client vrea să știe cine este responsabil la noi de securitatea cibernetică

Governance, nu un nume

Întrebarea "cine este responsabil pentru securitatea informațiilor" nu cere în practică un nume sau un titlu de funcție, ci dovezi de governance: există o responsabilitate desemnată, iar aceasta este asigurată la nivel de management? Articolul 21 alineatul 2 al NIS2 nu menționează aceasta separat, ci ca parte a politicii de analiză a riscurilor și securitate a sistemelor informatice — prima dintre cele zece măsuri. Cine primește această întrebare, poate cel mai bine să se refere la același document de politică în care se precizează dacă întreprinderea are o politică pentru analiza riscurilor și securitatea sistemelor informatice: titularul politicii este de obicei menționat acolo, împreună cu domeniul de aplicare și data ultimei revizuiri.

Dacă întreprinderea nu are un responsabil explicit desemnat, "conducerea" sau "proprietarul" ca răspuns este adesea suficient pentru întreprinderile mai mici — dar aceasta este o constatare de fapt, nu ceva ce această platformă propune. Ceea ce sistemul poate face: extrage răspunsul din dosarul lanțului dacă acesta se află acolo, cu sursa inclusă, astfel încât clientul să o confirme cu da sau nu. Dacă această înregistrare lipsește, răspunsul cel mai cinstit este că nu există încă un responsabil formal desemnat, în loc să se inventeze un nume care nu se află în dosar. Această întrebare este adesea asociată cu altele: cine raportează un incident, de exemplu, se regăsește în procedura de gestionare a incidentelor de securitate, și poate fi aceeași persoană sau altcineva.

De unde aceasta decurge din articolul 21 alineatul 2

Articolul 21 alineatul 2 din Directiva (UE) 2022/2555 obligă entitățile să adopte o abordare bazată pe riscuri cu zece măsuri concrete, dintre care politica privind analiza riscurilor și securitatea sistemelor informatice este prima; cine este responsabil pentru aceasta face parte din acea politică, nu este un datum separat. În ISO/IEC 27001, aceasta apare în Anexa A, în cadrul măsurilor de control pentru organizarea securității informațiilor. Legea privind securitatea cibernetică transpune această obligație în dreptul intern neamț și, se estimează, va intra în vigoare pe 15 august 2026; până la acea dată, NIS2 este textul la care se apelează.