meillä ei ole CISO:ta, kenen nimen ilmoitan vastuuhenkilöksi turvallisuusasioissa

Funktionimikettä ei tarvita, mutta rooli on osoitettava

Artikla 21 kohta 2 NIS2 ei vaadi CISO:ta. Missään ei sanota, että funktionimikke olisi pakollinen — direktiivi vaatii "asianmukaisia ja oikeassa suhteessa olevia teknisiä, operatiivisia ja organisatorisia toimenpiteitä" ja niiden yläpuolella olevaa hallintoa. Se, mitä sinun on pystyttävä täyttämään, on tieto siitä, kuka organisaatiossasi päättää tietoturvasta ja kuka esittää sen johdolle. Pienemmässä yrityksessä se on usein toimitusjohtaja itse, IT-johtaja, jolla tietoturva on osatehtävänä, tai ulkoinen osapuoli, jonka kanssa on pysyvä sopimus. Täytä tämä rooli nimellä tai tehtävänimikkeellä, ei sanalla "kukaan" eikä olemattomalla tittelillä.

Mihin sinun on kiinnitettävä huomiota: asiakasta ei kiinnosta nimike vaan osoitettavuus. Voitko osoittaa, että joku on vastuussa riskianalyysiksi ja tietojärjestelmien turvaamisen politiikaksista ja että sama tai toinen nimetty henkilö on myös yhteyspiste turvallisuuspoikkeamille? Se on tavallisesti vaadittava todiste: organisaatiokaavio, RACI-matriisi tai yksinkertaisesti hallintokäsikirjassa oleva kappale, jossa rooli ja valtuudet nimetään. Jos et ole dokumentoinut tätä, vastaus "ei" ja selvitys siitä, että johtoryhmä kantaa tämän vastuun, on rehellisempi vastaus kuin keksitty funktio.

Mistä tämä seuraa: artikla 21 kohta 2 alakohta a NIS2 ja Annex A 5.2 ISO 27001

Artikla 21 kohta 2 alakohta a mainitsee "riskien analysointi- ja tietoturvapolitiikan" ensimmäisenä kymmenestä toimenpiteestä, ja hallinto on siinä implisiittinen osa: ilman nimettyä vastuutahoa politiikkaa ei voi toteuttaa eikä valvoa. ISO/IEC 27001 tekee tämän eksplisiittiseksi Annex A 5.2 -kohdassa, "information security roles and responsibilities", jossa roolia todellakin vaaditaan, mutta ei mitään tiettyä titteliä. Jos täytät tämän luettelon ilman ISO-sertifikaattia, on erityisen tärkeää, että roolijakauma on dokumentoitu — se auttaa vastattaessa kysymykseen onko yritys ISO 27001 -sertifioitumissä muuten jäät tyhjiin käsin.