popis pitanja pita je li uprava uključena u cyber sigurnost

Angažiranost uprave je posebna NIS2-obveza, odvojena od deset mjera

Ovo pitanje se ne tiče tehnike već upravljanja: je li sam uprava uključena u cybersigurnost ili je potpuno delegirana IT-u. Prema članku 21 stavku 2 NIS2-a sami se deset mjera nalaze, ali članak 20 Direktive dodatno obvezuje da organi uprave odobravaju mjere upravljanja rizicima i nadziru njihovu primjenu, te da članovi uprave pohađaju obuku kako bi mogli procjenjivati cyber rizike. To je dakle odvojena točka upitnika: ne "koje mjere imate", već "je li vrh toga svjestan i to odobrava".

Kao dokaz obično vrijedi fragment zapisnika u kojem je uprava utvrdila ili procijenila sigurnosnu politiku, organigram koji pokazuje linije izvještavanja prema uprani, ili redovna točka s agende periodičnog sastanka uprave o cyber rizicima. Ako to nedostaje, tada je "ne" pošten odgovor ovdje — dobavljač koji ovo upiše bez dokaza rizicira da će mu se kupac kasnije vratiti. Ovo pitanje često ide zajedno s pitanjem je li učinkovitost sigurnosnih mjera povremeno provjeravana, jer je provjera bez angažiranosti uprave za kupca polupotpun odgovor. Također je relevantno je li vaša tvrtka sama obuhvaćena NIS2-direktivom, jer tada ovo nije samo pitanje vašeg kupca nego vlastita zakonska obveza do 15. kolovoza 2026., kada stupanjem na snagu Zakona o cybersigurnosti.

Odakle je ovo došlo: članak 20 uz članak 21 NIS2

Članak 20 Direktive (EU) 2022/2555 regulira odgovornost i angažiranost organa uprave, odvojena od deset sadržajnih mjera u članku 21 stavku 2; ISO/IEC 27001 nema u Prilogu A doslovno ekvivalent ali kroz jezgrene zahtjeve norme (klauzula 5, voditeljstvo) traži dokazanu angažiranost vrha, što se često dostavlja kao odvojen dokaz uz mjere iz Priloga A.