nincs IT-osztályunk, ki kell kitöltenie ezt a biztonsági kérdőívet

Nincs informatikai osztály nem jelent mentességet

A kérdőív nem arról szól, hogy ki van a bérlistán, hanem arról, hogy a NIS2 21. cikk 2. bekezdésének tíz intézkedése jelen van-e — még öt fő személyzet mellett is. Egy olyan ügyfél, aki ezt a listát elküldi, tudni szeretné, hogy a kockázatelemzés, az incidenskezelés, az üzletmenet-folytonosság és a hozzáférés-vezérlés szabályozottak-e, nem azt, hogy létezik-e erre a célra egy adott nevű osztály. Egy kis vállalatnál a válasz gyakran a tulajdonosnál vagy egy külső informatikai szolgáltatónál van, és ez egy érvényes válasz: hogy ki végzi el a munkát, az nem szerepel a kérdőívben, csak az, hogy megtörténik-e.

Gyakorlatilag ez azt jelenti, hogy az, aki az üzemeltetést, a laptopokat vagy a könyvelési szoftvert kezeli — gyakran egy külső iroda — az ténylegesen rendelkezik a válaszokkal az alábbi kérdésekre: biztonsági másolatok és vészhelyzeti intézkedések és a többfaktoros hitelesítés. Az ilyen szolgáltató nem köteles a kérdőívet kitölteni, de biztosítja azt az bizonyítékot vagy megerősítést, amellyel a vállalkozó maga válaszol. Az olyan kérdésekre, amelyek nem a technikai oldalról, hanem a politikáról szólnak — ki lehet hova belépni, mi történik egy incidens esetén — a tudás általában magánál a tulajdonosnál van, még informatikai háttér nélkül is.

A 21. cikk 2. bekezdés intézkedéseket követel meg, nem pedig funkciót

A NIS2-irányelv 21. cikk 2. bekezdése tíz intézkedést nevez meg az entitás eredményfelelőssége alapján, anélkül hogy követelményeket támasztana az eredmény elérésének szervezeti felépítésével szemben. Az ISO/IEC 27001 A. melléklete ugyanezeket az intézkedéseket azonos módon fejti ki vezérlésintézkedésekként, amelyeket egyaránt végezhet el egy külső fél vagy belső személyzet. Hogy a vállalkozás maga tartozik-e az irányelv hatálya alá, az egyébként külön kérdés, függetlenül attól, hogy ki tölti ki a kérdőívet — ez a saját NIS2-status alapján meghatározható.