nemáme CISO, koho vyplním pri odpovedi na otázku, kto je zodpovedný za bezpečnosť

Názov funkcie nie je potrebný, ale musí byť identifikovateľná úloha

Článok 21 odsek 2 NIS2 nevyžaduje CISO. Nikde nie je uvedené, že názov funkcie je povinný — direktíva vyžaduje "vhodné a proporcionálne technické, operačné a organizačné opatrenia" a riadenie nad tým. Čo musíte vedieť vyplniť je, kto interných rozhoduje o bezpečnosti informácií a kto o tom informuje vedenie. V menšom podniku je to často sám riaditeľ, IT manažér s bezpečnosťou ako čiastočnou úlohou, alebo externá strana, ktorá je štruktúrne najatá. Vyplňte túto úlohu s menom alebo funkciou, nie s "nikto" a nie s titulom, ktorý neexistuje.

Na čo si musíte dať pozor: zákazníka nejde o názov funkcie, ale o preukázateľnosť. Môžete ukázať, že za ním je osoba zodpovedná politiky analýzy rizík a bezpečnosti informačných systémova že rovnaká alebo iná určená osoba je tiež kontaktným bodom pre bezpečnostné incidenty? To je zvyčajne požadovaný dôkaz: organizačný diagram, RACI tabuľka, alebo jednoducho odsek v politickom dokumente, ktorý menuje úlohu a právomoci. Ak ste to nezaregistrovali, potom je "nie" s vysvetlením, že vedenie niesie túto zodpovednosť, úprimnejšia odpoveď ako vymyslená funkcia.

Odkiaľ to vyplýva: článok 21 odsek 2 písmeno a) NIS2 a príloha A 5.2 ISO 27001

Článok 21 odsek 2 písmeno a) spomína "politika analýzy rizík a bezpečnosti informačných systémov" ako prvú z desiatich opatrení, a riadenie je tam implicitnou súčasťou: bez určenej zodpovednej osoby nie je politika vykonateľná a nie je kontrolovateľná. ISO/IEC 27001 to robí explicitným v prílohe A 5.2 "information security roles and responsibilities", kde sa požaduje úloha, ale nie špecifický názov funkcie. Ak vyplňujete tento zoznam bez certifikátu ISO, je ešte dôležitejšie, aby bolo rozdelenie úloh niekde na papieri — to vám pomôže pri otázka, či je podnik certifikovaný podľa ISO 27001inak budete mať prázdne ruky.