a kérdőív azt kérdezi, ki felelős az igazgatáson belül a kiberbiztonságért

Az igazgatóság viseli a felelősséget, nem az informatikai osztály

Ezzel a kérdéssel az ügyfél azt szeretné megtudni, hogy az igazgatóság maga viseli-e a végső felelősséget a kiberbiztonságért, vagy ezt delegálta egy informatikai vezetőnek vagy CISO-nak az igazgatóság nélküli részvétellel. A legtöbb vállalat által kitöltött válasz: egy igazgatótanácsi tag jelölt ki végső felelősként, a végrehajtás pedig alatta egy funkcionárius vagy osztály feladata. Ez a két dolog nem ugyanaz, és a kérdőív gyakran mindkettőt szeretné látni: ki felel (igazgatási szint) és ki hajtja végre (operatív szint).

A konkrét bizonyíték erre általában egy igazgatóság határozat, a CISO vagy biztonsági vezető pozícióleírása, vagy az információbiztonság szabályzatában szereplő egy rész, amely tartalmazza a szerepek megosztását. Ha ez a dokumentum hiányzik, akkor az "nem" vagy "még nem meghatározott" a becsületes válasz — nem azért, mert senki nem felel, hanem mert a hozzárendelés nincs rögzítve. Ez a kérdés gyakran összefügg azzal a kérdéssel, hogy van-e szabályzat a kockázatelemzésre és az információs rendszerek védelmeére, mivel ezt a szabályzatot általában az is tartalmazza, hogy ki hagyta jóvá és ki tartja karban.

Ahol ez az irányelvben szerepel: 21. cikk 2. bekezdés

A kötelezettség az NIS2-irányelv (2022/2555 (EU) irányelv) 21. cikk (2) bekezdéséből fakad, amely tíz olyan intézkedést sorol fel, amelyek az igazgatóság felelősségébe tartoznak, beleértve a irányítást és a kockázatkezelést. Az irányelv maga külön szabályozza az igazgatóság felelősségét: az igazgatóságnak felügyelnie kell a végrehajtásra és erre vonatkozóan felróható, még akkor is, ha a napi végrehajtás egy CISO-nál történik. Hollandiában ez a kötelezettség a Cyberbeveiligingswet-ben jelenik meg, amely 2026. augusztus 15-én lép hatályba. Az ISO/IEC 27001 Annex A szintén kérdez a szervezetstrukturára vonatkozó ellenőrzési intézkedésekben egy rögzített szerepmegosztásról — akik már rendelkeznek ezzel a tanúsítvánnyal, általában közvetlenül újra felhasználhatják ezt a dokumentációt erre a kérdésre. Ez a vállalkozás ISO 27001-tanúsította szövegben az igazgatási felelősség általában már említve van az alkalmazási terület vagy a szabályzat dokumentumban.