lista kontrolna pyta, kto w zarządzie jest odpowiedzialny za cyberbezpieczeństwo

Zarząd ponosi odpowiedzialność, a nie dział IT

W tym pytaniu klient chce wiedzieć, czy zarząd sam ponosi ostateczną odpowiedzialność za cyberbezpieczeństwo, czy też zostało to zdelegowane kierownikowi IT lub CISO bez zaangażowania zarządu. Odpowiedź, którą wypełnia większość przedsiębiorstw: wyznaczono członka zarządu jako odpowiedzialnego za ostateczne wyniki, a wykonanie leży po stronie pracownika lub wydziału poniżej. Te dwie rzeczy to nie to samo, a lista pytań często chce widzieć oba: kto ponosi odpowiedzialność (poziom zarządu) i kto je wykonuje (poziom operacyjny).

Konkretnym dowodem na to jest zwykle uchwała zarządu, opis stanowiska CISO lub oficera bezpieczeństwa, albo fragment polityki bezpieczeństwa informacji zawierający podział ról. Jeśli brakuje tego dokumentu, to "nie" lub "jeszcze do ustalenia" to uczciwa odpowiedź — nie dlatego, że nikt nie ponosi odpowiedzialności, ale dlatego, że przydzielenie roli nie zostało formalnie ustalone. To pytanie często wiąże się z pytaniem, czy istnieje polityka analizy ryzyka i ochrony systemów informacyjnych, ponieważ ta polityka zwykle również zawiera informacje o tym, kto ją zatwierdził i kto ją utrzymuje.

Gdzie jest to wymienione w wytycznej: artykuł 21 ust. 2

Obowiązek wynika z artykułu 21 ust. 2 dyrektywy NIS2 (Dyrektywa (UE) 2022/2555), która wymienia dziesięć środków, które znajdują się w zakresie odpowiedzialności zarządu, w tym zarządzanie i zarządzanie ryzykiem. Sama dyrektywa reguluje odpowiedzialność zarządu odrębnie: zarząd musi nadzorować wykonanie i może być za to pociągnięty do odpowiedzialności, nawet jeśli codzienne wykonanie leży po stronie CISO. W Holandii obowiązek ten powraca w Ustawie o cyberbezpieczeństwie, która wchodzi w życie 15 sierpnia 2026 r. ISO/IEC 27001 Annex A również wymaga w środkach kontroli dotyczących struktury organizacyjnej formalnie ustalonego podziału ról — kto już posiada to zaświadczenie, zwykle może bezpośrednio ponownie wykorzystać tę dokumentację do tego pytania. Jeśli organizacja jest certyfikowana ISO 27001, to odpowiedzialność zarządu jest tam zwykle już wymieniona w zakresie stosowania lub w dokumencie polityki.