azt kérdezik, ki a CISO-nk, de nincs senki ezzel a címmel

Nincs szükség CISO-ra, de szükséges egy kapcsolattartó a biztonság terén

Itt általában egyszerűen "nem"-et írhat be anélkül, hogy ez hiányosságot jelentene. A NIS2-irányelv 21. cikk (2) bekezdésében szereplő tíz intézkedés közül egyik sem ír elő funkciótitulust. Az irányelv szervezeti szintű kötelezettségeket szabályoz — irányítást, kockázatkezelést, incidenskezelést — de nem azt, hogy ezt belsőleg hogyan osztja meg, vagy hogyan hívják ezt a szerepet. A CISO ("Chief Information Security Officer") egy módja ennek kitöltésének, különösen nagyobb szervezeteknél, de nem kötelező. Az ISO/IEC 27001 esetében ez ugyanez: A melléklet az információbiztonságért való megállapított felelősséget kéri, nem pedig egy bizonyos titulust a bérjegyzékben.

Amit az ügyfele valójában tudni szeretne, az az, hogy belül ki a felelős és felelősségre vonható egy incidens során. Egy kisebb vállalkozásnál ez gyakran maga a tulajdonos, az IT-vezető, vagy valaki, aki a biztonságot egy másik szerep mellett végzi. Töltse be ezt válaszként az alapvető kérdésre: név, funkció, és esetleg hogyan lehet ezt a személyt elérni. Ez összhangban van azzal is, hogy ki reagál, ha biztonsági incidens van — ez általában ugyanez a személy vagy ugyanez a csapat. Bizonytalan abban, hogy az ügyfelének megelégedhet-e a "nincs CISO, de van felelős"? Akkor magát nem erősítse meg ezt a választ vakon "igen"-nal — ez egy becslés, amely a bejelentéshez tartozik, nem egy automatikusan kitöltött dossziéhoz.

Ahol ez megjelenik: a 21. cikk 2. bekezdés és az A. melléklet

A NIS2-irányelv 21. cikkének 2. bekezdése tíz intézkedési kategóriát sorol fel, köztük a kockázatkezelést, az incidensmegoldást és a hozzáférési szabályozást, de nem nevez meg szerepkört. A holland Kiberbiztonságról szóló törvény, amely ezt az irányelvet átültetni hivatott és 2026. augusztus 15-én lép hatályba, ugyanilyen felépítésű. Az ISO/IEC 27001 A. melléklete az információbiztonság szervezetéről szóló szakaszban a kijelölt felelősségek meglétét kéri, nem pedig egy funkciótitulu meglétét. Ha azt szeretnéd ellenőrizni, hogy a vállalkozásod mint szervezet a NIS2-kötelezettségek alá tartozik-e, az egy külön kérdés, amely független ettől — ehhez tekintsd meg a vagy a vállalkozás mint szervezet a NIS2-irányelv hatálya alá tartozik-e.