kunde ønsker at vide, hvem hos os der er ansvarlig for cybersecurity

Governance, ikke et navn

Spørgsmålet "hvem er ansvarlig for informationssikkerhed" spørger i praksis ikke om et navn eller funktionsbetegnelse, men om bevis for governance: er der fastsat et ansvar, og er det sikret på ledelsesniveau? Artikel 21, stk. 2 i NIS2 nævner dette ikke separat, men som del af politikken for risikoanalyse og sikring af informationssystemer — den første af de ti foranstaltninger. Den, der modtager dette spørgsmål, kan normalt bedst henvise til det samme politikdokument, der også indeholder eller organisationen har politik for risikoanalyse og sikring af informationssystemer: ejeren af politikken er normalt nævnt der sammen med omfanget og datoen for den seneste revision.

Hvis organisationen ikke har en eksplicit udpeget ansvarlig, er "direktionen" eller "ejeren" som svar ofte tilstrækkelig for mindre virksomheder — men det er en faktisk konstatering, ikke noget, som denne platform foreslår. Det, som systemet kan gøre: hente svaret fra leverandørkæden-dossieren, hvis det allerede findes der, med kilden, så kunden kan bekræfte det med ja eller nej. Hvis denne registrering mangler, er det mest ærligt svar, at der endnu ikke er en formelt udpeget ansvarlig, i stedet for at opfinde et navn, der ikke findes i dossieren. Dette spørgsmål hænger ofte sammen med andre: den, der indberetter en hændelse, nævnes for eksempel i proceduren for håndtering af sikkerhedshændelser, og det kan være den samme person eller en anden.

Hvor dette følger af artikel 21, stk. 2

Artikel 21, stk. 2 i direktiv (EU) 2022/2555 pålægger enheder en risikobaseret tilgang med ti konkrete foranstaltninger, hvoraf politik vedrørende risikoanalyse og sikring af informationssystemer er den første; hvem der er ansvarlig for det, er del af denne politik, ikke et separat forhold. I ISO/IEC 27001 vender dette tilbage i Annex A under kontroller for organisering af informationssikkerhed. Cybersikkerhedsloven gennemfører denne forpligtelse i dansk ret og forventes at træde i kraft den 15. august 2026; indtil da er NIS2 selve teksten at henvise til.