klijent pita tko je naš CISO ali nemamo zasebnu funkciju za to

Nemati CISO u službi nije problem

Pitanje o CISO-u ne ide o tituli na vizitnoj kartici, već o ulozi: tko je odgovoran za zaštitu podataka i kibernetsku sigurnost, i koga može kontaktirati klijent ako nešto nije u redu. U manjim poduzećima ta uloga često pada na direktora, IT-upravitelja ili nekoga tko to "radi do poslova". To je validan odgovor, sve dok možeš identificirati koga je i što ta osoba radi.

Odgovori na pitanje prema funkciji koja stvarno obavlja ulogu, a ne sa "n.p.". Tipična dopuna: "ulogu CISO-a obavlja [funkcija], odgovoran za [zadatke]". To je u skladu s onim što klijenti u praksi provjeravaju: ne titulu, već jesu li nadgledanja analizu rizika i zaštitu informacijskih sustava i jesu li mjere sigurnosti periodički provjeravane. Governance je temeljni predmet, a ne pitanje kadrovskog sektora.

Governance je neovisna o funkcijskoj tituli

Članak 21. stavak 2. Direktive NIS2 (Direktiva (EU) 2022/2555) navodi deset kategorija mjera, među kojima su politike za analizu rizika i zaštitu informacijskih sustava — CISO-ova titula nije navedena na tom popisu. ISO/IEC 27001 radi prema istoj logici: Prilog A zahtjeva dodijeljene odgovornosti za zaštitu podataka (često prema A.5, organizacija zaštite podataka), a ne specifično ime funkcije. Upitnik klijenta obično prevede taj zahtjev u "tko je CISO" jer je to uobičajeni termin u većim organizacijama, ali osnovno pitanje ostaje: je li odgovornost dodijeljena. Čim je to dokumentirano — čak i ako je u opisu funkcije direktora — postoji faktička osnova za odgovor, čak i bez same titule.