popis pitanja pita tko je unutar uprave odgovoran za kibernetsku sigurnost

Uprava je odgovorna, ne IT odjel

U ovom pitanju klijent želi znati nosi li uprava sama konačnu odgovornost za kibernetsku sigurnost ili je ta odgovornost delegirana IT-upravitelju ili CISO-u bez sudjelovanja uprave. Odgovor koji većina poduzeća unosi: jedan član uprave je imenovan kao konačno odgovoran, a izvršavanje je na funkcionar ili odjelu ispod tog razine. Ta dva nisu ista stvar i popis pitanja često želi vidjeti oboje: tko je odgovoran (razina uprave) i tko izvršava (operativna razina).

Konkretan dokaz za to je obično odluka uprave, opis radnog mjesta CISO-a ili sigurnosnog čelnika, ili pasaž u politici informacijske sigurnosti u kojoj je navedena podjela uloga. Ako nedostaje taj dokument, tada je "ne" ili "još se treba odrediti" iskreni odgovor — ne zato što nitko nije odgovoran, već zato što dodjela nije zapisana. To pitanje često je povezano s pitanjem je li postoji politika za analizu rizika i zaštitu informacijskih sustava, jer to načelo obično navodi i tko ga je odobrio i tko ga održava.

Gdje je to navedeno u direktivi: članak 21. stavak 2

Obveza proizlazi iz članka 21. stavka 2. Direktive NIS2 (Direktiva (EU) 2022/2555), koja navodi deset mjera koje spadaju pod odgovornost uprave, uključujući upravljanje i upravljanje rizicima. Sama direktiva posebno regulira odgovornost uprave: uprava mora nadzirati provedbu i može se na nju pozvati odgovornost, čak i ako dnevnu provedbu provodi CISO. U Nizozemskoj se ta obveza pojavljuje u Zakonu o kibernetskoj sigurnosti, koji stupa na snagu 15. kolovoza 2026. ISO/IEC 27001 Prilog A zahtijeva i u mjerama kontrole vezanim uz organizacijsku strukturu jasnu podjelu uloga — tko već ima taj certifikat, obično može direktno ponovno koristiti tu dokumentaciju za ovaj odgovor. Jest je poduzeće ISO 27001 certificirano, tada se odgovornost uprave obično već spominje u polju primjene ili u dokumentu politike.