Kontrola nebo audit kybernetické bezpečnosti obvykle neodhalí pouze technické nedostatky. Velmi často ukáže především nesoulad mezi tím, co má organizace popsáno ve vnitřních předpisech, a tím, jak ve skutečnosti řídí aktiva, rizika, incidenty, dodavatele nebo přístupová oprávnění.
Nestačí proto připravit několik dokumentů těsně před zahájením auditu. Organizace musí být schopna doložit, že její systém řízení kybernetické bezpečnosti funguje dlouhodobě, jednotlivá opatření mají své vlastníky a zjištěné nedostatky jsou skutečně řešeny.
Dobrá auditní připravenost přitom není důležitá pouze před kontrolou regulátora. Pomáhá organizaci průběžně udržovat přehled o stavu zabezpečení, odhalovat slabá místa a včas řešit zjištěné nedostatky.
Jaký je rozdíl mezi kontrolou a auditem kybernetické bezpečnosti?
Pojmy kontrola a audit kybernetické bezpečnosti se někdy používají jako synonyma, jejich účel se však může lišit.
Kontrola kybernetické bezpečnosti
Kontrola kybernetické bezpečnosti je formální postup, kterým příslušný kontrolní orgán ověřuje, zda organizace plní povinnosti stanovené právními předpisy. Na rozdíl od interního nebo certifikačního auditu jde o výkon veřejné moci, jehož průběh se řídí příslušnými právními předpisy, zejména zákonem č. 255/2012 Sb., o kontrole (kontrolní řád).
V oblasti zákona o kybernetické bezpečnosti vykonává kontrolní pravomoci zejména Národní úřad pro kybernetickou a informační bezpečnost. Při kontrole může požadovat dokumentaci, záznamy o provádění bezpečnostních opatření, informace o odpovědných osobách a další podklady potřebné k ověření plnění zákonných povinností. Konkrétní pravomoci NÚKIB a pravidla kontroly v oblasti kybernetické bezpečnosti upravuje zákon č. 264/2025 Sb., o kybernetické bezpečnosti.
Pokud kontrola odhalí porušení povinností, nejde pouze o doporučení ke zlepšení. Zjištěné nedostatky mohou vést k uložení nápravných opatření a v případě porušení zákonných povinností také k navazujícímu přestupkovému řízení a případné sankci.
Interní audit kybernetické bezpečnosti
Interní audit provádí organizace z vlastní iniciativy nebo na základě povinnosti stanovené příslušnou regulací. Jeho cílem je nezávisle ověřit, zda je systém řízení kybernetické bezpečnosti správně navržen, zaveden a udržován.
Výsledkem by nemělo být pouze konstatování nedostatků, ale také konkrétní doporučení, určení priorit a plán nápravných opatření.
Certifikační nebo zákaznický audit
Audit může souviset také s certifikací podleISO/IEC 27001, s požadavky významného zákazníka nebo s prověřováním dodavatele. Rozsah takového auditu se zpravidla odvíjí od příslušné normy, smluvních závazků nebo bezpečnostních požadavků odběratele.
Ve všech případech však platí stejný princip: organizace musí předložit nejen dokumenty, ale také věrohodné důkazy, že deklarované procesy skutečně používá.
Jak by měla probíhat příprava na audit nebo kontrolu kybernetické bezpečnosti?
Základem dobré přípravy je průběžně udržovaný systém, ve kterém jsou požadavky legislativy nebo příslušného standardu propojeny s konkrétními opatřeními, odpovědnostmi a důkazy o jejich plnění.
Před samotným auditem je proto vhodné projít několik klíčových oblastí:
1. Nejprve určete, podle čeho budete hodnoceni
Ještě před samotnou přípravou je nutné přesně určit rozsah auditu nebo kontroly.
Organizace by měla vědět:
- jaké legislativní, regulatorní, normativní nebo smluvní požadavky se na ni vztahují,
- které části organizace, služby, procesy a systémy budou do auditu zahrnuty,
- kdo bude audit nebo kontrolu provádět,
- jaké dokumenty a důkazy mohou být požadovány,
- jaká kritéria budou při hodnocení použita.
Jinak bude vypadat audit systému řízení bezpečnosti informací podle ISO 27001, jinak regulatorní kontrola podle zákona o kybernetické bezpečnosti a jiné oblasti budou předmětem kontroly například u finanční instituce spadající pod DORA. Platforma cybreg je přitom určena právě pro organizace pracující s různými rámci, například DORA, NIS2/ZKB, CRA, ISO 27001 i dalšími.
Před zahájením přípravy proto doporučujeme vytvořit seznam všech relevantních požadavků a určit, jakým způsobem je organizace plní.
2. Proveďte GAP analýzu
Jedním z nejefektivnějších prvních kroků je provést GAP analýzu, tedy porovnání aktuálního stavu organizace s požadavovaným stavem.
U každého relevantního požadavku si položte tři základní otázky:
- Máme požadavek formálně pokrytý?
- Je skutečně zaveden do praxe?
- Dokážeme jeho plnění doložit?
Právě třetí otázka bývá při přípravě na audit často podceňována.
Organizace může například tvrdit, že pravidelně provádí revize přístupových oprávnění. Pokud ale není schopna předložit záznam z poslední revize, bude obtížné prokázat, že proces skutečně funguje.
Výstupem GAP analýzy by měl být přehled nedostatků rozdělený podle priority, včetně odpovědných osob a termínů nápravy.
3. Zkontrolujte aktuálnost bezpečnostní dokumentace
Bezpečnostní dokumentace obvykle patří mezi první oblasti, které auditor prověřuje.
U každého dokumentu byste měli ověřit:
- zda odpovídá současnému fungování organizace,
- zda obsahuje aktuální role a odpovědnosti,
- zda byl řádně schválen,
- kdy proběhla jeho poslední revize,
- zda na něj navazují konkrétní procesy,
- zda jsou zaměstnanci s relevantními pravidly seznámeni.
Typickým problémem jsou například bezpečnostní politiky vytvořené před několika lety, které již neodpovídají používaným technologiím, organizační struktuře nebo aktuálním dodavatelům.
4. Ověřte, že evidence aktiv odpovídá skutečnosti
Bez znalosti aktiv nelze správně vyhodnocovat kybernetická rizika. Organizace by proto měla mít aktuální přehled informačních, technologických i dalších relevantních aktiv a vědět, jak spolu souvisejí.
U aktiv je vhodné evidovat například:
- vlastníka nebo garanta,
- podporované procesy a služby,
- požadavky na důvěrnost, integritu a dostupnost,
- technologické závislosti,
- související dodavatele,
- související rizika.
Zastaralá nebo neúplná evidence aktiv se následně promítá také do řízení rizik, dodavatelů, kontinuity činností nebo řízení přístupů.
Pokud vaše organizace řeší požadavky ZKB, podrobněji se této oblasti věnujeme také v článku Evidence a řízení aktiv podle ZKB. Cybreg současně umožňuje evidenci aktiv propojit s riziky a dalšími oblastmi compliance.
5. Prověřte proces řízení rizik
Registr rizik sám o sobě neznamená, že organizace rizika skutečně řídí. Auditor se může zajímat o celý životní cyklus rizika – od jeho identifikace až po realizaci opatření a následnou revizi.
U významných rizik proto musí být možné zjistit:
- čeho se riziko týká,
- jakým způsobem bylo identifikováno,
- jak byla stanovena jeho závažnost,
- kdo je vlastníkem rizika,
- zda je riziko akceptováno, sníženo, přeneseno nebo jinak ošetřeno,
- jaká nápravná opatření byla stanovena,
- kdo za ně odpovídá,
- kdy mají být provedena,
- zda byla skutečně dokončena,
- zda bylo po realizaci opatření riziko znovu vyhodnoceno.
Zvláštní pozornost věnujte dlouhodobě otevřeným rizikům a opatřením po termínu.
Na analýzu rizik by měl logicky navazovat plán jejich zvládání. Více se této oblasti věnujeme v článku Plán zvládání rizik – co musí obsahovat.
6. Připravte důkazy o skutečném fungování procesů
Dokumentace popisuje, jak by měl proces fungovat. Auditní důkaz ukazuje, že tak skutečně funguje.
Pokud například bezpečnostní politika stanovuje pravidelnou kontrolu přístupových oprávnění, měli byste být schopni doložit:
- kdy poslední kontrola proběhla,
- kdo ji provedl,
- co bylo kontrolováno,
- jaké nedostatky byly nalezeny,
- jak byly následně odstraněny.
Stejný princip platí i pro další oblasti.
Mezi typické auditní důkazy mohou patřit například:
- záznamy o školení zaměstnanců,
- výstupy z revizí přístupových oprávnění,
- záznamy o změnách bezpečnostních konfigurací (firewallových pravidel, nastavení síťových prvků, serverů, bezpečnostních systémů),
- výsledky testování záloh,
- záznamy o incidentech,
- výsledky penetračních testů,
- hodnocení dodavatelů,
- zápisy z porad nebo jednání vedení,
- záznamy o revizi rizik,
- protokoly z testování kontinuity,
- evidence nápravných opatření.
Organizace, která se bezpečnosti svědomitě věnuje, tyto důkazy nevytváří až před auditem. Vznikají průběžně při běžném fungování bezpečnostních procesů.
7. Prověřte role a odpovědnosti
Jednou z častých otázek auditorů je: Kdo za tuto oblast odpovídá? Organizace by měla být schopna tuto otázku jednoznačně zodpovědět u řízení rizik, incidentů, aktiv, přístupů, dodavatelů, kontinuity i dalších bezpečnostních procesů.
Před auditem proto ověřte:
- zda jsou role formálně stanoveny,
- zda mají jasně definované odpovědnosti,
- zda mají potřebné pravomoci,
- zda je vyřešena zastupitelnost,
- zda odpovědné osoby své úkoly skutečně vykonávají.
Konkrétní požadavky na bezpečnostní role se mohou podle jednotlivých regulací nebo standardů výrazně lišit.
Pokud potřebujete zajistit řízení systému kybernetické bezpečnosti externě, rádi vám poskytneme službu CISO as a Service.
8. Zaměřte se na řízení dodavatelů
Organizace jsou často silně závislé na externích poskytovatelích IT, cloudových služeb, softwaru nebo dalších technologických řešení. Auditor proto může zkoumat nejen bezpečnost samotné organizace, ale také způsob, jakým řídí rizika svých dodavatelů.
Měli byste mít přehled například o tom:
- kteří dodavatelé jsou pro organizaci významní,
- jaké služby poskytují,
- k jakým systémům nebo datům mají přístup,
- jaká rizika s nimi souvisejí,
- jaké bezpečnostní požadavky obsahují smlouvy,
- zda je jejich bezpečnost pravidelně hodnocena,
- zda využívají významné poddodavatele,
- jak je řešeno ukončení smluvního vztahu.
Význam řízení dodavatelského rizika se přitom objevuje v celé řadě regulatorních rámců. DORA například stanovuje specifické požadavky na řízení rizik spojených s poskytovateli ICT služeb a počítá také s jejich dohledem či auditem.
9. Prověřte řízení bezpečnostních incidentů
Organizace by měla být připravena doložit nejen to, že má postup pro řešení incidentů, ale také že jej dokáže použít v praxi.
Auditor se může zajímat například o:
- způsob identifikace incidentů,
- jejich klasifikaci,
- odpovědnosti při řešení,
- eskalaci,
- interní a externí komunikaci,
- evidenci jednotlivých incidentů,
- analýzu jejich příčin,
- nápravná opatření,
- případné regulatorní hlášení.
Důležitá je také návaznost na další procesy. Pokud například incident odhalí novou zranitelnost nebo významnou hrozbu, měla by se tato informace promítnout do řízení rizik a případně vést k aktualizaci bezpečnostních opatření.
10. Ověřte zálohování, obnovu a kontinuitu
Samotná existence záloh není důkazem, že je organizace schopna obnovit své systémy.
Před auditem proto zkontrolujte:
- která data a systémy jsou zálohovány,
- zda jsou stanoveny požadavky na dobu obnovy,
- zda jsou zálohy chráněny proti neoprávněné změně nebo smazání,
- zda probíhá pravidelné testování obnovy,
- zda existují plány kontinuity,
- zda jsou tyto plány prakticky testovány.
Auditor se může například zeptat:
Kdy jste naposledy provedli úplnou obnovu kritického systému ze zálohy a jaký byl výsledek testu?
Pokud organizace dokáže předložit konkrétní protokol z testu, má mnohem přesvědčivější důkaz než pouhou informaci, že „zálohování máme nastavené“.
11. Zkontrolujte přístupová oprávnění
Správa identit a přístupových oprávnění bývá jednou z nejčastěji prověřovaných oblastí.
Před auditem je vhodné ověřit zejména:
- zda mají uživatelé pouze oprávnění potřebná pro svou práci,
- jak probíhá schvalování nových oprávnění,
- jak jsou odebírána oprávnění při změně pozice nebo odchodu zaměstnance,
- jak jsou spravovány privilegované účty,
- zda probíhají pravidelné revize oprávnění,
- zda jsou výsledky revizí dokumentovány.
Audit může velmi rychle odhalit například účty bývalých zaměstnanců, nadbytečná administrátorská oprávnění nebo dlouhodobě nepoužívané uživatelské účty.
12. Ověřte školení a bezpečnostní povědomí
Lidský faktor zůstává významnou součástí kybernetické bezpečnosti.
Organizace by proto měla být schopna doložit:
- kdo absolvoval bezpečnostní školení,
- kdy školení proběhlo,
- jaký byl jeho obsah,
- zda je pravidelně opakováno,
- jakým způsobem se ověřují získané znalosti,
- zda existují specializovaná školení pro vybrané role.
U vybraných rolí nemusí být obecné školení kybernetické bezpečnosti dostačující. Administrátoři, osoby zastávající bezpečnostní role, členové vedení nebo zaměstnanci zapojení do reakce na incidenty mohou potřebovat školení odpovídající jejich konkrétním odpovědnostem.
Konkrétní požadavky se přitom mohou lišit podle příslušné regulace. Například u poskytovatelů regulovaných služeb v režimu vyšších povinností podle ZKB vyžaduje vyhláška č. 409/2025 Sb. také vstupní a pravidelné školení vrcholného vedení zaměřené mimo jiné na jeho povinnosti, systém řízení bezpečnosti informací, řízení rizik a kontinuitu činností.
13. Prověřte otevřená zjištění a nápravná opatření
Jedna z nejhorších situací při auditu nastává, když auditor identifikuje problém, o kterém organizace již dlouho věděla, ale nic s ním neudělala.
Před zahájením auditu proto projděte:
- výsledky předchozích auditů,
- penetrační testy,
- bezpečnostní kontroly,
- výsledky analýz rizik,
- interní kontroly,
- závěry z bezpečnostních incidentů.
U každého otevřeného zjištění by měl existovat vlastník, termín a způsob nápravy. Pokud problém nelze odstranit okamžitě, je důležité minimálně doložit, že byl vyhodnocen, vrcholné vedení o něm ví a organizace má reálný plán jeho řešení.
Co si připravit před zahájením auditu?
Konkrétní seznam vždy závisí na rozsahu auditu, typicky je však vhodné mít rychle dostupné zejména:
- bezpečnostní politiky a vnitřní předpisy,
- prohlášení o aplikovatelnosti,
- přehled legislativních a regulatorních požadavků,
- evidenci aktiv,
- registr rizik,
- plán zvládání rizik,
- evidenci incidentů,
- seznam významných dodavatelů,
- přehled rolí a odpovědností,
- výsledky revizí přístupových oprávnění,
- evidenci bezpečnostních školení,
- výsledky bezpečnostních testů,
- záznamy o testování záloh a obnovy,
- plány kontinuity,
- výstupy z předchozích auditů,
- evidenci nápravných opatření.
Důležité je, aby jednotlivé dokumenty nebyly izolované.
Auditor by měl být například schopen sledovat logickou návaznost:
aktivum → riziko → bezpečnostní opatření → odpovědná osoba → úkol → důkaz o realizaci.
Právě tato provázanost výrazně usnadňuje prokazování skutečného fungování systému.
Jak může přípravu na audit usnadnit GRC platforma?
S rostoucím počtem požadavků je obtížné řídit kybernetickou bezpečnost prostřednictvím samostatných Excelů, dokumentů, e-mailů a úkolů v různých systémech.
GRC platforma umožňuje propojit jednotlivé oblasti systému řízení kybernetické bezpečnosti. Při auditu pak není nutné informace ručně dohledávat v několika složkách a tabulkách.
Software cybreg umožňuje na jednom místě řídit compliance, rizika, opatření, aktiva, dodavatele, incidenty, dokumentaci i související úkoly. Platforma je využitelná pro různé regulatorní a normativní rámce, včetně DORA, NIS2/ZKB, CRA a ISO 27001.
Významnou výhodou je také vznik průběžné auditní stopy. Organizace tak nemusí před každým auditem zpětně rekonstruovat, kdo dané opatření provedl, kdy bylo schváleno nebo jaké kroky následovaly po zjištění určitého rizika.
Potřebujete zjistit, zda je vaše organizace na audit připravena?
Nejste-li si jistí, zda vaše dokumentace, procesy a důkazy odpovídají požadavkům, zda je vhodné provést GAP analýzu nebo interní audit ještě před samotnou kontrolou, přípapdně jakým způsobem je provést?
Cybreg pomáhá organizacím s nastavením a řízením kybernetické bezpečnosti, compliance a řízení rizik podle různých regulatorních a normativních rámců.
Kontaktujte nás a společně prověříme aktuální stav, identifikujeme nedostatky a nastavíme systém tak, aby auditní připravenost nebyla jednorázovou aktivitou, ale součástí běžného řízení organizace.
