tko je odgovoran za ispunjavanje klijentskih ljestvica o sigurnosti

Odgovorna je uloga, ne odjel

Nema zakonske upute tko u poduzeću ispunjava popis pitanja o sigurnosti — to je interno poslovanje, a ne obaveza iz uredbe. U praksi, to leži na onome tko može potkrijepiti odgovor: često IT-upravitelj ili officer sigurnosti za tehnijske mjere, te HR ili uprava za politiku i svjesnost. Pri ISO 27001-certificiranju, to je obično već utvrđeno u dodjeli uloga oko sustava upravljanja informacijskom sigurnošću, pa je popis pitanja stvar konsultiranja tog sustava, a ne ponovnog istraživanja.

Gdje često krene po zlu, nije pitanje tko ispunjava, već pitanje tko smije potvrditi. Tehnički odgovor može biti točan, ali ako osoba koja ga unosi nema uvida u ono što se može proslijediti vanjskoj stranci, informacija biva objavljena koja tamo ne bi trebala biti. To je razlog da se ispunjavanje i oslobađanje vide kao dva odvojena koraka: prvi je faktički, drugi je razmatranje o povjerljivosti. Ista podjela igra ulogu, primjerice, pri pitanju ima li poduzeće plan poslovne kontinuiteta — i tamo je odgovor često poznat, ali ne uvijek namijenjen detaljnom dijeljenju.

Što popis pitanja sadržajno provjeri

Deset mjera iz članka 21. stavka 2. Direktive NIS2 (Direktiva (EU) 2022/2555) daju dobar pregled kategorija koje se pojavljuju na popisima pitanja klijenta: analiza rizika, rukovanje incidentima, poslovna kontinuitet, sigurnost dobavljača, politika pristupa i slično. Tko primjenjuje ISO/IEC 27001, prepoznaje iste teme u mjerama upravljanja Aneksa A — to čini normu korisnim internim referentnim izvorom, čak i ako se sertifikat sam ne pokazuje klijentu. Za pitanje je li podjetnica certificirana prema ISO 9001 vrijedi ista logika: radi se o odvojenoj normi, ali pitanje tko zna odgovor i upravlja njime, organizacijski često leži na istoj osobi.