upitnik pita tko je u našoj tvrtki odgovoran za kibernetičku sigurnost

Upravljanje i odgovornost, ne samo ime

Pitanje ide dalje od unosa kontaktne osobe. Članak 21 stavak 2 Direktive NIS2 spominje "politiku analize rizika i sigurnosti informacijskih sustava" kao jednu od deset obaveznih mjera, a upravljanje — tko odlučuje, tko odobrava, tko snosi odgovornost — dio je toga. U normi ISO/IEC 27001 to se pojavljuje u Prilogu A, među mjerama nadzora organizacije sigurnosti informacija: očekuje se da su uloge i odgovornosti dodjeljene i dokumentirane, a ne samo usmeno dogovorene. Navođenje imena bez dokumentirane uloge obično je dakle samo djelomični odgovor.

Što točno želi vidjeti klijen, razlikuje se ovisno o formatu: ponekad je to naziv funkcije (CISO, IT-menadžer, direktor), ponekad tablica slična RACI-ju, ponekad samo pitanje postoji li uopće određena osoba. Ako poduzeće nema formalno određenu odgovornu osobu, ali je zadatak faktički kod nekoga, to je često dovoljno za "da" — pod uvjetom da je to negdje zabilježeno, primjerice u opisu funkcije ili zapisnicima. Bez ikakve dokumentacije, "ne" je pošten odgovor; lančani dosje to ne može riješiti izmišljenim izjavama. Ovo pitanje često je povezano sa politika analize rizika i zaštite informacijskih sustavajer klijen koji pita o upravljanju obično želi znati i tko je tu politiku uspostavio.

Gdje se to u direktivi i normi nalazi

Pozivanje na upravljanje i odgovornosti nalazi se u članku 21 stavak 2 točka a Direktive NIS2 (politika analize rizika i sigurnosti informacija) i u Prilogu A ISO/IEC 27001 normi, među organizacijskim mjerama nadzora. U Nizozemskoj se ista obveza pojavljuje putem Zakona o kibernetskoj sigurnosti, koji stupa na snagu 15. kolovoza 2026. kao preuređenje NIS2. Nadzorni organi i klijenti koji postavljaju ovo pitanje implicitno provjeravaju i postoji li proces iza toga — zato se ovo pitanje u praksi često javlja zajedno sa pitanjem provjerava li se se učinkovitost mjera povremenojer odgovor bez momenta provjere na papiru je malo vrijedan.