kto je zodpovedný za vyplnenie zoznamu otázok o bezpečnosti

Rozdelenie rolí nie je samo o sebe požiadavkou normy, odpoveď je však potrebné preveriti

Samotný dotazník neurčuje, kto ho vypĺňa; článok 21 odsek 2 smernice NIS2 a príloha A normy ISO/IEC 27001 sa zaoberajú opatreniami, ktoré organizácia prijíma, nie úradníkom, ktorý formulár podpisuje. V praxi ide zvyčajne o osobu, ktorá pozná politiku bezpečnosti informácií: bezpečnostného špecialista, manažéra IT alebo v prípade menších podnikov samotného riaditeľa. V prípade certifikátu ISO 27001 je vo systéme riadenia často už vymenovaný zodpovedný — to meno je potom logickým kontaktným miestom pre tento dotazník.

Čo je však jasné: odpovede musia mať základňu. Ak sa otázka týka kontroly prístupu, niekto musí vedieť identifikovať, aká politika alebo opatrenie za tým stojí — nie vyplnenie z pamäti, ale prečítanie z dokumentácie. To z nej viac robí otázku nie "kto to smie vyplniť" a viac "kto má k dispozícii základné faktá". Tá istá osoba je často aj tá, ktorá môže posúdiť, či podnik používa systémy umelej inteligencie v rámci svojej činnosti, pretože sa dotýka tej istej technickej inventarizácie. V prípade pochybností o tom, kto je interným vlastníkom odpovede, ide často o tú istú osobu, ktorá spravuje aj plán kontinuity pri závažnej poruche — oba špecifiká sa prekrývajú z hľadiska zdrojového materiálu.

Odkiaľ to vyplýva: článok 21 odsek 2 a Príloha A

Článok 21 odsek 2 smernice NIS2 spomína desať kategórií opatrení vrátane správy rizík, spracovávania incidentov a politiky prístupu — smernica upravuje obsah týchto opatrení, nie to, kto ich interných hlásenia. Norma ISO/IEC 27001 príloha A to rozpracúva konkrétne kontrolné opatrenia a organizácie, ktoré sú certifikované, majú zvyčajne vo svojom systéme riadenia už stanoveného zodpovedného. Toto existujúce rozdelenie rolí je najvhodnejší zdroj, na ktorý sa spoľahnúť pri vyplňovaní bezpečnostného dotazníka.