mums nav IT nodaļas, kurš ir jāaizpilda šī drošības jautājumkopa

Bez IT nodaļas nav atbrīvojuma

Jautājumu saraksts nav par to, kurš atrodas algu sarakstā, bet par to, vai ir pieejami desmit pasākumi, kas noteikti Regulas NIS2 21. panta 2. punktā — arī pie pieciem darbinieki. Klients, kurš sūta šo sarakstu, vēlas zināt, vai ir organizēti riska analīze, incidentu vadīšana, nepārtrauktība un piekļuves kontrole, nevis vai tam nolūkam pastāv nodaļa ar šādu nosaukumu. Mazā uzņēmumā atbildes bieži vien atrodas pie īpašnieka vai ārējā IT piegādātāja, un tas ir derīga atbilde: kurš to dara, nav norādīts jautājumu sarakstā, tikai tas, vai tas notiek.

Praktiski tas nozīmē, ka persona, kura pārvalda hostingu, klēpjdatorus vai grāmatvedības programmatūru — bieži vien ārējā biroja — ir faktiskās atbildes uz jautājumiem par dublējumiem un ārkārtas nodrošinājumiem un par vairāku faktoru autentifikācija. Šim piegādātājam nav jāaizpilda jautājumu saraksts, bet jāsniedz pierādījums vai apstiprinājums, ar kuru uzņēmuma īpašnieks pats atbild. Jautājumiem, kas attiecas nevis uz tehniku, bet uz politiku — kurš kurā vietā var atrasties, kas notiek incidenta gadījumā — zināšanas parasti atrodas pašā īpašniekā, pat bez IT uzziņas.

Regulas NIS2 21. pants 2. punkts pieprasa pasākumus, nevis amata nosaukumu

Regulas NIS2 21. panta 2. punkts min desmit pasākumus kā rezultāta pienākumu entitātei, neuzstādot prasības attiecībā uz organizatīvo struktūru, ar kuras palīdzību šis rezultāts tiek sasniegts. Norādes A sadaļa ISO/IEC 27001 standartam izstrādā tos pašus pasākumus vadības kontroles pasākumos, kurus var īstenot gan ārējā puse, gan iekšējie darbinieki. Tas, vai pati uzņēmējsabiedrība ietilpst richtlīnijas darbības jomā, ir atsevišķs jautājums, neatkarīgi no tā, kurš aizpilda jautājumu sarakstu — tas ir izsekojams no paša NIS2 statusa.