Списъкът с въпроси пита кой в нашата фирма е отговорен за киберсигурност

Управление и отговорност, не само име

Въпросът отива по-далеч от попълването на контактно лице. Член 21, параграф 2 от Директивата за NIS2 посочва "политика за анализ на риска и защита на информационните системи" като една от десетте задължителни мерки, и управлението — кой решава, кой одобрява, кой носи отговорността — е част от това. При ISO/IEC 27001 това се отразява в Приложение A, в контролите за организиране на защитата на информацията: там се очаква ролите и отговорностите да са определени и документирани, не само устно договорени. Посочването на име без документирана роля е следователно обикновено половин попълване.

Точно какво иска да види клиентът, варира в зависимост от формата: понякога това е длъжностна титла (CISO, IT-мениджър, директор), понякога RACI-подобна таблица, понякога само въпросът дали изобщо е назначено лице. Ако компанията няма формално назначен отговорник, но задачата фактически е на някого, това е често достатъчно за "да" — при условие че е документирано някъде, например в описание на длъжност или протоколи. Без никаква документация "не" е честният отговор; ketendossier не може да го разреши с измислено твърдение. Този въпрос често е свързан с политика за анализ на рисковете и сигурност на информационните системи, защото клиент, който пита за управление, обикновено иска да знае кой е установил политиката.

Където това е в директивата и нормата

Позоваването на управление и отговорности е в член 21, параграф 2, буква a от Директивата за NIS2 (политика за анализ на риска и защита на информацията) и в Приложение A на ISO/IEC 27001, в организационните контролни мерки. В Нидерландия същото задължение се появява чрез Закона за кибербезопасност, който влиза в сила на 15 август 2026 г. като трансposition на NIS2. Органите по надзор и клиентите, които задават този въпрос, имплицитно също проверяват дали има процес зад него — затова в практиката този въпрос често е свързан с въпросът дали ефективността на мерките се преглежда периодично, защото отговорник без преглед е на хартия малко стойност.