pitaju tko je naš CISO, ali nemamo nikoga s tom titulom

Nema potrebe za CISO-om, ali trebamo kontaktnu osobu za sigurnost

Ovdje možete obično jednostavno unijeti "ne", bez da je to nedostatak. Nijedan od deset mjera u članu 21(2) Direktive NIS2 ne propisuje naziv funkcije. Direktiva uređuje obveze na razini organizacije — upravljanje, upravljanje rizicima, rukovanjem incidentima — a ne kako to interno razdijelite ili kako se ta uloga zove. CISO ("Chief Information Security Officer") je jedan način da se to ispuni, posebno u većim organizacijama, ali nije obavezan. ISO/IEC 27001 je sličan: Prilog A zahtijeva utvrđene odgovornosti za sigurnost informacija, ne određeni naziv na listi primanja.

Ono što zapravo želi znati vaš klijent je tko je interno odgovoran i dostupan u slučaju incidenta. U manjoj poduzetniku to je često sam vlasnik, IT menadžer ili osoba koja se bavi sigurnošću uz drugu ulogu. Unesite to kao odgovor na osnovna pitanja: ime, funkcija i eventualno kako se ta osoba može kontaktirati. To se također poklapa s tko reagira ako dođe do incident sigurnosti — to je obično ista osoba ili isti tim. Dvoji li se trebate li vaš klijent prihvatiti "nema CISO-a, ali ima odgovorna osoba"? Tada to pitanje sam ne potvrdi slijepo s "da" — to je procjena koja pripada podnositelju, a ne automatski popunjenom dosijeu.

Gdje se to pojavljuje: članak 21(2) i Prilog A

Članak 21(2) Direktive NIS2 navodi deset kategorija mjera, uključujući upravljanje rizicima, rukovanje incidentima i politiku pristupa, ali ne i naziv uloge. Nizozemski Zakon o kibernetskoj sigurnosti, koji prevodi ovu direktivu i stupuje na snagu 15. kolovoza 2026., slijedi istu strukturu. ISO/IEC 27001 Prilog A u odjeljku o organizaciji sigurnosti informacija zahtijeva dodijeljene odgovornosti, a ne naziv funkcije. Ako želite provjeriti pada li vaša poduzetnike pod NIS2 obveze, to je posebno pitanje odvojeno od ovog — za to pogledajte je li poduzeće kao entitet obuhvaćeno Direktivom NIS2.