kes on turvalisuse nimekirja täitmise eest vastutav

Rollide jaotus ei ole iseenesest normieritus, kuid vastus tuleb kontrollida

Küsimustik ise ei määratle, kes selle täidab; artikkel 21 lõige 2 NIS2 ja ISO/IEC 27001 lisa A käsitlevad meetmeid, mida organisatsioon võtab, mitte funktsionääri, kes vormi allkirjastab. Praktikas on selleks tavaliselt isik, kes tunneb organisatsiooni infobeveiliguspoliitkat: turvaohitseri, IT-juhi või väiksematest ettevõtetest kodud juhataja ise. ISO 27001 sertifikaadi puhul on juhtsüsteemis sageli juba määratud vastutav isik — see nimi on siis loogiline kontaktisik selle küsimustiku jaoks.

Mis on siiski kindel: vastused peavad millel olema aluseks. Kui küsimus käsitleb ligipääsukaitse, peab keegi saama näidata, milline poliitika või meede selle taga on — mitte pähe kirjutada, vaid loetleda dokumendist. See teeb sellest vähem küsimust „kes tohib seda täita kas ettevõte kasutab oma teenuseid AI-süsteeme);rohkem küsimust „kel on allpool asuvad faktid käepärast. Sama isik on sageli ka see, kes saab hinnata, kas , kuna see puudutab sama tehnilist inventuuri. Kahtluse korral, kes ettevõttes vastuse omanik on, on see sageli sama isik, kes tegeleb ka , kuna need teemad kattuvad allikmaterjali osas.

Kust see tuleb: artikkel 21 lõige 2 ja Lisa A

Artikkel 21 lõige 2 NIS2 nimetab kümmet meetmete kategooriat, sealhulgas riskijuhtimine, intsidentide käsitlemine ja ligipääsupoliitika — direktiiv reguleerib nende meetmete sisu, mitte seda, kes neid ettevõttes teatab. ISO/IEC 27001 lisa A täiendab seda konkreetsete juhtimismeetmetega, ja sertifitseeritud organisatsiooniidel on tavaliselt juba oma juhtimissüsteemis määratud vastutav isik. See olemasolev rollide jaotus on kõige ilmsem allikas, millele cyberjulgeoleku küsimustikule vastamisel tuginemine.