wij hebben geen it-afdeling, wie moet deze securityvragenlijst invullen

Geen ICT-afdeling is geen vrijstelling

De vragenlijst gaat niet over wie op de loonlijst staat, maar over of de tien maatregelen van artikel 21 lid 2 NIS2 aanwezig zijn — ook bij vijf man personeel. Een klant die deze lijst uitstuurt, wil weten of risicoanalyse, incidentbehandeling, continuïteit en toegangsbeheer geregeld zijn, niet of daar een afdeling met die naam voor bestaat. Bij een klein bedrijf ligt het antwoord vaak bij de eigenaar of een externe IT-leverancier, en dat is een geldig antwoord: wie het doet staat niet in de vragenlijst, alleen of het gebeurt.

Praktisch betekent dit dat degene die de hosting, de laptops of de boekhoudsoftware beheert — vaak een extern bureau — de feitelijke antwoorden heeft op vragen over back-ups en noodvoorzieningen en over meerfactorauthenticatie. Die leverancier hoeft de vragenlijst niet in te vullen, maar levert het bewijsstuk of de bevestiging waarmee de ondernemer zelf antwoordt. Voor vragen die niet over techniek maar over beleid gaan — wie mag waar bij, wat gebeurt er bij een incident — ligt de kennis meestal bij de eigenaar zelf, ook zonder ICT-achtergrond.

Artikel 21 lid 2 vraagt om maatregelen, niet om een functietitel

Artikel 21 lid 2 van de NIS2-richtlijn noemt de tien maatregelen als een resultaatverplichting voor de entiteit, zonder eisen te stellen aan de organisatiestructuur waarmee dat resultaat wordt bereikt. Bijlage A van ISO/IEC 27001 werkt dezelfde maatregelen uit in beheersmaatregelen die net zo goed door een externe partij als door interne staf kunnen worden uitgevoerd. Of de onderneming zelf onder de richtlijn valt, is overigens een aparte vraag, los van wie de vragenlijst invult — dat is te herleiden uit de eigen NIS2-status.