sdílený několika společnostmi zahrnut do rozsahu každé z nich, pokud podporuje její regulovanou službu. Současně je nutné jasně popsat rozdělení odpovědnosti za správu, rizika, incidenty a předkládání důkazů.

Organizační a technické hranice je vhodné potvrdit na pracovním setkání s vlastníky služeb a procesů i s osobami odpovědnými za kontinuitu činností, kybernetickou bezpečnost a klíčové dodavatele. Vymezení nesmí vzniknout pouze na základě rozhovoru se správcem infrastruktury. Výstupem workshopu má být seznam posuzovaných služeb, podpůrných systémů, lokalit a dodavatelů, sdílených závislostí a odůvodněných výjimek. U každé výjimky musí být uveden důvod, dopad na službu a vlastník rozhodnutí.

Tato mapa zároveň představuje výchozí bod pro odhad nákladů rozebíraných v materiálu Kolik stojí zavedení NIS2 a uKSC – jak sestavit rozpočet na audit, dokumentaci, školení a zabezpečení bez nákladných chyb.

Při stanovení rolí, nezávislosti posouzení a způsobu řešení zjištění lze podpůrně využít rozdíl mezi interním a externím auditem. Nemění to však základní pravidlo: audit KSC má vlastní právní základ, kritéria a rozsah vyplývající z povinností posuzovaného subjektu. Nejde o běžný certifikační audit systému managementu, přestože využívá podobné metody shromažďování důkazů a hodnocení účinnosti opatření.

Náklady rostou na rozhraní odpovědností

Nejvyšší náklady na přípravu k auditu obvykle nevznikají tam, kde chybí dokument, ale na rozhraní roztříštěných odpovědností. Týká se to zejména vztahů mezi IT a provozem, společností a skupinou, objednatelem a dodavatelem nebo vlastníkem procesu a vlastníkem systému. Pokud žádná strana jednoznačně neodpovídá za rizika, incidenty, kontinuitu činností a předložení důkazů, mezera zůstává otevřená navzdory formálnímu rozdělení rolí.

Rozpočet je třeba sestavovat podle dopadu nedostatků na službu a rizika, že nebude možné prokázat účinnost opatření, nikoli podle počtu chybějících směrnic. Samostatně je vhodné plánovat analýzu nedostatků, organizační opatření, technická zabezpečení, testování, rozvoj kompetencí, řízení dodavatelů a vlastní audit. Při řízení nákladů pomáhají tři ukazatele:

• počet kritických nedostatků závislých na investici nebo změně smlouvy;
• předpokládaná doba zavedení opatření vyžadujících testování;
• podíl nákladů na modernizaci infrastruktury, které nesouvisejí výhradně s povinností souladu.

Nejobtížněji se odstraňují nedostatky vyžadující technické změny, nové vyjednání smluv, testy obnovy, zavedení pořádku do privilegovaných přístupů nebo přepracování procesu hlášení a eskalace incidentů. Nelze je věrohodně uzavřít pouhým schválením postupu. Poskytovatel cloudové služby může například deklarovat rozsáhlá bezpečnostní opatření, zatímco organizace stále nedokáže doložit rozdělení odpovědností, právo na informace o incidentu ani možnost získat důkazy potřebné pro auditora. Problém pak současně zahrnuje smlouvu, dohled nad dodavatelem, architekturu služby i připravenost důkazů.

Před auditem je nezbytné uzavřít nedostatky, které zpochybňují schopnost poskytovat službu, reagovat na incidenty nebo prokázat fungování klíčového opatření. U ostatních nedostatků lze přijmout řízený plán nápravy, pokud určuje vlastníka, termín, zdroje, způsob omezení rizika do doby zavedení a rozhodnutí o přijetí zbytkového rizika na odpovídající úrovni řízení. Prioritu by neměly získávat úkoly, které lze nejsnáze označit jako dokončené. Také rozhodnutí mezi nákupem nástroje a zlepšením procesu musí vycházet z příčiny nedostatku, nikoli pouze z dostupnosti investičního rozpočtu.

Obdobná disciplína při rozdělování odpovědnosti je důležitá i v oblasti popsané v článku Jak připravit tým na zákaznický audit, pokud jsou vyžadovány APQP, PPAP a analýza příčin, přestože kritéria a základ posouzení zůstávají odlišné.

Auditor prověří fungování, nikoli šanon

Dokument je pouze začátkem důkazní stopy. Auditor musí být schopen postupovat od požadavku a identifikovaného rizika přes vlastníka procesu a zavedené opatření až k záznamu o jeho provedení, výsledku monitorování a reakci na zjištěnou odchylku. Samotná politika, postup nebo instrukce účinnost neprokazují. Zapotřebí jsou objektivní důkazy vznikající při běžném fungování organizace: hlášení, protokoly událostí, schválení, záznamy o testech, výsledky přezkoumání, rozhodnutí o riziku a uzavřená nápravná opatření.

Program přípravy má stanovit způsob výběru vzorků skutečných případů, nikoli jen seznam dokumentů k předložení. Vzorek by měl zahrnout mimo jiné přidělení a odebrání přístupu, řešení zranitelnosti, incident, obnovu dat, systémovou změnu, školení zaměstnance, hodnocení dodavatele a přezkoumání vedením. U každého vzorku je nutné určit zdroj záznamu, odpovědnou osobu a kritérium účinnosti.

Je vhodné porovnávat počet vyhovujících případů, odchylek a chybějících důkazů. Tam, kde organizace provádí měření, je třeba zohlednit také dobu reakce a uzavírání incidentů a výsledky testů obnovy, cvičení a kontrol oprávnění. Doba uchovávání důkazů musí umožnit posoudit opakovatelnost procesu a zahrnout události významné z hlediska rizik. Neměla by se určovat pouze podle termínu auditu.

Postup pro odebírání oprávnění nebude dostatečným důkazem, pokud vzorek účtů bývalých zaměstnanců odhalí prodlevy, stále aktivní účty nebo chybějící potvrzení o provedení požadavku. Auditor může porovnat personální údaje, požadavky v servisním systému, záznamy adresářové služby a protokoly aktivit. Automaticky generované důkazy jsou hodnotné, pokud lze prokázat jejich úplnost, spolehlivé časové označení a vazbu na konkrétní případ. Rozhodnutí o přijetí rizika, udělení výjimky, uzavření incidentu nebo kvalifikaci dodavatele naopak vyžadují schválený záznam s dohledatelnou odpovědností.

Interní auditní prověrka by měla simulovat postup externího auditora: od kritéria přes vzorek až k posouzení zavedení a účinnosti. Nemohou ji však provádět osoby, které by posuzovaly vlastní práci. Při hodnocení dohledu nad třetími stranami může být užitečným kontextem článek Audit dodavatele v jaderné energetice – co se prověřuje a jak připravit firmu před kvalifikací, při zachování odlišnosti hodnoticích kritérií.

Stávající systém managementu může poskytovat mechanismy pro řízení dokumentace, interní audity, nápravná opatření a přezkoumání vedením. Je vhodné je využít, místo aby vznikal paralelní systém. Držený certifikát však nenahrazuje prokázání shody s příslušnými kritérii KSC. O výsledku rozhoduje, zda opatření v určeném rozsahu skutečně fungují a zda organizace dokáže předložit konzistentní a spolehlivé důkazy o jejich používání.

Dodavatelé jsou součástí rozsahu

Outsourcing údržby systému, zpracování dat nebo bezpečnostního monitoringu nepřenáší odpovědnost klíčového subjektu na dodavatele. Dodavatel může realizovat bezpečnostní opatření a řešit incidenty, organizace však stále musí rozumět rizikům spojeným se službou, definovat požadavky a prokázat účinný dohled. Příprava na audit proto musí zahrnovat i externí služby, na nichž závisí kontinuita činností, důvěrnost informací nebo dostupnost systémů.

Hloubku hodnocení je třeba přizpůsobit kritičnosti dodavatele. Rozhodující je dopad výpadku na službu, rozsah přístupu k informacím a systémům, nahraditelnost dodavatele, zapojení subdodavatelů, místo zpracování a reálná možnost získat důkazy. Dodavatele s omezeným dopadem lze hodnotit pomocí dotazníku a přezkoumání dokumentace. U strategických partnerů mohou být namístě rozhovory, testy kontinuity, analýza provozních záznamů nebo audit druhou stranou.

Pokud dodavatel odmítá právo na audit, musí organizace stanovit náhradní důkazy, posoudit zbytkové riziko a rozhodnout, zda jsou nutná dodatečná opatření, nové projednání smlouvy nebo plán ukončení služby. Samotné prohlášení dodavatele nebo jeho certifikát nemusí být dostatečné, pokud se nevztahuje na příslušnou službu, lokalitu či provozní rozsah.

Typický nedostatek vzniká tehdy, když smlouva stanoví dostupnost služby, ale neupravuje lhůtu pro předání informace o incidentu, pravidla spolupráce při analýze příčin ani právo ověřovat opatření dodavatele. Nejde jen o formální nedostatek. Bez těchto ustanovení nemusí organizace včas získat údaje potřebné k vyhodnocení dopadů události, přijetí rozhodnutí a předložení uceleného průběhu reakce auditorovi. Smluvní mezeru nelze napravit pouze interním postupem.

Přezkoumání smluv a bezpečnostních dodatků by mělo zahrnovat povinnosti v oblasti ochrany informací, hlášení incidentů, kontinuity činností, subdodávek, ukončení spolupráce, vrácení či odstranění dat, přístupu k důkazům a pravidel ověřování. Postup přípravy je vhodné měřit počtem kritických dodavatelů, podílem partnerů s aktuálním hodnocením rizik a důkazy o dohledu, počtem smluv vyžadujících doplnění a počtem služeb bez potvrzeného plánu kontinuity nebo ukončení. Metodiku podrobnějšího ověřování rozvíjí materiál Jak připravit firmu na audit druhou stranou u klíčového dodavatele?

Plán přípravy na první posouzení

Program přípravy je nutné řídit ve správném pořadí: potvrdit status subjektu a příslušná právní kritéria, vymezit hranice posuzovaného prostředí, přidělit odpovědnosti, provést analýzu rizik a nedostatků a následně schválit plán nápravy. Zkušební audit má smysl až po zavedení opatření a získání záznamů z jejich fungování. Jeho výsledky musí vést k odstranění příčin neshod, nikoli jen jejich projevů, a k závěrečnému přezkoumání připravenosti vedením.

Harmonogram se sestavuje zpětně od termínu vyplývajícího z aktuálně účinných předpisů nebo formálního rozhodnutí vztahujícího se na daný subjekt. Pro všechny organizace neexistuje jeden univerzálně bezpečný termín zahájení příprav. Záleží na právním statusu, technickém rozsahu, vyspělosti opatření, počtu externích závislostí a době potřebné k získání záznamů prokazujících fungování. Vedení musí schvalovat priority podle významu rizik a vazeb mezi úkoly, nikoli podle toho, jak snadno lze položky v harmonogramu uzavřít.

Úkol označený jako dokončený po zveřejnění postupu ve skutečnosti zůstává otevřený, dokud není postup zaveden, ověřen na reprezentativním vzorku a doložen záznamem. Totéž platí pro technická opatření, řešení incidentů, plány kontinuity a dohled nad dodavateli. Připravenost na audit vyžaduje důkaz celého cyklu fungování: rozhodnutí, provedení, kontrolu výsledku a reakci na zjištěnou odchylku. Pokud se nedostatek týká podmínek spolupráce s externím subjektem, užitečný kontext nabízí článek Audit dodavatele před podpisem smlouvy – jak omezit rizika v oblasti kvality a termínů.

Reportování vedení by se nemělo omezit na procento splnění plánu. Manažerská informace má uvádět:

• počet nedostatků podle závažnosti včetně vlastníka a termínu uzavření;
• podíl opatření potvrzených záznamy;
• otevřená rizika přijatá příslušnou úrovní vedení;
• překážky, jako jsou chybějící vlastník, nezavedené opatření, neotestovaný plán, nedohodnutá smlouva nebo nedostatek bez věrohodného důkazu o uzavření.

Výběr subjektu provádějícího audit je vhodné zahájit s dostatečným předstihem, avšak až po ověření aktuálních požadavků KSC na auditora a dokumentování výsledků. Cena nesmí být jediným kritériem. Je třeba posoudit požadovaná oprávnění, nezávislost, odvětvové kompetence, metodiku a schopnost prověřit skutečné technické prostředí. Sjednání auditora nenahrazuje zkušební audit ani přezkoumání vedením. Uzavírá pouze organizační část přípravy na formální posouzení.

První audit KSC je třeba chápat jako prověření schopnosti organizace řídit bezpečnost služeb, nikoli jako jednorázovou kontrolu dokumentace. Subjekt je připraven teprve tehdy, když dokáže zdůvodnit svůj status a rozsah, určit vlastníky rizik, prokázat fungování opatření a předložit věrohodné důkazy o dohledu nad procesy a dodavateli.