asiakas haluaa tietää, kuka meillä on vastuussa kyberturvallisuudesta

Hallinto, ei nimi

Kysymys "kuka vastaa tietoturvallisuudesta" ei käytännössä kysy nimeä tai tehtävänimikettä, vaan hallinnon todistetta: onko vastuut määritetty ja turvattu hallintotasolla? NIS2:n 21 artiklan 2 kohta ei mainitse tätä erikseen, vaan osana politiikkaa riskianalyysin ja tietoturvajärjestelmien suojaamiseen — ensimmäinen kymmenestä toimenpiteestä. Kenen kysymys saavuttaa, voi yleensä parhaiten viitata samaan politiikkaasiakirjaan, jossa on myös tai onko organisaatiolla politiikka riskianalyysin ja tietoturvajärjestelmien suojaamiseen": siellä politiikan omistaja on yleensä mainittu, samoin laajuus ja viimeisin tarkistuspäivä.

Jos organisaatiolla ei ole nimenomaista määrättyä vastaavaa, "johto" tai "omistaja" on usein riittävä vastaus pienemmille yrityksille — mutta se on tosiseikka, ei mitään, mitä tämä alusta ehdottaa. Mitä järjestelmä voi tehdä: noutaa vastauksen ketjurekisterista, jos se siellä on, lähteen kanssa, jotta asiakas voi vahvistaa sen kyllä tai ei. Jos tämä rekisteröinti puuttuu, rehellinen vastaus on, että muodollista määrättyä vastaavaa ei ole vielä nimetty, sen sijaan että keksittäisiin nimi, joka ei ole rekisterissä. Tämä kysymys liittyy usein muihin: kuka raportoi poikkeamasta, on esimerkiksi turvallisuuspoikkeamien käsittelystä johtuvaan menettelyyn", ja se voi olla sama henkilö tai joku muu.

Mistä tämä seuraa 21 artiklan 2 kohdasta

Direktiivin (EU) 2022/2555 21 artiklan 2 kohta velvoittaa yhteisöjä riskiperusteiseen lähestymistapaan, jossa on kymmenen konkreettista toimenpidettä, joista riskianalyysin ja tietoturvajärjestelmien suojaamiseen liittyvä politiikka on ensimmäinen; kuka siitä vastaa, on osa kyseistä politiikkaa, ei erillinen tieto. ISO/IEC 27001 -standardissa tämä näkyy liitteessä A tietoturvallisuuden organisointiin liittyvien hallintamenettelyjen alla. Kyberturvallisuuslaki toteuttaa tämän velvoitteen Alankomaiden laissa ja astuu voimaan 15. elokuuta 2026; siihen saakka NIS2 on teksti, johon voi viitata.