dotazník se ptá, kdo v orgánu řízení je zodpovědný za kybernetickou bezpečnost

Vedení nese odpovědnost, nikoliv IT oddělení

U této otázky chce zákazník vědět, zda vedení samo nese konečnou odpovědnost za kybernetickou bezpečnost, nebo zda byla delegována na IT manažera nebo CISO bez zapojení vedení. Odpověď, kterou vyplňují většina podniků: jeden člen vedení je určen jako konečně odpovědný a provádění leží na funkcionáři nebo oddělení pod ním. Tyto dvě věci nejsou totožné a dotazník často chce obojí vidět: kdo nese odpovědnost (úroveň vedení) a kdo to provádí (operační úroveň).

Konkrétním důkazem je obvykle rozhodnutí vedení, popis funkce CISO nebo bezpečnostního manažera nebo pasáž v politice informační bezpečnosti, kde je rozpis rolí. Pokud takový dokument chybí, pak je "ne" nebo "ještě není určeno" poctivou odpovědí — ne proto, že by nikdo nebyl odpovědný, ale proto, že přidělení není zaznamenáno. Tato otázka často souvisí s otázkou, zda existuje politika pro analýzu rizik a bezpečnost informačních systémů, protože tato politika obvykle také uvádí, kdo ji schválil a kdo ji udržuje.

Kde se to v směrnici nachází: článek 21 odstavec 2

Povinnost vychází z článku 21 odst. 2 směrnice NIS2 (Směrnice (EU) 2022/2555), která uvádí deset opatření, která spadají pod odpovědnost vedení, včetně řízení a řízení rizik. Samotná směrnice upravuje odpovědnost vedení zvlášť: vedení musí dohlížet na provádění a může být za to odpovídáno, i když den za dnem provádění leží na CISO. V Nizozemsku se tato povinnost opakuje v Zákoně o kybernetické bezpečnosti, který nabude účinnosti 15. srpna 2026. ISO/IEC 27001 Příloha A také požaduje v kontrolních opatřeních týkajících se organizační struktury jasně zaznamenané rozdělení rolí — kdo již má tento certifikát, obvykle může tuto dokumentaci přímo znovu použít pro tuto otázku. Je-li podnik je certifikován ISO 27001, pak vedoucí odpovědnost je tam obvykle již zmíněna v rozsahu použití nebo v dokumentu politiky.