kto jest odpowiedzialny za wypełnianie ankiet klientów dotyczących bezpieczeństwa

Odpowiedzialność spoczywa na roli, a nie na dziale

Nie ma ustawowego wskazania, kto w firmie wypełnia kwestionariusz bezpieczeństwa — to polityka wewnętrzna, a nie obowiązek wynikający z przepisów. W praktyce odpowiada za to osoba, która potrafi uzasadnić odpowiedź: często kierownik IT lub specjalista bezpieczeństwa zajmujący się środkami technicznymi, a także HR lub kierownictwo zajmujące się polityką i świadomością. W przypadku certyfikacji ISO 27001 jest to zwykle już określone w podziale ról wokół systemu zarządzania bezpieczeństwem informacji, a wtedy kwestionariusz to kwestia konsultacji tego systemu, a nie ponownego ustalania.

Gdzie często dochodzi do błędu, to nie pytanie kto wypełnia, ale pytanie kto może potwierdzić. Odpowiedź techniczna może być poprawna, ale jeśli osoba, która ją wprowadza, nie widzi, co może być przekazane stronie trzeciej, informacje trafiają na zewnątrz, gdzie nie powinny trafiać. To jest powód, aby rozpatrywać wypełnianie i udostępnianie jako dwa oddzielne kroki: pierwszy to kwestia faktyczna, drugi to ocena poufności. Ten sam podział ma również znaczenie w przypadku pytania czy przedsiębiorstwo posiada plan ciągłości — również tutaj odpowiedź jest często znana, ale niekoniecznie przeznaczona do dzielenia się jej szczegółami.

Co kwestionariusz weryfikuje pod względem treści

Dziesięć środków z artykułu 21 ust. 2 dyrektywy NIS2 (Dyrektywa (EU) 2022/2555) daje dobry obraz kategorii, które pojawiają się w kwestionariuszach klientów: analiza ryzyka, obsługa incydentów, ciągłość biznesu, bezpieczeństwo dostawców, polityka dostępu i podobne. Kto stosuje ISO/IEC 27001, rozpozna te same tematy w środkach kontrolnych Załącznika A — co czyni ten standard przydatnym wewnętrznym materiałem referencyjnym, nawet jeśli certyfikat jako taki nie jest pokazywany klientowi. W przypadku pytania czy przedsiębiorstwo posiada certyfikat ISO 9001 obowiązuje ta sama logika: chodzi o oddzielną normę, ale pytanie kto zna odpowiedź i zarządza nią, leży organizacyjnie często u tej samej osoby.