vem är ansvarig för att fylla i säkerhetsenäten

Rollfördelning är inte själv ett normkrav, men svaret måste verifieras

Själva frågelistan föreskriver inte vem som fyller den i; artikel 21 stycke 2 NIS2 och Bilaga A i ISO/IEC 27001 handlar om de åtgärder en organisation vidtar, inte om vilken tjänsteman som undertecknar formuläret. I praktiken är det vanligtvis den person som känner till informationssäkerhetspolicyn: en säkerhetschef, IT-chef eller, på mindre företag, själva verkställande direktören. Vid ett ISO 27001-certifikat är det ofta redan en ansvarig utsedd i ledningssystemet — det namnet är då den logiska kontaktpunkten för denna lista.

Vad som är säkert: svaren måste bygga på något. Om en fråga gäller åtkomstkontroll måste någon kunna peka på vilken policy eller åtgärd som ligger bakom det — inte fylla i från minnet, utan avläsa från en dokumentation. Det gör det mindre en fråga om "vem får fylla detta i" och mer om "vem har de underliggande fakta tillgängliga". Den samma personen är ofta också den som kan bedöma om företaget använder AI-system inom sin tjänsteleverans, eftersom det rör samma tekniska inventering. Vid osäkerhet om vem internt är ansvarig för ett svar är det ofta samma person som också hanterar kontinuitetsplanen vid en allvarlig störning — de två ämnena överlappar vad gäller källmaterial.

Var detta följer från: artikel 21 punkt 2 och Annex A

Artikel 21 stycke 2 NIS2 nämner tio kategorier av åtgärder, inklusive riskhantering, incidenthantering och åtkomstpolicy — direktivet reglerar innehållet i dessa åtgärder, inte vem som internt rapporterar dem. ISO/IEC 27001 Bilaga A utvecklar detta i konkreta kontrollåtgärder, och organisationer som är certifierade har vanligtvis redan en ansvarig fastställd i sitt ledningssystem. Den befintliga rollfördelningen är den mest självklara källan att falla tillbaka på när en cybersäkerhetsfrågelista fylls i.