nemáme IT oddělení, kdo musí vyplnit tento dotazník zabezpečení

Chybějící oddělení ICT není výjimka

Dotazník se nezabývá tím, kdo je na mzdové listině, ale tím, zda jsou přítomna deseti opatření podle článku 21 odst. 2 NIS2 — i u firmy s pěti zaměstnanci. Zákazník, který tento seznam rozesílá, chce vědět, zda jsou zajištěny analýza rizik, řešení incidentů, kontinuita provozu a řízení přístupu, a nikoli zda pro to existuje oddělení s takovým názvem. U malého podniku často odpovídá vlastník nebo externí IT poskytovatel, a to je platná odpověď: kdo to dělá, není v dotazníku, pouze zda se to dělá.

Z praktického hlediska to znamená, že osoba, která spravuje hosting, notebooky nebo účetní software — často externí kancelář — má konkrétní odpovědi na otázky týkající se zálohování a nouzových opatření a vícefaktorové ověřování. Tento poskytovatel nemusí vyplňovat dotazník, ale poskytuje doklad nebo potvrzení, na základě kterého sám podnikatel odpovídá. U otázek, které se týkají spíše politiky než techniky — kdo má přístup kam, co se stane při incidentu — znalosti obvykle leží u samotného vlastníka, i bez IT vzdělání.

Článek 21 odst. 2 vyžaduje opatření, nikoli funkční titul

Článek 21 odst. 2 směrnice NIS2 uvádí deseti opatření jako povinnost dosáhnout výsledku pro entitu bez toho, aby stanovoval požadavky na organizační strukturu, jejímž prostřednictvím se tento výsledek dosáhne. Příloha A normy ISO/IEC 27001 vypracovává stejná opatření v opatřeních, která mohou být implementována stejně dobře externí stranou jako interním personálem. Otázka, zda daný podnik sám podléhá směrnici, je navíc samostatnou otázkou, oddělenou od toho, kdo dotazník vyplňuje — to lze odvodit z vlastního NIS2 statusu.