pytają, kto jest naszym CISO, ale nikogo z tym tytułem nie mamy

Brak potrzeby CISO, ale jest kontakt ds. bezpieczeństwa

Tutaj zazwyczaj można wpisać "nie", bez że to będzie niedostatkiem. Żaden z dziesięciu środków w art. 21 ust. 2 dyrektywy NIS2 nie wymaga stanowiska o określonej nazwie. Dyrektywa reguluje obowiązki na poziomie organizacji — zarządzanie, zarządzanie ryzykiem, obsługa incydentów — a nie sposób ich wewnętrznego podziału ani nazwę roli. CISO ("Chief Information Security Officer") to jeden ze sposobów na to, zwłaszcza w większych organizacjach, ale nie wymóg. W ISO/IEC 27001 jest podobnie: Załącznik A wymaga określonych odpowiedzialności za bezpieczeństwo informacji, ale nie wymaga konkretnego stanowiska na karcie pensji.

Właściwie Twój klient chce wiedzieć, kto wewnętrznie jest odpowiedzialny i dostępny w przypadku incydentu. W mniejszej firmie to często sam właściciel, menedżer IT lub osoba zajmująca się bezpieczeństwem obok innego zadania. Wpisz to jako odpowiedź na rzeczywiste pytanie: imię i nazwisko, funkcja, ewentualnie dane kontaktowe. To też pasuje do kto reaguje w przypadku incydentu bezpieczeństwa — to zwykle ta sama osoba lub ten sam zespół. Jeśli nie masz pewności, czy Twój klient zadowoli się odpowiedzią "brak CISO, ale jest odpowiedzialny"? Nie zatwierdzaj tego odpowiedzi ślepo, wybierając "tak" — to ocena, która należy do zgłaszającego, a nie do automatycznie wypełnianego dossier.

Gdzie to wynika: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia dziesięć kategorii środków, w tym zarządzanie ryzykiem, obsługę incydentów i politykę dostępu, ale nie zawiera nazwy stanowiska. Polska Ustawa o cyberbezpieczeństwie, która transpozycje tę dyrektywę i wchodzi w życie 15 sierpnia 2026 r., stosuje to samo podejście. ISO/IEC 27001 Załącznik A wymaga w rozdziale dotyczącym organizacji bezpieczeństwa informacji przypisanych odpowiedzialności, a nie tytułu funkcji. Jeśli chcesz sprawdzić, czy Twoje przedsiębiorstwo jako podmiot podlega obowiązkom wynikającym z NIS2, to oddzielne pytanie niezwiązane z tym — zobacz w tym celu czy przedsiębiorstwo jako podmiot podlega dyrektywom NIS2.