TISAX® a NIS2 · 2Marsa — příprava na audit, GAP analýza zdarma, dokumentace a technická opatření

01 — Nabídka

Tři situace, jedna cesta: zjistit stav, doplnit, obhájit.

TISAX® a NIS2 nejsou totéž, ale velká část opatření se překrývá: přístupy, zálohy, incidenty, dodavatelé, dokumentace. Navrhujeme je tak, aby jedna práce obstála u obou — a aby ji šlo po auditu udržet bez konzultanta na plný úvazek.

TISAX® — zákazník z automotive chce label. Přesně daný katalog (VDA ISA), úroveň AL2 nebo AL3, audit assessorem.

NIS2 — zákonná povinnost podle oboru a velikosti. Řízení rizik, odpovědnost vedení, hlášení incidentů.

Udržení — po auditu se stav nesmí rozpadnout. Pravidelná revize a příprava na re-assessment.

Příprava na TISAX® audit

dle rozsahu · nabídka po GAP analýze

Od GAP analýzy po den s assessorem. Dokumentaci píšeme podle toho, jak firma opravdu funguje — ne naopak — a technická opatření zavádíme spolu s vaším IT, nebo je zavedeme sami.

Dokumentace: politiky, evidence aktiv, přístupy, dodavatelé, incidenty
Technická opatření: MFA, zálohy s testem obnovy, logování, segmentace sítě
Pentest veřejné strany a hlavního serveru jako součást (20 000 Kč)
Příprava odpovědí na otázky assessora, pre-audit
Doprovod při auditu a pomoc s nápravou nálezů

Příprava na NIS2

dle rozsahu · nejdřív ověření, jestli se vás týká

Než cokoli začneme, posoudíme podle oboru a velikosti, jestli a v jakém režimu pod NIS2 spadáte. Pak stejný postup: stav, plán, opatření, dokumentace.

Ověření relevance a režimu povinností
Řízení rizik, role a odpovědnost vedení
Postup pro incidenty včetně hlášení
Bezpečnost dodavatelů a kontinuita provozu

Ověřit, jestli se mě týká →

Udržení stavu po auditu

pravidelná revize · cena dle rozsahu

Label platí tři roky, ale dokumentace zastarává za tři měsíce. Pravidelně projdeme, co se ve firmě změnilo, a upravíme dokumenty i opatření, aby re-assessment nebyl nová příprava od nuly.

Revize dokumentace a evidence změn
Kontrola, že opatření běží (zálohy, přístupy, odchody lidí)
Podklady pro vedení: rizika, incidenty, stav
Příprava na re-assessment

02 — Rozsah

Co je v GAP analýze a co určuje cenu přípravy

GAP analýza je zdarma, protože bez ní neumíme říct poctivou cenu — a vy nevíte, do čeho jdete. Její výstup je váš, i když se pak rozhodnete připravovat se sami.

Je v GAP analýze

Strukturovaný dotazník podle katalogu (VDA ISA pro TISAX®, oblasti NIS2)
Krátký technický průzkum: přístupy, zálohy, síť, e-mail, zařízení
Report: stav po oblastech, co chybí, priorita
Odhad pracnosti a nabídka na přípravu

Není v GAP analýze

Psaní dokumentace a zavádění opatření — to je příprava
Penetrační test (samostatná položka, 20 000 Kč)
Právní výklad, jestli a jak se na vás vztahuje zákon — posoudíme prakticky, závazně to řekne právník
Samotný audit — provádí akreditovaný assessor, ne my

Co určuje cenu přípravy	Proč
Úroveň: AL2, nebo AL3	AL3 přidává požadavky na prototypy a fyzickou bezpečnost, audit je na místě a důkladnější.
Velikost: lidé, lokality, systémy	Každá lokalita a každý systém se musí popsat, zabezpečit a doložit.
Stav dokumentace	Aktualizovat existující je rychlejší než psát od nuly — ale dokumentace, která neodpovídá realitě, se přepisuje.
Stav IT	Chybějící MFA, netestované zálohy nebo plochá síť znamenají technickou práci, ne jen papír.
Kdo zavádí opatření	Vaše IT podle našeho plánu, nebo my. Obojí jde; liší se cena a tempo.

TISAX® je registrovaná značka ENX Association. 2Marsa není certifikační orgán ani assessor — pomáháme s přípravou, dokumentací a opatřeními. U NIS2 děláme praktickou přípravu; závazný právní výklad povinností je práce pro právníka a tato stránka není právní poradenství.

03 — Proč teď

Většinou to začne e-mailem od zákazníka.

U TISAX® je spouštěč skoro vždy stejný: OEM nebo Tier 1 pošle požadavek na label s termínem. U NIS2 je to zákon — jestli se vás týká, záleží na oboru a velikosti firmy, a právě to ověříme jako první. V obou případech platí totéž: čím dřív víte, kde jste, tím míň to bude stát.

Nejčastější chyba: začít psaním dokumentace podle vzoru z internetu. Assessor pozná dokument, který nikdo ve firmě nečetl. Proto začínáme stavem, ne šablonou.

Pentest jako součást přípravy →

04 — Průběh

Jak příprava probíhá

Čtyři kroky. Délka závisí na stavu, ve kterém firma je — řekneme ji po GAP analýze a nastavíme podle termínu od zákazníka.

01

GAP analýza

Dotazník, krátký průzkum IT, report. Víte, kde jste, co chybí a co to bude stát.

Zdarma

02

Plán opatření

Co první, co může počkat, kdo to udělá. Pevná nabídka na přípravu, rozdělená na etapy.

Pevná cena

03

Dokumentace a opatření

Politiky a evidence podle reality firmy. MFA, zálohy, logování, přístupy. Pentest veřejné strany. Školení lidí, kterých se to týká.

Etapy dle plánu

04

Pre-audit a doprovod

Projdeme otázky assessora nanečisto, opravíme, co drhne. U auditu jsme s vámi a pomůžeme s nápravou případných nálezů.

Před auditem a při něm

Po auditu: pravidelná revize, aby dokumentace nezastarala a re-assessment za tři roky byl kontrola, ne nová příprava.

05 — Co dostanete

Dokumenty, které jsou vaše — a čitelné

Nic z toho nezůstává „v hlavě konzultanta“. Všechno je napsané tak, aby to po nás převzal kdokoli.

Report GAP analýzy: stav po oblastech, priority, odhad pracnosti

Akční plán s pořadím kroků a odpovědnostmi

Sada dokumentace: politiky, evidence aktiv, matice přístupů, postupy pro incidenty, dodavatelé

Technická opatření zavedená a zdokumentovaná: MFA, zálohy s testem obnovy, logování, síť

Pentest report a potvrzení o testu pro assessora

Připravené odpovědi na otázky assessora a podklady k auditu

06 — Ukázka

Takhle vypadá výstup GAP analýzy

Jedna strana přehledu, pak detail po oblastech. Ukázka je smyšlená — firma neexistuje — ale struktura, hloubka a typ nálezů odpovídají skutečnému reportu.

2M · GAP ANALÝZA

Přehled Oblasti Plán

TISAX® AL2 · Ukázková firma s.r.o.

Přehled a zadání

Stav připravenosti na TISAX® AL2: tři oblasti chybí úplně, dvě částečně.

Firma: Strojírenský dodavatel, Tier 2, 45 lidí, 1 lokalita (výroba + kancelář)
Cíl: TISAX® AL2 — požadavek zákazníka, termín auditu za 5 měsíců
Podklad: Dotazník (vyplnil jednatel + externí IT), 3 h průzkum na místě
Závěr: Připravitelné v termínu; kritická cesta = přístupy a dodavatelé

Oblast	Stav	Co chybí	Priorita
Řízení přístupů	Částečně	MFA jen u e-mailu; ve výrobě 3 sdílené účty; odchody lidí se neřeší technicky	Vysoká
Dodavatelé	Chybí	Žádná evidence přístupů třetích stran; NDA u 3 z 11 dodavatelů	Vysoká
Incidenty	Chybí	Není postup ani evidence; poslední výpadek řešen telefonicky, bez záznamu	Vysoká
Zálohy	Částečně	Zálohy běží denně, obnova nikdy netestována; kopie mimo lokalitu chybí	Střední
Dokumentace	Částečně	Bezpečnostní politika z roku 2021, neodpovídá dnešnímu IT ani rolím	Střední
Fyzická bezpečnost	Splněno	Čipy, kniha návštěv, serverovna zamčená — jen doplnit evidenci klíčů	Nízká

Prioritní kroky

Přístupy: zrušit sdílené účty, MFA všude, kde je to možné, checklist pro odchod zaměstnance.
Dodavatelé: evidence, NDA, revize přístupů třetích stran.
Incidenty: jednoduchý postup + evidence; proškolit 4 lidi, kteří výpadky řeší.
Zálohy: test obnovy, kopie mimo lokalitu, zápis o testu.
Dokumentace: přepsat politiku podle reality, doplnit evidenci aktiv.

Odhad pracnosti a další krok

Příprava proveditelná v termínu ve třech etapách. Technická opatření (body 1 a 4) zvládne externí IT podle našeho plánu; dokumentaci a dodavatele děláme my. Pentest veřejné strany zařadit do druhé etapy, aby retest stihl audit.

Nabídka: pevná cena po etapách, samostatně pentest 20 000 Kč.

2Marsa s.r.o. · GAP analýza · TISAX® AL2 Ukázka je smyšlená · struktura odpovídá skutečnému výstupu

07 — Pojďme zjistit stav

Začněte GAP analýzou. Je zdarma a výstup je váš.

Napište, jestli jde o TISAX® nebo NIS2, kolik máte lidí a lokalit a jaký máte termín. Pošleme dotazník; po vyplnění dostanete report a nabídku.

Dotazník: týká se mě to? info@2marsa.cz