kyselylomake kysyy, kuka johtoryhmässämme vastaa kybersecurity-asioista

Johto kantaa vastuun, ei IT-osasto

Tässä kysymyksessä asiakas haluaa tietää, kantaako johto itse loppuvastuun kyberturvallisuudesta vai onko se siirretty IT-johtajalle tai CISO:lle ilman johdon osallistumista. Vastaus, jonka useimmat yritykset täyttävät: johtaja on määrätty loppuvastuussa olevaksi ja toteutus kuuluu hänen alaisiaan olevan virkailijan tai osaston tehtäviksi. Nämä kaksi asiaa eivät ole sama asia ja kysely haluaa usein nähdä molemmat: kuka on vastuussa (johdon taso) ja kuka toteuttaa (operatiivinen taso).

Konkreettinen todiste tästä on yleensä johdon päätös, CISO:n tai turvallisuuspäällikön tehtävänkuvaus tai tietoturvapolitiikan kohta, jossa roolijaon esitetään. Jos kyseinen asiakirja puuttuu, "ei" tai "vielä määritettävänä" on rehellinen vastaus — ei siksi, että ketään ei olisi vastuussa, vaan koska vastuunjako ei ole dokumentoitu. Tämä kysymys liittyy usein kysymykseen, onko olemassa politiikka riskianalyyseille ja tietojärjestelmien turvaamiselle, koska se politiikka yleensä myös mainitsee, kuka on sen hyväksynyt ja kuka ylläpitää sitä.

Missä tämä esiintyy ohjeistuksessa: artikla 21 luku 2

Velvoite tulee NIS2-direktiivin 21 artiklan 2 kohdasta (Direktiivi (EU) 2022/2555), joka luettelee kymmenen toimenpidettä, jotka kuuluvat johdon vastuulle, mukaan lukien hallinto ja riskienhallinta. Direktiivi itse sääntelee johdon vastuuvelvollisuutta erikseen: johdon tulee valvoa toteutusta ja siitä voidaan ottaa vastuuseen, vaikka päivittäinen toteutus kuuluisikin CISO:lle. Alankomaissa tämä velvoite esiintyy Kyberturvalaissa, joka tulee voimaan 15. elokuuta 2026. ISO/IEC 27001 Annex A edellyttää organisaatiorakenteen hallintotoimenpiteissä samoin dokumentoitua roolijako — jos sinulla on jo kyseinen sertifikaatti, voit yleensä käyttää kyseistä dokumentaatiota suoraan tähän kysymykseen. On organisaatio on ISO 27001 -sertifioitu, niin johdon vastuu mainitaan siellä yleensä jo soveltamisalueella tai politiikkaasiakirjassa.