Seznam vprašanj vprašuje, ali je vodstvo vključeno v kibernetsko varnost

Angažiranost uprave je ločena obveznost NIS2, ločena od desetih ukrepov

To vprašanje se ne nanaša na tehniko, ampak na upravljanje: je vodstvo samo vpleteno v kibernetsko varnost ali je popolnoma delegirano IT-u. Pod členom 21, odstavkom 2 direktive NIS2 so sami deset ukrepov, vendar članek 20 direktive poleg tega zahteva, da organi upravljanja odobrijo ukrepe za upravljanje tveganj in spremljajo njihovo izvajanje ter da se člani uprave usposobijo za oceno kibernetskih tveganj. To je torej ločena točka vprašalnika: ne "katere ukrepe imate", ampak "ali vrh tega ve in ga odobri".

Kot dokazilo se običajno šteje odlomek zapisnika, v katerem je uprava sprejela ali ovrednotila varnostno politiko, organizacijska shema, ki kaže poročevalske linije do vodstva, ali točka dnevnega reda iz periodičnega srečanja vodstva o kibernetskih tveganjih. Če tega manjka, je "ne" pošten odgovor tukaj — dobavitelj, ki to izpolni brez dokazila, tvega, da se bo naročnik kasneje vrnil nanjo. To vprašanje je pogosto povezano z vprašanjem se učinkovitost varnostnih ukrepov občasno preverja, saj je preverjanje brez upravnega odziva za naročnika le polovičen odgovor. Prav tako je bistvenega pomena, ali vaše podjetje samo spada pod direktivo NIS2, ker v tem primeru to ni le vprašanje vašega naročnika, ampak lastna zakonska obveznost od 15. avgusta 2026, ko začne veljati zakon o kibernetski varnosti.

Od kod to: članek 20 poleg članka 21 NIS2

Članek 20 Direktive (EU) 2022/2555 ureja odgovornost in angažiranost organov upravljanja, ločeno od desetih vsebinskih ukrepov v členu 21, odstavku 2; ISO/IEC 27001 nima v Prilogi A dobesednega ekvivalenta, vendar zahteva preko temeljnih zahtev standarda (točka 5, vodstvo) dokazljivo angažiranost vrha, kar se pogosto predloži kot ločeno dokazilo poleg ukrepov Priloge A.