lista de întrebări cere dacă managementul este implicat în securitatea cibernetică

Implicarea conducerii este o obligație aparte în temeiul NIS2, independentă de cele zece măsuri

Această întrebare nu se referă la tehnică, ci la governance: directorul este conectat la securitatea cibernetică sau este complet delegat departamentului IT. Conform articolului 21 alineatul 2 din NIS2, cele zece măsuri în sine sunt enumerate, dar articolul 20 al directivei impune în plus ca organele de conducere să aprobe măsurile de gestionare a riscurilor și să supravegheze implementarea acestora, iar membrii consiliului de administrație trebuie să urmeze o formare pentru a putea evalua riscurile cibernetice. Acesta este deci un punct separat al chestionarului: nu "ce măsuri aveți", ci "conducerea știe și aprobă acest lucru".

De obicei, ca probă sunt acceptate fragmente din procese-verbale în care conducerea a aprobat sau evaluat politica de securitate, un organigramă din care rezultă liniile de raportare către conducere, sau un punct de ordinul de zi dintr-o reuniune periodică a conducerii privind riscurile cibernetice. Dacă acestea lipsesc, atunci "nu" este răspunsul onest aici — un furnizor care completează aceasta fără documente riscă ca clientul să se întoarcă asupra acestui lucru mai târziu. Această întrebare este adesea legată de întrebarea se testează periodic eficacitatea măsurilor de securitate, deoarece testarea fără urmărire din partea conducerii este pentru un client un răspuns incomplet. De asemenea, este relevant dacă întreprinderea dumneavoastră însuși se încadrează în sfera de aplicare a Directivei NIS2, deoarece atunci aceasta nu este doar o întrebare a clientului dumneavoastră, ci o obligație legală proprie din 15 august 2026, atunci când Legea securității cibernetice intră în vigoare.

De unde vine aceasta: articolul 20 alături de articolul 21 NIS2

Articolul 20 din Directiva (UE) 2022/2555 reglementează răspunderea și implicarea organelor de conducere, separat de cele zece măsuri substantive din articolul 21 alineatul 2; ISO/IEC 27001 nu are un echivalent literal în Anexa A, dar cere prin cerințele esențiale ale normei (clauza 5, leadership) implicarea demonstrabilă a conducerii, care este adesea prezentată ca un document separat alături de măsurile Anexei A.