Prečo vám dotazník prišiel
Firmy, ktoré spadajú pod NIS2, musia riadiť riziká aj u svojich dodávateľov. Zákon o kybernetickej bezpečnosti a vyhláška Národného bezpečnostného úradu č. 227/2025 Z. z. im ukladajú mať bezpečnostné požiadavky v zmluvách a vedieť dodávateľov kontrolovať. Dotazník je najlacnejší spôsob, ako to urobiť. Pre vás je to dobrá správa: kto odpovie poctivo a rýchlo, vyzerá ako spoľahlivý partner.
Na čo sa pýtajú najčastejšie
| Otázka v dotazníku | Čo tým myslia | Čo stačí priložiť |
|---|---|---|
| Máte určenú osobu zodpovednú za bezpečnosť? | kto rieši bezpečnosť a kto je kontakt pri incidente | meno, funkcia, kontakt |
| Používate dvojfaktorové overenie? | či nestačí ukradnuté heslo na prístup do e-mailu a systémov | kde ho máte zapnuté (e-mail, vzdialený prístup) |
| Zálohujete a testujete obnovu? | či sa po útoku viete postaviť na nohy | ako často zálohujete, kedy ste naposledy skúšali obnovu |
| Aktualizujete systémy? | či nemáte staré diery, ktoré hackeri poznajú | pravidlo, ako často a kto to robí |
| Školíte zamestnancov? | či ľudia spoznajú podvodný e-mail | dátum posledného školenia, počet ľudí |
| Do akej doby nám oznámite incident? | či ich včas varujete, keď sa niečo stane u vás | lehota a kontakt, ktorý viete dodržať |
| Máte ISO 27001 alebo TISAX? | či vás už niekto nezávislý preveril | certifikát, ak ho máte; ak nie, napíšte nie |
Postup na jedno popoludnie
- Prečítajte celý dotazník a označte otázky farbami: zelená máme, žltá čiastočne, červená nemáme alebo nevieme.
- Zelené vyplňte hneď a ku každej si poznačte, čím to viete doložiť.
- Žlté a červené prejdite s vaším IT alebo dodávateľom IT. Často sa ukáže, že niečo máte, len to nikto nespísal.
- Pri tom, čo naozaj chýba, napíšte pravdivo „zatiaľ nie“ a pridajte termín, dokedy to zavediete.
- Pred odoslaním si nechajte odpovede skontrolovať niekým, kto vie, čo z nich vyplýva v zmluve.
Príklady dobrých odpovedí
Keď to máte
„Áno. Dvojfaktorové overenie máme zapnuté pre e-mail a vzdialený prístup do siete pre všetkých zamestnancov od marca 2026.“
Keď to máte len čiastočne
„Čiastočne. Zálohujeme denne, obnovu sme naposledy skúšali v roku 2025. Pravidelný test obnovy raz za štvrťrok zavedieme do 31. 1. 2027.“
Keď to nemáte
„Nie. Certifikát ISO 27001 ani TISAX nemáme. Opatrenia zavádzame podľa vyhlášky 227/2025, prehľad stavu vám vieme poskytnúť.“
Konkrétne, overiteľné a s dátumom. Také odpovede odberateľ berie vážnejšie ako všeobecné „áno, dbáme na bezpečnosť“.
Na čo si dať pozor v zmluve
- lehota na oznámenie incidentu, ktorú neviete dodržať (napríklad 4 hodiny cez víkend),
- právo odberateľa robiť u vás kontroly bez obmedzenia,
- zmluvné pokuty za nesplnenie bezpečnostných požiadaviek,
- povinnosť zaviazať k tomu istému aj vašich subdodávateľov.
Tieto body sa dajú vyjednať. Odberateľ potrebuje mať požiadavky v zmluve, nie nevyhnutne v najprísnejšej podobe.
Balík dôkazov na ďalší raz
Ďalší odberateľ pošle podobný dotazník. Uložte si odpovede a dôkazy do jedného priečinka: kontakty, pravidlá, záznamy o školeniach, zálohách a aktualizáciách. Pri vstupnej kontrole za 290 € vám dotazník prejdeme a povieme, čo z neho naozaj musíte splniť.
