Stručne: VdS 10000 je smernica organizácie VdS Schadenverhütung (nemecká organizácia pre prevenciu škôd) pre informačnú bezpečnosť v malých a stredných podnikoch. Podľa VdS vychádza z ISO 27001 a z BSI-Grundschutz, je však výrazne štíhlejšia a prispôsobená stredným firmám. Pre weby a webservery sú dôležité najmä inventár, ošetrovanie zraniteľností, vzdialené prístupy s viacfaktorovým prihlásením, zálohovanie údajov a zaobchádzanie s bezpečnostnými incidentmi.
Prečo je VdS 10000 zaujímavá pre stredné firmy
Mnohé firmy vedia, že by mali k informačnej bezpečnosti pristupovať štruktúrovanejšie, ale odrádza ich náročnosť ISO 27001. Presne na to je VdS 10000 určená. VdS ju opisuje ako odvetvovo neutrálny katalóg opatrení, ktorý nemá preťažiť malé a stredné podniky ani obce, organizačne ani finančne.
Dva údaje od VdS pomáhajú pri zaradení. Náročnosť je podľa nich približne 20 percent v porovnaní s ISO 27001. A BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) hodnotí požiadavky VdS 10000 ako podmnožinu základného zabezpečenia IT-Grundschutz. Smernica teda nie je náhradou veľkých štandardov, ale realistickým vstupom, ktorý je podľa VdS vzostupne kompatibilný.
Pre poisťovateľov má VdS 10000 osobitnú váhu, pretože VdS je úzko prepojená s poisťovníctvom. VdS zdôrazňuje, že certifikácia môže u poisťovateľov vytvoriť dôveru a pomôcť preniesť zvyškové riziko. Čo to konkrétne znamená pre vašu poistku, vyjasnite s poisťovateľom alebo maklérom; upozornenia k poistnej udalosti nájdete v článku Kybernetické poistenie: čo sa počíta pri poistnej udalosti.
Čo je nové vo VdS 10000 vo verzii 2025
VdS smernicu v roku 2025 prepracovala. Podľa VdS pribudli alebo sa zmenili okrem iného tieto body:
- Jasnejší jazyk, aby požiadavkám rozumeli aj začiatočníci.
- Záväzné zodpovednosti: Pracovníci zodpovední za informačnú bezpečnosť a príslušný tím musia byť oficiálne ustanovení.
- Viacfaktorová autentifikácia pre vzdialené prístupy sa stáva povinnosťou.
- Zálohovanie údajov podľa princípu viacerých generácií, na rôznych miestach a na rôznych médiách.
- Prepracované riadenie rizík s pokynmi k hodnotiacim kritériám a hraniciam, od ktorých sa riziko akceptuje.
- Spoločná kapitola „Bezpečnostné incidenty“, ktorá spája predchádzajúce kapitoly o poruchách, výpadkoch a incidentoch.
- Fyzické prístupy, ako sú kľúče a transpondéry, sa upravujú spolu s personálnymi procesmi.
Nové vydanie zohľadňuje aj smernicu VdS 10100, ktorá opisuje požiadavky NIS2. VdS vidí VdS 10000 ako základ, na ktorý možno tieto požiadavky neskôr doplniť.
VdS 10000 a webserver: čo konkrétne urobiť
Smernica nehovorí o PHP ani o jednotlivých webserveroch. Jej požiadavky sa však dajú priamo preniesť na webovú infraštruktúru. Nasledujúca tabuľka ukazuje, ako to môže vyzerať. Je to pomôcka pri prekladaní do praxe, nie oficiálny výklad.
| Oblasť požiadaviek | Význam pre web a webserver | Príklad zo situácie PHP2Shell |
|---|---|---|
| Prehľad o IT systémoch a rizikách | Weby, obchody, portály a ich servery sú zachytené a posúdené | Okamžite vedieť, ktoré systémy používajú PHP a v akej verzii |
| Zraniteľnosti a aktualizácie | Bezpečnostné aktualizácie sa inštalujú včas a dokumentujú | Záplata na 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, reštart všetkých workerov |
| Vzdialené prístupy s viacfaktorovým prihlásením | SSH, hostingový panel a administrácia CMS sú navyše zabezpečené | Ukradnuté heslá samy o sebe neotvoria administrátorský prístup |
| Zálohovanie údajov | Viac generácií, oddelené miesta a médiá | Návrat k zálohe spred 17. 10. 2026, ak je to potrebné |
| Bezpečnostné incidenty | Cesta hlásenia, posúdenie, dokumentácia | Podozrenie na webshell sa nahlási a preverí, nemaže sa potichu |
| Dodávatelia | Poskytovateľ hostingu a agentúra sú zmluvne zapojení | Písomné potvrdenie záplaty od poskytovateľa hostingu |
K zálohovaniu sa oplatí pozrieť na zálohy podľa pravidla 3-2-1, k vzdialeným prístupom na dvojfaktorové prihlásenie pre administrátorské prístupy. Oboje sa dobre zhoduje s novými povinnosťami verzie 2025.
Ako realisticky postupujú MSP?
VdS 10000 sa dá využiť ako príručka aj bez cieľa certifikácie. Pragmatická cesta začína inventárom, pretože bez prehľadu sa žiadna iná požiadavka nedá čisto splniť. Potom nasledujú body s najväčším účinkom na jednotku úsilia: viacfaktorové prihlásenie, fungujúce zálohy s testom obnovy a jasná cesta hlásenia pri podozrení.
Až keď tieto základy stoja, oplatí sa formálna stránka so smernicami, ustanovenými zodpovednými osobami a posúdením rizík. Kto neskôr usiluje o certifikáciu, nájde postup v podkladoch VdS; samotnú skúšku vykoná certifikačný orgán, nie dodávateľ ako my.
Častým kameňom úrazu v strednej firme je otázka, kto prevezme rolu pracovníka zodpovedného za informačnú bezpečnosť. Verzia 2025 vyžaduje oficiálne ustanovenie. V malých firmách pripadne úloha často vedúcemu IT alebo samotným konateľom. Je to možné, pokiaľ sú čas a právomoci realisticky vymerané. Dôležité je, aby táto osoba mala na očiach aj weby, ktoré spravuje marketing alebo agentúra. Práve tie pri prvej inventúre radi prepadnú sitom, pretože nebežia vo vlastnom dátovom centre. Pomáha jednoduché pravidlo: Každá doména, ktorú firma vlastní, má zodpovednú osobu a záznam v inventári.
Pre webserver to znamená: Hardening a disciplína pri záplatovaní nie sú voliteľným doplnkom smernice, ale presne to, čo vyžaduje v každodennej praxi. Čo k tomu patrí, opisuje hardening serverov s PHP. Porovnanie s veľkými štandardmi robí príspevok ISO 27001 a TISAX: čo sa týka webserverov.
Ako konkrétne pomáha PHP SOS?
- Spolu s vami vypracujeme inventár vašich webov, serverov a verzií PHP a označíme kritické systémy.
- Technické požiadavky na webserveri zrealizujeme: aktualizácie s dokladom, viacfaktorové prihlásenie pre vzdialené prístupy, hardening a kontrola záloh.
- Dokumentujeme to tak, aby ju vaši pracovníci zodpovední za informačnú bezpečnosť mohli prevziať do podkladov VdS.
- Neslubujeme certifikáciu. Či sú požiadavky splnené, posúdi skúšobný orgán.
Záver
VdS 10000 je vážny, ale zvládnuteľný rámec pre stredné firmy. Verzia 2025 zdôrazňuje práve tie body, ktoré sa počítajú aj po PHP2Shell: zodpovedné osoby, viacfaktorové prihlásenie, dobré zálohy a usporiadané zaobchádzanie s incidentmi. Kto začne pri webserveri, dosiahne rýchlo viditeľný pokrok a solídny základ pre viac.
Časté otázky
Pre koho je VdS 10000 určená?
Podľa VdS pre malé a stredné podniky, ako aj obce a komunálne podniky. Je odvetvovo neutrálna a nemá preťažiť ani organizačne, ani finančne. Podľa VdS ju môžu uplatňovať aj väčšie organizácie.
Aký je rozdiel medzi VdS 10000 a ISO 27001?
VdS 10000 vychádza podľa VdS z ISO 27001 a z BSI-Grundschutz, ale je prispôsobená MSP a je výrazne štíhlejšia. VdS vyčísľuje náročnosť na približne 20 percent v porovnaní s ISO 27001 a opisuje smernicu ako vzostupne kompatibilnú, teda ako možný vstup do série ISO 27000.
Pomáha VdS 10000 pri NIS2?
VdS opisuje nové vydanie 2025 ako základ, na ktorý možno neskôr doplniť požiadavky NIS2. Slúži na to osobitná smernica VdS 10100. Či sa NIS2 vzťahuje na vašu firmu a čo potom platí, vyjasnite osobitne.
Existuje verzia pre výrobné zariadenia?
Áno. Pre priemyselné automatizačné systémy VdS vydáva príručku VdS 10020, ktorá VdS 10000 pre túto oblasť vykladá.