a kérdőív azt kérdezi, az irányítás részt vesz-e a kiberbiztonsági feladatokban

Az igazgatóság bevonódása egy külön NIS2-kötelezettség, amely független a tíz intézkedéstől

Ez a kérdés nem a technikáról szól, hanem a irányításról: az igazgatóság maga csatlakozik-e a kibervédelemhez, vagy teljes egészében delegálta azt az IT-nek. A NIS2 21. cikk 2. bekezdésében a tíz intézkedés található, de az irányelv 20. cikke mellett azt is előírja, hogy a közigazgatási szervek jóváhagyják a kockázatkezelési intézkedéseket és felügyelik azok végrehajtását, valamint hogy az igazgatóság tagjai képzésben részesüljenek a kiberkockázatok értékeléséhez. Ez tehát a kérdőív egy külön pontja: nem az, hogy "milyen intézkedéseket hozott", hanem az, hogy "ismeri-e és jóváhagyja-e ezt a vezetés".

Bizonyítékként általában egy olyan jegyzőkönyv-részlet számít, amelyből kitűnik, hogy az igazgatóság elfogadta vagy értékelte a biztonsági politikát, egy szervezeti diagram, amely az igazgatósággal szembeni beszámolási vonalakat mutat, vagy egy napirendjegy egy időszakos igazgatósági értekezletről a kiberkockázatokról. Ha ez hiányzik, akkor itt az "nem" a tisztességes válasz — egy szállító, aki ezt kitölti bizonyíték nélkül, azzal kockáztatja, hogy az ügyfél később erre hivatkozik. Ez a kérdés gyakran kapcsolódik a kérdéshez a biztonsági intézkedések hatékonyságát rendszeresen tesztelikmert a tesztelés igazgatósági intézkedés nélkül az ügyfélnek félig teljes válasz. Szintén releváns, hogy az Ön vállalkozása maga a NIS2-irányelv hatálya alá tartozikmert akkor ez nem csak az Ön ügyfele kérdése, hanem saját törvényi kötelezettség 2026. augusztus 15-től, amikor a Kiberbiztonsági törvény hatályba lép.

Honnan származik ez: a NIS2 20. cikk mellett a 21. cikk

A (EU) 2022/2555 irányelv 20. cikke a közigazgatási szervek felelősségét és bevonódását szabályozza, függetlenül a 21. cikk 2. bekezdésben szereplő tíz tartalmi intézkedéstől; az ISO/IEC 27001 az A mellékletben nincs szó szerinti megfelelője, de a szabvány alapvető követelményein keresztül (5. fejezet, vezetés) igényli az igazgatóság kimutatható bevonódását, amelyet gyakran az A melléklet intézkedéseihez képest külön bizonyítékként nyújtanak be.