nous n'avons pas de CISO, qui dois-je indiquer comme responsable de la sécurité

Aucun titre de fonction requis, mais un rôle identifiable

L'article 21 paragraphe 2 NIS2 ne demande pas un CISO. Il n'est écrit nulle part qu'un titre de fonction est obligatoire — la directive demande des « mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées », ainsi qu'une gouvernance au-dessus. Ce que vous devez pouvoir remplir est qui décide en interne en matière de sécurité de l'information et qui interpelle la direction à ce sujet. Dans une petite entreprise, il s'agit souvent du directeur lui-même, d'un responsable IT avec la sécurité comme tâche partielle, ou d'un prestataire externe engagé de manière structurelle. Remplissez ce rôle avec un nom ou une fonction, pas avec « personne » et pas avec un titre qui n'existe pas.

Ce sur quoi vous devez faire attention : le client ne se soucie pas du titre, mais de la traçabilité. Pouvez-vous montrer que quelqu'un est responsable de politique relative à l'analyse des risques et à la sécurité des systèmes d'information, et que cette même personne ou une autre désignée est également le point de contact pour incidents de sécurité? C'est la preuve qui est généralement demandée : un organigramme, un tableau RACI, ou simplement un paragraphe du document de politique qui énonce le rôle et les pouvoirs. Si vous ne l'avez pas documenté, alors « non » avec une explication que la direction porte cette responsabilité est une réponse plus honnête qu'une fonction inventée.

D'où cela découle : article 21 paragraphe 2 lettre a NIS2 et Annexe A 5.2 ISO 27001

L'article 21 paragraphe 2 lettre a mentionne « politique relative à l'analyse des risques et à la sécurité des systèmes d'information » comme première des dix mesures, et la gouvernance en est une partie implicite : sans responsable désigné, la politique n'est pas exécutable et non vérifiable. ISO/IEC 27001 le rend explicite à l'Annexe A 5.2, « information security roles and responsibilities », où un rôle est bien demandé mais aucun titre spécifique. Si vous remplissez cette liste sans certificat ISO, il est d'autant plus important que la répartition des rôles soit documentée quelque part — cela facilite la question de savoir si l'entreprise est certifiée ISO 27001, sinon vous vous retrouvez les mains vides.