klant wil weten wie bij ons verantwoordelijk is voor cybersecurity

Governance, niet een naam

De vraag "wie is verantwoordelijk voor informatiebeveiliging" vraagt in de praktijk niet om een naam of functietitel, maar om bewijs van governance: is er een aangewezen verantwoordelijkheid, en is die geborgd op bestuursniveau? Artikel 21 lid 2 van NIS2 noemt dit niet los, maar als onderdeel van het beleid voor risicoanalyse en beveiliging van informatiesystemen — de eerste van de tien maatregelen. Wie deze vraag krijgt, kan meestal het beste verwijzen naar hetzelfde beleidsdocument waarin ook staat of de onderneming beleid heeft voor risicoanalyse en de beveiliging van informatiesystemen: daar staat de eigenaar van het beleid meestal in genoemd, samen met de reikwijdte en de laatste herzieningsdatum.

Heeft de onderneming geen expliciet aangewezen verantwoordelijke, dan is "de directie" of "de eigenaar" als antwoord vaak voldoende voor kleinere bedrijven — maar dat is een feitelijke vaststelling, niet iets wat dit platform voorstelt. Wat het systeem wél kan doen: het antwoord uit het ketendossier halen als dat er al staat, met de bron erbij, zodat de klant het met ja of nee bevestigt. Ontbreekt die vastlegging, dan is het eerlijkste antwoord dat er nog geen formeel aangewezen verantwoordelijke is, in plaats van een naam te verzinnen die niet in het dossier staat. Deze vraag hangt vaak samen met andere: wie een incident meldt, staat bijvoorbeeld in de procedure voor het behandelen van beveiligingsincidenten, en dat kan dezelfde persoon zijn of iemand anders.

Waar dit uit artikel 21 lid 2 volgt

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 verplicht entiteiten tot een op risico's gebaseerde aanpak met tien concrete maatregelen, waarvan beleid inzake risicoanalyse en beveiliging van informatiesystemen de eerste is; wie daarvoor verantwoordelijk is, is onderdeel van dat beleid, niet een los gegeven. In ISO/IEC 27001 komt dit terug in Annex A, onder de beheersmaatregelen voor organisatie van informatiebeveiliging. De Cyberbeveiligingswet zet deze verplichting om in Nederlands recht en treedt naar verwachting op 15 augustus 2026 in werking; tot die datum is NIS2 zelf de tekst om op terug te vallen.