meil pole IT-osakonda, kes peab selle turvakküsimustiku täitma

Puudunud IT-osakond ei ole vabastus

Küsimustik ei käsitle seda, kes on palgakirjel, vaid seda, kas artikli 21 lõike 2 NIS2 kümme meetme on olemas — ka viie inimesega ettevõttes. Klient, kes selle küsimustiku saadab, soovib teada, kas riskianalüüs, intsidentide käsitlemine, järjepidevus ja juurdepääsu kontroll on korraldatud, mitte seda, kas selleks on sama nimega osakond. Väikeses ettevõttes asub vastus sageli omaniku või välise IT-teenuse pakkuja juures, ja see on kehtiv vastus: küsimustikus ei ole küsimuses, kes seda teeb, vaid ainult see, kas seda tehakse.

Praktiliselt tähendab see, et isik, kes hallab majutust, sülearvuteid või raamatupidamistarkvara — sageli väline büroo — omab faktilisi vastuseid küsimustele varukoopiates ja katastroofiabistamise meetmetes ja mitmefaktoriga autentimine. Sellel pakkujal ei ole vaja küsimustikku täita, kuid ta esitab tõendi või kinnituse, millega ettevõtja ise vastab. Küsimustele, mis ei käsitle tehnikat, vaid poliitikat — kellel on kus juurdepääs, mis juhtub intsidendi korral — asub teadmine tavaliselt omaniku enda juures, isegi ilma IT-taustata.

Artikli 21 lõige 2 nõuab meetmeid, mitte ametitiitlit

NIS2-direktiivi artikli 21 lõige 2 nimetab kümmet meetme subjekti tulemuste kohustusena, esitamata nõudeid organisatsioonistruktuurile, millega see tulemus saavutatakse. ISO/IEC 27001 lisa A töötab välja samad meetmed kontrollmeetmetena, mida saab teostada samasugusel määral välisel osapoolel kui sisemisest personalist. Kas ettevõte ise kuulub direktiivi alla, on muide eraldi küsimus, eraldiseisev sellest, kes küsimustiku täidab — see on tuletatav enda NIS2-staatusest.