küsimustik küsib, kes juhatuse sees vastutab küberjulgeoleku eest

Juhtkond kannab vastutust, mitte IT-osakond

Selle küsimusega soovib klient teada, kas juhtkond ise kannab otsustava vastutuse küberturvalisuse eest, või on see delegeeritud IT-juhatajale või CISO-le ilma juhtkonna kaasatuseta. Vastus, mille enamik ettevõtjaid sisestab: üks juht on määratud lõppvastutajaks ja täitmine kuulub alltoodud ametnikule või osakonnale. Need kaks asja ei ole samad ja küsimustik soovib sageli mõlemat näha: kes vastutab (juhatuse tasand) ja kes täidab (operatiivne tasand).

Konkreetne tõendus selleks on tavaliselt juhatuse otsus, CISO-või turvalisuse juhi ametijuhend või informatsiooniturvalisuse poliitika lõik, kus on täpsustatud rollide jaotus. Kui see dokument puudub, siis on "ei" või "veel määramata" aus vastus — mitte seetõttu, et keegi ei vastutaks, vaid seetõttu, et vastutuse määramine pole fikseeritud. See küsimus on sageli seotud küsimusega, kas riski- ja infoturbesüsteemide analüüsimiseks on poliitika olemassest see poliitika nimetab tavaliselt ka selle heakskiitja ja haldaja.

Kus see suunises kajastub: artikli 21 lõige 2

Kohustus tuleneb NIS2-direktiivi artiklist 21 lõige 2 (Direktiiv (EU) 2022/2555), mis loetleb kümmet meetmet, mis kuuluvad juhtkonna vastutusala alla, sealhulgas juhtimine ja riskide juhtimine. Direktiiv reguleerib juhtimisega seotud vastutust eraldi: juhtkond peab järgima täitmist ja sellele saab reageerida ka siis, kui päevakohane täitmine on CISO-l. Hollandis on see kohustus tagasi Küberkaitseseaduses, mis jõustub 15. augustil 2026. ISO/IEC 27001 Annex A nõuab organisatsioonistruktuuri kontrollmeetmetes samuti dokumenteeritud rollide jaotamist — kes sellel sertifikaadil juba on, saab seda dokumentatsiooni tavaliselt otse selle küsimuse jaoks uuesti kasutada. Kui ettevõte on ISO 27001 -sertifitseeritudsiis on juhtimisega seotud vastutus seal tavaliselt juba nimetatud rakendamisulatuses või poliitikadokumendis.