dotazník se ptá na kontaktní osobu pro bezpečnost, kdo by to měl být u nás

Kontaktní osoba je role, ne jméno v seznamu otázek

Uveďte osobu, která je interně odpovědná za bezpečnostní opatření, nemusí to být nutně majitel nebo ředitel. V praxi je to osoba, která je také zapojená do procesem pro odhalování a odstraňování slabých míst a u postupem pro řešení bezpečnostních incidentů — často tedy stejná osoba, která je interně kontaktním bodem, pokud se něco stane. V malé firmě je to často sám podnikatel nebo správce IT; ve větší firmě bezpečnostní důstojník nebo osoba s podobným funkčním titulem. Důležitější než titul je, aby byla tato osoba dosažitelná a věděla, o co jde, protože zákazník používá tento kontakt zejména při incidentu nebo auditu.

Pokud možno uveďte rolovou nebo funkční poštovní schránku místo soukromého jména: tím se zabráníte zastarání seznamu otázek poté, co si daná osoba změní funkci. Adresa jako "security@" nebo "ciso@" funguje pro zákazníka stejně dobře jako jméno a je stabilnější. Pokud podnik nemá pro tuto funkci ještě zvláštní pozici, je obvyklé uvést obecně zodpovědnou osobu za IT nebo provoz — pokud je tato osoba také skutečně dostupná k jednání o obsahu, ne pouze na jméno.

Odkud to pochází: článek 21 a role správy řízení

Článek 21 odstavec 2 směrnice NIS2 neusiluje o kontaktní osobu jako o samostatný požadavek, ale deset opatření, která tam jsou uvedena — včetně řízení rizik, zpracování incidentů a kontinuity provozu — předpokládá, že je někdo interně nese a je na ně dosažitelný. Zákazníci, kteří se na to ptají, tedy vlastně testují, zda existuje politika pro analýzu rizik a bezpečnost informačních systémů a zda má tato politika vlastníka. ISO/IEC 27001 to rozpracovává konkrétněji: Příloha A obsahuje opatření týkající se rolí a odpovědnosti v rámci bezpečnosti informací a určená kontaktní osoba tam často slouží jako viditelný důkaz. Nizozemský zákon o kybernetické bezpečnosti, který transponuje směrnici NIS2 a vstoupí v platnost 15. srpna 2026, na tomto bodě nepřidává žádný zvláštní požadavek nad rámec toho, co je již v direktívě.