chestionarul cere persoană de contact pentru securitate, cine trebuie să fie asta la noi

Persoana de contact este un rol, nu un nume pe chestionarul

Completați persoana care este responsabilă intern pentru măsurile de securitate, nu neapărat proprietarul sau directorul. În practică, aceasta este persoana care este și implicată în procesul de detectare și remediere a vulnerabilităților și în procedura de gestionare a incidentelor de securitate — adesea deci aceeași persoană care este intern punctul de contact dacă ceva merge rău. Într-o întreprindere mică, aceasta este adesea întreprenditorul însuși sau administratorul IT; într-o întreprindere mai mare, un responsabil de securitate sau cineva cu o funcție similară. Mai important decât titlu este că această persoană este disponibilă și știe ce se întâmplă, deoarece clientul folosește acest contact mai ales în caz de incident sau audit.

De preferință, completați o poștă cu rol sau funcție, mai degrabă decât un nume privat, dacă este posibil: aceasta previne ca chestionarul să devină învechit de îndată ce cineva schimbă funcția. O adresă precum "security@" sau "ciso@" funcționează pentru client la fel de bine ca și un nume, și este mai stabilă. Dacă întreprinderea nu are încă o funcție separată pentru aceasta, este obișnuit să se indice persoana general responsabilă pentru IT sau administrare — atâta timp cât acea persoană este într-adevăr disponibilă pe conținut, nu doar pe nume.

De unde vine aceasta: articolul 21 și rolul guvernanței

Articolul 21 alineatul 2 din Directiva NIS2 nu menționează persoana de contact ca o cerință separată, dar cele zece măsuri de acolo — inclusiv managementul riscurilor, tratamentul incidentelor și continuitatea activității — presupun că cineva le poartă intern și este disponibil. Clienții care pun întrebări în acest sens, testează deci de fapt dacă există o politică pentru analiza riscurilor și protecția sistemelor informatice și dacă acea politică are un proprietar. ISO/IEC 27001 elaborează aceasta mai concret: Anexa A conține măsuri privind rolurile și responsabilitățile în cadrul securității informației, și o persoană de contact desemnată este adesea dovada vizibilă a acesteia. Legea olandeză de securitate cibernetică, care transpune Directiva NIS2 și intră în vigoare pe 15 august 2026, nu adaugă pe acest punct niciun cerință separată peste ceea ce se află deja în directivă.