chestionarul întreabă cine din cadrul companiei noastre este responsabil de securitatea cibernetică

Guvernanță și răspundere, nu doar un nume

Întrebarea merge mai departe decât completarea unui contact. Articolul 21 alineatul 2 al Directivei NIS2 enumeră "politica privind analiza riscurilor și securitatea sistemelor informatice" ca una dintre cele zece măsuri obligatorii, iar guvernanța — cine decide, cine aprobă, cine poartă responsabilitatea — face parte din aceasta. La ISO/IEC 27001, aceasta apare în Anexa A, în cadrul măsurilor de control privind organizarea securității informatice: se așteaptă ca rolurile și responsabilitățile să fie atribuite și documentate, nu doar acordate verbal. Menționarea unui nume fără rolul documentat este deci de obicei o completare incompletă.

Ceea ce exact dorește să vadă clientul diferă în funcție de format: uneori este un titlu de funcție (CISO, manager IT, director), uneori un tabel asemănător cu RACI, uneori doar întrebarea dacă există ÎN PRINCIPIU o persoană desemnată responsabilă. Dacă societatea nu are o persoană desemnată formal responsabilă, dar sarcina se află de facto la cineva, atunci acesta este adesea suficient pentru un "da" — cu condiția ca aceasta să fie consemnată undeva, de exemplu într-o descriere de funcție sau în procese-verbale. Fără nicio consemnare, "nu" este răspunsul onest; dosarul de lanț nu poate rezolva aceasta prin a inventa o afirmație. Această întrebare este adesea corelată cu politică pentru analiza riscului și securitatea sistemelor informaticedeoarece un client care întreabă despre guvernanță dorește de obicei să știe, de asemenea, cine a stabilit acea politică.

Unde aceasta se află în directivă și în normă

Referința la guvernanță și responsabilități se găsește în articolul 21 alineatul 2 litera a al Directivei NIS2 (politică privind analiza riscurilor și securitatea informațiilor) și în Anexa A a ISO/IEC 27001, sub măsurile de control organizațional. În Țările de Jos, aceeași obligație apare din nou prin Legea privind securitatea cibernetică, care intră în vigoare pe 15 august 2026 ca transpunere a NIS2. Autorităţile de supraveghere și clienții care pun această întrebare testează implicit și dacă există un proces în spatele acesteia — de aceea această întrebare merge în practică des împreună cu întrebarea dacă eficacitatea măsurilor este testată periodic, deoarece un responsabil fără moment de testare merită puțin pe hârtie.