Dotazník sa pýta, či je vedenie zapojené do kybernetickej bezpečnosti

Zapojenie vedenia je samostatná povinnosť NIS2, oddelená od desiatich opatrení

Táto otázka sa netýka techniky, ale riadenia: je vedenie samo zapojená do kybernetickej bezpečnosti, alebo je to úplne delegované na IT. Podľa článku 21 ods. 2 NIS2 sú desať opatrení samé, ale článok 20 smernice okrem toho vyžaduje, aby vládne orgány schválili opatrenia na riadenie rizík a dohliadali na ich vykonávanie, a aby členovia vedenia absolvovali školenie, aby mohli posúdiť kybernetické riziká. Je to teda samostatný bod zoznamu otázok: nie "aké opatrenia máte", ale "vedú top vedenie o tom a schvaljujú to".

Ako dôkaz zvyčajne platí fragment výťahu zo zápisnice, v ktorom vedenie stanovilo alebo hodnotilo bezpečnostnú politiku, organizačný diagram ukazujúci linky hlásenia smerom k vedeniu, alebo bod na programe z pravidelnej porady vedenia o kybernetických rizikách. Ak toto chýba, potom je "nie" tu poctivá odpoveď — dodávateľ, ktorý to vyplní bez podkladu, riskuje, že sa na to klient neskôr vrátia. Táto otázka sa často spája s otázkou Sú účinnosť bezpečnostných opatrení pravidelne testované, pretože testovanie bez riadiacich opatrení je pre klienta neúplná odpoveď. Relevantné je tiež, či vaša spoločnosť podlieha smernici NIS2, pretože potom nie je to len otázka vášho klienta, ale vlastná zákonná povinnosť od 15. augusta 2026, keď vstúpi do platnosti Zákon o kybernetickej bezpečnosti.

Odkiaľ pochádza: článok 20 vedľa článku 21 NIS2

Článok 20 Smernice (EÚ) 2022/2555 upravuje zodpovednosť a zapojenie vládnych orgánov, oddelene od desiatich hmotných opatrení v článku 21 ods. 2; ISO/IEC 27001 nemá v prílohe A doslovno ekvivalent, ale prostredníctvom kľúčových požiadaviek normy (klauzula 5, vedenie) vyžaduje preukázateľné zapojenie vedenia, čo sa často dokladá ako samostatný podklad vedľa opatrení prílohy A.