# ISO 27001 a TISAX: čeho se týkají webové servery

> ISO 27001 a TISAX u webového serveru: které požadavky se týkají záplat, dodavatelů a incidentů a jaké doklady patří po PHP2Shell do dokumentace.

Zdroj: https://phpsos.de/cs/blog/iso-27001-tisax-webserver/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** ISO 27001 a TISAX se webových serverů dotýkají zejména třemi požadavky: Zranitelnosti je nutné rozpoznávat a řešit, dodavatele jako poskytovatele hostingu a agentury je nutné řídit a bezpečnostní incidenty potřebují řádný postup. Situace jako PHP2Shell je pro každé ISMS praktickou zkouškou. Kdo srozumitelně zdokumentuje hodnocení, záplatu a restart, má dobrý základ pro příští audit. Certifikát nebo štítek záplatu nenahradí.

## Co jsou ISO 27001 a TISAX, ve dvou odstavcích

ISO/IEC 27001 popisuje požadavky na systém řízení informační bezpečnosti, zkráceně ISMS. Jde o uspořádaný cyklus: hodnotit rizika, stanovit opatření, provést je, kontrolovat a zlepšovat. Aktuální vydání z roku 2022 obsahuje v příloze A katalog 93 opatření ve čtyřech tématech. Která z nich platí, rozhoduje firma na základě svého hodnocení rizik a zaznamenává to v prohlášení o aplikovatelnosti.

TISAX je v automobilovém průmyslu rozšířený mechanismus prověřování a výměny. Řídí ho ENX Association, základem je katalog požadavků ISA, který ENX udržuje a VDA zveřejňuje. Nezávislí poskytovatelé auditních služeb provádějí assessment, jehož rozsah závisí na potřebě ochrany a sahá od kontroly dokumentů po návštěvy na místě. Výsledky se podle ENX udělují jako štítky, platí tři roky a sdílejí se přes portál ENX jen s vybranými partnery.

## ISO 27001 u webového serveru: jaké požadavky se uplatní?

Webový server je v ISMS zřídka samostatnou kapitolou. Objevuje se na několika místech a právě tam vznikají mezery. Následující přehled řadí nejdůležitější témata obecně. Nenahrazuje pohled do vlastního prohlášení o aplikovatelnosti.

| Téma v ISMS | Co to znamená u webového serveru | Doklad, který pomůže při auditu |
|---|---|---|
| Inventář aktiv | Každý web, každý server, každá verze PHP je zachycena | Aktuální seznam s provozovatelem, verzí, odpovědnou osobou |
| Práce s technickými zranitelnostmi | Hlášení jako PHP2Shell se hodnotí a řeší | Ticket s hodnocením, rozhodnutím, datem záplaty |
| Vztahy s dodavateli | Poskytovatel hostingu a agentura mají jasné bezpečnostní povinnosti | Smlouva, rozdělení úkolů, písemné potvrzení stavu záplat |
| Protokolování a monitorování | Logy webového serveru se uchovávají a vyhodnocují | Pravidlo uchovávání, příklad vyhodnocení |
| Řízení incidentů | Podezření se hlásí, hodnotí a uzavírá | Záznam o incidentu, lessons learned |
| Řízení konfigurace | Nastavení PHP a webového serveru jsou stanovena | Cílová konfigurace a kontrola odchylek |

U TISAX se uplatňují srovnatelná témata, protože katalog ISA je sladěn s dalšími významnými standardy. Některé cíle prověřování, například ochrana prototypů, navíc vyžadují zvláštní péči u systémů, přes které partneři vyměňují data. Mohou to být i portály na bázi PHP.

## PHP2Shell jako praktická zkouška ISMS

Dne 21. 10. 2026 projekt PHP vydal verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pro PHP 8.1 a starší už oficiální aktualizace neexistují. Fungující ISMS by v této situaci mělo spustit řetězec, který lze později doložit.

1. **Přijetí:** Kdo hlášení kdy obdržel a kde je zaznamenáno?
2. **Hodnocení:** Které systémy jsou dotčeny? To předpokládá aktuální inventář, viz [Vědět, co běží](https://phpsos.de/cs/blog/inventar-websites-server/).
3. **Rozhodnutí:** Záplata, přechodné opatření nebo dočasné odstavení, s odůvodněním a jménem rozhodující osoby.
4. **Provedení:** Stav balíčku, restart všech procesů PHP, kontrola. U backportů distribuce se počítá changelog balíčku, ne zobrazené číslo verze; jak to doložit, ukazuje [Jak správně ověřit verzi PHP a stav záplat](https://phpsos.de/cs/php2shell/php-version-pruefen/).
5. **Dodavatelé:** Písemné potvrzení poskytovatele hostingu, že bylo záplatováno a restartováno.
6. **Následná kontrola:** Kontrola na příznaky kompromitace od 17. 10. 2026, protože záplata dřívější průniky nevrátí zpět.

Jak z tohoto jednorázového řetězce vytvořit trvalý postup, popisují [Řízení zranitelností pro střední firmy](https://phpsos.de/cs/blog/schwachstellenmanagement-mittelstand/) a [Správa záplat jako proces](https://phpsos.de/cs/blog/patch-management-prozess/).

## Časté slabiny v dokumentaci

V praxi se doložení málokdy zhroutí na technice, ale na mezerách v řetězci. Typický je web, který provozuje odborný útvar s agenturou a který v inventáři chybí. Stejně časté jsou smlouvy s poskytovatelem hostingu bez údaje o tom, jak rychle se instalují bezpečnostní aktualizace a zda jsou zákazníci informováni.

Další klasika: Ticket k záplatě je uzavřen, ale nikdo procesy PHP nerestartoval. Formálně je bod vyřízen, technicky běží starý kód dál. Dobrý doklad proto neobsahuje jen „aktualizace nainstalována“, ale i restart a kontrolu po něm.

Obtížné je to i u systémů, které nelze hned záplatovat, například aplikace na PHP 8.1. ISMS tu nevyžaduje zázraky, ale vědomé rozhodnutí: Jaká přechodná opatření platí, kdo akceptoval zbývající riziko a do kdy je plánován přechod? Písemná akceptace rizika s datem platnosti je při auditu podstatně lepší než mlčky dále běžící starší systém. Podobně důležité jsou logy. Odborný tisk a odborní autoři po PHP2Shell radili uchovávat logy serveru od 20. 10. 2026. Zda to vaše pravidlo uchovávání umožňuje a zda jsou logy u poskytovatele hostingu, nebo u vás, by se mělo ujasnit před příštím incidentem, ne během něj.

Pokud se na vaši firmu navíc vztahuje NIS2, tyto požadavky se zesilují. Základní rysy najdete v [NIS2 a bezpečnost webového serveru](https://phpsos.de/cs/compliance/nis2/). Jde o obecnou informaci, nikoli o právní poradenství.

> **Důležité:**
> Certifikát nebo štítek popisuje stav systému řízení v okamžiku prověření. Žádný jednotlivý server před novou zranitelností nechrání. Rozhodující je, aby postup v krizi skutečně zabral.

## Jak konkrétně pomáhá PHP SOS?

- Vaše webové servery a instalace PHP zachytíme tak, aby zapadly do inventáře vašeho ISMS.
- Záplatujeme a dokumentujeme prostřednictvím naší [služby záplatování PHP](https://phpsos.de/cs/leistungen/php-patch-service/): stav balíčku, restart, kontrola, s datem a doklady.
- Formulujeme otázky pro poskytovatele hostingu a agentury a jejich odpovědi vyhodnocujeme pro vaše řízení dodavatelů.
- Vašim odpovědným osobám za ISMS dodáváme technická fakta. Hodnocení v systému řízení a audit zůstávají na vás a vašem prověřujícím místě.

## Závěr

ISO 27001 a TISAX nevyžadují konkrétní webový server, ale srozumitelné zacházení s ním. PHP2Shell ukazuje, zda inventář, řešení zranitelností a řízení dodavatelů spolupracují. Kdo čistě doloží řetězec přijetí, hodnocení, záplaty, restartu a následné kontroly, nemá v ruce jen audit, ale především server.


## Časté dotazy

**Patří firemní web do rozsahu ISO 27001?**  
Záleží na tom, jak vaše firma stanovila rozsah. Pokud web zpracovává data zákazníků, je propojen s interními systémy nebo ho provozuje dodavatel, mnohé mluví pro jeho zahrnutí nebo alespoň zachycení prostřednictvím řízení dodavatelů.

**Je TISAX certifikát?**  
ENX Association mluví o assessmentu nezávislými poskytovateli auditních služeb, jehož výsledky se udělují jako štítky TISAX. Štítky podle ENX platí tři roky a sdílejí se cíleně s partnery přes portál ENX, nejsou veřejné.

**Musím po PHP2Shell informovat svého auditora?**  
Obecná povinnost k tomu neexistuje. Vaše ISMS by ale mělo dokumentovat, jak jste zranitelnost vyhodnotili a řešili. Tyto podklady se při příštím auditu typicky prohlížejí.

**Která verze ISO 27001 je aktuální?**  
Rozhodující je vydání ISO/IEC 27001:2022. Jeho příloha A řadí opatření do čtyř témat: organizační, osobní, fyzické a technologické.

## Zdroje

- [ENX Association: TISAX](https://www.enx.com/de-DE/TISAX/)
- [BSI: IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: bezpečnostní hlášení](https://www.php.net/)
- [PHP: podporované verze](https://www.php.net/supported-versions.php)