kyselylomake pyytää security-yhteyshenkilöä, kenen pitäisi se olla yrityksessämme

Yhteyshenkilö on rooli, ei nimi kyselylomakkeella

Ilmoita henkilö, joka on sisäisesti vastuussa turvatoimista, ei välttämättä omistaja tai johtaja. Käytännössä kyseessä on henkilö, joka on myös osallisena haavoittuvuuksien havaitsemista ja korjaamista koskevan prosessin kanssa ja kohdasta turvallisuuspoikkeamien käsittelystä johtuvaan menettelyyn — usein siis sama henkilö, joka on sisäisesti yhteyspisteenä, jos jokin menee pieleen. Pienessä yrityksessä kyseessä on usein yrittäjä itse tai IT-ylläpitäjä; suuremmassa yrityksessä tietoturvajohtaja tai henkilö, jolla on vastaava tehtävänimike. Nimikettä tärkeämpää on, että kyseinen henkilö on tavoitettavissa ja tietää tilanteen, sillä asiakas käyttää tätä yhteystietoa lähinnä poikkeaman tai auditoinnin yhteydessä.

Käytä mieluummin rooli- tai toimintopostia yksityisen nimen sijaan, mikäli se on mahdollista: tämä estää kyselyn vanhentumisen, kun joku vaihtaa tehtävää. Osoite kuten "security@" tai "ciso@" toimii asiakkaalle yhtä hyvin kuin nimi, ja on vakaampi. Jos organisaatiolla ei vielä ole erillistä tehtävää tähän, on tavallista ilmoittaa IT- tai liiketoiminnan yleinen vastuuhenkilö — kunhan kyseinen henkilö on todella tavoitettavissa sisällöstä, ei vain nimellä.

Mistä tämä johtuu: artiklat 21 ja hallinnon rooli

Direktiivin NIS2 21 artiklan 2 kohdassa ei mainita yhteyshenkilöä erillisenä vaatimuksena, mutta siinä mainitut kymmenen toimenpidettä — mukaan lukien riskienhallinta, poikkeamien käsittely ja liiketoiminnan jatkuvuus — edellyttävät, että joku ottaa ne sisäisesti vastuulleen ja on tavoitettavissa. Asiakkaat, jotka kyselevät tästä, testaavat siis pohjimmiltaan sitä, ovatko olemassa politiikka riskianalyyseille ja tietojärjestelmien turvaamiselle ja onko kyseisellä politiikalla omistaja. ISO/IEC 27001 konkretisoi tämän tarkemmin: Liite A sisältää toimenpiteet tietoturvan rooleista ja vastuista, ja nimetty yhteyshenkilö on usein näkyvä todiste siitä. Hollantilainen Cyberbeveiligingswet, joka siirtää NIS2-direktiivin ja tulee voimaan 15. elokuuta 2026, ei lisää tässä suhteessa mitään erillistä vaatimusta sen yli, mikä on jo direktiivissa.