zákazník se ptá, kdo je naší CISO, ale nemáme separátní funkci na tuto pozici

Absence CISO v podniku není problém

Otázka na CISO se netýká titulu na vizitce, ale role: kdo je odpovědný za bezpečnost informací a kybernetickou bezpečnost a na koho se může klient obrátit, když se něco stane. V menších podnicích tuto roli často zastává ředitel, správce IT nebo někdo, kdo si to vezme "navíc". To je platná odpověď, pokud můžete určit, kdo to je a co daná osoba dělá.

Odpovězte tedy na otázku funkcí, která roli skutečně zastává, ne odpovědí "neuplatnitelné". Typické vyplnění: "roli CISO zastává [funkce], odpovědná za [úkoly]". To navazuje na to, co klienti v praxi ověřují: ne titul, ale zda existuje dohled analýzu rizik a zabezpečení informačních systémů a zda bezpečnostní opatření jsou pravidelně ověřována. Governance je základní téma, ne otázka týkající se zaměstnanců.

Governance je nezávislá na funkčním titulu

Článek 21 odst. 2 směrnice NIS2 (Směrnice (EU) 2022/2555) uvádí deset kategorií opatření, včetně politiky analýzy rizik a bezpečnosti informačních systémů — titul CISO se v tomto seznamu nevyskytuje. ISO/IEC 27001 pracuje se stejnou logikou: Příloha A vyžaduje přiřazené odpovědnosti za bezpečnost informací (často podle bodu A.5, organizace bezpečnosti informací), nikoli konkrétní název funkce. Dotazník klienta obvykle překládá tento požadavek otázkou "kdo je CISO", protože to je běžný termín ve větších organizacích, ale základní otázka zůstává: je odpovědnost přiřazena. Jakmile je to zdokumentováno — byť jen v popisu pracovní pozice ředitele — existuje faktický základ pro odpověď, a to i bez samotného titulu.