nemamo CISO-a, koga popunim na pitanje tko je odgovoran za sigurnost

Nije potrebna funkcijska titula, ali je potrebna identifikabilna uloga

Članak 21 stavak 2 NIS2 ne traži CISO. Nigdje ne piše da je funkcijska titula obavezna — direktiva zahtijeva "primjerene i proporcionalne tehničke, operacijske i organizacijske mjere", te upravljanje iznad toga. Ono što trebate moći popuniti je tko interno odlučuje o informacijskoj sigurnosti i koga upozorenja upućuju direktnici. U manjoj tvrtki to je često sam direktor, IT-menadžer sa sigurnosti kao dijelom poslova, ili vanjska stranka koja je strukturno angažirana. Popunite tu ulogu sa imenom ili funkcijom, ne sa "nitko" i ne sa titulom koja ne postoji.

Što trebate paziti: klijenta ne zanima titula, već dokazivost. Možete li pokazati da je netko odgovoran za politike za analizu rizika i zaštitu informacijskih sustava, i da je ta ista ili neka druga određena osoba također kontaktna točka za sigurnosne incidente? To je dokaz koji se obično traži: organigram, RACI-tablica, ili samo odlomak u dokument o politici koji imenuje ulogu i ovlasti. Ako to niste zabilježili, tada je "ne" s objašnjenjem da direkcija nosi tu odgovornost pošteniji odgovor nego izmišljena funkcija.

Gdje to proizlazi: članak 21 stavak 2 podstavak a NIS2 i Prilog A 5.2 ISO 27001

Članak 21 stavak 2 podstavak a navodi "politiku analize rizika i sigurnosti informacijskih sustava" kao prvi od deset mjera, a upravljanje je tu neizbježan dio: bez određene odgovorne osobe politika nije primjenjiva niti je nadzor moguć. ISO/IEC 27001 to čini eksplicitnim u Prilogu A 5.2, "information security roles and responsibilities", gdje se uloga zahtijeva ali nije specifična titula. Ako popunjavate ovaj popis bez ISO-certifikata, dodatno je važno da je raspodjela uloga negdje napisana — to pomaže kad pitanja jesu li tvrtke ISO 27001-certificirane, gdje inače ostajete praznih ruku.