nu avem departament IT, cine trebuie să completeze acest chestionar de securitate

Fără departament IT nu este o scutire

Lista de întrebări nu se referă la cine este pe statul de plată, ci la dacă cele zece măsuri din articolul 21 alineatul 2 NIS2 sunt prezente — chiar și cu cinci angajați. Un client care trimite această listă dorește să știe dacă analiza riscurilor, gestionarea incidentelor, continuitatea și controlul accesului sunt organizate, nu dacă există un departament cu acel nume pentru aceasta. Într-o mică întreprindere, răspunsul se află adesea la proprietar sau la un furnizor IT extern, și acesta este un răspuns valid: cine o face nu apare în lista de întrebări, doar dacă se întâmplă.

Din punct de vedere practic, aceasta înseamnă că persoana care gestionează găzduirea, laptopurile sau software-ul de contabilitate — adesea o birou extern — deține răspunsurile factice la întrebări despre copii de siguranță și măsuri de continuitate și despre autentificare multifactor. Acel furnizor nu trebuie să completeze lista de întrebări, dar furnizează documentul justificativ sau confirmarea cu care antreprenorul însuși răspunde. Pentru întrebări care nu se referă la tehnică, ci la politică — cine are acces unde, ce se întâmplă în caz de incident — cunoașterea se află de obicei la proprietarul însuși, chiar și fără experiență IT.

Articolul 21 alineatul 2 cere măsuri, nu un titlu de funcție

Articolul 21 alineatul 2 din directiva NIS2 menționează cele zece măsuri ca o obligație de rezultat pentru entitate, fără a impune cerințe privind structura organizațională prin care se realizează acel rezultat. Anexa A la ISO/IEC 27001 detaliază aceleași măsuri în controluri care pot fi implementate la fel de bine de o parte externă cât și de personalul intern. Dacă întreprinderea în sine cade sub incidența directivei este, de altfel, o întrebare separată, independentă de cine completează lista de întrebări — aceasta poate fi dedusă din statutul propriu NIS2.