Zoznam otázok pýta, kto je v rámci rady správcov zodpovedný za kybernetickú bezpečnosť

Vedenie nesie zodpovednosť, nie IT oddelenie

V tejto otázke chce klient vedieť, či vedenie samo nesie konečnú zodpovednosť za kybernetickú bezpečnosť, alebo bola delegovaná na IT manažéra alebo CISO bez zapojenia vedenia. Odpoveď, ktorú vyplňa väčšina podnikov: je určený vedúci pracovník ako konečný zodpovedný, a realizáciu má na starosti funkcionár alebo oddelenie pod ním. Tieto dve veci nie sú identické a zoznam otázok ich chce často vidieť obe: kto je zodpovedný (úroveň vedenia) a kto realizuje (operačná úroveň).

Konkrétnym dôkazom sú zvyčajne rozhodnutie vedenia, opis pracovnej pozície CISO alebo bezpečnostného pracovníka, alebo časť politiky informačnej bezpečnosti, v ktorej je uvedené rozdelenie úloh. Ak tento dokument chýba, potom je "nie" alebo "ešte sa určí" čestná odpoveď — nie preto, že by nebol nikto zodpovedný, ale preto, že pridelenie zodpovednosti nie je zakotvené. Táto otázka sa často vzťahuje na otázku, či existuje politika pre analýzu rizík a bezpečnosť informačných systémov, pretože táto politika zvyčajne tiež menovuje, kto ju schválil a kto ju udržiava.

Kde sa to nachádza v smernici: článok 21 odsek 2

Záväzok vyplýva z článku 21 ods. 2 smernice NIS2 (Smernica (EÚ) 2022/2555), ktorá uvádza desať opatrení, ktoré spadajú pod zodpovednosť vedenia, vrátane riadenia a riadenia rizík. Samotná smernica upravuje zodpovednosť vedenia osobitne: vedenie musí dohliadať na implementáciu a možno ho za ňu kritizovať, aj keď je denná implementácia v pôsobnosti CISO. V Holandsku sa tento záväzok objavuje v Zákone o kybernetickej bezpečnosti, ktorý nadobúda účinnosti 15. augusta 2026. ISO/IEC 27001 Príloha A tiež vyžaduje v opatreniach na kontrolu okolo organizačnej štruktúry zdokumentované rozdelenie úloh — kto má už tento certifikát, zvyčajne môže túto dokumentáciu priamo opätovne použiť na túto otázku. Je podnik je certifikovaný podľa ISO 27001je vedenie zvyčajne už uvedené v rozsahu pôsobnosti alebo v dokumente politiky.