δεν έχουμε τμήμα IT, ποιος πρέπει να συμπληρώσει αυτήν τη λίστα ερωτήσεων κυβερνοασφάλειας

Χωρίς τμήμα ICT δεν υπάρχει εξαίρεση

Η λίστα ερωτήσεων δεν αφορά το ποιος βρίσκεται στη φορολογική κατάσταση, αλλά αν τα δέκα μέτρα του άρθρου 21 παράγραφος 2 NIS2 είναι παρόντα — ακόμη και με πέντε άτομα προσωπικού. Ένας πελάτης που στέλνει αυτή τη λίστα, θέλει να γνωρίζει αν η ανάλυση κινδύνου, η διαχείριση συμβάντων, η συνέχεια και ο έλεγχος πρόσβασης είναι διευθετημένα, όχι αν υπάρχει ένα τμήμα με αυτό το όνομα γι' αυτό. Σε μια μικρή επιχείρηση, η απάντηση συχνά βρίσκεται στον ιδιοκτήτη ή σε έναν εξωτερικό προμηθευτή IT, και αυτή είναι μια έγκυρη απάντηση: ποιος το κάνει δεν βρίσκεται στη λίστα ερωτήσεων, μόνο αν συμβαίνει.

Στην πράξη, αυτό σημαίνει ότι αυτός που διαχειρίζεται την hosting, τα laptop ή το λογισμικό λογιστικής — συχνά ένα εξωτερικό γραφείο — έχει τις πραγματικές απαντήσεις σε ερωτήσεις σχετικά με αντίγραφα ασφαλείας και έκτακτα μέτρα και σχετικά με η πολυπλέκτορη ταυτοποίηση. Αυτός ο προμηθευτής δεν χρειάζεται να συμπληρώσει τη λίστα ερωτήσεων, αλλά παρέχει το στοιχείο ή την επιβεβαίωση με την οποία ο ίδιος ο επιχειρηματίας απαντά. Για ερωτήσεις που δεν αφορούν την τεχνική αλλά την πολιτική — ποιος μπορεί να πάει πού, τι συμβαίνει σε περίπτωση συμβάντος — η γνώση βρίσκεται συνήθως στον ιδιοκτήτη, ακόμη και χωρίς τεχνικό υπόβαθρο ICT.

Το άρθρο 21 παράγραφος 2 ζητά μέτρα, όχι έναν τίτλο θέσης

Το άρθρο 21 παράγραφος 2 της οδηγίας NIS2 αναφέρει τα δέκα μέτρα ως υποχρέωση αποτελέσματος για την οικονομική μονάδα, χωρίς να θέτει απαιτήσεις για τη δομή της οργάνωσης με την οποία επιτυγχάνεται αυτό το αποτέλεσμα. Το Παράρτημα A του ISO/IEC 27001 αναπτύσσει τα ίδια μέτρα σε ελεγκτικά μέτρα που μπορούν να εκτελεστούν εξίσου καλά από μια εξωτερική μέρος όσο και από εσωτερικό προσωπικό. Αν η επιχείρηση αυτή πέφτει υπό την οδηγία, είναι άλλωστε ένα ξεχωριστό ζήτημα, ανεξάρτητα από το ποιος συμπληρώνει τη λίστα ερωτήσεων — αυτό μπορεί να συναχθεί από την ίδια κατάσταση NIS2.