nemáme IT oddelenie, kto by mal vyplniť tento bezpečnostný dotazník

Žiadna oddelenie ICT nie je oslobodením

Zoznam otázok sa netýka toho, kto je na zozname platieb, ale či sú prítomné desať opatrení z článku 21 ods. 2 NIS2 — aj v prípade päť zamestnancov. Klient, ktorý posiela tento zoznam otázok, chce vedieť, či sú upravené analýza rizík, spracovanie incidentov, kontinuita a kontrola prístupu, nie či existuje oddelenie s týmto názvom. V malom podniku je odpoveď často na strane vlastníka alebo externého IT-poskytovateľa, a to je platná odpoveď: kto to robí nie je v zozname otázok, len či sa to deje.

Prakticky to znamená, že ten, kto spravuje hosting, notebooky alebo účtovný softvér — často externá kancelária — má vlastné odpovede na otázky o zálohovaniach a opatreniach pre prípad núdze a o viacfaktorové overovanie. Tento poskytovateľ nemusí vypĺňať zoznam otázok, ale dodá doklad alebo potvrdenie, na základe ktorého sám podnikateľ odpovedá. Pri otázkach, ktoré sa netýkajú techniky, ale politiky — kto má kam prístup, čo sa deje pri incidente — je znalosti zvyčajne na strane samotného vlastníka, aj bez pozadia v oblasti ICT.

Článok 21 ods. 2 vyžaduje opatrenia, nie funkčný titul

Článok 21 ods. 2 smernice NIS2 uvádza desať opatrení ako povinnosť dosiahnutia výsledku pre subjekt bez toho, aby si kladie požiadavky na organizačnú štruktúru, ktorou sa tento výsledok dosahuje. Príloha A normy ISO/IEC 27001 rozpracovúva rovnaké opatrenia v kontrolných opatreniach, ktoré môžu byť vykonávané rovnako dobre externe ako internými zamestnancami. Či samotný podnik podlieha smernici, je ostatne osobitná otázka, nezávislá od toho, kto zoznam otázok vypĺňa — to sa dá odvodiť z vlastného stavu NIS2.