stranka želi vedeti, kdo je pri nas odgovoren za kibernetsko varnost

Upravljanje, ne ime

Vprašanje "kdo je odgovoren za varnost informacij" v praksi ne prosi za ime ali naziv funkcije, temveč za dokaz upravljanja: ali je odgovornost preusmerjanja, in ali je zagotovljena na ravni uprave? Člen 21 odstavek 2 direktive NIS2 tega ne omenja posebej, temveč kot del politike za analizo tveganja in varnost informacijskih sistemov — prvi od desetih ukrepov. Kdor dobi to vprašanje, lahko navadno najbolje napoti na isti dokument politike, v katerem je navedeno tudi ali ima podjetje politiko za analizo tveganja in varnost informacijskih sistemov: v njem je lastnik politike običajno naveden skupaj z obsegom in zadnjo datumom revizije.

Če podjetje nima jasno dodeljenega odgovornega osebe, je odgovor "uprava" ali "lastnik" za manjša podjetja pogosto zadosten — vendar je to ugotavljanje dejstva, ne predlog tega sistema. Kar sistem dejansko zmore: potegniti odgovor iz verige datotek, če je tam že prisoten, s podatki o viru, tako da ga stranka potrdi z da ali ne. Če ta zapis manjka, je najbolj pošten odgovor, da še ni formalnega dodeljenega odgovornega osebe, namesto da bi si izmislili ime, ki ga ni v aktu. To vprašanje je pogosto povezano z drugimi: tisti, ki prijavi incident, je na primer naveden v postopkom za obravnavo varnostnih incidentovin to je lahko ista oseba ali nekdo drug.

Od koder to izhaja iz člena 21 odstavka 2

Člen 21 odstavek 2 direktive (EU) 2022/2555 zavezuje subjekte na tveganjem osnovan pristop z deseto konkretno ukrepi, od katerih je politika za analizo tveganja in varnost informacijskih sistemov prvi; kdo je za to odgovoren, je del te politike, ne samostojna podatkovna. V ISO/IEC 27001 se to pojavlja v Dodatku A, med nadzornimi ukrepi za organizacijo varnosti informacij. Zakon o kibernetski varnosti to obveznost implementira v slovensko pravo in po pričakovanjih stopi v veljavo 15. avgusta 2026; do tega datuma je sami NIS2 besedilo, na katerega se je mogoče sklicati.