BEARCLAVE

ZoKB a DORA — soulad Microsoft prostředí

Analýza přeloží povinnosti podle zákona č. 264/2025 Sb. (NIS2) a nařízení DORA na konkrétní nastavení Microsoft 365 a Azure. Výstupem není tabulka ano-ne, ale konkrétní nastavení, které chybí, a pořadí, v jakém to doplnit.

Cena

od 75 000 Kč

Výstup

do 4 týdnů od zřízení přístupů

Rozsah

pouze cloudové prostředí

Rezervovat úvodní hovor Co analýza projde

Obsah analýzy

Co analýza projde

Osm oblastí povinností, u každé se hledá odraz v konkrétním nastavení Microsoft 365 a Azure. Co odraz v cloudu nemá, se označí jako mimo rozsah — a je to informace, ne mezera.

Vymezení regulovaných služebKteré služby jsou v rozsahu a kde běží. Vstup dodáváte písemně, bez něj se rozsah rozteče a analýza se nemá o co opřít.
Řízení identit a přístupuMapování povinností na skutečné nastavení účtů, rolí, schvalování a pravidelného přezkumu oprávnění v Entra ID.
Vícefaktorové ověřeníJaké metody jsou vynucené, kde jsou výjimky a jestli odolnost odpovídá tomu, co po vás regulace chce.
Detekce a hlášení incidentůCo se skutečně detekuje v Defenderu a Sentinelu, jak vzniká incident, kdo ho hlásí dál a jestli se stihnou zákonné lhůty.
Logování, retence a doložitelnostJaké záznamy se drží a jak dlouho, a jestli se dá plnění doložit exportem, ne tvrzením.
Ochrana dat v clouduŠifrování, klasifikace a prevence úniku v rozsahu, který jde nastavit v tenantu.
Kontinuita cloudových služebCo Microsoft služby zálohují samy, co si musíte zajistit a co by po výpadku reálně chybělo.
Dodavatelé a registr informacíKteré údaje do registru informací jde získat přímo z cloudového prostředí a které si musíte doplnit odjinud.
Co analýza nezahrnuje

Všechno mimo Microsoft 365 a Azure. Vlastní servery, síť v kancelářích, koncová zařízení mimo správu tenantu, výrobní a provozní technologie, aplikace třetích stran ani papírová část compliance nejsou v rozsahu a analýza o nich nevypovídá. Dále právní posouzení toho, jestli pod zákon spadáte, organizační opatření a směrnice, analýza dopadů, plány kontinuity, penetrační testy a smluvní vztahy s dodavateli.

Vstupy

Co je potřeba od vás

  • Účet ve vašem prostředí — buď hostovský účet pozvaný do vašeho tenantu, nebo účet, který u sebe založíte. Stačí jeden, má jen čtení a po předání ho zrušíte.
  • Čtení nad tenantem ve stejném rozsahu jako u hardeningu.
  • Čtení nad Sentinelem, pokud se má doložit logování a retence.
  • Seznam regulovaných služeb písemně. Vstup, bez kterého se nedá začít.
  • Kontakt na odpovědnou osobu za soulad, jmenovitě. Často to není nikdo z IT.

Jak zacházíme s vaším prostředím a daty →

Seznam regulovaných služeb se vyžaduje před startem, ne v průběhu. Je to jediný způsob, jak udržet pevnou cenu.

Výstup

Co dostanete

  • Mapování povinnost → opatření → konkrétní nastavení → stav → mezera, v rozsahu cloudového prostředí.
  • U každé mezery priorita a odhad náročnosti. Právě to odlišuje použitelný výstup od tabulky ano-ne.
  • Roadmapu seřazenou podle závažnosti.
  • Důkazní balík — co se dá vyexportovat jako doklad plnění pro regulátora nebo pro dotazník od zákazníka.
  • Seznam povinností mimo rozsah, aby bylo černé na bílém, co ještě zbývá vyřešit jinde.
  • Report v PDF, jednoduchý výstup pro vedení a zápis z předání.

Průběh

Jak to probíhá

Úvodní hovor

Třicet minut. Seznámíme se a ujasníme si, v jakém režimu povinností jste, které služby považujete za regulované a kdo za soulad odpovídá.

Vymezení rozsahu

Písemný seznam regulovaných služeb a přístupy pro čtení.

Analýza a mapování

Sběr konfigurace a mapování na povinnosti. Bez zásahu do provozu.

Předání

Prezentace mapování a roadmapy odpovědné osobě a vedení.

Časté dotazy

Na co se ptají nejčastěji

Znamená to, že po analýze budeme v souladu?
Ne. Analýza pokrývá pouze prostředí Microsoft 365 a Azure. Soulad se ZoKB ani DORA se netýká jen cloudu — zahrnuje procesy, smlouvy, lidi, vlastní infrastrukturu i provozní technologie. Za zbytek nemůže Bearclave ručit a součástí výstupu je proto výslovný seznam toho, co je mimo rozsah.
Řekne mi to, jestli pod zákon spadám?
Ne. Zákon stojí na vlastním vyhodnocení a je to vaše rozhodnutí, u kterého vám má pomoci právník. Analýza navazuje až za ním a řeší, jak povinnosti naplnit technicky v cloudu.
Máme gap analýzu na papíře od poradenské firmy.
Pak na ni navážeme a neděláme ji podruhé. Papírová analýza typicky končí zjištěním, že něco chybí. Tahle říká, které konkrétní nastavení to je a jak náročné je ho doplnit.
Potřebujeme ZoKB i DORA. Je to dvojnásobek práce?
Není. Mapování se liší, ale sběr dat je stejný. Když se obojí dělá najednou, je to podstatně levnější než dvě samostatné zakázky.
Co když povinnost nemá odraz v našem cloudovém prostředí?
Označí se jako mimo rozsah. Není to mezera v analýze, ale informace, že to musíte vyřešit organizačně, smluvně nebo na vlastní infrastruktuře. Znalost té hranice je součástí toho, co si kupujete.

Souvisí

Na co to navazuje

Hardening M365 a AzureStejný sběr dat, měřeno proti bezpečnostní praxi místo proti regulaci. Microsoft Purview — klasifikace a DLPBez klasifikace nejde doložit, jak nakládáte s daty.

Nevíte, kde v regulaci stojíte? Půl hodiny to napoví

Stačí vědět, v jakém režimu povinností jste a které služby považujete za regulované.

Rezervovat úvodní hovor Zpět na služby