въпросникът пита дали ръководството участва в киберсигурността

Ангажираността на управата е отделна задължение по NIS2, отделено от десетте мерки

Този въпрос не е насочен към техника, а към управление: дали самото ръководство е включено в киберсигурност, или е напълно делегирано на IT. Според член 21, параграф 2 на NIS2 самите десет мерки са изброени, но член 20 на Директивата задължава допълнително управническите органи да одобрят мерките за управление на риска и да наблюдават тяхното прилагане, както и членовете на управата да получават обучение, за да могат да преценят киберрисковете. Это е следователно отделен пункт на списъка с въпроси: не "какви мерки имате", а "знае ли и одобрява ли ръководството это".

Обикновено като доказателство служат фрагменти от протоколи, в които управата е установила или преоценила политиката за сигурност, органиграма, показваща линии на отчетност към ръководството, или точка от дневния ред на периодично ръководство заседание за киберрисковете. Ако такова липсва, то "не" е честният отговор тук — доставчик, който го попълни без документ, рискува клиентът да се върне към него по-късно. Този въпрос често е свързан с въпроса се преценява ли периодично ефективността на мерките за защита, тъй като преценката без управленско последствие е половин отговор за клиента. Също така е релевантно дали вашето предприятие попада ли под NIS2 Директивата, тъй като тогава това не е само въпрос на вашия клиент, а собствено законно задължение от 15 август 2026 г., когато Законът за киберсигурност влиза в сила.

От където идва това: член 20 до и с член 21 NIS2

Член 20 на Директива (EU) 2022/2555 урежда отговорността и ангажираността на управническите органи, отделно от десетте съдържателни мерки в член 21, параграф 2; ISO/IEC 27001 няма буквално еквивалент в Приложение A, но изисква чрез основните изисквания на стандарта (клауза 5, лидерство) доказуемата ангажираност на върховното ръководство, което често се представя като отделен документ до мерките в Приложение A.