klausimynas klausia, kas mūsų įmonėje atsakingas už kibernetinį saugumą

Valdymas ir atsakomybė, ne tik vardas

Klausimas eina toliau nei tik kontaktinio asmens užpildymas. NIS2 direktyvos 21 straipsnio 2 dalies nurodoma "rizikos analizės ir informacinių sistemų saugumo politika" kaip viena iš dešimties privalomų priemonių, o valdymas — kas sprendžia, kas patvirtina, kas turi atsakomybę — yra jos dalis. ISO/IEC 27001 standarte tai atsispindi Priede A, skirtame informacijos saugumo organizavimo kontrolės priemonėms: numatoma, kad vaidmenys ir atsakomybės turi būti priskirti ir užfiksuoti, o ne tik žodžiu suprasti. Vardo nurodymas be užfiksuoto vaidmens dažniausiai yra nepilnas atsakymas.

Tai, ką klientas tiksliai nori pamatyti, skiriasi priklausomai nuo formato: kartais tai yra pareigos pavadinimas (CISO, IT vadovas, direktorius), kartais RACI tipo lentelė, kartais tik klausimas, ar iš viso yra paskirtas atsakingas asmuo. Jei įmonė neturi formaliai paskirto atsakingo asmens, bet pareiga faktiškai tenka komudeklarationam, tai dažnai pakanka "taip" atsakymui — jei tai kur nors užregistruota, pavyzdžiui, pareigybėje arba susirinkimo protokole. Be jokios fiksuojamos informacijos, "ne" yra sąžiningas atsakymas; grandinės dossier to negali išspręsti sugalvodamas teiginį. Šis klausimas dažnai yra susijęs su rizikos analizės ir informacijos sistemų saugumo politikanes klientas, kuris domisi valdymu, paprastai nori sužinoti, kas tą politiką nustatė.

Kur tai yra nurodyta direktyvoje ir standarte

Nuoroda į valdymą ir atsakomybes yra NIS2 direktyvos 21 straipsnio 2 dalies a punkte (rizikos analizės ir informacijos saugumo politika) ir ISO/IEC 27001 Priede A, skirtame organizaciniams kontrolės priemonėms. Nyderlanduose tą pačią pareigą nustato Kibernetinio saugumo įstatymas, kuris į galią įsigalioja 2026 m. rugpjūčio 15 d. kaip NIS2 transpozicija. Priežiūros institucijos ir klientai, kurie daro šį klausimą, netiesiogiai patikrina ir tai, ar yra procesas — todėl praktikoje šis klausimas dažnai yra susijęs su klausimu, ar priemonių veiksmingumas periodiškai patikrinamasnes atsakingas asmuo be patikrinimo momento yra vertybės požiūriu mažai vertas.