Postup při bezpečnostním incidentu (Incident Response Plán) — Sokordia, s.r.o.

Verze: 1.0 | Datum: 2026-01-01

1. Účel

Tento dokument popisuje postup společnosti Sokordia, s.r.o. při zjištění bezpečnostního incidentu, který vede nebo může vést k narušení bezpečnosti osobních údajů zpracovávaných na platformě Sokordia iSpis (náhodné nebo protiprávní zničení, ztráta, změna, neoprávněné zpřístupnění nebo neoprávněný přístup k osobním údajům).

2. Kontaktní místo

Incidenty se hlásí na info@sokordia.cz. Za koordinaci řešení incidentu odpovídá jednatel společnosti (Mgr. Martin Šárfy).

3. Kroky při řešení incidentu

  1. Identifikace — potvrzení, že došlo k bezpečnostnímu incidentu, a určení jeho rozsahu (které systémy, kteří tenanti, jaké kategorie osobních údajů a přibližný počet dotčených subjektů údajů).
  2. Omezení a zamezení dalších škod — okamžitá technická opatření k zastavení incidentu (např. odpojení postiženého systému, zneplatnění přístupových údajů, uzavření zranitelnosti).
  3. Vyhodnocení rizika — posouzení pravděpodobnosti a závažnosti dopadu na práva a svobody dotčených subjektů údajů.
  4. Oznámení dozorovému úřadu — pokud incident zakládá riziko pro práva a svobody fyzických osob, oznámí Sokordia incident Úřadu pro ochranu osobních údajů bez zbytečného odkladu, nejpozději do 72 hodin od zjištění (čl. 33 GDPR).
  5. Informování dotčeného klienta/tenanta — dotčený klient (tenant, v roli správce) je o incidentu informován bez zbytečného odkladu, nejpozději však ve lhůtě sjednané v příslušné Smlouvě o zpracování osobních údajů s daným klientem (např. do 24 hodin od zjištění incidentu), aby mohl případně splnit vlastní oznamovací povinnost vůči dozorovému úřadu a subjektům údajů (čl. 33/34 GDPR).
  6. Obnova dat ze záloh — pokud incident vedl ke ztrátě nebo zničení dat, jsou data obnovena ze šifrovaných záloh (viz Interní politika zpracování osobních údajů, bod 9) do stavu platného v čase bezprostředně před incidentem.
  7. Náprava — odstranění příčiny incidentu a nasazení opatření k zamezení jeho opakování.
  8. Záznam a vyhodnocení — každý incident je zaznamenán (datum, popis, rozsah, přijatá opatření, poučení do budoucna) pro účely evidence dle čl. 33 odst. 5 GDPR.

4. Evidence incidentů

Sokordia vede evidenci všech zjištěných bezpečnostních incidentů týkajících se osobních údajů, včetně těch, které nezakládaly oznamovací povinnost, spolu s odůvodněním tohoto posouzení.

5. Revize dokumentu

Tento dokument je revidován nejméně jednou ročně, případně bez zbytečného odkladu po každém řešeném bezpečnostním incidentu nebo změně relevantních smluvních závazků. Za revizi odpovídá jednatel společnosti (Mgr. Martin Šárfy).

6. Vztah k dalším dokumentům

Tento plán doplňuje gdpr-interni-politika.md (bod 9 — technická a organizační opatření, bod 12 — Bezpečnostní incidenty).