11 rámců · 970+ požadavků · 1 800+ vazeb
Vyplníte hodnocení zralosti pro ZKB a v tarifu Enterprise vám Observa ukáže, kolik procent jste tím pokryli i v NIS2, ISO 27001 a NIST CSF. Vazby mezi požadavky vytvářejí ručně naši auditoři, ne algoritmus. Pokud s některou nesouhlasíte, jedním klikem ji odmítnete. Mapování mezi rámci je jen v tarifu Enterprise.
Rámce v detailu
Každý rámec má vlastní strukturu, požadavky a ručně ověřené vazby na ostatní rámce. Naši auditoři je průběžně aktualizují podle NÚKIB a Úředního věstníku EU.
vyhláška 409/2025 Sb.
Režim vyšších povinností podle ZKB 264/2025. V plném rozsahu pokrývá organizaci, aktiva, rizika (H×Z×D), incidenty i dodavatele. Obsahuje šablony hlášení pro NÚKIB: prvotní hlášení, oznámení a závěrečnou zprávu.
vyhláška 410/2025 Sb.
Režim nižších povinností podle ZKB 264/2025. Funguje stejně, jen s užším rozsahem bezpečnostních opatření. Režim přepnete jedním nastavením v Organizaci.
Směrnice EU 2022/2555
Do českého práva ji převádí ZKB 264/2025. Observa ale vede NIS2 i jako samostatný rámec. Hodí se pro slovenské a rakouské dceřiné společnosti mimo působnost českého zákona.
Annex A, 93 controls (A.5–A.8)
Revize z října 2022 má čtyři skupiny opatření místo původních čtrnácti. Observa pokrývá celý Annex A a vytvoří SoA ve formátu, který přijímají auditoři CQS i Bureau Veritas.
NIST Cybersecurity Framework 2.0 (2024)
Šest funkcí včetně nové funkce Govern (GV). Rámec je dobrovolný. V Observě slouží i jako páteř mapování mezi ostatními rámci.
Center for Internet Security
18 hlavních kontrol rozdělených podle velikosti organizace do tří skupin (Implementation Groups IG1–IG3). Dobrovolný rámec, který jako technický kontrolní seznam dobře doplní režim nižších povinností ZKB.
Nařízení EU 2022/2554
Digital Operational Resilience Act. Nařízení je od 17. 1. 2025 povinné pro banky, pojišťovny a fintechy v EU. Mapování pokrývá řízení ICT rizik i testování TLPT.
Nařízení EU 2016/679
Technicko-organizační opatření podle čl. 32 a záznamy o činnostech zpracování podle čl. 30. Požadavky GDPR lze mapovat na ostatní rámce.
AICPA Trust Services Criteria
Pět kritérií: Security, Availability, Confidentiality, Processing Integrity, Privacy. Hodí se pro české SaaS firmy, které prodávají do USA. Přehled kritérií (TSC) a sebraných důkazů dostanete přímo v PDF.
PCI SSC, účinné od března 2025
12 hlavních požadavků rozdělených do desítek dílčích kontrol. Observa pokrývá SAQ A, A-EP i D pro obchodníky i poskytovatele služeb. Součástí jsou šablony pro Targeted Risk Analysis.
HIPAA Security Rule, 45 CFR 164
Administrative, Physical a Technical Safeguards pro covered entities a business associates. Vhodné pro české zdravotnické firmy, které pracují s americkými klienty.
Jak mapování funguje
Jádrem Observy je databáze vazeb mezi požadavky. Naši auditoři ručně vytvořili 1 800+ vazeb na společná opatření. Odpovíte na § 13 ZKB Vyšší (vyhl. 409/2025, řízení přístupu) a systém navrhne pokrytí v ISO, NIS2, NIST i SOC 2. Pokud s konkrétní vazbou nesouhlasíte, jedním klikem ji odmítnete.
Příklad: Řízení přístupu
ZKB Vyšší § 13: Řízení přístupu
Odpovíte: „implementováno, RBAC + MFA“
ISO 27001 A.5.15
Access control
NIS2 Art. 21
Access management
NIST CSF PR.AA-1
Identity proofing
SOC 2 CC6.1
Logical access
Souběžný projekt ZKB, ISO 27001 a NIS2 znamená typicky 18 měsíců, tři konzultanty a tři tabulky. V Observě (tarif Enterprise) vyplníte jedno hodnocení zralosti a odpověď se navrhne i v ostatních rámcích. V naší praxi to vychází na zhruba 6 týdnů od prvního importu.
Každé přenesené pokrytí odkazuje na zdrojovou odpověď. Auditor tak nevidí jen „splněno“, ale i čím konkrétně, kdo to napsal a kdy.
Návrh mapování je doporučení našich auditorů, ne rozsudek. Pokud vaše interpretace § 13 vyhl. 409/2025 nepokrývá A.5.15 v plném rozsahu, nesouhlasnou vazbu jedním klikem odmítnete.
V tarifu Enterprise si sestavíte vlastní, nebo ho doplníme na zakázku. Právě připravujeme TISAX, FedRAMP a CSA CCM.
Řekněte nám, který rámec vám chybíUkládáme jen nezbytné cookies (přihlášení, CSRF). Web nespouští analytiku návštěvnosti ani sledovací skripty třetích stran. Data aplikace ukládáme jen v EU. Vaši volbu si pamatujeme jen ve vašem prohlížeči. Co přesně ukládáme.