klausimynas klausia, kas vadovybėje yra atsakingas už kibernetinį saugumą

Vadovybė turi atsakomybę, ne IT skyrius

Šiuo klausimu klientas nori sužinoti, ar vadovybė pati turi galutinę atsakomybę už kibernetinį saugumą, ar tai buvo perduota IT vadybininkui ar CISO be vadovybės dalyvavimo. Atsakymas, kurį pildomi dauguma įmonių: vadovas yra paskirtas kaip galutinis atsakingas, o vykdymas priklauso tam tikram pareigūnui ar skyriui žemiau. Tai nėra tas pats dalykas ir klausimynas dažnai nori pamatyti abu: kas atsakingas (vadovybės lygis) ir kas vykdo (operacinis lygis).

Konkretus šio įrodymas paprastai yra vadovybės sprendimas, CISO ar saugumo pareigūno pareigų aprašas arba pastraipa informacijos saugumo politikoje, kurioje nurodoma vaidmenų paskirstymas. Jei šis dokumentas trūksta, tada "ne" arba "dar nenustatytas" yra sąžiningas atsakymas — ne todėl, kad niekas nėra atsakingas, bet todėl, kad priskyrimas nėra užfiksuotas. Šis klausimas dažnai yra susijęs su klausimu, ar yra rizikos analizės ir informacijos sistemų saugumo politika,nes ta politika paprastai nurodo ir kas ją patvirtino, ir kas ją prižiūri.

Tai nurodyta direktyvoje: 21 straipsnio 2 dalis

Pareiga kyla iš NIS2 direktyvos 21 straipsnio 2 dalies (Direktyva (ES) 2022/2555), kurioje nurodomi dešimt priemonių, kurios priklauso vadovybės atsakomybei, įskaitant valdysenos ir rizikos valdymą. Pati direktyva atskirai reglamentuoja vadovybės atsakomybę: vadovybė turi prižiūrėti vykdymą ir gali būti patraukta į atsakomybę, net jei kasdienį vykdymą atlieka CISO. Nyderlanduose ši pareiga atspindima Kibernetinio saugumo įstatyme, kuris į galią įsigalioja 2026 m. rugpjūčio 15 d. ISO/IEC 27001 Annex A taip pat pareigina organizacijos struktūros kontrolines priemones nustatyti vaidmenų paskirstymą — kas jau turi tą sertifikatą, paprastai gali iš karto pakartotinai panaudoti tą dokumentaciją šiame klausime. Jei įmonė turi ISO 27001 sertifikatą,tada vadovybės atsakomybė ten paprastai jau nurodyta taikymo srityje arba politikos dokumente.