küsimustik küsib, kas juhtimisorgani on kaasatud küberturvalisusesse

Juhtimisaparaat on eraldi NIS2 kohustus, sõltumatu kümnest meetmest

See küsimus ei käsitle tehnikat, vaid juhtimist: kas juhtkond ise on küberturvalisusega seotud või on see täielikult IT-le delegeeritud. NIS2 artikli 21 lõike 2 kohaselt on kümnest meetmest ise juttu, kuid direktiivi artikkel 20 kohustab lisaks, et riskijuhtimise meetmed peavad olema riskijuhtimise asutuste poolt heaks kiidetud ja nende rakendamise üle peab olema järelevalve, ning juhatuse liikmed peavad läbima koolituse, et saaksid küberriski hinnata. See on seega eraldi punkt ankeedist: mitte "milliseid meetmeid teil on", vaid "kas juhtkond seda teab ja kiidab heaks".

Tõendiks loetakse tavaliselt protokolli katke, millest nähtub, et juhtkond on turbepoliitika kinnitanud või hinnanud, organisatsioonikaavikust, millest nähtub aruandlusliinid juhtkonnale, või päevakohast punktist perioodilistel juhtkonna kohtumistel küberrisikode üle. Kui see puudub, siis on "ei" siin aus vastus — tarnija, kes seda välja täidab ilma dokumentatsioonita, riskib, et klient tulebab hiljem selle juurde tagasi. See küsimus on sageli seotud küsimusega kontrollitakse perioodiliselt turvameetmete tõhusust, sest kontroll ilma juhtkonna järeltegeviseta on kliendile poolik vastus. Oluline on ka see, kas teie ettevõte ise kuulub NIS2 direktiivi alla, sest siis pole see mitte ainult teie kliendi küsimus, vaid iseseisev seaduslik kohustus alates 15. augustist 2026, kui küberturvalisuse seadus jõustub.

Kust see pärineb: artikkel 20 kõrval artikliga 21 NIS2

Direktiivi (EL) 2022/2555 artikkel 20 reguleerib riskijuhtimise asutuste vastutust ja kaasatust, eraldi artikli 21 lõike 2 kümnest sisulisest meetmest; ISO/IEC 27001 ei tunne Lisas A otsest samaväärsust, kuid nõuab normide tuumaseisundite kaudu (punkt 5, juhtimine) tõendatavat juhtkonna kaasatust, mis edastatakse sageli eraldi tõendina lisaks Lisas A olevate meetmete juurde.