klients vēlas zināt, kurš pie mums ir atbildīgs par kiberdrošību

Pārvaldība, nevis vārds

Jautājums "kurš ir atbildīgs par informācijas drošību" praktiski neprasa vārdu vai amata nosaukumu, bet pārvaldības pierādījumu: vai ir norīkota atbildība un vai tā ir nodrošināta valdības līmenī? NIS2 21. panta 2. punkts to neminē atsevišķi, bet kā daļu no informācijas sistēmu riska analīzes un aizsardzības politikas — pirmo no desmit pasākumiem. Kas saņem šo jautājumu, parasti var labāk atsaukties uz to pašu politikas dokumentu, kurā arī norādīts vai uzņēmumam ir politika riska analīzei un informācijas sistēmu aizsardzībai": tajā parasti ir minēts politikas īpašnieks kopā ar darbības jomu un pēdējā pārskatīšanas datumu.

Ja uzņēmumam nav skaidri norīkota atbildīgā persona, tad "vadība" vai "īpašnieks" kā atbilde bieži ir pietiekama mazākiem uzņēmumiem — bet tas ir faktiski konstatējums, nevis tas, ko šī platforma piedāvā. Ko sistēma tomēr var darīt: iegūt atbildi no ķēdes dosijas, ja tā tur jau atrodas, kopā ar avotu, lai klients to apstiprina ar jā vai nē. Ja šī reģistrācija trūkst, godīgākā atbilde ir tāda, ka vēl nav formāli norīkotas atbildīgās personas, nevis jāizveidots vārds, kas dosijā nav. Šis jautājums bieži ir saistīts ar citiem: kurš ziņo par incidents, piemēram, ir norādīts drošības incidentu risināšanas procedūru", un tas var būt viena un tā pati persona vai kāds cits.

No kurienes tas izriet no 21. panta 2. punkta

Direktīvas (ES) 2022/2555 21. panta 2. punkts prasa subjektiem risikopārbaudītu pieeju ar desmit konkrētiem pasākumiem, no kuriem informācijas sistēmu riska analīzes un drošības politika ir pirmā; kurš par to ir atbildīgs, ir daļa no šīs politikas, nevis atsevišķs fakts. ISO/IEC 27001 tas parādās Pielikumā A informācijas drošības pārvaldības kontroles pasākumos. Kiberdroš​ības likums transpozē šo pienākumu Latvijas tiesībās un paredzams stātos spēkā 2026. gada 15. augustā; līdz tam pašu NIS2 teksts ir tas, uz ko atsaukties.