meillä ei ole IT-osastoa, kenen tulee täyttää tämä turvallisuuskyselylomake

Ei ICT-osastoa ei ole vapautus

Kyselykaavake ei käsittele sitä, kuka on palkalla, vaan sitä, ovatko artiklan 21 kohdan 2 kymmenen toimenpidettä NIS2 läsnä — myös viiden henkilön henkilöstöllä. Asiakas, joka lähettää tämän luettelon, haluaa tietää, ovatko riskianalyysi, poikkeamien hallinta, jatkuvuus ja pääsynvalvonta järjestettyjä, ei sitä, onko tällaiselle osastolle olemassa osastoa. Pienessä yrityksessä vastaus on usein omistajalla tai ulkoisella IT-toimittajalla, ja se on pätevä vastaus: kuka sen tekee, ei ole kyselyluettelossa, vain se, tapahtuuko se.

Käytännössä tämä tarkoittaa, että se, joka hallinnoi hosting-palvelua, kannettavia tietokoneita tai kirjanpito-ohjelmistoa — usein ulkoinen yritys — omaa tosiasiallisia vastauksia kysymyksiin varmuuskopioista ja varasuunnitelmista sekä monivaiheinen tunnistautuminen. Tämän toimittajan ei tarvitse täyttää kyselykaavaketta, mutta se toimittaa todistusasiakirjan tai vahvistuksen, jonka perusteella yrittäjä itse vastaa. Kysymyksiin, jotka eivät koske tekniikkaa vaan politiikkaa — kuka saa mennä mihin, mitä tapahtuu poikkeaman yhteydessä — tieto on yleensä omistajalla itsellään, myös ilman ICT-taustaa.

Artiklan 21 kohta 2 vaatii toimenpiteitä, ei tehtävänimitystä

NIS2-direktiivin artiklan 21 kohdan 2 nimeää kymmenen toimenpidettä yhteisön tulokseen perustuvan velvoitteen mukaisesti ilman vaatimuksia organisaatiorakenteesta, jolla kyseinen tulos saavutetaan. ISO/IEC 27001:n liite A kehittää samat toimenpiteet hallintotoimenpiteiksi, jotka voidaan toteuttaa yhtä hyvin ulkoisesti kuin sisäisen henkilöstön toimesta. Se, kuuluuko yritys itse direktiivin soveltamisalaan, on muutoin erillinen kysymys omasta NIS2-asemasta riippumatta — se on johdettavissa omasta NIS2-asemasta.