Нямаме CISO, кого попълнявам при кой е отговорен за безопасността

Не е необходимо длъжностно звание, но е необходима посочена роля

Член 21 параграф 2 на NIS2 не изисква CISO. Никъде не е написано, че длъжностното звание е задължително — директивата изисква "надлежни и пропорционални технически, оперативни и организационни мерки", както и управление над тях. Какво трябва да попълните е кой вътрешно взема решения относно информационната сигурност и кому на управлението се докладва по това. При по-малко предприятие това често е самия директор, ИТ-мениджър със сигурност като частична задача или външна страна, која е нанята на постоянна основа. Попълнете тази роля с име или функция, не с "никой" и не с длъжностно звание, което не съществува.

Към какво трябва да обърнеш внимание: на клиента не му е важно названието, а доказуемостта. Можеш ли да покажеш, че има някой отговорен за политиката за анализ на риска и защита на информационните системи, и че същият или друг определен човек е и контактното лице при инциденти на сигурност? Това е доказателството, което обикновено се поиска: организационна схема, RACI таблица, или просто параграф в документа на политиката, който назовава ролята и правомощията. Ако не си го документирал, то „не

Откъде следва това: член 21 алинея 2 буква a от NIS2 и Приложение A 5.2 ISO 27001

Член 21 алинея 2 буква a посочва "политика за анализ на риска и защита на информационните системи" като първо от десетте мерки, и управлението е там един имплицитен компонент: без назначен отговорник политиката не е изпълнима и не е подконтролна. ISO/IEC 27001 прави това експлицитно в Приложение A 5.2, "информационни役информационни роли и отговорности", където се изисква роля, но не конкретна длъжност. Ако попълните този списък без ISO-сертификат, тогава е особено важно разпределението на ролите да фигурира някъде писмено — това помага при въпроса дали предприятието е сертифицирано по ISO 27001, където иначе стоиш с празни ръце.