Ο πελάτης θέλει να γνωρίζει ποιος είναι υπεύθυνος για την κυβερνοασφάλεια στην εταιρεία μας

Διακυβέρνηση, όχι ένα όνομα

Το ερώτημα «ποιος είναι υπεύθυνος για την ασφάλεια των πληροφοριών» ζητά στην πράξη όχι ένα όνομα ή τίτλο θέσης, αλλά απόδειξη διακυβέρνησης: υπάρχει μια καθορισμένη ευθύνη, και είναι εξασφαλισμένη σε επίπεδο διοίκησης; Το άρθρο 21 παράγραφος 2 της NIS2 δεν το αναφέρει ξεχωριστά, αλλά ως τμήμα της πολιτικής για ανάλυση κινδύνου και ασφάλεια συστημάτων πληροφοριών — η πρώτη από τα δέκα μέτρα. Ποιος λαμβάνει αυτό το ερώτημα, μπορεί συνήθως καλύτερα να παραπέμπει στο ίδιο έγγραφο πολιτικής στο οποίο αναφέρεται επίσης εάν η οντότητα έχει πολιτική για ανάλυση κινδύνου και την ασφάλεια των συστημάτων πληροφοριών: στο έγγραφο αυτό συνήθως αναγράφεται ο ιδιοκτήτης της πολιτικής, μαζί με το πεδίο εφαρμογής και την ημερομηνία της τελευταίας αναθεώρησης.

Εάν η οντότητα δεν έχει σαφώς καθορισμένο υπεύθυνο, τότε «η διοίκηση» ή «ο ιδιοκτήτης» ως απάντηση είναι συχνά επαρκής για μικρότερες επιχειρήσεις — αλλά αυτή είναι μια εμπειρική διαπίστωση, όχι κάτι που προτείνει αυτή η πλατφόρμα. Αυτό που το σύστημα μπορεί πράγματι να κάνει: να ανακτήσει την απάντηση από το αρχείο της αλυσίδας εάν υπάρχει ήδη, με την πηγή, ώστε ο πελάτης να την επιβεβαιώσει με ναι ή όχι. Εάν λείπει αυτή η καταγραφή, τότε η πιο ειλικρινής απάντηση είναι ότι δεν υπάρχει ακόμη σαφώς καθορισμένος υπεύθυνος, αντί να εφεύρεται ένα όνομα που δεν βρίσκεται στο αρχείο. Αυτό το ερώτημα συχνά σχετίζεται με άλλα: ποιος αναφέρει ένα περιστατικό, για παράδειγμα αναγράφεται στο τη διαδικασία διαχείρισης περιστατικών ασφάλειας, και αυτό μπορεί να είναι το ίδιο άτομο ή κάποιος άλλος.

Όπου αυτό προκύπτει από το άρθρο 21 παράγραφος 2

Το άρθρο 21 παράγραφος 2 της Οδηγίας (EU) 2022/2555 υποχρεώνει τις οντότητες σε μια προσέγγιση βασισμένη στον κίνδυνο με δέκα συγκεκριμένα μέτρα, εκ των οποίων η πολιτική για ανάλυση κινδύνου και ασφάλεια των συστημάτων πληροφοριών είναι το πρώτο· ποιος είναι υπεύθυνος γι' αυτό, είναι μέρος αυτής της πολιτικής, όχι ένα χωριστό δεδομένο. Στο ISO/IEC 27001 αυτό εμφανίζεται ξανά στο Παράρτημα Α, κάτω από τα μέτρα ελέγχου για την οργάνωση της ασφάλειας πληροφοριών. Ο Νόμος Κυβερνοασφάλειας αποδίδει αυτή την υποχρέωση στο ολλανδικό δίκαιο και αναμένεται να ισχύσει στις 15 Αυγούστου 2026· έως τότε, η ίδια η NIS2 είναι το κείμενο στο οποίο πρέπει να ανατρέξουμε.