kurš ir atbildīgs par drošības jautājumu saraksta aizpildīšanu

Lomu sadalījums pats par sevi nav normatīvā prasība, bet atbilde jāpārbauda

Jautājumnieks pats neprescribes kurš to aizpildes; NIS2 21. panta 2. punkts un ISO/IEC 27001 A pielikums attiecas uz pasākumiem, ko veic organizācija, nevis uz amatpersonu, kas parakstā veidlapu. Praksē tas parasti ir cilvēks, kurš iepazīst informācijas drošības politiku: drošības speciālists, IT vadītājs vai, mazākos uzņēmumos, pats direktors. ISO 27001 sertifikāta gadījumā vadības sistēmā bieži jau ir norīkots atbildīgais — viņa vārds ir loģisks kontaktpunkts šim jautājumnikam.

Kas tomēr ir noteikts: atbildes kaut kur jābalstās. Ja jautājums attiecas uz piekļuves drošību, kādam jāspēj norādīt, kāda politika vai pasākums tam pamatā — nevis izpildīt no galvas, bet nolasīt no dokumentiem. Tas padara to mazāk par jautājumu "kurš drīkst to aizpildīt" un vairāk par "kurš rīcībā ir pamatfakti". Viņš pats bieži ir arī tas, kurš spēj novērtēt vai uzņēmums izmanto AI sistēmas sava pakalpojuma sniegšanas laikā, jo tas skar tādu pašu tehnisko inventarizāciju. Neskaidrības gadījumā, kurš iekšēji ir atbildīgais par atbildi, to bieži būtu tā pati persona, kura pārrauga arī plāns nopietna traucējuma gadījumā — abu tēmu pamatmateriāls pārklājas.

Kur tas izriet no: 21. panta 2. punkts un A pielikums

NIS2 21. panta 2. punkts nosaka desmit pasākumu kategorijas, tostarp riska pārvaldību, incidentu apstrādi un piekļuves politiku — direktīva regulē šo pasākumu saturu, nevis to, kurš tos iekšēji ziņo. ISO/IEC 27001 A pielikums to detalizē konkrētos pārvaldības pasākumos, un sertificētām organizācijām parasti vadības sistēmā jau ir norīkots atbildīgais. Šis jau eksistējošais lomu sadalījums ir visloģiskākais avots, uz kuru paļauties, aizpildot drošības jautājumnieku.