klient chce wiedzieć, kto w naszej firmie odpowiada za cyberbezpieczeństwo

Nadzór, a nie nazwa

Pytanie "kto jest odpowiedzialny za bezpieczeństwo informacji" w praktyce nie dotyczy imienia lub tytułu stanowiska, ale dowodu nadzoru: czy istnieje wyznaczona odpowiedzialność i czy jest ona zabezpieczona na poziomie zarządu? Artykuł 21 ust. 2 dyrektywy NIS2 nie wymienia tego osobno, ale jako część polityki oceny ryzyka i bezpieczeństwa systemów informatycznych — pierwszego z dziesięciu środków. Osoby otrzymujące to pytanie mogą zazwyczaj najlepiej odwołać się do tego samego dokumentu polityki, w którym również zawarte są czy przedsiębiorstwo posiada politykę oceny ryzyka i bezpieczeństwa systemów informatycznych: właściciel polityki jest tam zwykle wymieniony razem z zakresem i datą ostatniego przeglądu.

Jeśli przedsiębiorstwo nie ma wyraźnie wyznaczonego odpowiedzialnego, odpowiedź "kierownictwo" lub "właściciel" jest często wystarczająca dla mniejszych firm — ale jest to ustalenie faktyczne, a nie coś, co niniejsza platforma proponuje. To, co system może zrobić: pobrać odpowiedź z pliku łańcucha, jeśli tam już istnieje, wraz ze źródłem, aby klient mógł ją potwierdzić lub odrzucić. Jeśli brakuje tego dokumentu, najprawdomówniejszą odpowiedzią jest to, że nie ma jeszcze formalnie wyznaczonego odpowiedzialnego, zamiast wymyślać nazwę, która nie znajduje się w pliku. To pytanie jest często powiązane z innymi: osoba, która zgłasza incydent, jest na przykład wymieniona w procedurą obsługi incydentów bezpieczeństwa, i może to być ta sama osoba lub ktoś inny.

Wynika to z artykułu 21 ust. 2

Artykuł 21 ust. 2 Dyrektywy (UE) 2022/2555 zobowiązuje podmioty do podejścia opartego na ocenie ryzyka z dziesięcioma konkretnymi środkami, z których polityka dotycząca analizy ryzyka i bezpieczeństwa systemów informacyjnych jest pierwsza; odpowiedzialność za to stanowi część tej polityki, a nie oddzielną kwestię. W normie ISO/IEC 27001 znajduje się to w Załączniku A, wśród środków kontrolnych dotyczących organizacji bezpieczeństwa informacji. Ustawa o cyberbezpieczeństwie wdraża to zobowiązanie w prawo polskie i wejdzie w życie w przewidywanym dniu 15 sierpnia 2026 r.; do tego czasu właściwym tekstem do odwołania jest sam NIS2.