η ερώτηση ζητά ποιος στη διοίκηση είναι υπεύθυνος για την κυβερνοασφάλεια

Η διοίκηση φέρει την ευθύνη, όχι το τμήμα IT

Σε αυτήν την ερώτηση, ο πελάτης θέλει να γνωρίζει αν η διοίκηση είναι αυτή που φέρει την τελική ευθύνη για την κυβερνοασφάλεια ή αν αυτή έχει ανατεθεί σε έναν διευθυντή IT ή CISO χωρίς τη συμμετοχή της διοίκησης. Η απάντηση που συμπληρώνουν οι περισσότερες επιχειρήσεις: έχει οριστεί ένας διευθυντής ως τελικά υπεύθυνος και η εκτέλεση ανατίθεται σε έναν αξιωματούχο ή τμήμα κατώτερης βαθμίδας. Αυτά τα δύο πράγματα δεν είναι τα ίδια και η ερωτηματολόγιο θέλει συχνά να δει και τα δύο: ποιος είναι υπεύθυνος (επίπεδο διοίκησης) και ποιος εκτελεί (λειτουργικό επίπεδο).

Η συγκεκριμένη απόδειξη γι' αυτό είναι συνήθως μια απόφαση της διοίκησης, μια περιγραφή θέσης του CISO ή ενός αξιωματούχου ασφάλειας, ή ένα απόσπασμα της πολιτικής ασφάλειας πληροφοριών στο οποίο αναφέρεται η κατανομή ρόλων. Αν λείπει το έγγραφο, τότε το «όχι» ή το «ακόμα να καθοριστεί» είναι η ειλικρινής απάντηση — όχι επειδή κανείς δεν είναι υπεύθυνος, αλλά επειδή η ανάθεση δεν έχει τεθεί σε γραπτό. Αυτή η ερώτηση συχνά σχετίζεται με την ερώτηση του κατά πόσον υπάρχει πολιτική για ανάλυση κινδύνου και προστασία συστημάτων πληροφοριών, διότι η πολιτική αυτή συνήθως αναφέρει επίσης ποιος την εγκρίνει και ποιος την διατηρεί.

Όπου βρίσκεται αυτό στην Οδηγία: άρθρο 21 παράγραφος 2

Η υποχρέωση προκύπτει από το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 (Οδηγία (ΕΕ) 2022/2555), η οποία καταγράφει δέκα μέτρα που εμπίπτουν στην ευθύνη της διοίκησης, όπως η διακυβέρνηση και η διαχείριση κινδύνου. Η Οδηγία ίδια ρυθμίζει την ευθύνη της διοίκησης ξεχωριστά: η διοίκηση πρέπει να επιτηρεί την εκτέλεση και μπορεί να κληθεί να λογοδοτήσει, ακόμη και αν η καθημερινή εκτέλεση βρίσκεται σε έναν CISO. Στην Ολλανδία, αυτή η υποχρέωση επανεμφανίζεται στο Cybersecurity Act, το οποίο θα τεθεί σε ισχύ στις 15 Αυγούστου 2026. Το ISO/IEC 27001 Annex A ζητά στα μέτρα ελέγχου γύρω από τη διοικητική δομή επίσης μια καταγεγραμμένη κατανομή ρόλων — ποιος έχει ήδη το πιστοποιητικό, μπορεί συνήθως να επαναχρησιμοποιήσει εκείνη την τεκμηρίωση απευθείας για αυτήν την ερώτηση. Αν η επιχείρηση είναι πιστοποιημένη ISO 27001τότε η διοικητική ευθύνη αναφέρεται συνήθως ήδη στο πεδίο εφαρμογής ή το έγγραφο πολιτικής.