Jautājumā tiek jautāts, kas padomē ir atbildīgs par kiberdraudzību

Vadība uzņemas atbildību, nevis IT nodaļa

Šajā jautājumā klients vēlas uzzināt, vai vadība pati uzņemas galīgo atbildību par kiberdraudzību, vai arī tā ir deleģēta IT vadītājam vai CISO bez vadības iesaistes. Atbilde, ko aizpilda lielākā daļa uzņēmumu: vadības pārstāvis ir noteikts kā galīgi atbildīgais, bet izpilde ir pie funkcijas veicēja vai nodaļas zem tā. Šie divi jautājumi nav viens un tas pats, un aptauja bieži vēlas redzēt abus: kurš ir atbildīgs (vadības līmenis) un kurš to izpilda (operacionālais līmenis).

Konkrēts pierādījums tam parasti ir vadības lēmums, CISO vai draudzības virsnieka amata apraksts, vai informācijas draudzības politikas pants, kurā ir norādīta lomu sadalīšana. Ja šis dokuments trūkst, tad "nē" vai "jānosaka" ir godīga atbilde — nevis tāpēc, ka neviens nav atbildīgs, bet tāpēc, ka uzdevums nav noteikts. Šis jautājums bieži ir saistīts ar jautājumu, vai pastāv politika informācijas sistēmu riska analīzei un aizsardzībai, jo šis noteikums parasti arī norāda, kurš to ir apstiprināts un kurš to uztur.

Kur tas ir norādīts direktīvā: 21. panta 2. punkts

Pienākums izriet no NIS2 direktīvas (Direktīva (EU) 2022/2555) 21. panta 2. punkta, kas uzskaitļo desmit pasākumus, kas ir vadības atbildībā, tostarp pārvaldību un risku pārvaldību. Direktīva pati atsevišķi regulē vadības atbildību: vadībai jāuzrauga izpilde un tai var būt jāatbild par to, pat ja ikdienas izpilde ir CISO pienākums. Nīderlandē šis pienākums ir atspoguļots Kiberdraudzības likumā, kas stājas spēkā 2026. gada 15. augustā. ISO/IEC 27001 Annex A arī prasa organizācijas struktūras kontroles pasākumos skaidri noteiktu lomu sadalīšanu — ja šim sertifikātam jau ir, šo dokumentāciju parasti var tieši pārvērst šim jautājumam. Ja uzņēmums ir ISO 27001 sertificēts, tad vadības atbildība tur parasti jau ir minēta piemērošanas jomā vai politikas dokumentā.