küsimustik küsib turvaküsimuste kontaktisikut, kes peaks see meie juures olema

Kontaktisik on roll, mitte nimi küsimustikul

Täpsustage isikut, kes on ettevõttes sisemiselt vastutav turvameetmete eest, mitte tingimata omanik ega juhataja. Praktikas on see inimene, kes on seotud ka protsess haavatavuste tuvastamiseks ja parandamiseks ja turvalisusincidendi käsitlemise menetlusest — sageli seega sama inimene, kes on sisemiselt kontaktpunkt, kui midagi juhtub. Väikeses ettevõttes on see sageli ettevõtja ise või IT-administraator; suuremas ettevõttes turvaohitser või keegi sarnase funktsiooniga. Pealkirjast tähtsam on, et see inimene on kättesaadav ja teab, mis toimub, sest klient kasutab seda kontakti peamiselt intsidendi või auditi puhul.

Eelistage pigem rollide või funktsioonide postkasti kui privaatset nime, kui see võimalik on: see vältib, et küsimustik muutuks aegunuks niipea, kui keegi funktsioonist lahkub. Aadress nagu "security@" või "ciso@" sobib kliendile just nii hästi kui nimi ja on stabiilsem. Kui ettevõttel pole selleks veel eraldi funktsiooni, siis on tavapärane esitada üldine IT- või äritegevuse vastutav — kuni see inimene on ka tegelikult saadaval sisul, mitte ainult nimega.

Kust see pärineb: artikkel 21 ja juhtimise roll

Direktiivi NIS2 artikli 21 lõige 2 ei maini kontaktisikut eraldi nõudena, kuid seal nimetatud kümme meetmet — sealhulgas riskihaldus, intsidentide käsitlemine ja ärikontinuaalne — eeldavad siiski, et keegi neid sisemiselt kannab ja on saadaval. Kliendid, kes selle kohta küsivad, tegelikult kontrollivad, kas riski- ja infoturbesüsteemide analüüsimiseks on poliitika olemas ja kas sellel poliitikal on omanik. ISO/IEC 27001 töötab seda konkreetsemalt välja: Lisas A on meetmed infoturbe rollide ja vastutuste kohta, ja määratud kontaktisik on seal sageli nähtav tõendus. Hollandi küberturvalisuse seadus, mis rakendab NIS2-direktiivi ja jõustub 15. augustil 2026, ei lisa sel punktil mingit eraldi nõuet sellele, mis on direktiivis juba olemas.