neturime IT skyriaus, kas turėtų užpildyti šį saugumo klausimyną

Nėra IT skyriaus nėra išimtis

Klausimynas nėra apie tai, kas yra pagrindiniame algalapyje, bet apie tai, ar prisidedamos dešimt priemonių iš NIS2 direktyvos 21 straipsnio 2 dalies — net su penkiais darbuotojais. Klausimyną išsiunčiantis klientas nori žinoti, ar yra atliekama rizikos analizė, incidentų valdymas, tęstinumas ir prieigos kontrolė, o ne tai, ar tam egzistuoja skyrius su tuo pavadinimu. Mažoje įmonėje atsakymą dažnai turi savininkas arba išorinis IT tiekėjas, ir tai yra pagrįstas atsakymas: kas tai daro nėra nurodyta klausimyne, tik ar tai atliekama.

Praktiškai tai reiškia, kad tas, kuris valdo serverius, nešiojamus kompiuterius ar buhalterinę programą — dažnai išorinis biuras — turi faktinį atsakymą į klausimus apie atsarginės kopijos ir neatliekamųjų atsarginių planų ir apie daugiaaspektė autentifikacija. Tas tiekėjas neturi pildyti klausimyno, bet pateikia įrodymą arba patvirtinimą, kuriuo remiantis pats verslininkus atsakoja. Į klausimus, kurie nėra apie techniką, bet apie politiką — kas gali kur prieiti, kas nutinka incidento metu — žinią dažniausiai turi pats savininkas, net ir neturint IT žinių.

21 straipsnio 2 dalis reikalauja priemonių, o ne pareigybės pavadinimo

NIS2 direktyvos 21 straipsnio 2 dalis nurodo dešimt priemonių kaip subjekto rezultatų įsipareigojimą, nekeliant reikalavimų organizacinei struktūrai, kuria pasiekiamas šis rezultatas. ISO/IEC 27001 A priedas detalizuoja tas pačias priemones kontrolės priemonėmis, kurias gali vykdyti tiek išorinė šalis, tiek vidiniai darbuotojai. Ar pati įmonė patenka į direktyvos taikymo sritį, yra atskiras klausimas, nepriklausantis nuo to, kas pildys klausimyną — tai gali būti nustatyti pagal savą NIS2 statusą.