Vprašalnik prosi, kdo v upravi je odgovoren za kibernetsko varnost

Vodstvo nosi odgovornost, ne IT-oddelek

Pri tem vprašanju želi odjemalec vedeti, ali vodstvo samo nosi končno odgovornost za kibernetsko varnost ali pa je ta delegirana IT-managerju ali CISO-ju brez vključenosti vodstva. Odgovor, ki ga izpolni večina podjetij: namenski član vodstva nosi končno odgovornost, izvajanje pa leži pri funkcionarju ali oddelku pod njim. Ti dve stvari nista enaki in vprašalnik pogosto želi videti oboje: kdo je odgovoren (raven vodstva) in kdo izvaja (operativna raven).

Konkreten dokaz za to je običajno odločitev vodstva, opis delovnega mesta CISO-ja ali varnostnega uradnika ali odstavek v politiki varnosti informacij, v katerem je navedena razdelitev nalog. Če ta dokument manjka, je »ne« ali »še je treba določiti« pošten odgovor — ne zato, ker nihče ni odgovoren, ampak zato, ker dodelitev ni dokumentirana. To vprašanje je pogosto povezano z vprašanjem, ali obstaja politika za analizo tveganj in varovanje informacijskih sistemov, saj ta politika običajno navaja tudi, kdo jo je odobril in kdo jo vzdržuje.

Kjer je to v direktivi: člen 21(2)

Obveznost izhaja iz člena 21(2) Direktive NIS2 (Direktiva (EU) 2022/2555), ki navaja deset ukrepov, ki spadajo v odgovornost vodstva, vključno z upravljanjem in upravljanjem tveganj. Sama direktiva posebej ureja odgovornost vodstva: vodstvo mora nadzirati izvajanje in se ga lahko pravi, tudi če je dnevno izvajanje v rokah CISO-ja. Na Nizozemskem se ta obveznost pojavlja tudi v Zakonu o kibernetski varnosti, ki začne veljati 15. avgusta 2026. ISO/IEC 27001 Annex A zahteva tudi v kontrolnih ukrepih glede organizacijske strukture dokumentirano razdelitev nalog — če imate že to potrdilo, lahko to dokumentacijo običajno nemudoma ponovno uporabite za to vprašanje. Je podjetje certificirano po ISO 27001, se voditeljska odgovornost običajno že omenja v področju uporabe ali dokumentu politike.