nie mamy CISO, kogo wpisuję przy pytaniu kto odpowiada za bezpieczeństwo

Nie jest wymagany tytuł stanowiska, ale potrzebna jest wskazywalna rola

Artykuł 21 ust. 2 NIS2 nie wymaga CISO. Nigdzie nie ma wymogu obowiązkowego tytułu stanowiska — dyrektywa wymaga "odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych", a także nadzoru nad nimi. To, co musisz móc uzupełnić, to osoba odpowiedzialna wewnętrznie za bezpieczeństwo informacji i osoba, która zwraca na to uwagę kierownictwu. W mniejszej organizacji jest to często sam dyrektor, menedżer IT, dla którego bezpieczeństwo jest zadaniem częściowym, lub strona zewnętrzna regularnie angażowana na zasadzie umowy. Uzupełnij tę rolę nazwą lub funkcją, nie słowem "nikt" i nie tytułem, który nie istnieje.

Na co musisz uważać: dla klienta nie chodzi o tytuł, ale o wykazalność. Czy możesz wykazać, że istnieje osoba odpowiedzialna za polityki analizy ryzyka i bezpieczeństwa systemów informatycznych, i że ta sama osoba lub inna wyznaczona osoba jest również punktem kontaktowym w incydentów bezpieczeństwa? To jest dokument dowodowy, który zwykle się żąda: schemat organizacyjny, tabela RACI lub po prostu akapit w dokumencie polityki, który określa rolę i uprawnienia. Jeśli tego nie udokumentowałeś, wówczas "nie" z wyjaśnieniem, że odpowiedzialność za to ponosi kierownictwo, jest bardziej uczciwą odpowiedzią niż zmyślona funkcja.

Skąd to wynika: artykuł 21 ust. 2 lit. a dyrektywy NIS2 i Annex A 5.2 ISO 27001

Artykuł 21 ust. 2 lit. a wymienia "politykę dotyczącą analizy ryzyka i bezpieczeństwa systemów informatycznych" jako pierwszą z dziesięciu środków, a ład korporacyjny jest tutaj niejawnie jej częścią: bez wyznaczonego odpowiedzialnego polityka nie jest wykonalna i nie podlega kontroli. ISO/IEC 27001 uczynia to jawnym w Annex A 5.2, "information security roles and responsibilities", gdzie rzeczywiście wymagana jest rola, ale nie określony tytuł stanowiska. Jeśli wypełniasz tę listę bez certyfikatu ISO, tym bardziej ważne jest, aby podział ról był zafiksowany na papierze — to pomaga w pytaniu, czy przedsiębiorstwo posiada certyfikat ISO 27001, gdzie w przeciwnym razie pozostaniesz ze wskazanymi rękami.