Jak auditorovi doložit, že se lidé se směrnicí seznámili

Čtvrtý a poslední díl série Dokumenty v SharePointu. Ve třetím díle jsme nastavili knihovnu pro řízenou dokumentaci a skončili u jediné věci, kterou SharePoint sám nedoloží. Dnes o ní.

Při auditu bezpečnosti informací přijde dřív nebo později otázka, která zaskočí i firmy s pečlivě vedenou dokumentací: „Kdo se seznámil s bezpečnostní politikou ve verzi 2.1? A kdo ještě ne?“

Politika je schválená, leží na správném místě ve správné verzi, auditní záznam ukáže, kdo ji otevřel. Jenže otevření není seznámení. Kdo dokument otevřel, nemusel ho dočíst, a kdo ho dočetl, nemusel to nikde potvrdit. Odpověď pak obvykle zní: „Rozeslali jsme to e-mailem“ – a auditor si poznamená zjištění.

Tenhle díl je o tom, jak seznámení doložit. Porovnáme tři cesty, od nejjednodušší po nejsilnější, a řekneme si poctivě, kdy která stačí.

Co přesně se po vás chce

ISO/IEC 27001

Norma v kapitole 7.3 chce, aby si lidé pracující pro organizaci byli vědomi bezpečnostní politiky, svého podílu na fungování systému řízení bezpečnosti a důsledků toho, když pravidla nedodrží. Kapitola 7.2 k tomu žádá uchovávat dokumentované informace jako doklad kompetence. A příloha A podle běžně citovaného znění opatření 5.1 chce, aby politiky byly dotčeným lidem sdělené a jimi vzaté na vědomí; podle stejného znění opatření 6.3 pak chce školení a pravidelné informování o politikách podle role.

Text normy neříká, jakou formou to doložit. V praxi auditu se ale doklad o vzetí na vědomí očekává – ať už podpis, potvrzovací e-mail, nebo záznam v systému.

Zákon o kybernetické bezpečnosti (NIS2)

Od 1. listopadu 2025 je v Česku účinný nový zákon č. 264/2025 Sb., o kybernetické bezpečnosti, který přebírá evropskou směrnici NIS2. Bezpečnostní opatření rozepisují dvě vyhlášky: č. 409/2025 Sb. pro režim vyšších povinností a č. 410/2025 Sb. pro režim nižších povinností. Pod zákon spadají zejména střední a velké podniky ve vyjmenovaných odvětvích (podle NÚKIB zhruba od 50 zaměstnanců nebo od 10 milionů eur obratu či bilanční sumy). Opatření je potřeba začít zavádět nejpozději do roka od doručení rozhodnutí o registraci služby.

Co vyhlášky chtějí v oblasti, o které je tento článek:

• Informovat lidi o politice. Vyhláška pro vyšší režim chce, aby bezpečnostní politika a dokumentace byly řízené tak, aby dotčené osoby byly „informovány o právech, povinnostech a postupech v nich obsažených“ (§ 6 odst. 5 písm. b). Obě vyhlášky chtějí politiku pravidelně přezkoumávat; vyhláška pro nižší režim navíc chce stanovit politiku bezpečného chování uživatelů.
• Školit a ověřovat. Vyšší režim chce poučení uživatelů o jejich povinnostech a o bezpečnostní politice formou vstupních a pravidelných školení a pravidelné ověřování bezpečnostního povědomí (§ 10 odst. 3). Nižší režim chce vstupní a pravidelná školení v kybernetické bezpečnosti (§ 5 odst. 2).
• Vést přehledy. Obě vyhlášky chtějí přehledy o poučení a školeních se seznamem osob, které je absolvovaly (vyhláška 409/2025 Sb. § 10 odst. 5, vyhláška 410/2025 Sb. § 5 odst. 3). Vrcholné vedení má školení absolvovat prokazatelně.

Poctivě: vyhlášky nežádají podpis pod každou politikou a dobu uchování přehledů o školení nestanoví. Chtějí, aby lidé byli informovaní a proškolení a abyste to uměli ukázat v přehledu se jmény. Záznam o seznámení s konkrétní verzí politiky je přirozený způsob, jak takový přehled vést – a s ověřovacími otázkami může sloužit i jako jeden z dokladů o ověřování povědomí. Jestli a v jakém režimu se zákon týká právě vás, je samostatná otázka; NÚKIB k tomu provozuje portál a samoidentifikaci.

Co musí dobrý důkaz obsahovat

Ať zvolíte jakoukoli cestu, auditor se bude ptát na stejné věci. Dobrý záznam o seznámení odpoví na všechny:

• Kdo – konkrétní člověk, ne „oddělení“.
• Co – konkrétní dokument v konkrétní verzi. Potvrzení verze 1.0 nic neříká o verzi 2.1.
• Kdy – datum a čas potvrzení.
• Kdo ještě ne – seznam těch, kterým dokument platí, ale nepotvrdili. Tohle je otázka, na kterou většina firem odpovědět neumí.
• Neměnnost – záznam, který nejde zpětně upravit ani „doplnit“ den před auditem.
• Opakování – u bezpečnostních politik se seznámení obvykle opakuje, třeba jednou ročně, a nová verze dokumentu znamená nové kolo.

Cesta 1: prezenční listina nebo e-mail

Nejjednodušší a pořád nejrozšířenější. Školení se zapsanou docházkou, podpis na papírovém archu, nebo e-mail s politikou v příloze a prosbou o odpověď „přečetl jsem“.

Kdy stačí: malá firma, málo dokumentů, málo změn. Pár desítek lidí, tři nebo čtyři politiky, aktualizace jednou za rok.

Kde selže: u každé nové verze se všechno opakuje ručně. Přehled „kdo ještě ne“ se skládá z e-mailů a tabulek. Podpis na archu nedokazuje, kterou verzi člověk četl. A když odejde ten, kdo listiny schovával, často odejde i přehled.

Cesta 2: vlastní řešení v Power Automate

Pokud máte Microsoft 365, máte i Power Automate a seznamy v SharePointu. Dá se z nich postavit vlastní evidence: tok při vydání nové verze rozešle lidem úkol nebo e-mail s tlačítkem „Seznámil jsem se“, odpověď zapíše do seznamu (kdo, kdy, dokument, verze) a jiný tok pošle připomínku těm, kdo nepotvrdili.

Kdy stačí: máte někoho, kdo Power Automate ovládá, dokumentů je rozumný počet a nevadí vám, že řešení budete sami udržovat.

Na co myslet:

• Neměnnost záznamu. Do seznamu v SharePointu může zapisovat každý, kdo má právo úprav – a tok zapisuje pod účtem, pod kterým běží jeho připojení. Aby záznam obstál, potřebuje seznam pečlivě nastavená práva a ideálně uchování popiskem uchovávání.
• Cílení. Komu dokument platí? Celé firmě, oddělení, skupině? Když se složení skupin změní, kdo doplní nové lidi?
• Údržba. Toky se rozbijí, když autor odejde nebo se změní licence. Kdo to za rok opraví?
• Přehledy. Kolik procent lidí má potvrzenou aktuální verzi, po týmech? To už je práce pro Power BI nebo vlastní zobrazení.

Je to poctivá cesta a pro řadu firem dostačující. Jen je dobré vědět, že nestavíte jeden tok, ale malou aplikaci, kterou budete provozovat.

Cesta 3: specializovaná aplikace

Pro firmy s desítkami řízených dokumentů a stovkami lidí, nebo tam, kde je seznámení předmětem pravidelné kontroly, dává smysl hotová aplikace. Od vlastního řešení v Power Automate se typicky liší v tom, co byste jinak museli stavět a hlídat sami:

• Vydání se schválením – dokument jde k lidem až po schválení, s nastavením zástupu.
• Cílení na skupiny a doplnění dokumentů lidem, kteří do skupiny přibudou – včetně těch, které už platí.
• Ověření porozumění – u klíčových dokumentů kontrolní otázky před potvrzením.
• Opakované seznámení v nastaveném intervalu a nové kolo při nové verzi.
• Neměnná evidence s časovým razítkem a přehled plnění po týmech a dokumentech.
• Uchování záznamů po stanovenou dobu a evidenci připravenou k tisku pro auditora.

Při výběru se ptejte hlavně na dvě věci: kde leží data (ve vašem Microsoft 365, nebo na serveru dodavatele) a co přesně je důkazem (jak je zajištěno, že záznam nejde změnit). Pro úplnost: my na tohle máme aplikaci Řízené dokumenty, která běží ve vašem Microsoft 365 a záznamy ukládá do vašeho SharePointu – ale otázky výše položte jakémukoli dodavateli.

Co to není

Ještě jedna poctivá poznámka, protože se na ni často ptáte: potvrzení seznámení není kvalifikovaný elektronický podpis. Je to průkazný záznam pro interní kontrolu a audit. Pokud potřebujete, aby měl dokument podpis s právními účinky – typicky smlouvy nebo některé personální dokumenty – je to jiná kategorie nástrojů.

Jak vybrat

Situace	Rozumná volba
Do 30 lidí, pár politik, změny jednou za rok	Prezenční listina nebo e-mail, pečlivě archivované
Desítky až stovky lidí, máte kapacitu na Power Automate	Vlastní řešení nad seznamem v SharePointu
Stovky lidí, desítky dokumentů, pravidelné opakování, kontroly	Specializovaná aplikace

Co si z toho odnést

1. Otevření není seznámení. Doklad musí říct kdo, kdy, kterou verzi – a kdo ještě ne.
2. Cesta se volí podle rozsahu, ne podle módy. Listina stačí malé firmě; s počtem lidí, dokumentů a verzí roste cena ruční evidence rychleji, než se zdá.
3. Důkaz musí obstát i za rok. Neměnnost záznamu, doba uchování a to, kde data leží, jsou důležitější než pohodlí potvrzení.

---

Tímhle dílem série Dokumenty v SharePointu končí. Pokud řešíte převod dokumentů, přípravu na audit ISO nebo povinnosti podle zákona o kybernetické bezpečnosti, rádi s vámi projdeme, co máte a co chybí – obvykle jako součást návrhu governance. Napište nám.

Celá série: Co SharePoint umí hned · Přechod ze serveru po krocích · ISO 27001 a ISO 9001 v SharePointu · Jak doložit seznámení se směrnicí.