vprašalnik zahteva stik za varnost, kdo mora biti to pri nas

Kontaktna oseba je vloga, ne ime v vprašalniku

Navedite osebo, ki je interno odgovorna za varnostne ukrepe, ne nujno lastnika ali direktorja. V praksi je to oseba, ki je tudi vpletena v postopkom za odkrivanje in odpravljanje ranljivosti in pri postopkom za obravnavo varnostnih incidentov — pogosto torej ista oseba, ki je interno stična točka, če se kaj zgodi. V majhnem podjetju je to pogosto sam podjetnik ali IT-skrbnik; v večjem podjetju je to varnostni inženir ali nekdo s primerno naslovom funkcije. Pomembnejši kot naslov je, da je ta oseba dosegljiva in ve, kaj se dogaja, ker uporabnik ta kontakt uporablja predvsem v primeru incidenta ali revizije.

Če je mogoče, navedite funkcijsko ali službeno pošto namesto zasebnega imena: to prepreči, da se vprašalnik zastarari, takoj ko se oseba premakne na drugo funkcijo. Naslov kot »security@« ali »ciso@« je za uporabnika prav tako uporaben kot ime in je bolj stabilen. Če organizacija še nima ločene funkcije za to, je običajno navedsti splošnega odgovornega za informatiko ali poslovanje — dokler je ta oseba tudi res dosegljiva glede vsebine, ne samo po imenu.

Od kod to prihaja: člen 21 in vloga upravljanja

Člen 21, odstavek 2 direktive NIS2 ne omenja kontaktne osebe kot posebne zahteve, vendar deset ukrepov, ki so tam navedeni — vključno z upravljanjem tveganja, obravnavo incidentov in kontinuiteto poslovanja — predpostavljajo, da jo nekdo interno nosi in je zanjo dosegljiv. Uporabniki, ki sprašujejo po tem, torej pravzaprav preverjajo, ali obstaja politika za analizo tveganj in varovanje informacijskih sistemov in ali ima ta politika lastnika. ISO/IEC 27001 to konkretizira bolj podrobno: Priloga A vsebuje ukrepe glede vlog in odgovornosti v informacijski varnosti, in njihova kontaktna oseba je pogosto vidni dokaz tega. Nizozemski zakon o kibernetski varnosti, ki prenaša direktivo NIS2 in stopi v veljavo 15. avgusta 2026, na tej točki ne dodaja nobene dodatne zahteve nad tistim, kar je že v direktivi.