não temos um CISO, quem preencho como responsável pela segurança

Sem título de função necessário, mas com um papel identificável

O Artigo 21.º n.º 2 NIS2 não exige um CISO. Em nenhuma parte está prescrito um título de função — a diretiva exige "medidas técnicas, operacionais e organizacionais apropriadas e proporcionadas", e governance acima disso. O que precisa ser preenchido é quem internamente decide sobre segurança da informação e quem contacta a gestão sobre isso. Numa empresa mais pequena, é frequentemente o próprio director, um gestor de TI com segurança como tarefa parcial, ou uma entidade externa contratada estruturalmente. Preencha esse papel com nome ou função, não com "ninguém" e não com um título que não existe.

O que deve ter em atenção: o cliente não se preocupa com o título, mas com demonstrabilidade. Consegue mostrar que há alguém responsável por política de análise de risco e segurança dos sistemas de informaçãoe que a mesma pessoa ou outra pessoa designada é também o ponto de contacto em incidentes de segurança? Este é o documento comprovativo que é geralmente solicitado: um organograma, uma tabela RACI, ou simplesmente um parágrafo no documento de política que designa o papel e as competências. Se não tem isto documentado, então "não" com uma explicação de que a gestão detém esta responsabilidade é uma resposta mais honesta do que uma função inventada.

De onde isto resulta: Artigo 21.º n.º 2 alínea a) NIS2 e Anexo A 5.2 ISO 27001

O Artigo 21.º n.º 2 alínea a) menciona "política de análise de riscos e segurança de sistemas de informação" como a primeira das dez medidas, e governance é uma parte implícita: sem responsável designado, a política não é executável nem controlável. ISO/IEC 27001 torna isto explícito no Anexo A 5.2, "information security roles and responsibilities", onde um papel é exigido mas nenhum título específico. Se preencher esta lista sem certificação ISO, é ainda mais importante que a distribuição de papéis esteja documentada em algum lugar — isto ajuda em a questão de se a empresa é certificada em ISO 27001onde de outro modo fica sem resposta.