pýtajú sa, kto je náš CISO, ale nemáme nikoho s takou funkciou

Nie je potrebný CISO, ale je potrebný kontakt pre bezpečnosť

Tu môžete zvyčajne jednoducho vyplniť "nie", bez toho, aby to bol nedostatok. Žiadne z desiatich opatrení v článku 21 odsek 2 smernice NIS2 nepredpisuje názov funkcie. Smernica upravuje povinnosti na úrovni organizácie — správu riadenia, riadenie rizík, zvládanie incidentov — nie ako ich interný rozdelenie alebo ako sa táto úloha nazýva. CISO ("Chief Information Security Officer") je jeden spôsob, ako to vyplniť, najmä vo väčších organizáciách, ale nie je to požiadavka. Pri ISO/IEC 27001 je to rovnakým spôsobom: Príloha A vyžaduje stanovené zodpovednosti za bezpečnosť informácií, nie konkrétny názov pozície na výplatnej listine.

To, čo vaša zákazník vlastne chce vedieť, je, kto je interného zodpovedný a dostupný v prípade incidentu. Pri menšom podniku je to často majiteľ sám, IT manažér alebo niekto, kto bezpečnosť vykonáva vedľa inej úlohy. Vyplňte to ako odpoveď na základnú otázku: meno, funkciu a prípadne, ako je možné túto osobu kontaktovať. To sa tiež zhoduje s kto reaguje, keď dôjde k bezpečnostnému incidentu — zvyčajne ide o tú istú osobu alebo ten istý tím. Pochybujete, či vaša zákazník bude spokojný s odpoveďou "žiadny CISO, ale má zodpovedného za bezpečnosť"? Potom túto odpoveď sami nepotvrdzte slepou "ánom" — to je odhad, ktorý patrí osoby, ktorá podáva, nie automaticky vyplneného dossiera.

Kde je to uvedené: článok 21 odsek 2 a Príloha A

Článok 21 odsek 2 smernice NIS2 spomína desať kategórií opatrení vrátane riadenia rizík, zvládania incidentov a politiky prístupu, ale žiadnu definíciu roly. Holandský zákon o kybernetickej bezpečnosti, ktorý túto smernicu uplatňuje a vstúpi v platnosť 15. augusta 2026, nasleduje rovnakú štruktúru. ISO/IEC 27001 Príloha A vyžaduje v časti o organizácii bezpečnosti informácií pridelenú zodpovednosť, nie názov funkcie. Ak chcete zistiť, či váša spoločnosť ako subjekt podlieha povinnostiam NIS2, ide o samostatnú otázku, ktorá sa od tejto líši — pozrite si to v Whether the organization as an entity falls under the NIS2 directive.