клиентът иска да знае кой е отговорен за киберсигурността при нас

Управление, не име

Въпросът "кой отговаря за информационната сигурност" на практика не иска име или длъжностно звание, а доказателство на управление: има ли назначена отговорност и е ли тя осигурена на ниво управление? Член 21, параграф 2 на NIS2 не го посочва отделно, но като част от политиката за анализ на риска и сигурност на информационните системи — първата от десетте мерки. Който получи този въпрос, обикновено може най-добре да се позовава на същия политически документ, в който е посочено дали организацията има политика за анализ на риска и сигурност на информационните системи: там обикновено е посочен собственикът на политиката, заедно с обхвата и датата на последното преразглеждане.

Ако организацията няма явно назначена отговорна лица, то "управлението" или "собственикът" като отговор често е достатъчен за по-малките компании — но това е фактуално установяване, а не нещо, което предлага тази платформа. Какво може да направи системата: да извлече отговора от досието на веригата, ако той вече е там, с указване на източника, така че клиентът да го потвърди с да или не. Ако этото установяване липсва, то най-честният отговор е, че все още няма формално назначена отговорна лица, вместо да се измисли име, което не е в досието. Този въпрос често е свързан с други: кой докладва инцидент, например е посочен в процедурата за обработка на инциденти в областта на сигурността, и това може да бъде същото лице или някой друг.

Където това следва от член 21, параграф 2

Член 21, параграф 2 на Директива (EU) 2022/2555 задължава субектите да прилагат подход, базиран на риска, с десет конкретни мерки, като политиката по отношение на анализ на риска и сигурност на информационните системи е първата; кой е отговорен за това, е част от тази политика, а не отделен факт. В ISO/IEC 27001 това се отразява в Приложение A, под контролните мерки за организиране на информационната безопасност. Законът за кибербезопасност преобразува това задължение в нидерландското право и трябва да влезе в сила на 15 август 2026 г.; до този момент самата NIS2 е текстът, към който трябва да се обърнем.