zákazník chce vedieť, kto je u nás zodpovedný za kybernetickú bezpečnosť

Riadenie, nie meno

Otázka "kto je zodpovedný za bezpečnosť informácií" v praxi nevyžaduje meno alebo funkčný titul, ale dôkaz správy riadenia: je stanovenej zodpovednosti priradená a je zakotvená na úrovni vedenia? Článok 21 odsek 2 Smernice NIS2 to nespomína zvlášť, ale ako súčasť politiky analýzy rizík a bezpečnosti informačných systémov — prvej z desiatich opatrení. Kto dostane túto otázku, zvyčajne sa môže najlepšie odvolať na rovnaký dokument politiky, v ktorom je uvedené aj či má podnik politiku pre analýzu rizík a bezpečnosť informačných systémovtam je zvyčajne uvedený vlastník politiky spolu s rozsahom a dátumom poslednej revízie.

Ak podnik nemá explicitne určeného zodpovedného pracovníka, potom je odpoveď "vedenie" alebo "vlastník" často dostatočná pre menšie podniky — ale toto je faktické zistenie, nie niečo, čo tento platform navrhuje. Čo systém skutočne môže urobiť: vybrať odpoveď z reťazcového spisu, ak tam už je, spolu so zdrojom, aby si ju zákazník potvrdil áno alebo nie. Ak táto registrácia chýba, potom je najúprimnejšia odpoveď, že ešte nie je formálne určený zodpovedný pracovník, namiesto vymýšľania mena, ktoré sa v spise nenachádza. Táto otázka je často spojená s ďalšími: kto hlási incident, je napríklad uvedený v postupom na spracovanie bezpečnostných incidentov, a to môže byť tá istá osoba alebo niekto iný.

Kde to vyplýva z článku 21 ods. 2

Článok 21 ods. 2 Smernice (EÚ) 2022/2555 zaväzuje subjekty na prístup založený na rizikách s desiatimi konkrétными opatreniami, z ktorých politika týkajúca sa analýzy rizík a bezpečnosti informačných systémov je prvá; kto je za to zodpovedný, je súčasťou tejto politiky, nie samostatný údaj. V norme ISO/IEC 27001 sa to objavuje v prílohe A pod kontrolnými opatreniami na organizáciu bezpečnosti informácií. Zákon o kybernetickej bezpečnosti transponuje túto povinnosť do českého práva a má nadobudnúť účinnosť 15. augusta 2026; do tohto dátumu je samotná NIS2 textom, na ktorý sa môžete odvolať.