dotazník sa pýta, kto je v našej spoločnosti zodpovedný za kybernetickú bezpečnosť

Governance a zodpovednosť, nie len meno

Otázka ide ďalej ako vyplnenie kontaktnej osoby. Článok 21 odsek 2 smernice NIS2 uvádza "politiku analýzy rizík a bezpečnosti informačných systémov" ako jedno z desiatich povinných opatrení, a governance — kto rozhoduje, kto schvaľuje, kto nesie zodpovednosť — je jej súčasťou. Podľa ISO/IEC 27001 sa to opakuje v Prílohe A v rámci kontrolných opatrení týkajúcich sa organizácie bezpečnosti informácií: tam sa očakáva, že sa role a zodpovednosti prideľujú a zdokumentujú, nie len ústne dojednajú. Uvedenie mena bez zdokumentovanej role je preto zvyčajne iba čiastočným vyplnením.

To, čo si klient presne želá vidieť, sa líši podľa formátu: niekedy je to titulok funkcie (CISO, IT-manažér, riaditeľ), niekedy tabuľka podobná RACI, niekedy len otázka, či vôbec existuje určená osoba. Ak má podnik bez formálne určeného zodpovedného pracovníka takúto úlohu fakticky na niekoho, je to často dosť na odpoveď "áno" — pokiaľ je to niekde zaznamenané, napríklad v popise funkcie alebo v zápisoch. Bez akéhokoľvek zaznamenania je "nie" poctivá odpoveď; reťazový spis to nemôže vyriešiť vymyslením tvrdenia. Táto otázka je často spojená s politika analýzy rizík a bezpečnosti informačných systémov, pretože klient, ktorý sa pýta na správu riadenia, zvyčajne chce vedieť aj to, kto túto politiku stanovil.

Kde je to v smernici a v norme

Odkaz na riadenie a zodpovednosti je uvedený v článku 21 odsek 2 písm. a) smernice NIS2 (politika analýzy rizík a bezpečnosti informácií) a v prílohe A ISO/IEC 27001, medzi organizačnými kontrolnými opatreniami. V Holandsku sa rovnaká povinnosť objavuje aj prostredníctvom zákona o kybernetickej bezpečnosti (Cyberbeveiligingswet), ktorý nadobúda účinnosť 15. augusta 2026 ako transpozícia smernice NIS2. Dozorovacie orgány a zákazníci, ktorí položili túto otázku, implicitne skúmajú aj to, či za ňou stojí nejaký proces — preto táto otázka v praxi často idúci spolu s otázkou, či sa účinnosť opatrení periodicky kontroluje, pretože osoba zodpovedná bez kontrolného okamžiku má na papieri málo hodnoty.