nu avem CISO, cine completez ca fiind responsabil pentru securitate

Nicio funcție oficială nu este necesară, totuși o rol precizabilă

Articolul 21 alineatul 2 NIS2 nu cere o CISO. Nicăieri nu scrie că o funcție oficială este obligatorie — directiva cere "măsuri tehnice, operaționale și organizatorice adecvate și proporționale" și governance deasupra lor. Ceea ce trebuie să poți completa este cine decide intern cu privire la securitatea informațiilor și cui se adresează conducerea pe această temă. La o întreprindere mai mică, aceasta este adesea directorul însuși, un manager IT cu securitate ca sarcină parțială, sau un terț care a fost angajat structural. Completează acea rol cu nume sau funcție, nu cu "nimeni" și nu cu o funcție care nu există.

La ce trebuie să fii atent: nu este vorba despre funcția oficială, ci despre demonstrabilitate. Poți arăta că cineva este responsabil pentru politicii privind analiza riscurilor și securitatea sistemelor de informațiiși că aceeași sau altă persoană desemnată este și punctul de contact la incidente de securitate? Acesta este dovada care de obicei se cere: o organigramă, un tabel RACI, sau pur și simplu un paragraf din documentul de politică care denumește rolul și competențele. Dacă nu ai consemnat asta, atunci "nu" cu o explicație că conducerea poartă această responsabilitate este un răspuns mai onest decât o funcție inventată.

De unde rezultă asta: articolul 21 alineatul 2 litera a NIS2 și Anexa A 5.2 ISO 27001

Articolul 21 alineatul 2 litera a menționează "politica privind analiza riscurilor și securitatea sistemelor informatice" ca prima din zece măsuri, iar governance este o parte implicită a acesteia: fără un responsabil desemnat, politica nu este executabilă și nu poate fi controlată. ISO/IEC 27001 face asta explicit în Anexa A 5.2, "information security roles and responsibilities", unde se cere într-adevăr o rol, dar nicio funcție specifică. Dacă completezi această listă fără certificat ISO, este cu atât mai important ca repartizarea rolurilor să fie consemnată undeva pe hârtie — asta ajută la întrebarea dacă întreprinderea este certificată ISO 27001în caz contrar stai pe dinții goi.