küsimustik küsib, kes meie ettevõttes on vastutav küberjulgeoleku eest

Juhtimisstruktuur ja vastutus, mitte ainult nimi

Küsimus läheb kaugemale kui kontaktisiku sisestamine. NIS2-direktiivi artikli 21 lõike 2 kohaselt nimetatakse "riskianalüüsi poliitikat ja infosüsteemide turvameetmeid" üheks kümme kohustuslikust meetmest, ja juhtimisstruktuur — kes otsustab, kes heaks kiidab, kes kannab vastutust — on selle osa. ISO/IEC 27001 puhul leidub see tagasi Lisas A infoturbealaste organisatsiooniliste kontrollmeetmete all: seal oodatakse, et rollid ja vastutused oleksid määratud ja kirjalikult fikseeritud, mitte ainult suuliselt kokku lepitud. Nime nimetamine ilma fikseeritud rollita on seega sageli pool täitmisest.

Täpselt seda, mida klient näha soovib, erineb formaadi lõikes: mõnikord on see funktsioonititel (CISO, IT-juhataja, direktor), mõnikord RACI-laadne tabel, mõnikord ainult küsimus, kas üldse on määratud isik. Kui ettevõttele puudub formaalse määramisega vastutav isik, kuid ülesanne on tegelikkuses kellegi peal, siis see on "jah" vastuseks piisav — tingimusel, et see on kusagil fikseeritud, näiteks ametijuhendis või protokollides. Ilma mingisuguse fikseerimiseta on "ei" aus vastus; ketidossee ei saa seda lahendada väidete väljamõtlemisega. See küsimus on sageli seotud riskianalüüsi ja infoturbesüsteemide turvameetmete poliitikakuna klient, kes juhtimisstruktuuri kohta küsib, soovib tavaliselt teada ka seda, kes selle poliitika on kinnitanud.

Kuhu see richtlijn ja norm paigutatakse

Viide juhtimisstruktuurile ja vastutusele asub NIS2-direktiivi artikli 21 lõike 2 punktis a (riskianalüüsi ja infoturbealane poliitika) ja ISO/IEC 27001 Lisa A all organisatsiooniliste kontrollmeetmete seas. Hollandis ilmneb sama kohustus Cyberbeveiligingsweti kaudu, mis jõustub 15. augustil 2026 NIS2 transpositsioonina. Järelevalveasutused ja kliendid, kes seda küsimust esitavad, testivad kaudselt ka seda, kas selle taga on protsess — seepärast käib see küsimus praktikas sageli koos küsimusega, kas meetmete tulemuslikkust kontrollitakse perioodiliseltsest vastutav isik ilma kontrollimomendita on paberil vähe väärt.