nemamo IT odjel, tko bi trebao ispuniti ovaj sigurnosni upitnik

Nema ICT odjela nije razlog za oslobođenje

Popis pitanja nije usmjeren na to tko je na listi plaća, već na to jesu li prisutne deset mjera iz članka 21. stavka 2. NIS2 — čak i kod pet zaposlenih. Kupac koji šalje ovaj popis želi znati jesu li uspostavljeni analiza rizika, rukovanje incidentima, kontinuitet i kontrola pristupa, a ne postoji li odjel s tim imenom. U maloj tvrtki odgovor često leži kod vlasnika ili vanjskog IT-dobavljača, što je validan odgovor: tko to čini nije navedeno u popisu pitanja, samo je važno jesu li ta mjera provedena.

Praktično to znači da osoba koja upravlja hostingom, laptopima ili računovodstvenim softverom — često vanjska tvrtka — ima stvarne odgovore na pitanja o sigurnosnim kopijama i nužnim mjerama i o autentifikacija s više čimbenika. Taj dobavljač ne mora popuniti popis pitanja, ali daje dokaz ili potvrdu s pomoću koje poduzetnik sam odgovara. Za pitanja koja se ne tiču tehnike već politike — tko smije gdje pristupiti, što se događa tijekom incidenta — znanje obično leži kod vlasnika, čak i bez ICT iskustva.

Članak 21. stavak 2. zahtijeva mjere, ne naziv funkcije

Članak 21. stavak 2. NIS2-ove direktive navodi deset mjera kao obveza u pogledu rezultata za entitet, bez postavljanja zahtjeva na organizacijsku strukturu pomoću koje se taj rezultat postiže. Dodatak A standarda ISO/IEC 27001 razrađuje iste mjere u kontrolne mjere koje može provoditi jednako dobro vanjska strana kao i interno osoblje. Propada li samo poduzeće u djelokrug direktive pitanje je za se, odvojeno od toga tko popunjava popis pitanja — to se može zaključiti iz vlastitog NIS2-statusa.