kuka on vastuussa tietoturvakyselyiden täyttämisestä asiakkaiden kysymyslistoilla

Vastuu kuuluu roolille, ei osastolle

Ei ole oikeudellista määräystä siitä, kuka yrityksessä täyttää turvallisuuskyselylomakkeen — se on sisäinen käytäntö, ei velvoite säädöksistä. Käytännössä vastuu on sillä, joka pystyy perustelemaan vastauksen: usein IT-päällikkö tai tietoturvajohtaja teknisissä toimenpiteissä ja henkilöstöhallinto tai johto käytännössä ja tietoisuudessa. ISO 27001 -sertifioinnissa tämä on yleensä jo määritetty tietojenhallintajärjestelmän roolituksessa, ja tällöin kyselylomake on kysymys järjestelmän kutsumisesta, ei uudelleen selvittämisestä.

Usein virhe ei ole siinä, kuka täyttää, vaan siinä, kuka saa vahvistaa. Tekninen vastaus voi olla oikea, mutta jos henkilö, joka syöttää sen, ei näe, mitä saa antaa ulkopuoliselle osapuolelle, tieto voi paljastua, mitä se ei saisi. Tämä on syy nähdä täyttäminen ja julkistaminen kahtena erillisenä vaiheena: ensimmäinen on tosiasiallinen, toinen on arvio luottamuksellisuudesta. Sama jakautuminen koskee esimerkiksi kysymystä onko yrityksellä jatkuvuussuunnitelma — myös siellä vastaus on usein tiedossa, mutta ei aina tarkoitettu yksityiskohtaisesti jaettavaksi.

Mitä kyselylomake sisällöllisesti testaa

NIS2-direktiivin (Direktiivi (EU) 2022/2555) 21 artiklan 2 kappaleen kymmenen toimenpidettä antavat hyvän kuvan kategorioista, jotka esiintyvät asiakaskyselyissä: riskianalyysi, poikkeamien käsittely, liiketoiminnan jatkuvuus, toimittajan turvallisuus, pääsyyn liittyvät käytännöt ja vastaavat. Joka soveltaa ISO/IEC 27001 -standardia, tunnistaa samat aiheet liitteen A hallintakeinoista — se tekee standardista käyttökelpoisen sisäisen viitekirjan, vaikka sertifikaattia ei näytetä asiakkaalle. Kysymykseen onko yritys ISO 9001 -sertifioitu pätee sama logiikka: kyse on erillisestä normista, mutta kuka tietää vastauksen ja hallitsee sen, sijaitsee organisatorisesti usein samalla henkilöllä.