Pojišťovna nabízející kybernetickou pojistku si obvykle vyžádá kombinaci dokumentů: přehled osobních údajů, které zpracováváte a k jakému účelu, popis vašich technických a organizačních bezpečnostních opatření, důkaz dohod se dodavateli, kteří údaje zpracovávají vaším jménem, a protokol pro případ, že se něco pokazí. Někteří pojišťovatelé si to vyžádají samostatně, jiní to zakomponují do jednoho digitálního dotazníku.
Neexistuje žádný zákonný seznam dokumentů vyžadovaných pro kybernetickou pojistku. Samotné GDPR ukládá povinnost odpovědnosti: organizace musí být schopna prokázat, že uvažuje o ochraně osobních údajů a má ji zajištěnou. Jak bude tato prokázatelnost vypadat, určuje pojišťovna sama, nikoli zákon. Právě tento detail se v tomto nákupním okamžiku nejčastěji přehlíží: podnikatelé hledají ten správný formulář nebo certifikát, který bude stačit, zatímco pojišťovny v praxi především chtějí vidět, že existuje jednotný celek.
Co si pojišťovna obvykle přeje vidět
Jádrem většiny dotazníků je rejstřík zpracování: přehled osobních údajů, které zpracováváte, jejich účel, jak dlouho je uchovávejete a kdo k nim má přístup. Kromě toho se často dotazují na dohody o zpracování s stranami, které údaje zpracovávají vaším jménem, jako je váš účetní balíček, HR systém nebo marketingový nástroj. Třetí běžnou součástí je protokol pro narušení ochrany údajů: jak zjistíte incident, koho informujete ve své organizaci a jak posoudíte, zda je zapotřebí oznámení příslušnému úřadu pro ochranu osobních údajů. Pokud si nejste jisti, zda se situace řadí do této kategorie, můžete to vidět v několika otázkách, kde se situace zhruba nachází.
Pojišťovny se obvykle dívají dále než jen na GDPR. Otázky o zálohách, zásadách hesel, dvoustupňovém ověřování a na to, kdo v podniku má přístup k jakým systémům, patří do informační bezpečnosti v širším smyslu. To se překrývá s ochranou osobních údajů, ale není si jí rovno: podnik může mít pečlivě zpracovaný rejstřík zpracování a zároveň slabou technickou bezpečnost, nebo naopak. Přehled opatření, která jste skutečně zavedli, pomůže propojit tyto dva aspekty; viz také jak se na to hledí při posuzování údajů a ochrany osobních údajů.
Proč je prokázatelnost něco jiného než certifikace
Často se klade otázka, zda certifikát ISO nebo jiná certifikace nenahradí důkaz, který pojišťovna hledá. Certifikát může mít váhu, ale zřídka nahrazuje otázku o vaší konkrétní situaci: které údaje právě tato společnost zpracovává, s kterými dodavateli spolupracuje a co se stane, když se něco pokazí. V tomto bodě sledují regulační orgány a pojišťovny podobné věci, ale s jiným účelem: regulační orgán posuzuje soulad se zákonem, pojišťovna odhaduje riziko dříve, než vydá pojistku. Tento rozdíl vysvětluje, proč si někdy dva pojišťovatelé vyžádají mírně odlišné dokumenty, zatímco podkladová základna — rejstřík, dohody, protokol — zůstávají stále stejné.
Co si můžete připravit dopředu
Je rozumné začít s tím, co již máte: jaký software a dodavatele vaše společnost používá a zda k tomu existuje dohoda o zpracování. Poté jde o to zaznamenat, co se skutečně děje: jaké údaje se nachází kde, kdo k nim má přístup a jak dlouho se uchovávají. Pro podniky, které si to mapují poprvé, je strukturovaný přehled často kladených otázek dobrým výchozím bodem; viz odpovědi na otázky, které se zde často vyskytují.
Pokud chcete nejdříve pochopit, jak je takový seznam dokumentů strukturován a na jakých informacích je založen, můžete si to přečíst v znalostní bázi. Tam je na každé téma krátká odpověď s odkazem na příslušné místo v oficiálním textu, aby jste sami mohli ověřit, odkud konkrétní požadavek pochází; podívejte se například do znalostní base s vysvětlením pro jednotlivá témata než budete hovořit s pojišťovnou.
Od jednotlivých dokumentů k průběžnému registru
Nejzásadnější věc v tomto okamžiku nákupu není vypracování jednoho dokumentu, ale jeho aktualizace. Registr zpracování údajů vytvořený před rokem a od té doby neaktualizovaný často již neodpovídá nástrojům, které podnik mezitím používá. Systém, který nechá registr růst spolu s fakticky používaným software a sleduje, které smlouvy se zpracovateli chybí, ušetří čas v okamžiku, kdy vás pojišťovna najednou požádá o předložení.
Zda se to v současné chvíli týká vašeho podniku a které dokumenty konkrétně potřebujete, je věc, kterou si nejlépe proberete přímo s pojišťovnou nebo s poradcem; tento článek poskytuje vysvětlení, nikoli právní radu týkající se vaší konkrétní smlouvy.
Chcete si nejdříve sami prohlédnout, kde se váš podnik přibližně nachází? Bezplatná rychlá kontrola vám v několika otázkách dá představu, a v znalostní bázi najdete pro každé téma krátkou odpověď s odkazem. Pokud chcete registr a monitorování poté systematicky udržovat, přečtěte si na jaké jsou náklady na systém co je v tom zahrnuto.