a kérdőív a biztonság kapcsolattartójáról kérdez, ki kell hogy legyen ez nálunk

A kapcsolattartó egy szerep, nem pedig egy név a kérdőívön

Töltse ki azt a személyt, aki belsőleg felelős a biztonsági intézkedésekért, nem feltétlenül a tulajdonost vagy az igazgatót. A gyakorlatban ez az a személy, aki részt vesz a a sebezhetőségek felderítésére és elhárítására irányuló folyamattal és itt biztonsági incidensek kezelésének eljárásához — gyakran tehát ugyanaz a személy, aki belsőleg a kapcsolatfelvételi pont, ha valami baj történik. Egy kis vállalkozásnál ez gyakran magát a vállalkozót vagy az IT-rendszergazdát; egy nagyobb vállalkozásnál pedig egy biztonsági tisztviselőt vagy hasonló funkciójú személyt. Fontosabb a beosztásnál, hogy ez a személy elérhető legyen és tudja, mi zajlik, mivel az ügyfél ezt a kapcsolatot elsősorban egy incidens vagy audit során használja.

Inkább írjon be egy szerep- vagy funkciópostafiókot, mint egy magáncsalád nevet, ha lehetséges: ez megakadályozza, hogy a kérdőív elavulttá váljon, amint valaki funkciót vált. Az olyan cím, mint a "security@" vagy "ciso@" ugyanolyan működik az ügyfél számára, mint egy név, és stabilabb. Ha a szervezetnek még nincs külön funkciója erre, akkor szokásos az IT vagy üzletmenet általános felelősét megadni — mindaddig, hogy ez a személy valóban elérhető-e a tartalom szempontjából, nem csak név szerint.

Ebből ered: a 21. cikk és a felügyelet szerepe

A NIS2-irányelv 21. cikk 2. bekezdése nem említi a kapcsolattartót külön követelményként, azonban az ott szereplő tíz intézkedés — beleértve a kockázatkezelést, az incidensmegoldást és az üzletmenet-folytonosságot — feltételezik, hogy valaki belsőleg hordozza azokat és elérhető. Az ügyfelek, akik erre kérdeznek, tehát lényegében azt tesztelik, hogy van-e szabályzat a kockázatelemzésre és az információs rendszerek védelme és hogy a politikának van-e tulajdonosa. Az ISO/IEC 27001 ezt konkrétabban kifejti: a B. melléklet olyan intézkedéseket tartalmaz az információbiztonság szervezetén belüli szerepeiről és felelősségeiről, és a kijelölt kapcsolattartó gyakran annak látható bizonyítéka. A holland Kiberbiztonság törvény, amely a NIS2-irányelvet implementálja és 2026. augusztus 15-én lép hatályba, ezen a ponton nem ad hozzá külön követelményt az irányelvben már foglaltakhoz képest.