Нямаме IT отдел, кой трябва да попълни този списък със вопроси за сигурност

Липсата на IT отдел не е освобождение

Списъкът с въпроси не се занимава с това кой е в списъка на заплатите, а с това дали са налице десетте мерки на член 21, параграф 2 на NIS2 — също и при пет служители. Клиент, който изпраща този списък, иска да знае дали са уредени анализът на риска, управлението на инцидентите, непрекъснатостта и контролът на достъпа, а не дали съществува отдел с това име. При малко предприятие отговорът често е при собственика или външни IT доставчик, и това е валиден отговор: кой го прави не е в списъка с въпроси, само дали се случва.

Практически това означава, че лицето, което управлява хостинга, лаптопите или софтуера за счетоводство — често външни бюро — има действителните отговори на въпроси относно резервни копия и аварийни мерки и за многофакторната аутентификация. Този доставчик не трябва да попълва списъка с въпроси, но предоставя доказателството или потвърждението, с което самият предприемач отговаря. За въпроси, които не са за технология, а за политика — кой има достъп където, какво се случва при инцидент — знанието обикновено е при самия собственик, дори без IT опит.

Член 21, параграф 2 изисква мерки, а не длъжностна титла

Член 21, параграф 2 на NIS2 директивата посочва десетте мерки като задължение за резултат за субекта, без да поставя изисквания към организационната структура, чрез която се постига този резултат. Приложение A на ISO/IEC 27001 разработва същите мерки в контролни мерки, които могат да бъдат реализирани еднакво добре от външни страни, както и от вътрешния персонал. Въпросът дали самото предприятие попада под директивата е отделен въпрос, независимо от това кой попълва списъка с въпроси — това може да бъде определено от собствения NIS2 статус.