Čo je rámec auditných dôkazov?

Štyri typy identifikátorov a povinné väzby medzi nimi: opatrenie (CTRL), zistenie (FND), nápravné opatrenie (CAPA) a dôkaz (EVID). Rámec robí preskúmateľným, či ku každej požiadavke existuje dôkaz a ku každému nedostatku uzavreté opatrenie s overenou účinnosťou.

Z koľkých otázok sa audítny rozsah skladá?

Zo 96 položiek v dvanástich oblastiach, osem položiek na oblasť. Ku každej položke patrí konkrétna, rozhodnuteľná otázka, očakávaný typ dôkazu a metóda overenia.

Kedy nie je uzavreté nápravné opatrenie akceptovateľné?

V dvoch prípadoch: keď jeho účinnosť nebola otestovaná a keď k nemu nie je priradený dôkaz. CAPA Dashboard oba stavy vykazuje samostatne s nulovou cieľovou hodnotou.

Dá sa balík použiť aj bez NIS2 auditu?

Áno. Dvanásť oblastí sa prekrýva so skupinami opatrení podľa ISO 27001 a IEC 62443, takže rámec je použiteľný na interné preskúmanie aj na prípravu na dodávateľský audit.

Just B / NIS2 / Príprava na audit

Príprava na audit: rámec auditných dôkazov

NIS2 audit nerozhoduje počet politík, ale to, či ku každej požiadavke existuje dôkaz a ku každému nedostatku uzavreté opatrenie s overenou účinnosťou. Táto stránka zverejňuje rámec, ktorý na to používame, spolu s pracovnými zošitmi.

Štyri identifikátory, jedna väzba

Rámec stojí na štyroch typoch identifikátorov. Samotné identifikátory sú len evidenčná technika; hodnotu prináša povinná väzba medzi nimi.

CTRL — opatrenie← FND — zistenie← CAPA — nápravné opatrenie→ EVID — dôkaz

Identifikátor	Formát	Čo označuje	Pravidlo väzby
CTRL	CTRL-M03.04-##	Opatrenie v matici opatrení	Uzavretý zoznam, nezávislý od auditného cyklu
FND	FND-2026-###	Auditné zistenie	Viaže sa presne na jedno opatrenie
CAPA	CAPA-2026-###	Nápravné, preventívne alebo okamžité opatrenie	Viaže sa presne na jedno zistenie
EVID	EVID-2026-####	Konkrétny dôkaz	Viazateľný na opatrenie aj na nápravné opatrenie

Platí rovnaké pravidlo ako pri oblastiach NIS2 auditu: ak dôkaz nemožno predložiť v primeranom a vopred dohodnutom čase, organizácia nemá dôkaz, ale plán.

Pracovné zošity na vyžiadanie

Tri zošity, ktoré posielame e-mailom. Tlačidlo otvorí vopred vyplnenú správu vo vašom e-mailovom programe; súbor dostanete v odpovedi do jedného pracovného dňa. Používajú tú istú schému identifikátorov, takže spolu tvoria jeden systém, ale použiteľné sú aj samostatne.

REF.M03.04-01

Evidencia dôkazov a audítny checklist

Ukážka z audítneho rozsahu so 96 položkami: osem položiek jednej oblasti s konkrétnou otázkou, očakávaným typom dôkazu a metódou overenia. S úplným zoznamom pracujeme počas prípravy.

XLSX · ukážka · 1 oblasť

Vyžiadať

REF.M03.04-02

CAPA Dashboard

Súhrnný pohľad na nápravné opatrenia: stavové metriky a starnutie, rozdelenie podľa oblastí a samostatné vykazovanie dvoch neprípustných stavov s nulovou cieľovou hodnotou. Sedem listov.

XLSX · 18 kB · 7 listov

Vyžiadať

REF.M03.04-03

Action Log a väzba na dôkazy

Evidencia opatrení a priradenie dôkazov: koreňová príčina, zodpovednosť, termín, overenie účinnosti a krížová väzba CTRL – FND – CAPA – EVID. S dvanástimi vzorovými riadkami.

XLSX · 14 kB · 5 listov

Vyžiadať

Audítny rozsah so 96 položkami

Dvanásť oblastí, osem položiek na oblasť. Ku každej položke patrí rozhodnuteľná otázka — nie „existuje politika“, ale napríklad: je architektúra segmentácie zdokumentovaná a overená vzorkou reálnej prevádzky.

Oblasť	Položky	Typický dôkaz
GOV	Riadenie — 8 položiek	Rozhodnutie vedenia, menovací dekrét, politika, záznam z preskúmania
EIR	Evidencia a klasifikácia systémov — 8 položiek	Výpis z evidencie systémov, rozhodnutie o klasifikácii, mapa závislostí
RISK	Riziká — 8 položiek	Register rizík, metodika, plán zvládania, akceptácia zostatkového rizika
IAM	Prístupy — 8 položiek	Matica oprávnení, rekonciliácia kont, záznamy o privilegovaných prístupoch
OPS	Prevádzka — 8 položiek	Sieťový návrh, export pravidiel firewallu, protokol zálohovania a obnovy
VULN	Zraniteľnosti — 8 položiek	Správa o zraniteľnostiach, termíny nápravy, evidencia firmvéru
IR	Incidenty — 8 položiek	Register incidentov, notifikačná trasa, záznam zo simulácie
BCP	Kontinuita — 8 položiek	Analýza dopadov, cieľové časy obnovy, manuálny režim, výsledok testu
SUP	Dodávatelia — 8 položiek	Bezpečnostná príloha zmluvy, hodnotenie dodávateľa, záznamy vzdialených prístupov
HRTR	Ľudia a školenia — 8 položiek	Vstupný a výstupný checklist, prezenčná listina, pokrytie školení
PHYS	Fyzická bezpečnosť — 8 položiek	Záznamy vstupov, rozdelenie zón, ochrana technických miestností a rozvádzačov
AUD	Audítny proces — 8 položiek	Plán auditu, záznam o vzorkovaní, správa zistení, následná kontrola

Päť metód overenia

Ku každej položke je priradené, čím sa dá overiť. Jedna položka môže mať aj viac metód; metóda určuje, čo treba pripraviť.

Kód	Metóda	Položky	Čo sa akceptuje
D	Preskúmanie dokumentácie	94	Schválený, datovaný a platný dokument
M	Vzorkovanie	65	Export konfigurácie alebo logov za posudzované obdobie
I	Rozhovor	33	Odpoveď zodpovednej osoby porovnaná s opísaným procesom
T	Test systému	28	Protokol testu s merateľným výsledkom
O	Obhliadka na mieste	6	Záznam z obhliadky, fotodokumentácia

Dva stavy, ktoré na audite neprejdú

CAPA Dashboard vykazuje dve situácie samostatne, obe s nulovou cieľovou hodnotou. Samostatne preto, že nejde o administratívne nedostatky, ale o spochybnenie platnosti uzavretia.

Uzavreté, ale neotestovaná účinnosť. Uzavretie tvrdí, že nedostatok zanikol. To sa musí zmerať, nie vyhlásiť.

Uzavretie bez dôkazu. Opatrenie, ku ktorému nepatrí identifikátor EVID. Neobhájiteľné na audite ani na internom preskúmaní.

Ako pracujeme

Filter použiteľnosti96 položiek spoločne prefiltrujeme pre organizáciu, ku každej vyradenej položke s odôvodnením.

Inventúra dôkazovPri každej položke zmapujeme, aký dôkaz dnes existuje, kde je a kto je jeho vlastníkom.

Nedostatky a opatreniaNedostatky zoradíme podľa priority a ku každému otvoríme opatrenie s overenou príčinou, zodpovednou osobou a termínom.

Balík pripravený na auditPred uzavretím zmeriame účinnosť a audítorovi odovzdáme dôkazy z evidencie.

Výrobná firma? Audit prevádzky: NIS2 a Lean z jednej obhliadky →

Príprava na audit so sprievodom

Príprava zvyčajne začína filtrom použiteľnosti 96 položiek a prvým kolom inventúry dôkazov, a pokračuje prioritizáciou nedostatkov.

Bezplatné NIS2 sebahodnotenie → — 12 otázok, okamžitý výsledok, bez ukladania údajov.

info@just-b-ltd.com

Časté otázky

Čo je rámec auditných dôkazov?: Štyri typy identifikátorov a povinné väzby medzi nimi: opatrenie (CTRL), zistenie (FND), nápravné opatrenie (CAPA) a dôkaz (EVID). Rámec robí preskúmateľným, či ku každej požiadavke existuje dôkaz a ku každému nedostatku uzavreté opatrenie s overenou účinnosťou.
Z koľkých otázok sa audítny rozsah skladá?: Zo 96 položiek v dvanástich oblastiach, osem položiek na oblasť. Ku každej položke patrí konkrétna, rozhodnuteľná otázka, očakávaný typ dôkazu a metóda overenia.
Kedy nie je uzavreté nápravné opatrenie akceptovateľné?: V dvoch prípadoch: keď jeho účinnosť nebola otestovaná a keď k nemu nie je priradený dôkaz. CAPA Dashboard oba stavy vykazuje samostatne s nulovou cieľovou hodnotou.
Dá sa balík použiť aj bez NIS2 auditu?: Áno. Dvanásť oblastí sa prekrýva so skupinami opatrení podľa ISO 27001 a IEC 62443, takže rámec je použiteľný na interné preskúmanie aj na prípravu na dodávateľský audit.

Späť na prehľad NIS2 · Profil rozsahu auditu · Zmeny 212/2026 · Oddelenie IT a OT