he kysyvät, kuka on meidän CISO, mutta meillä ei ole ketään tällä nimikkeellä

Ei CISO:ta tarvitse, mutta tarvitaan turvallisuuden yhteyspiste

Voit usein täyttää tähän yksinkertaisesti "ei", ilman että se osoittaa puutetta. Mikään NIS2-direktiivin 21 artiklan 2 kappaleen kymmenestä toimenpideluokasta ei määrää funktionimiä. Direktiivi säätelee velvoitteita organisaatiotasolla — hallinto, riskienhallinta, poikkeamien käsittely — ei sitä, miten jaoit ne sisäisesti tai miten rooli nimetään. CISO ("Chief Information Security Officer") on yksi tapa toteuttaa tämä, etenkin suuremmissa organisaatioissa, mutta ei vaatimus. ISO/IEC 27001:n kohdalla asia on samoin: Liite A vaatii määriteltyjä vastuita tietoturvasta, ei tiettyä nimikettä palkkalaskelmalla.

Se, mitä asiakkaasi oikeastaan haluaa tietää, on kuka organisaatiossasi on sisäisesti vastuussa ja tavoitettavissa poikkeaman sattuessa. Pienemmässä yrityksessä se on usein omistaja itse, IT-päällikkö tai henkilö, joka hoitaa turvallisuutta muun roolin rinnalla. Täytä se vastauksi taustalla olevaan kysymykseen: nimi, tehtävä, ja tarvittaessa miten henkilöön voidaan ottaa yhteyttä. Se on myös linjassa sen kanssa, kuka reagoi turvallisuuspoikkeaman sattuessa — se on yleensä sama henkilö tai sama tiimi. Epäiletäänkö sinulla, ottaako asiakkaasi vastaan vastauksen "ei CISO:ta, mutta turvallisuusvastaava"? Älä vahvista sitä vastausta sokeat "kyllä" — se on arvio, joka kuuluu lähettäjälle, ei automaattisesti täytetylle dossierille.

Mistä tämä käy ilmi: 21 artiklan 2 kappale ja Liite A

NIS2-direktiivin 21 artiklan 2 kappale luettelee kymmenen toimenpideluokkaa, joihin kuuluvat riskienhallinta, poikkeamien käsittely ja pääsynhallintakäytäntö, mutta ei roolin nimeämistä. Hollannin kyberturvallisuuslaki, joka ottaa tämän direktiivin käyttöön ja astuu voimaan 15. elokuuta 2026, noudattaa samaa periaatetta. ISO/IEC 27001 Liite A vaatii tietoturvajärjestön organisaatiosektiossa määritettyjä vastuita, ei funktionimiä. Jos haluat tarkistaa, kuuluuko yrityksesi itse NIS2-velvoitteen piiriin, se on erillinen kysymys, joka ei liity tähän — tarkista sitä kohdasta onko organisaatio kokonaisuutena NIS2-direktiivin soveltamisalan alainen.