kdo je odpovědný za vyplnění seznamu otázek o bezpečnosti

Rozdělení rolí není samo o sobě požadavkem normy, ale odpověď je třeba ověřit

Samotný dotazník nepředepisuje, kdo jej vyplní; článek 21 odst. 2 NIS2 a příloha A normy ISO/IEC 27001 se zabývají opatřeními, která organizace přijímá, nikoli funkcionářem, který formulář podepíše. V praxi jde obvykle o osobu, která zná politiku bezpečnosti informací: bezpečnostního pracovníka, správce IT nebo v menších společnostech samotného ředitele. U certifikátu ISO 27001 je v systému řízení často již určen odpovědný pracovník — jeho jméno je pak logickým kontaktním bodem pro tento dotazník.

Co je však jisté: odpovědi se musí opírat o něco konkrétního. Pokud se otázka týká kontroly přístupu, musí být možné ukázat, jaká politika nebo jaké opatření za tím stojí — ne odpovědět zpaměti, ale přečíst si to ze spisu. To z toho dělá spíše otázku "kdo má kompetenci to vyplnit" než "kdo má podkladní fakta k dispozici". Stejná osoba je často i tou, která může posoudit, zda podnik nasazuje AI systémy v rámci své činnosti, protože se to týká stejné technické inventarizace. Pokud si nejste jisti, kdo je interně vlastníkem odpovědi, jde často o stejnou osobu, která také spravuje plán kontinuity v případě vážného přerušení — obě témata se překrývají z hlediska zdrojového materiálu.

Odkud to vyplývá: článek 21 odstavec 2 a Příloha A

Článek 21 odst. 2 NIS2 uvádí deset kategorií opatření, včetně řízení rizik, reagování na incidenty a politiky přístupu — směrnice upravuje obsah těchto opatření, nikoli to, kdo je interně hlásí. ISO/IEC 27001 příloha A to rozpracovává do konkrétních kontrolních opatření a organizace s certifikátem obvykle již mají ve svém systému řízení určeného odpovědného pracovníka. Toto stávající rozdělení rolí je nejpřirozenějším zdrojem, na který se lze při vyplňování bezpečnostního dotazníku odvolat.