Az ügyfelem tudni akarja, hogy ki felelős nálunk a kibervédelemért

Governance, nem egy név

A "ki felelős az információbiztonságért" kérdés a gyakorlatban nem egy név vagy megnevezés megadására kérdez rá, hanem a governance bizonyítékára: van-e kijelölt felelősség, és van-e az felügyeleti szinten rögzítve? Az NIS2 21. cikk (2) bekezdése ezt nem külön tárgyalja, hanem az információs rendszerek kockázatelemzésére és védelméhez kapcsolódó politika részeként — az első a tíz intézkedés közül. Aki ezt a kérdést kapja, általában legjobban az ugyanahhoz a politikadokumentumhoz tud hivatkozni, amelyben szerepel hogy a szervezetnek van-e kockázatelemzési és információs rendszerek védelmi politikája: ott szerepel általában a politika tulajdonosa, valamint az alkalmazási terület és az utolsó felülvizsgálat dátuma.

Ha a szervezetnek nincs explicit módon kijelölt felelőse, akkor "a vezetés" vagy "a tulajdonos" válasz gyakran elegendő a kisebb cégek számára — de ez egy ténybeli megállapítás, nem pedig valami, amit ez a platform javasol. Amit a rendszer megtud tenni: lekérheti a választ a adatláncba tartozó dossziéből, ha már ott van, forrásjelzéssel, hogy az ügyfél igennel vagy nemmel megerősítse. Ha ez a rögzítés hiányzik, akkor a legőszintébb válasz az, hogy még nincs formálisan kijelölt felelős, ahelyett, hogy egy nevet kellene találni, amely nem szerepel az adatban. Ez a kérdés gyakran kapcsolódik másokhoz: aki például egy incidenst jelent, az szerepel biztonsági incidensek kezelésének eljárásához-ban, és ez lehet ugyanez a személy vagy valaki más.

Ahonnan ez az 21. cikk (2) bekezdésből következik

Az (EU) 2022/2555 Richtlína 21. cikk (2) bekezdése kockázatokra alapozott megközelítést ír elő az entitások számára tíz konkrét intézkedéssel, amelyek közül az információs rendszerek kockázatelemzésére és védelméhez kapcsolódó politika az első; ki felelős ezért, az a politika része, nem egy külön adat. Az ISO/IEC 27001 szabvány ezt az Annex A-ban tükrözi az információbiztonság szervezeti védelmi intézkedései alatt. A Kiberbiztonsági törvény ezt a kötelezettséget átülteti a holland jogba, és várhatóan 2026. augusztus 15-én lép hatályba; addig az NIS2 maga a szöveg, amelyre lehet hivatkozni.