Списъкът пита кой в управата е отговорен за кибербезопасността

Ръководството носи отговорността, не IT отделът

При този въпрос клиентът желае да знае дали ръководството самo носи крайната отговорност за киберсигурност, или това е делегирано на IT-мениджър или CISO без участие на ръководството. Отговорът, който повечето предприятия попълват: един член на ръководството е определен като крайно отговорен, а изпълнението лежи на функционер или отдел под него. Тези две неща не са едно и също и въпросникът често желае да види и двете: кой е отговорен (ниво ръководство) и кой извършва (оперативно ниво).

Конкретно доказателство за това обикновено е решение на ръководството, описание на функциите на CISO или security officer, или част от политиката за информационна безопасност, която съдържа разпределението на ролите. Ако липсва този документ, то "не" или "предстои да се определи" е честният отговор — не защото никой не е отговорен, а защото прехвърлянето на отговорност не е установено. Този въпрос често е свързан със въпроса дали има политика за анализ на риска и защита на информационните системи, тъй като тази политика обикновено также назовава кой я е одобрил и кой я поддържа.

Където е записано в директивата: член 21, параграф 2

Задължението произтича от член 21 алинея 2 на Директива NIS2 (Директива (EU) 2022/2555), която изброява десет мерки, които попадат под отговорността на ръководството, включително управление и управление на рисковете. Самата директива регулира отговорността на ръководството отделно: ръководството трябва да осъществява надзор върху изпълнението и може да бъде привлечено към отговорност, дори ако дневното изпълнение лежи на CISO. В Нидерландия това задължение се появява отново в Закона за киберсигурност, който влиза в сила на 15 август 2026 г. ISO/IEC 27001 Приложение A също изисква в управляващите мерки около организационната структура установено разпределение на ролите — ако вече имате този сертификат, обикновено можете директно да преизползвате тази документация за този въпрос. Ако предприятието е сертифицирано по ISO 27001, то управленската отговорност обикновено вече е изброена там в обхвата на прилагане или в документа на политиката.