chestionarul întreabă cine din conducere este responsabil pentru cybersecuritate

Conducerea poartă responsabilitatea, nu departamentul IT

În legătură cu această întrebare, clientul dorește să afle dacă conducerea însuși poartă responsabilitatea finală pentru securitatea cibernetică, sau dacă aceasta a fost delegată unui manager IT sau CISO fără implicarea conducerii. Răspunsul pe care îl completează majoritatea întreprinderilor: un membru al conducerii a fost desemnat drept responsabil final, iar execuția se încadrează unui funcționar sau departament din subordinea acestuia. Aceste două lucruri nu sunt același lucru și lista de verificare dorește adesea să vadă ambele: cine este responsabil (nivel de conducere) și cine execută (nivel operațional).

Dovada concretă în acest sens este de obicei o hotărâre a conducerii, o descriere de funcție a CISO sau a ofițerului de securitate, sau un pasaj din politica de securitate a informațiilor care stabilește repartizarea rolurilor. Dacă acest document lipsește, atunci "nu" sau "încă de determinat" este răspunsul onest — nu pentru că nu există nimeni responsabil, ci pentru că atribuirea nu a fost consemnată. Această întrebare este adesea legată de întrebarea dacă există o politică pentru analiza riscurilor și protecția sistemelor informatice, pentru că acea politică de obicei menționează și cine a aprobat-o și cine o menține.

Unde se află aceasta în directivă: articolul 21 alineat 2

Obligația provine din articolul 21 alineatul 2 al Directivei NIS2 (Directiva (UE) 2022/2555), care enumeră zece măsuri care se încadrează sub răspunderea conducerii, inclusiv guvernanța și gestionarea riscurilor. Directiva însăși reglementează răspunderea conducerii separat: conducerea trebuie să supravegheze execuția și poate fi trasă la răspundere pentru aceasta, chiar dacă execuția zilnică se află în sarcina unui CISO. În Olanda, această obligație este prevăzută în Legea de securitate cibernetică, care intră în vigoare pe 15 august 2026. ISO/IEC 27001 Annex A solicită, de asemenea, în măsurile de control privind structura organizațională, o împărțire clarificată a rolurilor — cine deja deține acel certificat poate, de obicei, să reutilizeze direct acea documentație pentru această întrebare. Este organizația este certificată ISO 27001, atunci răspunderea de conducere se menționează de obicei deja în sfera de aplicare sau în documentul politicii.