Zákazník chce vědět, kdo je u nás odpovědný za kybernetickou bezpečnost

Řízení, ne jméno

Otázka "kdo je odpovědný za bezpečnost informací" se v praxi nepohybuje okolo jména nebo funkčního titulu, ale hledá důkaz řízení: existuje určená odpovědnost a je zakotvena na úrovni vedení? Článek 21 odstavec 2 NIS2 to nezmiňuje samostatně, ale jako součást politiky pro analýzu rizik a bezpečnost informačních systémů — první z deseti opatření. Kdo dostane tuto otázku, obvykle se může nejlépe odkazovat na stejný politický dokument, ve kterém je také uvedeno zda má podnik politiku pro analýzu rizik a bezpečnost informačních systémů: tam je vlastník politiky obvykle uveden spolu s rozsahem a datem poslední revize.

Pokud podnik nemá explicitně určeného odpovědného, pak je "vedení" nebo "vlastník" jako odpověď u menších podniků často dostačující — ale to je faktické zjištění, nikoli něco, co tato platforma navrhuje. Co systém skutečně zvládne: vytáhnout odpověď z řetězového spisu, pokud tam už je, se zdrojem, aby ji klient potvrdil ano nebo ne. Chybí-li takový záznam, pak je nejčestnější odpovědí, že dosud není formálně určený odpovědný, místo aby se vymyslelo jméno, které v rejstříku není. Tato otázka je často spojena s dalšími: kdo hlásí incident, je například uvedeno v postupem pro řešení bezpečnostních incidentů, a to může být stejná osoba nebo někdo jiný.

Jak vyplývá z článku 21 odst. 2

Článek 21 odst. 2 Směrnice (EU) 2022/2555 zavazuje subjekty k přístupu založenému na rizicích s deseti konkrétními opatřeními, z nichž politika týkající se analýzy rizik a bezpečnosti informačních systémů je první; osoba odpovědná za to je součástí této politiky, nikoliv samostatný daný fakt. V normě ISO/IEC 27001 se to odráží v příloze A v rámci kontrolních opatření pro organizaci bezpečnosti informací. Zákon o kybernetické bezpečnosti tuto povinnost implementuje do českého práva a měl by vstoupit v platnost 15. srpna 2026; do tohoto data je samotná NIS2 textem, na který se lze odvolat.