vi har ingen CISO, hvem udfylder jeg ved hvem der er ansvarlig for sikkerhed

Ingen funktionsbetegnelse nødvendig, men en påviselig rolle

Artikel 21 stk. 2 NIS2 kræver ikke en CISO. Der står intet sted, at en funktionsbetegnelse er obligatorisk — direktivet kræver "passende og proportionale tekniske, operationelle og organisatoriske foranstaltninger", og governance derover. Hvad du skal kunne udfylde, er hvem der internt beslutter om informationssikkerhed, og hvem der henvender sig til direktionen herom. I en mindre virksomhed er det ofte direktøren selv, en IT-leder med sikkerhed som deltidsopgave, eller en ekstern part, der er hyret fast. Udfyld denne rolle med navn eller funktionsbetegnelse, ikke med "ingen" og ikke med en titel, der ikke eksisterer.

Hvad du skal være opmærksom på: det handler ikke om titlen for kunden, men om påvisebarhed. Kan du vise, at der er en person ansvarlig for politik for risikovurdering og sikring af informationssystemer, og at den samme eller en anden udpeget person også er kontaktpunktet ved sikkerhedshændelser? Det er det bevisfuldt, der normalt bliver spurgt til: et organisationsdiagram, en RACI-tabel, eller blot et afsnit i politikdokumentet, der navngiver rollen og kompetencerne. Hvis du ikke har dokumenteret det, så er "nej" med en forklaring om, at direktionen bærer dette ansvar, et mere ærligt svar end en opdigtet funktionsbetegnelse.

Hvor dette følger af: artikel 21 stk. 2 litra a NIS2 og Annex A 5.2 ISO 27001

Artikel 21 stk. 2 litra a nævner "politik for risikovurdering og sikring af informationssystemer" som den første af ti foranstaltninger, og governance er en underforstået del heraf: uden en udpeget ansvarlig er politikken ikke mulig at gennemføre og ikke kontrollerbar. ISO/IEC 27001 præciserer dette i Annex A 5.2, "information security roles and responsibilities", hvor der godt nok bliver spurgt til en rolle, men ingen specifik titel. Hvis du udfylder denne liste uden ISO-certifikat, er det særlig vigtigt, at rollefordelingen er dokumenteret et sted — det hjælper ved spørgsmålet om virksomheden er ISO 27001-certificeret, hvor du ellers står tomhændet.