kuka on vastuussa tietoturvakysymyslistan täyttämisestä minun yrityksessä

Roolijako ei ole itsessään normatiivinen vaatimus, mutta vastaus on tarkistettava

Kyselykaavake ei itsessään määrää, kuka sen täyttää; artikla 21 kohta 2 NIS2 ja ISO/IEC 27001:n Annex A koskevat organisaation toteuttamia toimenpiteitä, eivät virkamiestä, joka lomakkeen allekirjoittaa. Käytännössä kyse on yleensä henkilöstä, joka tuntee tietoturvallisuuspolitiikan: tietoturvallisuuspäällikö, IT-johtaja tai pienemmissä yrityksissä suoraan johtaja. ISO 27001 -sertifikaatin yhteydessä johtamisjärjestelmässä on usein jo nimetty vastaava henkilö — kyseinen nimi on tällöin luonteva yhteyshenkilö tätä listaa varten.

Mikä on kuitenkin varmaa: vastausten täytyy perustua johonkin. Jos kysymys koskee pääsynvalvontaa, jonkun täytyy pystyä osoittamaan, mitä politiikkaa tai toimenpidettä se perustuu — ei täytetä muistista, vaan luetaan dossieesta. Tämä tekee siitä vähemmän "kuka saa täyttää" -kysymyksen ja enemmän "kellä on taustalla olevat tiedot käytettävissä" -kysymyksen. Sama henkilö on usein myös se, joka voi arvioida, onko yritys ottanut tekoäly-järjestelmiä käyttöön palveluksensa puitteissakoska se vaikuttaa samaan tekniseen inventaariin. Jos epäily syntyy siitä, kuka organisaation sisällä on vastuussa vastauksen omistajuudesta, on se usein sama henkilö, joka myös hallinnoi jatkuvuussuunnitelmaa vakavan häiriön yhteydessä — nämä kaksi aihepiiriä menevät päällekkäin lähdeaineiston osalta.

Mistä tämä johtuu: artiklat 21 kohta 2 ja liite A

Artikla 21 kohta 2 NIS2 luettelee kymmenen toimenpideluokkaa, mukaan lukien riskienhallinta, poikkeamien käsittely ja pääsynpolitiikka — direktiivi sääntelee näiden toimenpiteiden sisältöä, ei sitä, kuka niistä sisäisesti raportoi. ISO/IEC 27001 Annex A työstää sen konkreeteiksi hallintotoimenpiteiksi, ja sertifioiduilla organisaatioilla on tyypillisesti johtamisjärjestelmässä jo nimetty vastaava henkilö. Tämä olemassa oleva roolijako on luontevain lähde, johon nojautua kyberturvallisuuskyselyä täytettäessä.