klient pyta, jak reagujemy na incydent cybernetyczny, jak to wypełniam
Plan reagowania na incydenty: proces, nie tylko dokument
Pytanie dotyczące planu reagowania na incydenty dotyczy sposobu, w jaki organizacja reaguje po wykryciu incydentu bezpieczeństwa: kto zostaje powiadomiony, kto decyduje o eskalacji, jak uruchamia się przywrócenie i jak informuje się klientów lub organy nadzorujące. Format często wymaga samego dokumentu — planu reagowania na incydenty lub opisu procedury — ale większość stron kupujących niejawnie sprawdza również, czy plan był kiedykolwiek używany lub testowany. Odpowiedź "tak, istnieje plan" bez żadnych ćwiczeń lub rzeczywistego incydentu jest faktycznie poprawna, ale słaba; wskaż, że procedura istnieje i co możesz w jej sprawie wykazać, na przykład raport z testów lub ocenę po wcześniejszym incydencie.
Jeśli brakuje formalnie przetestowanego planu, to odpowiedź "nie" z krótkim wyjaśnieniem jest lepsza niż wypełnione "tak" bez wspierającego dokumentu. Niektórzy klienci pytają konkretnie o terminy zgłaszania wobec nich jako odbiorcy — to umowna ustalenie, a nie automatycznie ten sam termin, co ustawowy obowiązek zgłoszenia. Nie mylić tych dwóch kwestii w odpowiedzi: to, co zobowiązujesz się swoemu klientowi w umowie SLA, jest niezależne od tego, co ewentualnie należy zgłosić organowi nadzoru. Pytanie to często wiąże się z procedurą obsługi incydentów bezpieczeństwa, oraz z pytaniem, czy przywrócenie i przełączenie awaryjne są dobrze uregulowane poprzez kopie zapasowe i świadczenie awaryjne — format czasami dzieli to na kilka pytań, które w dossier do siebie należą.
Podstawa: artykuł 21 ustęp 2 dyrektywy NIS2 i Załącznik A
Obsługa incydentów wymieniona jest jako odrębny środek w artykule 21 ustęp 2 dyrektywy NIS2, obok analizy ryzyka i ciągłości działalności — jest to jeden z dziesięciu środków wyodrębnianych przez dyrektywę. ISO/IEC 27001 rozwija to w kontrolach z Załącznika A, gdzie zarządzanie incydentami stanowi własną kategorię z wymogami dotyczącymi wykrywania, reagowania i oceny. Ustawa o cyberbezpieczeństwie transpozycja tego obowiązku do prawa polskiego i wejdzie w życie przewidywane na dzień 15 sierpnia 2026 r.; do tego terminu zgodność z samą dyrektywą stanowi punkt wyjścia do uzasadnienia odpowiedzi.
Ta odpowiedź obowiązuje dla każdego typu kwestionariusza, nie tylko dla pytań dotyczących zrównoważonego rozwoju od twojego klienta, udzielone. Pełne wyjaśnienie — ze źródłami, szczegółowościami specyficznymi dla poszczególnych krajów i powiązanymi tematami — znajduje się na portalu koordynacyjnym.
To nie jest porada prawna. Ta strona zawiera ogólne informacje o przepisach, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W razie wątpliwości co do Twojego konkretnego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.
Napisane za pomocą AI na podstawie powyższych źródeł, sprawdzane przez człowieka w dniu 2026-09-05. Coś się nie zgadza? Daj nam znać — poprawki mają priorytet.