Řízení incidentů
Organizace: [doplnit] · Vlastník: [doplnit] · Schválil: [doplnit]
Účinné od: [doplnit po schválení] · Revize: [doplnit]
Kontakty a odpovědnost
Doplňte dostupný kontakt pro hlášení, vedoucího incidentu, technický zásah, komunikaci, právní podporu a zástupy. Určete, kdo může zastavit službu nebo izolovat účet. Kontakt otestujte včetně situace mimo běžnou pracovní dobu, pokud to služba vyžaduje.
Postup
- Přijetí: zaznamenejte čas zjištění, oznamovatele a dostupná fakta.
- Posouzení: určete zasažené systémy, osoby, data, rozsah a závažnost. Průběžně oddělujte potvrzená fakta od odhadů.
- Omezení dopadu: proveďte oprávněné zásahy a chraňte důkazy; zvažte dopad zastavení služby.
- Oznamování: samostatně posuďte každý právní a smluvní režim. Nečekejte na úplnou analýzu, pokud už běží oznamovací lhůta.
- Obnova: ověřte odstranění příčiny, integritu dat a splnění kritérií návratu.
- Poučení: přidělte nápravné úkoly, vlastníky a kontrolu jejich účinnosti.
Rozlišení oznámení
| Režim | Co spouští posouzení | Kam pro konkrétní pravidla |
|---|---|---|
| GDPR | Porušení zabezpečení osobních údajů, role správce/zpracovatele a riziko pro osoby | GDPR — správce ohlašuje dozorovému úřadu bez zbytečného odkladu, pokud možno do 72 hodin od zjištění porušení, ledaže je nepravděpodobné riziko pro práva a svobody osob (čl. 33 odst. 1); samostatná pravidla pro zpracovatele a osoby |
| Česká kybernetická bezpečnost | Regulovaná služba, režim a příslušný typ incidentu | NIS2 — prvotní hlášení podle § 16 ZoKB; navazující oznámení a zprávy za podmínek § 16 odst. 3, průběžná zpráva na žádost; zohledněte zvláštní režim digitálních služeb v § 18 |
| DORA | Závažný ICT incident finančního subjektu v působnosti | DORA — vazba na klasifikaci a zjištění, následné reporty |
| AI Act | Závažný incident příslušného vysokorizikového systému, role a datum použitelnosti | AI Act — zejména čl. 73 a povinnosti nasazujícího subjektu |
Interní doba reakce není zákonná oznamovací lhůta. U každého oznámení evidujte rozhodný okamžik, adresáta, termín, obsah a následnou aktualizaci. Ne každá halucinace je automaticky závažný incident podle AI Actu.
Záznam a přezkum
Záznam má obsahovat časovou osu, dopad, přijatá opatření, rozhodnutí o oznámení i neoznámení, předané zprávy a odpovědné osoby. Uchování důkazů plánujte podle účelu, sporů a použitelných pravidel; neexistuje společná pětiletá lhůta pro všechny incidenty.
Postup ověřte cvičením s konkrétním scénářem a upravte podle výsledku. Neschválené kontakty a obecné formulace nesmějí zůstat v provozní verzi.
Text vzoru revidován 6. 9. 2026. Podrobné právní zdroje jsou v odkazovaných průvodcích. L1 — Align pomáhá připravit podklady a odpovědnosti; rozsah přizpůsobení a zavedení se sjednává v nabídce.