ptají se, kdo je náš CISO, ale nikoho s tímto titulem nemáme

Není potřeba CISO, ale je potřeba kontaktní osoba pro bezpečnost

Zde obvykle můžete jednoduše vyplnit "ne", aniž by to byl nedostatek. Žádné z deseti opatření v článku 21 odst. 2 směrnice NIS2 nepředepisuje konkrétní funkční titul. Směrnice stanovuje povinnosti na úrovni organizace — správu, řízení rizik, řešení incidentů — ne to, jak si je vnitřně rozdělíte nebo jaký titul bude mít taková role. CISO ("Chief Information Security Officer") je jeden ze způsobů, jak to zajistit, zejména v případě větších organizací, ale není to požadavek. V ISO/IEC 27001 je to stejné: Příloha A vyžaduje vymezené odpovědnosti za bezpečnost informací, ne konkrétní titul v mzdové listině.

To, co se váš zákazník vlastně ptá, je, kdo je interně zodpovědný a dostupný v případě incidentu. V menší firmě to často bývá sám vlastník, správce IT nebo někdo, kdo se zabývá bezpečností jako vedlejší činnost. Odpovězte na tuto základní otázku: jméno, funkce a případně, jak se dá tato osoba kontaktovat. To se také vazuje na kdo reaguje, pokud dojde k bezpečnostnímu incidentu — to je obvykle stejná osoba nebo stejný tým. Nejste si jisti, zda se váš zákazník spokojí s odpovědí "žádný CISO, ale máme zodpovědnou osobu"? Potom tuto odpověď sami nepotvrzujte slepě výběrem "ano" — to je posouzení, které přísluší podávajícímu, ne automaticky vyplněnému dosseru.

Odkud to vyplývá: článek 21 odst. 2 a Příloha A

Článek 21 odst. 2 směrnice NIS2 uvádí deset kategorií opatření, včetně řízení rizik, řešení incidentů a zásad přístupu, ale neobsahuje žádný název role. Nizozemský Zákon o kybernetické bezpečnosti, který tuto směrnici transpozuje a vstoupí v platnost 15. srpna 2026, následuje stejný postup. ISO/IEC 27001 Příloha A vyžaduje v sekci organizace bezpečnosti informací přidělené odpovědnosti, ne funkční titul. Chcete-li ověřit, zda vaše podnikání samo podléhá povinnostem podle NIS2, je to oddělená otázka — podívejte se na zda podnikání jako subjekt podléhá směrnici NIS2.