upitnik traži kontaktnu osobu za sigurnost, tko bi to trebao biti kod nas

Kontaktna osoba je uloga, a ne naziv na popisu pitanja

Navedite osobu koja je interno odgovorna za mjere sigurnosti, ne nužno vlasnika ili direktora. U praksi je to osoba koja je također uključena u procesom za prepoznavanje i ispravljanje ranjivosti te na postupkom rukovanja incidentima sigurnosti — često dakle ista osoba koja je interno kontaktna točka ako nešto pošalje. U maloj kompaniji to je često sam poduzetnik ili IT administrator; u većoj kompaniji sigurnosni stručnjak ili osoba sa sličnom funkcijskom pozicijom. Važnije od naslova je da je ta osoba dostupna i da zna što se zbiva, jer kupac koristi ovaj kontakt pogotovo u slučaju incidenta ili revizije.

Radije postavite funkcijsku ili funkcijsku poštansku kutiju nego privatno ime, ako je to moguće: to sprječava da se popis pitanja zastarijeva čim se netko promijeni na mjestu. Adresa kao "security@" ili "ciso@" funkcionira za kupca jednako dobro kao i naziv, i stabilnija je. Ako poduzeće još nema posebnu funkciju za to, uobičajeno je navesti općeg odgovornog za IT ili poslovanje — dok je ta osoba zaista dostupna na sadržaju, a ne samo na naziv.

Odakle ovo dolazi: članak 21 i uloga upravljanja

Članak 21 stavak 2 Direktive NIS2 ne navodi kontaktnu osobu kao poseban zahtjev, ali deset mjera navedenih tu — uključujući upravljanje rizikom, rukovanje incidentima i kontinuitet poslovanja — pretpostavljaju da ih netko interno provodi i da je dostupan. Kupci koji se na to pitaju, zapravo provjeravaju je li postoji politika za analizu rizika i zaštitu informacijskih sustava i ima li ta politika vlasnika. ISO/IEC 27001 ovo konkretizira detaljnije: Prilog A sadrži mjere o ulogama i odgovornostima u informatičkoj sigurnosti, a navedena kontaktna osoba često je vidljiv dokaz tog. Nizozemski Zakon o kibernetskoj sigurnosti, koji pretvara Direktivu NIS2 i stupa na snagu 15. kolovoza 2026., na ovoj točki ne dodaje poseban zahtjev veći od onoga što već postoji u Direktivi.