питат кой е нашият CISO, но нямаме никого с този титул

Няма нужда от CISO, но има контактно лице за сигурност

Обикновено можеш просто да въведеш "не" тук, без това да означава недостатък. Нито една от десетте мерки в член 21, параграф 2 на Директива NIS2 не предписва длъжностна титла. Директивата урежда задължения на ниво организация — управление, управление на риска, обработка на инциденти — не как вътрешно да ги разпределиш или как да наречеш тази роля. CISO ("Chief Information Security Officer") е един начин да попълниш това, особено в по-големи организации, но не е задължител. При ISO/IEC 27001 е точно както тук: Приложение A иска определени отговорности за информационна сигурност, не конкретна титла на платежната ведомост.

Това, което наистина иска да знае клиентът ти, е кой вътрешно отговаря и е отговорен при инцидент. При по-малко предприятие това често е самия собственик, IT мениджърът или някой, който се занимава със сигурност наред с друга роля. Попълни това като отговор на подразбираното питане: име, длъжност и евентуално как да се свържеш с този човек. Това съответства и на кой реагира, когато има инцидент на сигурност — това обикновено е същия човек или същия екип. Не си ли сигурен дали клиентът ти е доволен от "няма CISO, но има отговорна лица"? Тогава не потвърждавай това отговор сляпо с "да" — това е преценка, която трябва да направи подателят, не автоматично попълнено досие.

Откъде esto е видно: член 21, параграф 2 и Приложение A

Член 21, параграф 2 на Директива NIS2 изброява десет категории мерки, включително управление на рисковете, реагиране на инциденти и политика за достъп, но не съдържа наименование на роля. Нидерландският закон за киберсигурност, който транспонира тази директива и влиза в сила на 15 август 2026 г., следва същия подход. ISO/IEC 27001 Приложение A изисква в раздела за организиране на информационната сигурност определени отговорности, а не наименование на длъжност. Ако искаш да провериш дали твоето предприятие само по себе си попада под задълженията на NIS2, това е отделен въпрос, който е независим от този — по този въпрос вижте дали предприятието като юридическо лице попада под Директива NIS2.