sprašujejo, kdo je naš CISO, vendar nimamo nikogar s tem nazivom

Ni potreben CISO, vendar je potrebna stična oseba za varnost

Tukaj lahko običajno preprosto izpolniš »ne«, brez da bi to bila pomanjkljivost. Nobena od desetih ukrepov v členu 21 odstavku 2 Direktive NIS2 ne predpisuje nazivu funkcije. Direktiva ureja obveznosti na ravni organizacije — upravljanje, upravljanje tveganj, obravnavo incidentov — ne kako jih interno razdeliti ali kako se ta vloga imenuje. CISO (»Chief Information Security Officer«) je en način, da se to izpolni, zlasti pri večjih organizacijah, vendar ni obvezna. Pri ISO/IEC 27001 je enako: Priloga A zahteva določene odgovornosti za varnost informacij, ne določenega nazivu funkcije na plačilnem lističu.

To, kar tvoj odjemalec v resnici želi vedeti, je, kdo je interno odgovoren in dostopen v primeru incidenta. Pri manjšem podjetju je to pogosto lastnik sam, IT-vodja ali oseba, ki se ukvarja z varnostjo poleg druge vloge. To vpiši kot odgovor na osnovno vprašanje: ime, funkcija in po potrebi kako se ta oseba da kontaktirati. To je tudi usklajeno s kdo se odzove v primeru varnostnega incidenta — to je običajno ista oseba ali ista ekipa. Te dvomi, ali bo tvoj odjemalec zadovoljen z »brez CISO, ampak je odgovorna oseba«? Tega odgovora torej ne potrdi slepo z »da« — to je ocena, ki sodi k vlagatelju, ne k avtomatsko izpolnjenemu dosjeju.

Kje je to navedeno: člen 21 odstavek 2 in Priloga A

Člen 21 odstavek 2 Direktive NIS2 navaja deset kategorij ukrepov, vključno z upravljanjem tveganj, obravnavo incidentov in pravilniki dostopa, vendar nobene naslove funkcij. Nizozemski Zakon o kibernetski varnosti, ki to direktivo pretvori in začne veljati 15. avgusta 2026, sledi istemu modelu. ISO/IEC 27001 Priloga A zahteva v razdelku o organizaciji varnosti informacij dodeljenega odgovornost, ne nazivu funkcije. Če želiš preveriti, ali tvoje podjetje kot entiteta spada pod obveznosti NIS2, je to ločeno vprašanje, ki je ločeno od tega — za to si oglej ali podjetje kot entiteta spada pod Direktivo NIS2.