Služby · Dokumentácia
Bezpečnostná dokumentácia, ktorá obstojí pri kontrole
Politiky, smernice, klasifikačný poriadok, plán kontinuity, plán reakcie na incidenty. Všetko, čo od vás bude úrad chcieť vidieť, napísané na vašu firmu – nie stiahnuté zo šablóny, v ktorej ostalo meno inej spoločnosti.
Zákon
Čo zákon vyžaduje
Podľa § 28 vyhlášky NBÚ č. 227/2025 musí regulovaný subjekt viesť bezpečnostnú dokumentáciu. Minimálny rozsah:
| Dokument | Čo v ňom je |
|---|---|
| Bezpečnostná politika | základný rámec – kto za čo zodpovedá, aké sú pravidlá |
| Politika riadenia rizík | ako riziká identifikujete, hodnotíte a znižujete |
| Klasifikačný poriadok | ktoré údaje sú citlivé a ako sa s nimi zaobchádza |
| Prevádzkové postupy | ako sa systémy prevádzkujú, zálohujú, aktualizujú |
| Havarijné postupy | čo sa robí, keď to prestane fungovať |
| Plán kontinuity činností | ako firma funguje ďalej, keď vypadne kľúčový systém |
| Plán reakcie na incidenty | kto komu volá, v akom poradí a čo hovorí |
| Postupy hlásenia incidentov | ako sa stihne lehota 24 hodín |
K tomu podľa výsledkov analýzy rizík ďalšie dokumenty – smernica o heslách, o vzdialenom prístupe, o mobilných zariadeniach, o práci s dodávateľmi.
Prečo šablóna z internetu nestačí
Dokumentácia sa nekontroluje podľa toho, či existuje, ale podľa toho, či zodpovedá tomu, ako firma naozaj funguje. Tri najčastejšie problémy, ktoré vidíme:
1. Popisuje inú firmu
Plán kontinuity, ktorý ráta so záložným dátovým centrom, keď máte jeden server v serverovni za kotolňou.
2. Nikto z nej nič nevie
Dokument hovorí, že incidenty sa hlásia bezpečnostnému manažérovi do jednej hodiny. Nikto vo firme netuší, kto to je.
3. Je stará
Dokumentácia musí byť podľa vyhlášky živá – revidovaná pri každej významnej zmene. Zastaraná je pri kontrole horšia než žiadna.
Ako to robíme
Vychádzame z analýzy rizík, nie z obsahu
Najprv treba vedieť, čo vás môže bolieť. Ak analýzu rizík nemáte, spravíme ju – je to prvý dokument, nie posledný.
Rozprávame sa s ľuďmi, ktorí to robia
Prevádzkové postupy píšeme podľa toho, ako to naozaj chodí. Ak sa to líši od predpisu, upozorníme na to a rozhodnete, čo zmeniť.
Píšeme po slovensky a zrozumiteľne
Dokumentáciu má vedieť prečítať majster vo výrobe, nie len audítor.
Odovzdávame v editovateľnej podobe
Dostanete zdrojové súbory, nie zamknuté PDF. Sú vaše a musíte ich vedieť meniť aj bez nás.
Rozsah a termíny
| Rozsah | Trvanie |
|---|---|
| Kompletná dokumentácia podľa § 28 | 3 – 6 týždňov |
| Jednotlivá politika alebo smernica | do 5 prac. dní |
| Analýza rizík (samostatne) | do 15 prac. dní |
| Revízia existujúcej dokumentácie | podľa rozsahu |
| Priebežné udržiavanie | súčasť služby Manažér kybernetickej bezpečnosti |
V balíku SÚLAD je kompletná dokumentácia vrátane analýzy rizík zahrnutá. Cenu vám pošleme vopred v písomnej ponuke.
Čo dostanete
- dokumenty vo formáte, ktorý viete predložiť pri kontrole
- zoznam, čo z toho musí schváliť štatutárny orgán a ako
- vzor záznamu o oboznámení zamestnancov
- kalendár revízií – kedy sa čo musí prehodnotiť
- jednostranové zhrnutie pre vedenie: čo podpisujete a čo tým na seba beriete