klausia, kas mūsų CISO, bet tokio pareigūno neturime

Nereikalingas CISO, tačiau reikalingas saugumo kontaktinis asmuo

Čia paprastai galite tiesiog nurodydami "ne", be to, kad tai būtų trūkumas. Nė vienas iš dešimties NIS2 direktyvos 21 straipsnio 2 dalyje nurodytų priemonių kategorijų nereikalauja konkretaus pareigybės pavadinimo. Direktyva reglamentuoja pareigybės lygio prievolės — valdymą, rizikos valdymą, incidentų tvarkymą — o ne tai, kaip jas viduje paskirsite arba kaip ta pareigybė vadinama. CISO ("Chief Information Security Officer") yra vienas iš būdų tai įgyvendinti, ypač didesnėse organizacijose, tačiau tai nėra privaloma. ISO/IEC 27001 atveju yra panašiai: A priedas reikalauja nustatytos informacijos saugumo atsakomybės, o ne konkretaus pareigybės pavadinimo atlyginimo lapą.

Tai, ką iš tikrųjų nori sužinoti jūsų kliento, yra tai, kas viduje yra atsakingas ir pasiekiamas incidento atveju. Mažesnėje įmonėje tai dažnai yra savininkas pats, IT vadybininkas arba kas nors, kuris saugumo klausimus tvarko šalia kitos pareigos. Reikšmės tai į atsaką į pagrindinį klausimą: vardas, pareigybė ir galbūt kaip pasiekti šią asmenį. Tai taip pat suderinasi su kas reaguoja į saugumo incidentą — tai paprastai tas pats asmuo arba ta pati komanda. Jei abejojate, ar jūsų kliento atsakymas "nėra CISO, bet yra atsakingas" bus priimtas? Tada pats nepatvirtinkite šio atsakymo blind su "taip" — tai yra įvertinimas, kuris priklauso priimantiesiems, o ne automatiškai užpildytam dossier.

Kur tai rodoma: NIS2 direktyvos 21 straipsnio 2 dalis ir A priedas

NIS2 direktyvos 21 straipsnio 2 dalis nurodo dešimt priemonių kategorijų, įskaitant rizikos valdymą, incidentų tvarkymą ir prieigos politiką, tačiau jokio vaidmens pavadinimo. Nyderlandų Kibernetinio saugumo įstatymas, kuris perima šią direktyvą ir įsigalioja 2026 m. rugpjūčio 15 d., vadovaujasi tuo pačiu modeliu. ISO/IEC 27001 A priedas informacijos saugumo organizavimo skyriuje reikalauja priskirtos atsakomybės, o ne pareigybės pavadinimo. Jei norite patikrinti, ar jūsų įmonė pati patenka į NIS2 nustatytas prievoles, tai atskiras klausimas, kuris nepriklausomas nuo šio — pasitikrinkite ar įmonė kaip subjektas patenka į NIS2 direktyvos taikymo sritį.