klientas nori sužinoti, kas mūsų įmonėje atsakingas už kibernetinį saugumą

Vadyba, o ne vardas

Klausimas "kas atsakingas už informacijos saugą" praktikoje iš tikrųjų neprašo vardo ar pareigybės pavadinimo, bet vadybos įrodymų: ar yra paskirtas atsakomybė, ir ar ji užtikrinta vadovybės lygmeniu? NIS2 direktyvos 21 straipsnis, 2 dalis to neminėta atskirai, bet kaip rizikos analizės ir informacinių sistemų saugumo politikos dalį — pirmą iš dešimties priemonių. Šį klausimą gavę, dažniausiai geriausiai gali nurodyti tą patį politikos dokumentą, kuriame taip pat nurodyta ar įmonė turi riziką analizės ir informacinių sistemų apsaugos politiką: politikos savininkas paprastai jame nurodomas kartu su reikšme ir paskutinio peržiūrėjimo data.

Jeigu įmonė neturi aiškiai paskirto atsakingo asmens, "vadovybė" arba "savininkas" kaip atsakymas dažnai pakanka mažesnėms įmonėms — tačiau tai yra faktinis nustatymas, o ne tai, ką siūlo šia platforma. Ką sistema gali padaryti: atsakymą ištraukti iš grandinės bylos, jei jis jau ten yra, kartu su šaltiniu, kad klientas tai patvirtintų taip arba ne. Jei šis įrašas nėra, sąžiniausias atsakymas yra tas, kad nėra dar formaliai paskirto atsakingo asmens, o ne sugalvoti vardą, kurio nėra byloje. Šis klausimas dažnai susijęs su kitais: kas praneša incidentą, pavyzdžiui, nurodyta procedūrą saugumo incidentams tvarkyti, ir tai gali būti ta pati asmenybė, arba kažkas kitas.

Kur tai išplaukia iš 21 straipsnio 2 dalies

21 straipsnio 2 dalis iš Direktyvos (ES) 2022/2555 įpareigoja subjektus taikyti į riziką orientuotą metodą su dešiomis konkrečiomis priemonėmis, iš kurių politika dėl rizikos analizės ir informacinių sistemų apsaugos yra pirmoji; atsakomybė už tai yra šios politikos dalis, o ne atskiras dalykas. ISO/IEC 27001 tai atsispindi A priede, tarp kontrolinių priemonių, skirtų informacinės saugumo organizavimui. Kibernetinio saugumo įstatymas šią pareigą transpozicija į Nyderlandų teisę ir, kaip tikimasi, įsigalioja 2026 m. rugpjūtį 15 d.; iki tos datos pati NIS2 yra tekstas, prie kurio reikėtų grįžti.