kupac želi znati tko je kod nas odgovoran za kibernetičku sigurnost

Upravljanje, a ne ime

Pitanje "tko je odgovoran za sigurnost informacija" u praksi ne pita za ime ili naziv funkcije, već za dokaz upravljanja: je li određena odgovornost dodijeljena i je li osigurana na razini uprave? Članak 21. stavak 2. Direktive NIS2 to ne navodi odvojeno, već kao dio politike za analizu rizika i zaštitu informacijskih sustava — prva od deset mjera. Tko dobije ovo pitanje, obično može najbolje upozoriti na isti dokument politike u kojem je sadržano je li poduzeće imalo politiku za analizu rizika i zaštitu informacijskih sustava: vlasnik politike obično je tamo naveden, zajedno s opsegom i datumom zadnjeg pregleda.

Ako poduzeće nema eksplicitno dodiijeljenu odgovornu osobu, tada je "uprava" ili "vlasnik" kao odgovor često dovoljan za manja poduzeća — ali to je faktička konstatacija, a ne nešto što predlaže ova platforma. Ono što sustav može učiniti: izvući odgovor iz dosijea lanca ako je već tamo, s izvorem, tako da ga klijent potvrdi s da ili ne. Ako nedostaje taj zapis, najiskreniiji je odgovor da još nije formalno dodijeljena odgovorna osoba, umjesto da se izmisli ime koje nije u dosijeu. Ovo pitanje često je povezano s ostalima: tko prijavljuje incident, na primjer je u postupkom rukovanja incidentima sigurnosti, i to može biti ista osoba ili neka druga.

Gdje je to proizašlo iz članka 21. stavka 2.

Članak 21. stavak 2. Direktive (EU) 2022/2555 obvezuje subjekte na pristup zasnovan na riziku s deset konkretnih mjera, od kojih je politika za analizu rizika i zaštitu informacijskih sustava prva; tko je odgovoran za to je dio te politike, a ne odvojena činjenica. U ISO/IEC 27001 to se ponavlja u Aneksu A, pod mjerama kontrole za organizaciju sigurnosti informacija. Zakon o kibernetskoj sigurnosti prenosi ovu obvezu u hrvatsko pravo i očekuje se da stupи na snagu 15. kolovoza 2026.; do tada je NIS2 sam tekst na koji se treba vratiti.