dotazník se ptá, kdo v našem podniku nese odpovědnost za kybernetickou bezpečnost

Governance a odpovědnost, nikoli pouze jméno

Otázka jde dále než pouze vyplnění kontaktní osoby. Článek 21 odstavec 2 směrnice NIS2 uvádí "politik týkající se analýzy rizik a bezpečnosti informačních systémů" jako jedno z deseti povinných opatření a governance — kdo rozhoduje, kdo schvaluje, kdo nese odpovědnost — je jeho součástí. V normě ISO/IEC 27001 se to vrací v Příloze A v rámci kontrolních opatření týkajících se organizace bezpečnosti informací: očekává se, že role a odpovědnosti jsou přiřazeny a zaznamenány, nikoli pouze ústně domluveny. Uvedení jména bez zdokumentované role je proto obvykle jen částečným vyplněním.

Přesně to, co chce vidět klient, se liší podle formátu: někdy je to funkční titul (CISO, IT-manažer, ředitel), někdy tabulka podobná RACI, někdy pouze otázka, zda je vůbec určena odpovědná osoba. Pokud podnik nemá formálně určeného odpovědného, ale úkol fakticky spočívá na někom, často je to dostačující pro odpověď "ano" — pokud je to někde zaznamenáno, například v popisu funkce nebo v zápisu ze zasedání. Bez jakéhokoliv zdokumentování je "ne" poctivá odpověď; řetězový spis to nemůže vyřešit vymyšleným tvrzením. Tato otázka často souvisí s zásady pro analýzu rizik a bezpečnost informačních systémůprotože klient, který se ptá na governance, obvykle také chce vědět, kdo tuto politiku schválil.

Kde se to v směrnici a normě vyskytuje

Odkaz na governance a odpovědnosti se nachází v článku 21 odstavec 2 písm. a) směrnice NIS2 (politika týkající se analýzy rizik a bezpečnosti informací) a v Příloze A normy ISO/IEC 27001 v rámci organizačních kontrolních opatření. V Nizozemsku se stejná povinnost vrací prostřednictvím Zákona o kybernetické bezpečnosti, který vstoupí v platnost 15. srpna 2026 jako transpozice NIS2. Regulátoři a klienti, kteří tuto otázku kladou, zároveň implicitně testují, zda za tím stojí nějaký proces — proto se v praxi tato otázka často prolíná s otázkou, zda je účinnost opatření periodicky ověřovánaprotože odpovědný bez okamžiku ověření má na papíře malou cenu.