tko je odgovoran za ispunjavanje ljestvice sigurnosti

Raspodjela uloga nije sama po sebi normativni zahtjev, ali odgovor mora biti provjeren

Popis pitanja sam po sebi ne propisuje tko ga treba ispuniti; članak 21. stavak 2. NIS2 i Dodatak A ISO/IEC 27001 odnose se na mjere koje organizacija poduzima, ne na službenika koji potpisuje obrazac. U praksi je to obično osoba koja poznaje politiku sigurnosti informacija: služenik za sigurnost, IT-menadžer ili, u manjim tvrtkama, sam direktor. Za certifikat ISO 27001 često je već u sustavu upravljanja ime ovlaštene osobe — to ime je tada logična kontaktna osoba za ovaj popis.

Ono što je sigurno: odgovori moraju biti bazirani na nečem. Ako se neka pitanja odnose na zaštitu pristupa, netko mora moći pokazati koju politiku ili mjeru je to stvar — ne ispunjavati iz glavе, već pročitati iz dosjea. To čini da je manje biti pitanje "tko smije to ispuniti" a više "tko ima dostupne temeljne činjenice". Ista osoba je često i ona koja može procijeniti je li poduzeće primjenjuje AI-sustave u okviru svoje usluge, budući da se to dotaklo iste tehnijske inventarizacije. U slučaju sumnje tko je interno vlasnik odgovora, često je to ista osoba koja upravlja i planom kontinuiteta pri ozbiljnoj smetnji — dva se tematska područja preklapaju po izvoru informacija.

Gdje iz toga slijedi: članak 21 stavak 2 i Prilog A

Članak 21. stavak 2. NIS2 nabraja deset kategorija mjera, među njima upravljanje rizicima, rukovanje incidentima i politika pristupa — direktiva regulira sadržaj tih mjera, ne tko ih interno prijavljuje. ISO/IEC 27001 Dodatak A razrađuje to u konkretne mjere nadzora, a organizacije koje su certificirane obično već imaju odredu odgovornu osobu u svom sustavu upravljanja. Ta postojeća raspodjela uloga je najjasniji izvor na koji se može usloniti pri ispunjavanju popisa cybervraživanja.