nie mamy działu IT, kto powinien wypełnić tę ankietę dotyczącą bezpieczeństwa

Brak działu ICT nie jest zwolnieniem

Lista pytań nie dotyczy tego, kto jest na liście płac, ale tego, czy dziesięć środków z artykułu 21 ust. 2 dyrektywy NIS2 są wdrożone — również w firmie z pięcioma pracownikami. Klient wysyłający tę listę chce wiedzieć, czy analiza ryzyka, obsługa incydentów, ciągłość działania i kontrola dostępu są uregulowane, a nie czy istnieje dział o tej nazwie. W małej firmie odpowiedź często leży u właściciela lub zewnętrznego dostawcy usług IT, a to jest ważna odpowiedź: kto to robi nie figuruje w liście pytań, tylko czy się to robi.

Praktycznie oznacza to, że osoba zarządzająca hostingiem, laptopami lub oprogramowaniem księgowym — często biuro zewnętrzne — ma faktyczne odpowiedzi na pytania dotyczące kopii zapasowych i planów awaryjnych oraz uwierzytelnianie wieloskładnikowe. Ten dostawca nie musi wypełniać listy pytań, ale dostarcza dokument potwierdzający lub zaświadczenie, na podstawie których przedsiębiorca sam odpowiada. Do pytań dotyczących nie techniki, ale polityki — kto ma dostęp gdzie, co się dzieje w przypadku incydentu — wiedzę zwykle posiada sam właściciel, nawet bez doświadczenia w ICT.

Artykuł 21 ust. 2 wymaga środków, nie nazwy funkcji

Artykuł 21 ust. 2 dyrektywy NIS2 określa dziesięć środków jako obowiązek osiągnięcia rezultatu dla podmiotu, bez stawiania wymogów dotyczących struktury organizacyjnej, za pomocą której wynik ten jest osiągany. Załącznik A normy ISO/IEC 27001 szczegółowo opisuje te same środki w formie kontroli, które mogą być równie dobrze wykonywane przez stronę trzecią jak przez personel wewnętrzny. Pytanie, czy przedsiębiorstwo samo podlega dyrektywie, jest z kolei odrębną kwestią, niezwiązaną z tym, kto wypełnia listę pytań — można to ustalić na podstawie własnego statusu NIS2.