jautājumā tiek vaicāts, vai vadība ir iesaistīta kiberdrošībā

Vadības iesaiste ir atsevišķa NIS2 obligācija, atsevišķa no desmit pasākumiem

Šis jautājums nav par tehniku, bet par pārvaldību: vai vadība pati ir pievienojusies kiberdrošībai, vai tas pilnībā delegēts IT. Saskaņā ar NIS2 21. panta 2. punktu paši desmit pasākumi atrodas, bet Direktīvas 20. pants, turklāt, prasa, lai pārvaldības iestādes apstiprina riska pārvaldības pasākumus un uzrauga to īstenošanu, un lai vadības locekļi saņem apmācību, lai varētu novērtēt kiberdrošības riskus. Tas ir tāpēc atsevišķs anketas punkts: ne "kādi pasākumi jums ir", bet "vai vadība to zina un apstiprina".

Parasti par pierādījumu kalpo stenogrammas fragments, kurā vadība ir pieņēmusi vai novērtējusi drošības politiku, organisatoriskā shēma, no kuras izriet ziņošanas līnijas vadībai, vai darba kārtības punkts no periodiska vadības sanāksmes par kiberdrošības riskiem. Ja tas trūkst, tad "nē" šeit ir godīga atbilde — piegādātājs, kurš to aizpildi bez dokumenta, risks, ka klients vēlāk uz to atgriezīsies. Šis jautājums bieži vien ir saistīts ar jautājumu tiek periodski pārbaudīta drošības pasākumu efektivitāte, jo pārbaude bez vadības turpinājuma klienram ir puse atbildes. Tāpat nozīmīgi ir, vai jūsu uzņēmums pats ietilpst NIS2 direktīvā, jo tad tas nav tikai jūsu klienta jautājums, bet pašu likumiska pienākuma jūsu gadījumā ar spēku no 2026. gada 15. augusta, kad Kiberdrošības likums stājās spēkā.

Kur tas nāk: 20. pants blakus 21. pantam NIS2

20. pants Direktīvai (ES) 2022/2555 regulē pārvaldības iestāžu atbildību un iesaisti, atsevišķi no desmit satura pasākumiem 21. panta 2. punktā; ISO/IEC 27001 pielikumā A nav tiešā ekvivalenta, bet normas pamata prasības (5. klauzula, vadība) prasa atrādāmu vadības iesaisti, kas bieži vien tiek iesniegta kā atsevišķs pierādījums blakus pielikuma A pasākumiem.