Dodavatelský dotazník NIS 2

Zapsaný název vaší společnosti tak, jak je uveden v obchodním rejstříku. Příklad: Novák a syn s.r.o. nebo Příklad Software a.s.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.2

Zapsaná obchodní adresa vaší společnosti. Jedna adresa stačí, i když máte více provozoven.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.2

Země, ve které je vaše společnost právně usazena. Dvě písmena, například CZ pro Českou republiku.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.2

Vaše hlavní doména, obvykle adresa vašich webových stránek. Příklad: prikladsoftware.cz.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.2 písm. a)

Jeden odstavec o tom, co zákazníkům dodáváte: konkrétní produkty, služby nebo práce, žádná reklama. Příklady: „Úklid kanceláří tři večery v týdnu, s klíči od budovy“ nebo „Zpracování mezd až pro 200 zaměstnanců“.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.2 písm. b) · ISO/IEC 27001:2022 A.5.19, A.5.22

Na koho se zákazníci obrátí, když dojde k bezpečnostnímu incidentu. V menších společnostech často jednatel nebo vedoucí IT. Jedna osoba stačí.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.2 písm. a) · ISO/IEC 27001:2022 A.5.20, A.5.24

E-mailová adresa, kterou zákazníci používají k nahlášení bezpečnostního incidentu. Ideálně distribuční seznam jako bezpecnost@prikladsoftware.cz, který zastihne více osob.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.2 písm. a) · ISO/IEC 27001:2022 A.5.20, A.5.24

Telefonní číslo pro naléhavá hlášení incidentů. Do závorky uveďte, v jakých hodinách je dostupné; nepřetržitá dostupnost se neočekává.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.2 písm. a) · ISO/IEC 27001:2022 A.5.20, A.5.24

Nejvýše tolik hodin poté, co zjistíte bezpečnostní incident, který se týká zákazníka, například únik dat, napadený účet nebo ztracený klíč. Zákazník, na kterého se vztahuje NIS 2, musí do 24 hodin od okamžiku, kdy se o významném incidentu dozvěděl, podat svému CSIRT nebo úřadu včasné varování (čl. 23 odst. 4 písm. a) NIS 2). Nejvíce mu proto pomůže závazek 24 hodin nebo méně. Uveďte hodnotu, kterou dodržíte.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.4 písm. d) · ISO/IEC 27001:2022 A.5.20, A.5.24

Provozujete software pro zákazníky na vlastní infrastruktuře a dodáváte jej přes internet. Pokud nabízíte více modelů, zaškrtněte více políček.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.2 písm. b) · ISO/IEC 27001:2022 A.5.19, A.5.22, A.5.23

Dodáváte software, který si zákazníci instalují a provozují na vlastní infrastruktuře.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.2 písm. b) · ISO/IEC 27001:2022 A.5.19, A.5.22

Provozujete pro zákazníka části jeho IT vlastním personálem. Typické pro modely MSP a MSSP.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.2 písm. b) · ISO/IEC 27001:2022 A.5.19, A.5.22

Ano, pokud data nebo dokumenty svých zákazníků uchováváte nebo s nimi pracujete, elektronicky nebo v papírové podobě, například v softwaru, datovém centru, systému pro správu požadavků, účetnictví nebo archivu.

Právní základ: ENISA TIG, oddíl 5.1.2 · ISO/IEC 27001:2022 A.5.19

Jen pokud: Zpracováváme nebo uchováváme data našich zákazníků = Ano

Všechny země, kde se ukládají nebo zpracovávají data vašich zákazníků. Oddělené čárkami, kódy zemí ISO. Příklad: CZ, DE, US. Pokud zpracováváte výhradně v rámci EU, stačí uvést země EU.

Právní základ: ENISA TIG, oddíl 5.1.4, tipy · ISO/IEC 27001:2022 A.5.20, A.5.23, A.5.34

Ano, pokud se můžete přihlásit do systémů svých zákazníků, na dálku, jako administrátor nebo na místě, například kvůli údržbě, podpoře nebo provozu.

Právní základ: ENISA TIG, oddíl 5.1.2 · ISO/IEC 27001:2022 A.5.19

Ano, pokud vaši pracovníci nebo subdodavatelé vstupují do kanceláří nebo budov zákazníka, s doprovodem i bez něj, například kvůli úklidu, údržbě, opravám, dodávkám do budovy nebo podpoře na místě. Počítá se i držení klíčů, přístupových karet nebo kódů ke dveřím.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 11.1.2 písm. a); bod 13.3.2 písm. b) · ISO/IEC 27001:2022 A.5.19

Ano, pokud se všichni, kdo pracují pro zákazníky, seznámí s bezpečnostními pravidly, která pro ně platí, při nástupu a poté znovu v pravidelných intervalech, například na krátkém poučení, v e-learningovém kurzu nebo z písemných pravidel, která podepíší.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.4 písm. b) · ISO/IEC 27001:2022 A.6.3

Ano, pokud zákazníkům buď umožníte audit, nebo jim místo toho poskytnete zprávy z auditu (například SOC 2, ISAE 3402).

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.4 písm. e) · ISO/IEC 27001:2022 A.5.20, A.5.22

Ano, pokud se na vaší službě podílejí jiné firmy a dostanou se přitom k datům, systémům nebo prostorám vašich zákazníků. Příklady: poskytovatel cloudu jako AWS nebo Azure, platební služba nebo najatý tým, který pracuje na místě.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.4 písm. g) · ISO/IEC 27001:2022 A.5.20, A.5.21

Jen pokud: K poskytování služby využíváme subdodavatele = Ano

Všichni subdodavatelé s názvem, místem a tím, co pro vás dělají. Stačí jeden na řádek. Seznam aktualizujte, kdykoli některého přidáte nebo odeberete.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.4 písm. g) · ISO/IEC 27001:2022 A.5.20, A.5.21

Jen pokud: K poskytování služby využíváme subdodavatele = Ano

Ano, pokud vaše smlouvy se subdodavateli obsahují bezpečnostní požadavky, které odpovídají tomu, co po vás požadují vaši zákazníci, například k incidentům, přístupům a zacházení s daty.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.4 písm. g) · ISO/IEC 27001:2022 A.5.20, A.5.21

Ano, pokud zákazníky informujete předem, než se na vaší službě změní něco podstatného: převzetí vaší firmy, nový subdodavatel, jiný poskytovatel hostingu nebo nová země, kde se zpracovávají jejich data.

Právní základ: ENISA TIG, oddíl 5.1.4 · ISO/IEC 27001:2022 A.5.22

Ano, pokud na dotaz zákazníka otevřeně řeknete, zda a jaké bezpečnostní incidenty s dopadem na zákazníky jste v minulosti měli.

Právní základ: ENISA TIG, oddíl 5.1.2 · ISO/IEC 27001:2022 A.5.22

Ano, pokud svým zákazníkům poskytnete údaje, které po nich jejich dozorový úřad (v Česku NÚKIB) požaduje po incidentu nebo při kontrole. Pokud sami nejste základním nebo důležitým subjektem podle NIS 2 (v Česku poskytovatelem regulované služby podle zákona č. 264/2025 Sb.), nemáte vůči tomuto úřadu přímé povinnosti; povinnost má váš zákazník a vy mu pomáháte ji splnit.

Právní základ: ENISA TIG, oddíl 5.1.4 · ISO/IEC 27001:2022 A.5.20, A.5.31

Jen pokud: Zpracováváme nebo uchováváme data našich zákazníků = Ano nebo Přistupujeme k systémům našich zákazníků = Ano nebo Naši pracovníci vstupují do prostor našich zákazníků = Ano

Ano, pokud se všichni, kdo pracují pro zákazníky, písemně zavázali k mlčenlivosti, v pracovní smlouvě nebo v samostatné dohodě, nebo je k mlčenlivosti zavazuje zákon.

Právní základ: ENISA TIG, oddíl 5.1, tipy; prováděcí nařízení (EU) 2024/2690, příloha, bod 10.3.2 · ISO/IEC 27001:2022 A.6.6

Jen pokud: Zpracováváme nebo uchováváme data našich zákazníků = Ano nebo Přistupujeme k systémům našich zákazníků = Ano nebo Naši pracovníci vstupují do prostor našich zákazníků = Ano

Ano, pokud před nástupem ověřujete, že lidé, kteří budou mít přístup k datům, systémům nebo prostorám zákazníků (například držitelé klíčů), jsou pro tuto roli vhodní, v rozsahu, který dovoluje pracovní právo a ochrana osobních údajů: například reference nebo, kde je to přípustné a pro roli nutné, výpis z rejstříku trestů. Ověřování všech pracovníků se neočekává.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 10.2.1 · ISO/IEC 27001:2022 A.6.1

Jen pokud: Zpracováváme nebo uchováváme data našich zákazníků = Ano nebo Přistupujeme k systémům našich zákazníků = Ano nebo Naši pracovníci vstupují do prostor našich zákazníků = Ano

Ano, pokud vás smlouva zavazuje vrátit data zákazníka v použitelném, popsaném formátu (například CSV nebo JSON) a poté je smazat, vrátit klíče, přístupové karty a dokumenty a zrušit přístupy, které jste u zákazníka měli.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.4 písm. h); bod 5.1.2 písm. d) · ISO/IEC 27001:2022 A.5.11, A.8.10

Jen pokud: Zpracováváme nebo uchováváme data našich zákazníků = Ano

Potřebná, pokud zpracováváte osobní údaje jménem zákazníka a podle jeho pokynů (čl. 28 odst. 3 GDPR). Kdo sám určuje účely a prostředky zpracování, je správce a tuto smlouvu jako zpracovatel neuzavírá. Správce může určit i přímo právní předpis (čl. 4 bod 7 GDPR).

• Ano, nabízíme vzorovou smlouvu o zpracování osobních údajů
• Není potřeba: jsme samostatný správce, ne zpracovatel
• Není potřeba: pro zákazníky nezpracováváme žádné osobní údaje
• Ne

Právní základ: obecné nařízení o ochraně osobních údajů (GDPR), čl. 28 odst. 3; čl. 4 bod 7 · ISO/IEC 27001:2022 A.5.34

Jen pokud: Zpracováváme nebo uchováváme data našich zákazníků = Ano

Ano, pokud jsou data zákazníků šifrovaná všude, kde je elektronicky ukládáte: na serverech, noteboocích, telefonech a v zálohách, například pomocí BitLockeru, FileVaultu nebo šifrování disků u vašeho poskytovatele cloudu.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.2 písm. c); bod 9.2 písm. a) · ISO/IEC 27001:2022 A.8.24

Jen pokud: Zpracováváme nebo uchováváme data našich zákazníků = Ano

Ano, pokud vaše webové stránky a rozhraní používají HTTPS s TLS 1.2 nebo vyšším a soubory zákazníkům posíláte přes šifrovaný portál nebo šifrovaným e-mailem.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.2 písm. c); bod 9.2 písm. a) · ISO/IEC 27001:2022 A.8.24

Jen pokud: Zpracováváme nebo uchováváme data našich zákazníků = Ano nebo Přistupujeme k systémům našich zákazníků = Ano nebo Poskytujeme SaaS / hostované služby = Ano nebo Dodáváme on-premise software = Ano nebo Poskytujeme spravované služby / MSP = Ano

Ano, pokud máte písemnou politiku bezpečnosti informací, jasně přidělené role, pravidelné přezkumy a zdokumentovaný postup při incidentech. Certifikace podle ISO/IEC 27001, i na základě německé metodiky IT-Grundschutz, znamená ano.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.2 písm. a) · ISO/IEC 27001:2022 A.5.1

Jen pokud: Zpracováváme nebo uchováváme data našich zákazníků = Ano nebo Přistupujeme k systémům našich zákazníků = Ano nebo Poskytujeme SaaS / hostované služby = Ano nebo Dodáváme on-premise software = Ano nebo Poskytujeme spravované služby / MSP = Ano

Počítá se: ISO/IEC 27001 (i na základě německé metodiky IT-Grundschutz), atestace podle katalogu C5 německého úřadu BSI, označení TISAX, zpráva SOC 2 Type II nebo ISAE 3402 nebo evropský certifikát kybernetické bezpečnosti. Ano jen tehdy, pokud jeho rozsah pokrývá službu, kterou dodáváte zákazníkům.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.2 písm. a); ENISA TIG, oddíl 5.1.2 · ISO/IEC 27001:2022 A.5.19, A.5.22

Jen pokud: Máme platný bezpečnostní certifikát nebo zprávu z auditu, které pokrývají službu, jež dodáváme zákazníkům = Ano

Rozsah opište tak, jak je uveden na certifikátu nebo ve zprávě. Máte jich více? Každý na samostatný řádek.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.2 písm. a); ENISA TIG, oddíl 5.1.2 · ISO/IEC 27001:2022 A.5.22

Jen pokud: Zpracováváme nebo uchováváme data našich zákazníků = Ano nebo Přistupujeme k systémům našich zákazníků = Ano nebo Poskytujeme SaaS / hostované služby = Ano nebo Dodáváme on-premise software = Ano nebo Poskytujeme spravované služby / MSP = Ano

Ano, pokud máte pro zranitelnosti v systémech a softwaru, které pro zákazníky používáte, pevně stanovený postup: dozvíte se o nich, posoudíte jejich naléhavost a včas nainstalujete aktualizaci nebo přijmete jiné opatření.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.4 písm. f) · ISO/IEC 27001:2022 A.8.8

Jen pokud: Zpracováváme nebo uchováváme data našich zákazníků = Ano nebo Přistupujeme k systémům našich zákazníků = Ano nebo Poskytujeme SaaS / hostované služby = Ano nebo Dodáváme on-premise software = Ano nebo Poskytujeme spravované služby / MSP = Ano

Ano, pokud písemný plán stanoví, jak postupujete při bezpečnostním incidentu: kdo rozhoduje, kdo informuje zákazníky a kdo vše dokumentuje.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.2 písm. a); bod 3.1 · ISO/IEC 27001:2022 A.5.24, A.5.26

Jen pokud: Zpracováváme nebo uchováváme data našich zákazníků = Ano nebo Přistupujeme k systémům našich zákazníků = Ano nebo Poskytujeme SaaS / hostované služby = Ano nebo Dodáváme on-premise software = Ano nebo Poskytujeme spravované služby / MSP = Ano

Ano, pokud písemný plán stanoví, jak po výpadku pokračujete v práci nebo znovu spustíte provoz, včetně záloh dat, která pro zákazníky uchováváte, uložených odděleně od provozních systémů a ověřených zkušební obnovou. Plán uvádí vaše kritické systémy, náhradní postup a jak dlouho smí výpadek nejvýše trvat a kolik dat se smí nejvýše ztratit.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.2 písm. c); bod 4.1; bod 4.2 · ISO/IEC 27001:2022 A.5.29, A.5.30, A.8.13

Jen pokud: Zpracováváme nebo uchováváme data našich zákazníků = Ano nebo Přistupujeme k systémům našich zákazníků = Ano nebo Poskytujeme SaaS / hostované služby = Ano nebo Dodáváme on-premise software = Ano nebo Poskytujeme spravované služby / MSP = Ano

Ano, pokud každý účet s administrátorskými právy ve vašich vlastních systémech (e-mail, cloud, servery, účetnictví) vyžaduje k přihlášení druhý faktor, například ověřovací aplikaci nebo bezpečnostní klíč. Kódy přes SMS se počítají, ale jsou nejslabší možností.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.2 písm. a); bod 11.7 · ISO/IEC 27001:2022 A.8.5, A.8.2

Jen pokud: Poskytujeme SaaS / hostované služby = Ano nebo Dodáváme on-premise software = Ano nebo Poskytujeme spravované služby / MSP = Ano

Ano, pokud tyto systémy testuje na zranitelnosti nezávislá strana, tak často, jak to vyžaduje vaše riziko. Počítá se penetrační test i externí sken zranitelností.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.2 písm. a); bod 6.5 · ISO/IEC 27001:2022 A.8.29, A.8.8

Jen pokud: Poskytujeme SaaS / hostované služby = Ano nebo Dodáváme on-premise software = Ano

Ano, pokud se váš vývoj řídí pevnými pravidly, například kontrolou každé změny před nasazením do provozu, aktuálními závislostmi, testy a kontrolou známých zranitelností. Ptáme se jen dodavatelů, kteří provozují software jako službu nebo software dodávají.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.2 písm. a) · ISO/IEC 27001:2022 A.8.25, A.8.28

Jen pokud: Poskytujeme SaaS / hostované služby = Ano nebo Dodáváme on-premise software = Ano

Ano, pokud na vašem webu stojí, jak vám nahlásit zranitelnost a co pak uděláte, například v souboru security.txt (RFC 9116). Od 11. prosince 2027 vyžaduje akt o kybernetické odolnosti (CRA) od výrobců softwarových produktů takovou politiku a kontaktní adresu.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.4 písm. f); akt o kybernetické odolnosti (CRA), příloha I část II body 5 a 6 · ISO/IEC 27001:2022 A.8.8, A.5.21

Jen pokud: Přistupujeme k systémům našich zákazníků = Ano

Ano, pokud každý, kdo se přihlašuje do systémů zákazníků, používá vlastní účet s druhým faktorem, i u nástrojů pro vzdálenou správu, jako je TeamViewer; nikdo nesdílí přihlašovací údaje s ostatními.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.4 písm. a); bod 11.3.2 písm. a); bod 11.5.2 písm. b) · ISO/IEC 27001:2022 A.8.2, A.8.5, A.5.16

Jen pokud: Přistupujeme k systémům našich zákazníků = Ano

Ano, pokud se zaznamenává, kdo a kdy přistupoval do systémů vašich zákazníků s administrátorskými právy, aby to šlo později dohledat. Nahrávání celých relací se neočekává.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.4 písm. a); bod 3.2.3 písm. e) · ISO/IEC 27001:2022 A.8.15

Jen pokud: Naši pracovníci vstupují do prostor našich zákazníků = Ano

Ano, pokud vždy víte, kdo má jaký klíč, kartu nebo kód, odeberete je, když někdo odchází nebo mění práci, a zákazníka bez zbytečného odkladu informujete, když se některý ztratí.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.4 písm. a); bod 11.2.2 písm. d); bod 13.3.2 písm. b) · ISO/IEC 27001:2022 A.7.2, A.5.11, A.5.18

Jen pokud: Naši pracovníci vstupují do prostor našich zákazníků = Ano

Ano, pokud mají vaši pracovníci písemná pravidla pro práci u zákazníků, například: nikoho nepouštět dovnitř, nesahat na obrazovky, zařízení a dokumenty, cokoli neobvyklého hlásit zákazníkovi.

Právní základ: ENISA TIG, oddíl 5.1, tipy; prováděcí nařízení (EU) 2024/2690, příloha, bod 8.1.1 · ISO/IEC 27001:2022 A.7.2, A.7.7, A.6.3

Jen pokud: Poskytujeme SaaS / hostované služby = Ano

Ano, pokud vaše aplikace nabízí přihlášení s druhým faktorem (ověřovací aplikace, bezpečnostní klíč nebo jednorázový kód), alespoň pro administrátory vašich zákazníků. Na vaše vlastní interní administrátorské účty se ptá samostatná otázka v části o bezpečnostní praxi.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.2 písm. c); bod 11.7 · ISO/IEC 27001:2022 A.8.5, A.5.23

Jen pokud: Poskytujeme SaaS / hostované služby = Ano

Nejvyšší počet hodin, po který smí být vaše služba nedostupná, než ji obnovíte. Uveďte hodnotu, kterou dodržíte.

Právní základ: ENISA TIG, oddíl 5.1, tipy · ISO/IEC 27001:2022 A.5.30, A.5.23

Jen pokud: Dodáváme on-premise software = Ano

Měsíc a rok, nebo pravidlo, podle kterého postupujete. Od 11. prosince 2027 vyžaduje akt o kybernetické odolnosti (CRA), aby výrobci toto datum uvedli při nákupu.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 6.1.2 písm. b); akt o kybernetické odolnosti (CRA), čl. 13 odst. 19 · ISO/IEC 27001:2022 A.5.21

Jen pokud: Dodáváme on-premise software = Ano

Počet hodin od chvíle, kdy se kritická zranitelnost stane známou, do vydání vaší opravené verze. Od 11. prosince 2027 vyžaduje akt o kybernetické odolnosti (CRA), aby výrobci zranitelnosti odstraňovali bez zbytečného odkladu.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 5.1.4 písm. f); akt o kybernetické odolnosti (CRA), příloha I část II bod 2 · ISO/IEC 27001:2022 A.8.8

Jen pokud: Dodáváme on-premise software = Ano

Ano, pokud zákazníkům ke svým verzím poskytujete SBOM (CycloneDX nebo SPDX). Od 11. prosince 2027 vyžaduje akt o kybernetické odolnosti (CRA), aby výrobci měli SBOM v technické dokumentaci produktů s digitálními prvky; zda ho předáte zákazníkům, je na vás.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 6.1.2 písm. c); akt o kybernetické odolnosti (CRA), příloha I část II bod 1 · ISO/IEC 27001:2022 A.5.21

Jen pokud: Dodáváme on-premise software = Ano

Ano, pokud každá verze a každá aktualizace nese podpis, který si zákazníci mohou před instalací ověřit, například Sigstore, Authenticode nebo PGP.

Právní základ: prováděcí nařízení (EU) 2024/2690, příloha, bod 6.6.1 písm. c); akt o kybernetické odolnosti (CRA), příloha I část II bod 7 · ISO/IEC 27001:2022 A.5.21