klient soovib teada, kes on meie juures küberjulgeoleku eest vastutav

Juhtimine, mitte nimi

Praktika kohaselt küsimuse "kes vastutab infoturve eest" puhul ei soorita tavaliselt mitte nime või ametinimetust, vaid juhtimisnõuete tõendamist: kas on määratud vastutus ja kas see on tagatud juhtimisvõimes? NIS2 direktiivi 21. artikli lõige 2 ei nimeta seda eraldi, vaid osana poliitikast riskianalüüsi ja infosüsteemide turvalisuse osas — esimene kümnest meetmest. Kes sellele küsimusele vastama peab, saavad tavalisesti parimal viisil viidata samale poliitikadokumendile, kus on kirjas ka kas ettevõttel on riskianalüüsi ja infosüsteemide turvalisuse poliitika: seal on poliitika omanik tavaliselt nimetatud koos reguleerimisalaga ja viimase läbivaatamise kuupäevaga.

Kui ettevõttel pole selgesõnaliselt määratud vastutast, siis "juhtimine" või "omanik" on vastusena väikeettevõtete puhul sageli piisav — kuid see on faktilise tuvastamise küsimus, mitte see, mida see platvorm pakub. Mida süsteem võib teha: tõmmata vastuse ketendossieerist, kui see on juba olemas, koos allikaga, nii et klient saab seda jaah või ei kinnitada. Kui see fikseerimata puudub, siis sisukas vastus on, et ametlikult määratud vastutast veel pole, selle asemel et välja mõelda nime, mis dossiees pole. See küsimus on sageli seotud teistega: näiteks see, kes juhtumit teatab, on kirjas turvalisusincidendi käsitlemise menetlusest, ja see võib olla sama isik või keegi teine.

Nagu see tuleneb artikli 21 lõikest 2

Direktiivi (EU) 2022/2555 artikli 21 lõike 2 kohaselt peavad üksused rakendama riskipõhist lähenemisviisi kümne konkreetse meetmega, millest esimene on riskianalüüsi poliitiika ja infosüsteemide kaitse; kes selle eest vastutab, on osa sellest poliitikast, mitte eraldi andmepunkt. ISO/IEC 27001 standard kajastab seda Lisa A punktis infoteabe kaitse organiseerimise kontrollmeetmete all. Küberturvalisuse seadus transpordib selle kohustuse Eesti õigusesse ja peaks jõustuma 15. augustil 2026; kuni selleni jäävad NIS2 nõuded ise tekstiks, millele tugineda.