viņi jautā, kurš mūsu CISO ir, bet mums nav neviena ar šādu amatu

Nav nepieciešams CISO, bet ir nepieciešams drošības kontaktpunkts

Šeit parasti varat vienkārši aizpildīt "nē", un tas nav trūkums. Neviena no desmit pasākumiem NIS2 direktīvas 21. panta 2. punktā neprescribē konkrētu amata nosaukumu. Direktīva regulē pienākumus organizācijas līmenī — vadību, riska pārvaldību, incidentu apstrādi — nevis to, kā jūs to iekšēji sadalāt vai kā tas amats tiek saukts. CISO ("Chief Information Security Officer") ir viens veids, kā to īstenot, īpaši lielākās organizācijās, bet tas nav obligāts. ISO/IEC 27001 gadījumā tas ir līdzīgi: Pielikums A pieprasa noteiktus atbildības uzdevumus informācijas drošības jomā, nevis konkrētu amata nosaukumu.

Tas, ko jūsu klients patiesībā vēlas zināt, ir tas, kurš ir iekšēji atbildīgs un sasniedzams incidenta gadījumā. Mazākā uzņēmumā to bieži vien ir pats īpašnieks, IT vadītājs vai kāds, kurš drošību veic kā blakusfunkciju. Aizpildiet to kā atbildi uz pamatjautājumu: vārds, amats un varbūt tas, kā šo personu kontaktēt. Tas arī ir saskaņā ar kurš reaģē, ja notiek informācijas drošības incidents — tas parasti ir tā pati persona vai tas pats komanda. Šaubieties, vai jūsu klients apmierinās ar "nav CISO, bet ir atbildīgais"? Tad pats apstipriniet šo atbildi ne akli ar "jā" — tas ir novērtējums, kas pieder iesniedzējam, nevis automātiski aizpildītam dossejam.

Kur tas ir redzams: NIS2 direktīvas 21. panta 2. punkts un Pielikums A

NIS2 direktīvas 21. panta 2. punkts nosaka desmit pasākumu kategorijas, tostarp riska pārvaldību, incidentu apstrādi un piekļuves politiku, bet ne amata nosaukumu. Nīderlandes Kiberdrošības likums, kas šo direktīvu transponē un stājas spēkā 2026. gada 15. augustā, seko tai pašai shēmai. ISO/IEC 27001 Pielikums A pieprasa organizācijas informācijas drošības sadaļā noteiktus atbildības pienākumus, nevis funkcijas nosaukumu. Ja vēlies pārbaudīt, vai tava uzņēmuma kā entitāte nonāk NIS2 pienākumu darbības jomā, tas ir atsevišķs jautājums, kas nav saistīts ar šo — tam pārbaudei izskatīties vai uzņēmums kā entitāte nonāk NIS2 direktīvas darbības jomā.