ankieta pyta, kto w naszej firmie jest odpowiedzialny za cyberbezpieczeństwo

Governance i odpowiedzialność, nie tylko imię i nazwisko

Pytanie wykracza poza wpisanie osoby kontaktowej. Artykuł 21 ust. 2 dyrektywy NIS2 wymienia "politykę dotyczącą analizy ryzyka i bezpieczeństwa systemów informatycznych" jako jeden z dziesięciu obowiązkowych środków, a governance — kto podejmuje decyzje, kto zatwierdza, kto ponosi odpowiedzialność — stanowi jego część. W ISO/IEC 27001 pojawia się to w Załączniku A, wśród środków kontroli dotyczących organizacji bezpieczeństwa informacji: oczekuje się, że role i odpowiedzialności są przydzielone i udokumentowane, a nie tylko ustalone ustnie. Podanie jedynie nazwy bez udokumentowanej roli jest zatem zwykle niepełnym wypełnieniem.

To, co dokładnie chce zobaczyć klient, różni się w zależności od formatu: czasami jest to tytuł stanowiska (CISO, kierownik IT, dyrektor), czasami tabela podobna do RACI, czasami tylko pytanie, czy w ogóle wyznaczono osobę odpowiedzialną. Jeśli przedsiębiorstwo nie ma formalnie wyznaczonego odpowiedzialnego, ale zadanie faktycznie spoczywa na kimś, to często wystarczy do odpowiedzi "tak" — pod warunkiem że jest to gdzieś udokumentowane, na przykład w opisie stanowiska lub w protokołach. Bez żadnej dokumentacji uczciwą odpowiedzią jest "nie"; ketendossier nie może tego rozwiązać, wymyślając twierdzenie. To pytanie często wiąże się z polityka analizy ryzyka i bezpieczeństwa systemów informatycznychtym, że klient pytający o governance zwykle chce także wiedzieć, kto ustanowił tę politykę.

Gdzie to znajduje się w dyrektywie i normie

Odniesienie do governance i odpowiedzialności znajduje się w artykule 21 ust. 2 lit. a dyrektywy NIS2 (polityka dotycząca analizy ryzyka i bezpieczeństwa informacji) oraz w Załączniku A normy ISO/IEC 27001, wśród organizacyjnych środków kontroli. W Holandii ten sam obowiązek pojawia się poprzez Ustawę o cyberbezpieczeństwie, która wejdzie w życie 15 sierpnia 2026 r. jako transpozycja NIS2. Organy nadzoru i klienci stawiający to pytanie niejawnie badają także, czy stoi za tym jakiś proces — dlatego w praktyce to pytanie często idzie w parze z pytaniem, czy skuteczność środków jest okresowo ocenianaponieważ wyznaczony odpowiedzialny bez momentu oceny jest wart mało na papierze.