lista kontrolna pyta o osobę kontaktową ds. bezpieczeństwa, kto to powinien być w naszej firmie

Osoba kontaktowa to rola, nie nazwa na liście kontrolnej

Wpisz osobę, która jest wewnętrznie odpowiedzialna za środki bezpieczeństwa, niekoniecznie właściciela lub dyrektora. W praktyce jest to osoba, która jest również zaangażowana w procesem identyfikacji i usuwania podatności oraz u procedurą obsługi incydentów bezpieczeństwa — często więc ta sama osoba, która wewnętrznie jest punktem kontaktowym w przypadku awarii. W małej firmie jest to najczęściej sam przedsiębiorca lub administrator IT; w większej firmie — specjalista ds. bezpieczeństwa lub osoba na stanowisku o podobnym tytule. Ważniejsza niż tytuł stanowiska jest dostępność tej osoby i świadomość sytuacji, ponieważ klient korzysta z tego kontaktu przede wszystkim w przypadku incydentu lub audytu.

Jeśli to możliwe, podaj raczej skrzynkę pocztową rolową lub funkcyjną niż prywatne imię i nazwisko: zapobiega to dezaktualizacji listy kontrolnej zaraz po zmianie stanowiska. Adres taki jak "security@" lub "ciso@" działa dla klienta równie dobrze jak nazwisko i jest bardziej stabilny. Jeśli przedsiębiorstwo nie ma jeszcze odrębnego stanowiska w tym zakresie, zwyczajowo podaje się ogólnego odpowiedzialnego za IT lub operacje biznesowe — pod warunkiem że osoba ta jest rzeczywiście dostępna do rozmowy na temat treści, a nie tylko figuruje na papierze.

Skąd to pochodzi: artykuł 21 i rola ładu korporacyjnego

Artykuł 21 ust. 2 dyrektywy NIS2 nie wymienia osoby kontaktowej jako odrębnego warunku, ale dziesięć wymienione tam środków — w tym zarządzanie ryzykiem, obsługa incydentów i ciągłość działalności — zakładają, że ktoś je wewnętrznie realizuje i jest dostępny. Klienci zadający to pytanie faktycznie sprawdzają, czy istnieje polityka analizy ryzyka i ochrony systemów informacyjnych i czy ta polityka ma właściciela. ISO/IEC 27001 rozwija to bardziej konkretnie: Załącznik A zawiera środki dotyczące ról i odpowiedzialności w ramach bezpieczeństwa informacji, a wyznaczona osoba kontaktowa często stanowi tam widoczny dowód tego. Ustawy Cyberbezpieczeństwa Rzeczypospolitej Polskiej, która transpozycji dyrektywy NIS2 i wchodzi w życie 15 sierpnia 2026 r., nie dodaje w tym punkcie żadnego dodatkowego warunku ponad to, co już znajduje się w dyrektywie.