kdo je odpovědný za vyplnění seznamů otázek od klientů o bezpečnosti

Odpovědný je obsah role, nikoli oddělení

Neexistuje žádná právní směrnice, kdo v podniku bezpečnostní dotazník vyplňuje — jedná se o interní politiku, nikoli o povinnost vyplývající z právního předpisu. V praxi to padá na vrub těch, kdo mohou odpověď podložit: často IT manažer nebo bezpečnostní pracovník pro technická opatření a HR nebo vedení pro politiky a povědomí. V případě certifikace ISO 27001 je to obvykle již stanoveno v přidělení rolí kolem systému řízení bezpečnosti informací, přičemž dotazník je pak věcí konzultace tohoto systému, nikoli opětovného zjišťování.

Tam, kde se často dělají chyby, není otázka kdo vyplňuje, ale kdo může potvrdit. Technická odpověď může být správná, ale pokud osoba, která ji zadává, nemá přehled o tom, co se může poslat externí straně, informace vycházejí ven, které tam nepatří. To je důvod pro rozdělení vyplňování a uvolňování do dvou samostatných kroků: první je faktický, druhý je úvahou o důvěrnosti. Stejný rozpor se projevuje například u otázky zda má podnik plán kontinuity — i tam je odpověď často známá, ale ne vždy je myšlena jako podrobně sdílená.

Co dotazník obsahově zkoumá

Deset opatření článku 21 odst. 2 Směrnice NIS2 (Směrnice (EU) 2022/2555) dávají dobrý obraz kategorií, které se vracejí v dotaznících klientů: analýza rizik, řešení incidentů, kontinuita podnikání, bezpečnost dodavatelů, zásady přístupu a podobně. Kdo používá ISO/IEC 27001, rozezná stejná témata v kontrolních opatřeních přílohy A — to činí normu vhodným interním referenčním materiálem, i když se certifikát sám o sobě zákazníkovi neukazuje. U otázky zda je podnik certifikován podle ISO 9001 platí stejná logika: jde o samostatnou normu, ale otázka kdo odpověď zná a řídí, organizačně často padá na vrub téže osoby.