întreabă cine este CISO-ul nostru dar nu avem nimeni cu acest titlu

Niciun CISO necesar, dar avem un punct de contact pentru securitate

Poți completa de obicei simplu "nu" aici, fără ca aceasta să constituie o deficiență. Niciuna dintre cele zece măsuri din articolul 21 alineatul 2 din Directiva NIS2 nu prescrie o anumită denumire de funcție. Directiva reglementează obligații la nivel organizațional — guvernanță, management al riscurilor, gestionarea incidentelor — nu modul în care le distribuiți intern sau cum se numește acel rol. Un CISO ("Chief Information Security Officer") este o modalitate de a implementa aceasta, mai ales la organizațiile mai mari, dar nu este o cerință obligatorie. La ISO/IEC 27001 este la fel: Anexa A cere responsabilități stabilite pentru securitatea informațiilor, nu o anumită denumire de funcție pe lista de plată.

Ceea ce clientul tău de fapt vrea să știe este cine este responsabil intern și răspunzător la apariția unui incident. La o întreprindere mai mică, aceasta este adesea proprietarul însuși, managerul IT, sau cineva care se ocupă de securitate pe lângă un alt rol. Completează aceasta ca răspuns la întrebarea de bază: nume, funcție, și eventual cum se poate contacta acea persoană. Aceasta se aliniază și cu cine răspunde atunci când apare un incident de securitate — aceasta este de obicei aceeași persoană sau aceeași echipă. Te îndoiești că clientul tău va accepta "niciun CISO, dar avem un responsabil"? Atunci nu confirma orbește acel răspuns cu "da" — aceasta este o apreciere care aparține celui care depune, nu unui dosar completat automat.

Unde rezultă aceasta: articolul 21 alineatul 2 și Anexa A

Articolul 21 alineatul 2 din Directiva NIS2 enumeră zece categorii de măsuri, inclusiv management al riscurilor, gestionarea incidentelor și politica de acces, dar nicio denumire de rol. Legea olandeză privind securitatea cibernetică, care transpune această directivă și intră în vigoare la 15 august 2026, urmează aceeași structură. ISO/IEC 27001 Anexa A cere, în secțiunea privind organizarea securității informațiilor, responsabilități atribuite, nu o denumire de funcție. Vrei să verifici dacă propria ta întreprindere se încadrează în obligațiile NIS2, aceasta este o întrebare separată care nu este legată de aceasta — pentru aceasta consultă dacă întreprinderea ca entitate se încadrează în Directiva NIS2.