# ISO 27001 a TISAX: čo sa týka webserverov

> ISO 27001 a TISAX pri webserveri: aké požiadavky sa týkajú záplat, dodávateľov a incidentov a aké doklady patria po PHP2Shell do spisu.

Zdroj: https://phpsos.de/sk/blog/iso-27001-tisax-webserver/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** ISO 27001 a TISAX sa webserverov týkajú najmä cez tri požiadavky: zraniteľnosti sa musia rozpoznať a ošetriť, dodávatelia ako poskytovatelia hostingu a agentúry sa musia riadiť a bezpečnostné incidenty potrebujú usporiadaný postup. Situácia ako PHP2Shell je pre každý ISMS praktický test. Kto posúdenie, záplatu a reštart zdokumentuje zrozumiteľne, má dobrý základ pre ďalší audit. Certifikát ani label záplatu nenahrádza.

## Čo sú ISO 27001 a TISAX, v dvoch odsekoch

ISO/IEC 27001 opisuje požiadavky na systém riadenia informačnej bezpečnosti, skrátene ISMS. Ide o usporiadaný cyklus: posúdiť riziká, určiť opatrenia, zrealizovať, preveriť a zlepšovať. Aktuálne vydanie z roku 2022 obsahuje v prílohe A katalóg 93 opatrení v štyroch témach. Ktoré z nich platia, rozhoduje firma na základe svojho posúdenia rizík a zaznamená to vo vyhlásení o aplikovateľnosti.

TISAX je v automobilovom priemysle rozšírený mechanizmus skúšania a výmeny informácií. Riadi ho ENX Association, základom je katalóg požiadaviek ISA, ktorý ENX udržiava a VDA (Zväz automobilového priemyslu) zverejňuje. Nezávislí poskytovatelia auditov vykonávajú assessment, ktorého rozsah závisí od potreby ochrany a siaha od kontroly dokumentov až po termíny na mieste. Výsledky sa podľa ENX udeľujú ako labely, platia tri roky a cez portál ENX sa zdieľajú iba s vybranými partnermi.

## ISO 27001 pri webserveri: ktoré požiadavky platia?

Webserver je v ISMS zriedka samostatnou kapitolou. Objavuje sa na viacerých miestach a práve tam vznikajú medzery. Nasledujúci prehľad všeobecne priraďuje najdôležitejšie témy. Nenahrádza pohľad do vášho vlastného vyhlásenia o aplikovateľnosti.

| Téma v ISMS | Čo to znamená pri webserveri | Doklad, ktorý pomôže pri audite |
|---|---|---|
| Inventár aktív | Každý web, každý server, každá verzia PHP je zachytená | Aktuálny zoznam s prevádzkovateľom, verziou, zodpovednou osobou |
| Nakladanie s technickými zraniteľnosťami | Hlásenia ako PHP2Shell sa posudzujú a ošetrujú | Tiket s posúdením, rozhodnutím, dátumom záplaty |
| Vzťahy s dodávateľmi | Poskytovateľ hostingu a agentúra majú jasné bezpečnostné povinnosti | Zmluva, rozdelenie úloh, písomné potvrdenie stavu záplat |
| Zaznamenávanie a monitorovanie | Logy webservera sa uchovávajú a vyhodnocujú | Pravidlo uchovávania, príklad vyhodnotenia |
| Riadenie incidentov | Podozrenie sa hlási, posudzuje a uzatvára | Záznam o incidente, Lessons Learned |
| Riadenie konfigurácie | Nastavenia PHP a webservera sú stanovené | Cieľová konfigurácia a kontrola odchýlok |

Pri TISAX platia porovnateľné témy, pretože katalóg ISA je zosúladený s inými významnými štandardmi. Niektoré ciele skúšania, napríklad ochrana prototypov, navyše vyžadujú osobitnú starostlivosť pri systémoch, cez ktoré partneri vymieňajú údaje. Môžu to byť aj portály na báze PHP.

## PHP2Shell ako praktický test pre ISMS

Dňa 21. 10. 2026 projekt PHP zverejnil verzie 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pre PHP 8.1 a staršie už neexistujú oficiálne aktualizácie. Fungujúci ISMS by mal v tejto situácii spustiť reťazec, ktorý sa dá neskôr doložiť.

1. **Prijatie:** Kto dostal hlásenie kedy a kde je zaznamenané?
2. **Posúdenie:** Ktoré systémy sú dotknuté? To predpokladá aktuálny inventár, pozri [Vedieť, čo beží](https://phpsos.de/sk/blog/inventar-websites-server/).
3. **Rozhodnutie:** Záplata, prechodné opatrenie alebo dočasné odpojenie, s odôvodnením a menom rozhodujúcej osoby.
4. **Realizácia:** Stav balíka, reštart všetkých procesov PHP, kontrola. Pri backportoch distribúcie sa počíta changelog balíka, nie zobrazené číslo verzie; ako to doložiť, ukazuje článok [Ako správne skontrolovať verziu PHP a stav záplat](https://phpsos.de/sk/php2shell/php-version-pruefen/).
5. **Dodávatelia:** Písomné potvrdenie poskytovateľa hostingu, že sa záplatovalo a reštartovalo.
6. **Dodatočná kontrola:** Kontrola príznakov kompromitácie od 17. 10. 2026, pretože záplata skoršie vniknutia nevráti späť.

Ako z tohto jednorazového reťazca vytvoríte trvalý postup, opisujú články [Riadenie zraniteľností pre stredné firmy](https://phpsos.de/sk/blog/schwachstellenmanagement-mittelstand/) a [Správa záplat ako proces](https://phpsos.de/sk/blog/patch-management-prozess/).

## Časté slabiny v dokumentácii

V praxi doklad zriedka zlyhá na technike, ale na medzerách v reťazci. Typický je web, ktorý prevádzkuje odborné oddelenie s agentúrou a ktorý v inventári chýba. Rovnako časté sú zmluvy s poskytovateľom hostingu bez vyjadrenia o tom, ako rýchlo sa bezpečnostné aktualizácie inštalujú a či sa zákazníci informujú.

Ďalší klasický prípad: Tiket k záplate je uzavretý, ale nikto procesy PHP nereštartoval. Formálne je bod vybavený, technicky beží ďalej starý kód. Dobrý doklad preto neobsahuje iba „aktualizácia nainštalovaná“, ale aj reštart a kontrolu po ňom.

Ťažké je to aj pri systémoch, ktoré sa nedajú hneď záplatovať, napríklad aplikácia na PHP 8.1. ISMS tu nežiada zázraky, ale vedomé rozhodnutie: Aké prechodné opatrenia platia, kto akceptoval zostávajúce riziko a dokedy je naplánovaný prechod? Písomná akceptácia rizika s dátumom platnosti je pri audite oveľa lepšia než potichu ďalej bežiaci starý systém. Podobne dôležité sú logy. Odborná tlač a odborní autori po PHP2Shell radili uchovávať logy servera od 20. 10. 2026. Či to vaše pravidlo uchovávania umožňuje a či sú logy u poskytovateľa hostingu alebo u vás, by malo byť vyjasnené pred ďalším incidentom, nie počas neho.

Ak sa na vašu firmu navyše vzťahuje NIS2, tieto požiadavky sa zosilňujú. Základné črty nájdete v článku [NIS2 a bezpečnosť webservera](https://phpsos.de/sk/compliance/nis2/). Ide o všeobecnú informáciu, nie právne poradenstvo.

> **Dôležité:**
> Certifikát alebo label opisuje stav systému riadenia v čase skúšky. Nechráni jednotlivý server pred novou zraniteľnosťou. Rozhodujúce je, aby postup v krízovej situácii skutočne fungoval.

## Ako konkrétne pomáha PHP SOS?

- Vaše webservery a inštalácie PHP zachytíme tak, aby zapadli do inventára vášho ISMS.
- Záplatujeme a dokumentujeme prostredníctvom našej [služby záplatovania PHP](https://phpsos.de/sk/leistungen/php-patch-service/): stav balíka, reštart, kontrola, s dátumom a dokladmi.
- Formulujeme otázky pre poskytovateľov hostingu a agentúry a ich odpovede hodnotíme pre vaše riadenie dodávateľov.
- Zodpovedným pracovníkom pre ISMS dodávame technické fakty. Posúdenie v systéme riadenia a audit zostávajú na vás a vašom skúšobnom orgáne.

## Záver

ISO 27001 a TISAX nepožadujú konkrétny webserver, ale zrozumiteľné zaobchádzanie s ním. PHP2Shell ukazuje, či inventár, ošetrovanie zraniteľností a riadenie dodávateľov spolu fungujú. Kto čisto doloží reťazec prijatia, posúdenia, záplaty, reštartu a dodatočnej kontroly, má pod kontrolou nielen audit, ale predovšetkým server.


## Časté otázky

**Patrí firemný web do rozsahu ISO 27001?**  
Závisí to od toho, ako vaša firma rozsah určila. Ak web spracúva údaje zákazníkov, je prepojený s internými systémami alebo ho prevádzkuje dodávateľ, hovorí veľa za tým, aby sa zahrnul alebo aspoň zachytil cez riadenie dodávateľov.

**Je TISAX certifikát?**  
ENX Association hovorí o assessmente nezávislých poskytovateľov auditov, ktorého výsledky sa udeľujú ako labely TISAX. Labely podľa ENX platia tri roky a cez portál ENX sa cielene zdieľajú s partnermi, nie sú verejné.

**Musím po PHP2Shell informovať audítorku?**  
Všeobecná povinnosť neexistuje. Váš ISMS by však mal zdokumentovať, ako ste zraniteľnosť posúdili a ošetrili. Tieto podklady sa pri ďalšom audite zvyčajne preverujú.

**Ktorá verzia ISO 27001 je aktuálna?**  
Rozhodujúce je vydanie ISO/IEC 27001:2022. Jeho príloha A radí opatrenia do štyroch tém: organizačné, osobné, fyzické a technologické.

## Zdroje

- [ENX Association: TISAX](https://www.enx.com/de-DE/TISAX/)
- [BSI: IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: bezpečnostné hlásenia](https://www.php.net/)
- [PHP: podporované verzie](https://www.php.net/supported-versions.php)