Software pro správu důkazů v compliance a auditech

Compliance nejen dokumentovat. Ale prokázat.

S Complaica spravujete důkazy pro compliance — například pro ISO 27001 a BSI IT-Grundschutz — společně s požadavky, riziky a opatřeními, ke kterým patří. Podstatné změny se zaznamenávají automaticky; zaznamenané důkazy zůstávají dohledatelné v čase a nezávisle ověřitelné. Kryptograficky provázaný řetězec důkazů a kvalifikovaná časová razítka eIDAS zajišťují vybrané stavy — od prvního rozsahu až po audit.

01Jeden souvislý řetězec důkazů v celém životním cyklu compliance
02Automatické důkazy z rozsahu, potřeby ochrany, rizik a opatření
03Konfigurovatelná pravidla událostí a kvalifikovaná časová razítka eIDAS
04Kryptograficky ověřitelná integrita a úplná historie
05Nezávislé ověření a exportovatelné auditní důkazy

Vyžádat zkušební účet Vyžádat ceník

Řetězec důkazů

Řetězec důkazů Compliance koncept ISMS 2026

#1288 Audit dokončen Interní audit ISMS 2026 b5a7b218…a964 eIDAS
#1287 Zjištění uzavřeno F-07 Správa záplat 7cc5e4d5…cd40
#1283 Zbytkové riziko akceptováno R-12 Neoprávněný přístup 1b17a798…bf7f eIDAS
#1280 Konfigurace Terraform zaznamenána fw-dmz.tf 3a1424f5…d73a
#1279 Opatření dokončeno M-114 Segmentace sítě DMZ 32bf5712…c47c

Řetězec ověřen 1 288 událostí Poslední kontrolní bod 12. 10. 2026

EVIDENCE 01

Jeden řetězec důkazů pro každý compliance koncept

Vytvořením compliance konceptu v Complaica začíná i jeho řetězec důkazů.

Řetězec dokumentuje podstatné stavy, rozhodnutí a změny v celém životním cyklu. Každá zaznamenaná událost odkazuje na dotčené objekty a je kryptograficky spojena s předchozí historií.

Řetězec se tak stává ověřitelnou chronologií compliance konceptu — od jeho výchozí struktury přes posouzení rizik a zavádění opatření až po audit.

Organizace sama určuje, které události se zaznamenávají automaticky a kdy se vytvářejí kvalifikovaná elektronická časová razítka.

EVIDENCE 02

Důkazy pro compliance podle ISO 27001 a BSI IT-Grundschutz

Normy jako ISO 27001 a IT-Grundschutz BSI vyžadují dokumentované důkazy: o ošetření rizik, opatřeních, interních auditech a přezkoumání vedením. Příklad z konceptu ISMS ukazuje, jak se z rozhodnutí o riziku stane důkaz, který auditor může ověřit.

Příklad z konceptu ISMS

01 Schválit ošetření rizika R-12 Neoprávněný přístup Vedení schválí ošetření rizika. Complaica zaznamená rozhodnutí, aktéra a čas jako důkazní událost.
02 Provést opatření M-114 Segmentace sítě DMZ Provoz IT opatření provede. Změny stavu a commit Terraformu z pipeline se dostanou do stejného řetězce.
03 Zaznamenat technický důkaz Pentest-Bericht_DMZ_2026-Q3.pdf Zpráva externího testera se zaznamená s hashem a propojí s opatřením, rizikem a A.8.20.
04 Ukotvit stav v čase Kontrolní bod · eIDAS Kvalifikované časové razítko potvrdí stav řetězce v daném okamžiku. Poskytovateli služeb vytvářejících důvěru se předává jen hodnota hashe.
05 Exportovat ověřovací balíček verification-package_ISMS-2026_1288.zip Pro audit manažer bezpečnosti exportuje balíček s daty událostí, hodnotami hashů, důkazy o zřetězení a časovým razítkem.

Co vidí odpovědné osoby

U každého požadavku aktuální stav a důkazy, o které se opírá
Kdo a kdy přijal rozhodnutí nebo uzavřel opatření
Kde důkazy chybí nebo jsou starší, než je stanoveno

Co dostane auditor

Historii požadavku: hodnocení, rozhodnutí o riziku, opatření, důkaz
Ověřovací balíček, jehož integritu a časové razítko lze ověřit bez přístupu do Complaica
Podklad pro úsudek — zda důkaz věcně stačí, nadále rozhoduje auditor

Další příklady: od požadavku k auditu

ISO 27001 · 8.3 Ošetření rizik bezpečnosti informací
1. Plán ošetření rizik
2. Schválení zbytkových rizik
3. Opatření s vlastníky
4. Historie rozhodnutí
5. Kontrola v auditu
ISO 27001 · 9.3 Přezkoumání vedením
1. Vstupy přezkoumání
2. Zápis a rozhodnutí
3. Odvozená opatření
4. Kontrolní bod s časovým razítkem eIDAS
5. Kontrola v auditu
IT-Grundschutz · Stanovení potřeby ochrany (standard BSI 200-2)
1. Potřeba ochrany obchodních procesů
2. Dědění na aplikace a IT systémy
3. Schválení hodnocení
4. Historie změn
5. Kontrola v auditu
IT-Grundschutz · NET.1.1 Architektura a návrh sítě
1. Modelování sítě
2. Kontrola IT-Grundschutz u požadavků
3. Konfigurace firewallu z Terraformu
4. Zpráva z penetračního testu
5. Kontrola v auditu

Complaica zaznamenává, co bylo rozhodnuto, provedeno a doloženo, a tuto historii činí ověřitelnou. Samo o sobě to ale shodu organizace s normou nezajistí.

Vyžádat ceník

… nebo se jednoduše zeptejte přes WhatsApp.

EVIDENCE 03

Správa důkazů pro compliance v celém životním cyklu

Šest fází, jeden řetězec. V každé fázi Complaica zaznamenává události, které později ukazují, co v jakém okamžiku platilo a kdo o tom rozhodl.

01
01 · Správa rozsahu

Rozsah je dohledatelný.
Complaica dokumentuje rozsah compliance konceptu včetně jeho organizačních a technických struktur.
Podstatné změny se zaznamenávají v řetězci důkazů a zůstávají dohledatelné v čase.

Co lze prokázat

Lze dohledat, které organizační jednotky, procesy a aktiva patřily k rozsahu v určitém okamžiku.
Typické důkazní události
- e428690 Compliance koncept vytvořen Kvalifikované elektronické časové razítko (eIDAS)
- 82069a0 Rozsah definován nebo změněn
- af5cdda Organizační jednotka přidána nebo odebrána
- fe96c5f Podnikový proces přiřazen k rozsahu
- 8009ee1 Aktivum přidáno nebo změněno
- 221a257 Verze struktury schválena
02
02 · Potřeba ochrany a klasifikace

Hodnocení s dohledatelným základem.
Stanovení potřeby ochrany a klasifikace se propojují s dotčenými objekty a dokumentují v čase.

Co lze prokázat

Viditelný je nejen aktuální výsledek, ale i vývoj hodnocení a jejich zařazení v čase.
Typické důkazní události
- 7b56aef Potřeba ochrany aktiva posouzena
- 2fd5ca4 Hodnocení změněno
- 0da7c18 Zděděná potřeba ochrany aktualizována
- 5591da7 Kritičnost podnikového procesu upravena
- 90b0551 Hodnocení potvrzeno nebo schváleno Kvalifikované elektronické časové razítko (eIDAS)
03
03 · Požadavky a hodnocení shody

Každé hodnocení v kontextu svých požadavků.
Complaica propojuje požadavky z různých norem s kontrolami, opatřeními a jejich hodnoceními.

Co lze prokázat

U každého požadavku lze dohledat, jaké hodnocení platilo v kterém okamžiku a o jaké důkazy se opíralo.
Typické důkazní události
- 3d397df Požadavek posouzen
- 25e20e2 Stav plnění změněn
- 4391a42 Zdůvodnění aktualizováno
- 206115a Důkaz přiřazen
- 159098b Odchylka zjištěna
- 34c0416 Hodnocení schváleno
04
04 · Řízení rizik

Od identifikace rizika k ověřitelnému rozhodnutí.
Rizika, jejich posouzení a rozhodnutí o ošetření se dokumentují spolu s dotčenými aktivy, procesy a požadavky.

Co lze prokázat

Rozhodnutí o rizicích lze dohledat v celém jejich životním cyklu.
Typické důkazní události
- 6ec6b44 Riziko identifikováno
- 7fb0e35 Pravděpodobnost nebo dopad posouzeny
- 068095c Posouzení rizika změněno
- 95da879 Ošetření rizika rozhodnuto
- 572681e Zbytkové riziko akceptováno Kvalifikované elektronické časové razítko (eIDAS)
- 19b8fcc Riziko znovu posouzeno
05
05 · Opatření a technická realizace

Od rozhodnutí ke skutečné realizaci.
Complaica propojuje opatření s požadavky, riziky a důkazy o jejich realizaci.
Řetězec důkazů dokumentuje podstatné změny a schválení. Prostřednictvím integrací lze zaznamenávat i externí technické artefakty a události.

Co lze prokázat

Je vidět souvislost mezi věcným požadavkem, organizačním rozhodnutím a technickou realizací.
Typické důkazní události
- ecf3934 Opatření vytvořeno nebo změněno
- e4ebdce Odpovědná osoba přiřazena
- f85c5f2 Stav realizace aktualizován
- ff4cad8 Opatření dokončeno
- f3e74e3 Důkaz realizace přidán
- bb6522c Konfigurace Terraform zaznamenána
- 5019ad1 Výsledek nasazení zaznamenán
- e08c42f Technická konfigurace ověřena
Příklad souvislého řetězce důkazů
1. Bezpečnostní požadavek
2. Opatření
3. Žádost o změnu
4. Commit Terraform
5. Konfigurace firewallu
6. Ověření
06
06 · Audity a neustálé zlepšování

Připraveni na audit — s ověřitelnou historií.
Audity pracují s aktuálním stavem dat compliance a se zdokumentovanou historií podstatných událostí.

Co lze prokázat

Auditoři mohou dohledat, která hodnocení, opatření a důkazy byly zaznamenány v určitém okamžiku.
Typické důkazní události
- 53fe039 Audit zahájen
- 980f257 Rozsah auditu stanoven
- 2bb0a72 Důkazy přezkoumány
- 185949e Zjištění zaznamenáno
- d06539c Nápravné opatření stanoveno
- 6e11303 Zjištění uzavřeno
- 561fbb7 Audit dokončen Kvalifikované elektronické časové razítko (eIDAS)
- d19f1a9 Kvalifikovaný kontrolní bod vytvořen Kvalifikované elektronické časové razítko (eIDAS)

EVIDENCE 04

Automatické zaznamenávání důkazů při práci

Řetězec důkazů se neskládá ručně dodatečně. Complaica zaznamenává podstatné události v okamžiku, kdy nastanou.

Konfigurovatelná pravidla určují:

01Které typy objektů se sledují.
02Které změny se považují za důkazní událost.
03Které změny stavu se ignorují.
04Která metadata a stavy objektů se zaznamenávají.
05Které události automaticky vyvolají kvalifikované časové razítko.

Vyžádat zkušební účet

Pravidla událostí

Compliance koncept ISMS 2026

Přidat pravidlo

Objekt	Událost	Řetězec důkazů	Kvalifikované časové razítko
Compliance koncept	Vytvořen	Automaticky	Ano
Rozsah	Změněn	Automaticky	Ne
Aktivum	Potřeba ochrany schválena	Automaticky	Ano
Riziko	Posouzení změněno	Automaticky	Ne
Riziko	Zbytkové riziko akceptováno	Automaticky	Ano
Opatření	Dokončeno	Automaticky	Ne
Audit	Uzavřen	Automaticky	Ano

EVIDENCE 05

Zaznamenávání externích dokumentů a technických důkazů

Ne všechny podstatné důkazy vznikají v Complaica. Uživatelé mohou kdykoli zaznamenat do řetězce důkazů další objekty, dokumenty nebo technické artefakty.

Při registraci se zaznamená kryptografický hash, identita objektu, zdroj, čas a související metadata. Registraci lze propojit s požadavky, riziky, opatřeními, aktivy nebo audity.

Příklady

Politika bezpečnosti informací v PDF
Schválený bezpečnostní koncept
Zpráva z externího auditu
Výsledek penetračního testu
Konfigurační soubor firewallu
Manifest Terraform
Zpráva o incidentu ze SIEM
Certifikát dodavatele

Registrace důkazu

Zaregistrovat důkaz

Soubor

Zprava-pentest_DMZ_2026-Q3.pdf PDF · 2,4 MB · SHA-256 ba2cf8bc…a44a

Propojit s

M-114 Segmentace sítě DMZ

R-12 Neoprávněný přístupA.8.20 Bezpečnost sítí

Zdroj

Externí poskytovatel testů

Popis

Penetrační test DMZ po dokončení segmentace sítě, závěrečná zpráva.

Vytvořit kvalifikované časové razítko Poskytovateli služeb vytvářejících důvěru se předává jen hodnota hashe.

Zrušit Zaregistrovat

EVIDENCE 06

Řetězec důkazů s kvalifikovanými časovými razítky eIDAS

Každá důkazní událost je kryptograficky spojena s předchozí historií. Pozdější změny se tak stávají zjistitelnými.

Pro stavy, které si zvolíte, lze vytvářet kvalifikovaná elektronická časová razítka podle eIDAS. Potvrzují kryptografický stav řetězce v určitém okamžiku a umožňují nezávisle ověřit jeho ukotvení v čase.

Hash důkazu

Identifikuje zaznamenaný obsah nebo stav.

Řetězec důkazů

Kryptograficky spojuje zaznamenané události mezi sebou.

Kvalifikované časové razítko

Nezávisle potvrzuje, že určitý stav řetězce existoval nejpozději v uvedeném okamžiku.

Kontrolní bod pokrývá celou historii zaznamenanou do té doby.

Událost 001 d56bc121 eIDAS
Událost 002 dfe4f0b6
Událost 003 c256f59f eIDAS
Událost 004 e6e64286
Událost 005 e9a8facd eIDAS

Kontrolní bod u události 001

Kontrolní bod u události 003 · pokrývá události 001⁠–⁠003

Kontrolní bod u události 005 · pokrývá události 001⁠–⁠005

Časová razítka vydává kvalifikovaný poskytovatel služeb vytvářejících důvěru. Samotná data a dokumenty se mu předávat nemusejí.

Získat účet

… nebo se jednoduše zeptejte přes WhatsApp.

EVIDENCE 07

Dohledávání auditních důkazů v průzkumníku řetězce

Complaica nabízí procházitelné zobrazení řetězce důkazů.

Uživatelé mohou

01Procházet události chronologicky.
02Otevírat jednotlivé bloky.
03Zobrazit hodnoty hashe a vazby.
04Přejít k původním objektům v Complaica.
05Otevírat externí dokumenty a technické artefakty, pokud jsou k dispozici a máte oprávnění.
06Kontrolovat kvalifikovaná časová razítka a stav ověření.
07Dohledávat historické stavy.
08Zkoumat související události a důkazy.

Průzkumník řetězce

Průzkumník řetězce důkazů Hledat hash, objekt nebo aktéra

Blok #1279

Opatření dokončeno

Hash: 32bf57129b9e9c283bcfcb8f0fc16ed23d168283af8bd558a3c6f33d7abfc47c
Předchozí hash: 241fabff52eff6ea9854e96fda0f0fc912f2684bf7ccde289a7ccc042eb39a99
Zdrojový objekt: M-114 Segmentace sítě DMZ
Aktér: T. Yilmaz
Čas: 08. 10. 2026 14:02 UTC
Ověření: Integrita ověřena
Kvalifikované časové razítko: Žádné — pokrývá ho další kontrolní bod