anketa jautā, kurš mūsu uzņēmumā ir atbildīgs par kiberdrošību

Pārvaldība un atbildība, nevis tikai vārds

Jautājums sniedzas tālāk par kontaktpersonas aizpildīšanu. NIS2 direktīvas 21. panta 2. punkts piebilst "politiku riska analīzei un informācijas sistēmu drošībai" kā vienu no desmit obligātajiem pasākumiem, un pārvaldība — kurš lēmj, kurš apstiprina, kurš uzņemas atbildību — ir tās daļa. ISO/IEC 27001 normas A pielikumā tas atgriežas organizatoriskajos informācijas drošības vadības pasākumos: tur tiek sagaidīts, ka lomas un atbildības ir piešķirtas un dokumentētas, nevis tikai mutiski vienošanās. Tikai vārda minēšana bez dokumentētas lomas parasti ir nepilnīga aizpildīšana.

Tas, ko klients precīzi vēlas redzēt, atšķiras atkarībā no formāta: dažreiz tas ir amata nosaukums (CISO, IT vadītājs, direktors), dažreiz RACI tūlīgā tabula, dažreiz tikai jautājums, vai vispār ir ieceļta atbildīgā persona. Ja uzņēmumam nav formāli ieceltas atbildīgās personas, bet uzdevums faktiski ir kāda cita persona, tad tas bieži ir pietiekams "jā" atbildei — ja vien tas ir kaut kur dokumentēts, piemēram, amata aprakstā vai sēžu protokolos. Bez jebkādas dokumentācijas "nē" ir godīga atbilde; ķēdes dosierus tas nevar atrisināt, izdomājot apgalvojumu. Šis jautājums bieži ir saistīts ar riska analīzes un informācijas sistēmu drošības politikajo klients, kurš interesējas par pārvaldību, parasti vēlas arī zināt, kurš šo politiku ir iestiprinājis.

Kur tas ir iekļauts direktīvā un normā

Atsauce uz pārvaldību un atbildības jautājumiem atrodas NIS2 direktīvas 21. panta 2. punkta a apakšpunktā (politika riska analīzei un informācijas drošībai) un ISO/IEC 27001 A pielikumā, organizatoriskajos vadības pasākumos. Nīderlandē tā pati obligācija atgriežas Kiberdrošības likumā, kas stāsies spēkā 2026. gada 15. augustā kā NIS2 transponēšana. Pārraudzības iestādes un klienti, kas uzdod šo jautājumu, netieši pārbaudītu arī to, vai aiz tā ir process — tāpēc praksē šis jautājums bieži seko kopā ar jautājumu, vai pasākumu efektivitāte tiek periodisma pārbaudītajo atbildīgā persona bez pārbaudes momenta uz papīra ir maz vērts.