a kérdőív arra kérdez, ki felel a kiberbiztonságért a vállalatunkon belül

Irányítás és felelősség, nem csupán egy név

A kérdés túlmegy a kapcsolattartó kitöltésén. A NIS2-irányelv 21. cikk 2. bekezdése a "kockázatelemzésre és információs rendszerek biztonságára vonatkozó politikát" sorolja fel a tíz kötelező intézkedés egyikeként, és az irányítás — ki dönt, ki hagy jóvá, ki visel felelősséget — ennek része. Az ISO/IEC 27001 ezt az Annex A-ban tartalmazza az információbiztonság szervezésére vonatkozó szabályozási intézkedések között: ott azt várják el, hogy a szerepkörök és felelősségek hozzárendeltek és rögzítve vannak, nem csupán szóban megbeszéltek. Egy név megnevezése rögzített szerep nélkül tehát általában csak félig kitöltött válasz.

Az ügyfél pontosan mit szeretne látni, az formátumentként eltérő: néha egy funkciótitel (CISO, IT-manager, igazgató), néha egy RACI-szerű táblázat, néha csak a kérdés, hogy van-e egyáltalán kijelölt felelős. Ha a vállalat nem rendelkezik formálisan kijelölt felelősössel, de a feladat valójában valakire tartozik, az gyakran elegendő egy "igen" válaszhoz — feltéve, hogy ez valahol rögzítve van, például egy munkakör-leírásban vagy jegyzőkönyvben. Bármilyen rögzítés nélkül az "nem" a tisztességes válasz; a láncdossz ezt nem tudja úgy megoldani, hogy egy állítást kitalál. Ez a kérdés gyakran kapcsolódik kockázatelemzés és információs rendszerek biztonságára vonatkozó politikaazzal, mert egy olyan ügyfél, aki a kormányzásra kérdez, általában azt is szeretné tudni, hogy ki rögzítette ezt az irányelvet.

Ahol ez az irányelvben és a normában található

A irányítási struktúra és felelősségek megjelölése az NIS2-irányelv 21. cikk (2) bekezdés a) pontjában található (a kockázatelemzés és az információbiztonság politikája), valamint az ISO/IEC 27001 A mellékletében, a szervezeti kontrollintézkedések között. Hollandiában ugyanez az kötelezettség az Információbiztonsági törvényen (Cyberbeveiligingswet) keresztül jelenik meg, amely 2026. augusztus 15-én lép hatályba az NIS2 átültetéseként. A felügyeleti szervek és az ügyfelek, akik ezt a kérdést feltevik, implicit azt is vizsgálják, hogy van-e mögötte folyamat — ezért a gyakorlatban ez a kérdés gyakran összefügg azzal, hogy a felügyeleti szervek és az ügyfelek, akik ezt a kérdést feltevik, implicit azt is vizsgálják, hogy van-e mögötte folyamat — ezért a gyakorlatban ez a kérdés gyakran összefügg azzal, hogy az intézkedések hatékonyságát időszakonként felülvizsgálja-eugyanis egy felelős személy, aki nem rendelkezik ellenőrzési ponttal, papíron keveset ér.