η λίστα ερωτήσεων ρωτά ποιος στο εσωτερικό της εταιρείας μας είναι υπεύθυνος για την κυβερνοασφάλεια

Διακυβέρνηση και ευθύνη, όχι μόνο ένα όνομα

Το ερώτημα πηγαίνει πέρα από την πλήρωση ενός ατόμου επικοινωνίας. Το άρθρο 21 παράγραφος 2 της οδηγίας NIS2 αναφέρει "πολιτική ανάλυσης κινδύνου και ασφάλειας πληροφοριακών συστημάτων" ως ένα από τα δέκα υποχρεωτικά μέτρα, και η διακυβέρνηση — ποιος αποφασίζει, ποιος εγκρίνει, ποιος φέρει την ευθύνη — είναι μέρος αυτού. Στο ISO/IEC 27001 αυτό εμφανίζεται στο Παράρτημα Α, υπό τα ελεγκτικά μέτρα σχετικά με την οργάνωση της ασφάλειας πληροφοριών: αναμένεται ότι οι ρόλοι και οι ευθύνες έχουν ανατεθεί και καταγραφεί, όχι μόνο προφορικά συμφωνηθεί. Το να ονομάσετε ένα όνομα χωρίς καταγεγραμμένο ρόλο είναι συνήθως ένα μερικό γέμισμα.

Αυτό που ακριβώς θέλει να δει ο πελάτης διαφέρει ανά μορφή: μερικές φορές είναι ένας τίτλος θέσης (CISO, IT-manager, διευθυντής), μερικές φορές ένας πίνακας τύπου RACI, μερικές φορές μόνο το ερώτημα αν υπάρχει VLOKAL ένα ορισμένο άτομο. Εάν η εταιρεία δεν έχει επίσημα ορισμένο υπεύθυνο αλλά το καθήκον βρίσκεται στην πραγματικότητα σε κάποιον, τότε αυτό είναι συχνά επαρκές για ένα "ναι" — με την προϋπόθεση ότι είναι καταγεγραμμένο κάπου, για παράδειγμα σε μια περιγραφή θέσης ή σημειώσεις. Χωρίς καμία καταγραφή, το "όχι" είναι η ειλικρινής απάντηση· το αλυσιδωτό δοσάρ δεν μπορεί να το επιλύσει με ψευδή ισχυρισμό. Αυτό το ερώτημα συνδέεται συχνά με πολιτική για ανάλυση κινδύνου και ασφάλεια συστημάτων πληροφοριώνεπειδή ένας πελάτης που ρωτάει για διακυβέρνηση συνήθως θέλει επίσης να ξέρει ποιος καθορίζει αυτή την πολιτική.

Πού αυτό βρίσκεται στην οδηγία και την κανονική

Η αναφορά στη διακυβέρνηση και τις ευθύνες βρίσκεται στο άρθρο 21 παράγραφος 2 στοιχείο α της οδηγίας NIS2 (πολιτική για ανάλυση κινδύνου και ασφάλεια πληροφοριών) και στο Παράρτημα Α του ISO/IEC 27001, υπό τα οργανωσιακά ελεγκτικά μέτρα. Στην Ολλανδία, η ίδια υποχρέωση εμφανίζεται μέσω του Κυβερνοασφάλειας νόμου, ο οποίος θα τεθεί σε ισχύ στις 15 Αυγούστου 2026 ως μεταφορά του NIS2. Οι εποπτικές αρχές και οι πελάτες που θέτουν αυτό το ερώτημα, δοκιμάζουν σιωπηρά επίσης εάν υπάρχει ένας διαδικασία πίσω απ' αυτό — γι' αυτό αυτό το ερώτημα στην πράξη τρέχει συχνά παράλληλα με το ερώτημα αν η αποτελεσματικότητα των μέτρων ελέγχεται περιοδικάδιότι ένας υπεύθυνος χωρίς στιγμή ελέγχου είναι σε χαρτί λίγα άξια.