nemáme CISO, koho vyplnit u otázky, kdo je zodpovědný za bezpečnost

Není potřeba funkční titel, ale je třeba identifikovatelná role

Článek 21 odst. 2 NIS2 nevyžaduje CISO. Nikde se neuveřuje, že funkční titel je povinný — směrnice požaduje "vhodná a přiměřená technická, operační a organizační opatření" a řídící se jimi se spojují. Co musíš být schopen vyplnit, je kdo se interně rozhoduje o bezpečnosti informací a kdo upozorňuje vedení. V případě menšího podniku to často vedoucí sám, IT manažer s bezpečností jako částečným úkolem, či externě najatá strana, která je strukturálně zapojena. Vyplň tuto roli jménem nebo funkcí, ne "nikdo" a ne titulkem, který neexistuje.

Na co si musíš dát pozor: klient se nestará o titul, ale o prokazatelnost. Dokážeš ukázat, že někdo je odpovědný za politiky analýzy rizik a bezpečnosti informačních systémů, a že táž nebo jiná určená osoba je také kontaktním místem v bezpečnostní incidenty? To je zpravidla požadovaný důkaz: organizační schéma, RACI tabulka, nebo prostě odstavec v politickém dokumentu, který roli a pravomoci vymezí. Pokud to nemáš zdokumentováno, pak "ne" s vysvětlením, že vedení nese tuto odpovědnost, je upřímnější odpověď než vymyšlená funkce.

Odkud to vychází: článek 21 odst. 2 písm. a NIS2 a Příloha A 5.2 ISO 27001

Článek 21 odst. 2 písm. a jako první z deseti opatření uvádí "politiku analýzy rizika a bezpečnosti informačních systémů" a governance je zde implicitní součástí: bez určeného odpovědného subjektu není politika proveditelná ani kontrolovatelná. ISO/IEC 27001 to vyjadřuje explicitně v Příloze A 5.2, "úlohy a odpovědnosti v bezpečnosti informací", kde je sice role požadována, ale ne konkrétní titul. Jestliže tuto seznam vyplňuješ bez ISO certifikátu, je zvláště důležité, aby byla rozdělení rolí někde zapsáno — to ti pomůže v otázce, zda je podnik certifikován podle ISO 27001, kde by sis jinak stál bez ničeho.