nimamo CISO, koga izpolnim pri vprašanju, kdo je odgovoren za varnost

Naziv funkcije ni potreben, ampak je potrebna prepoznavna vloga

Člen 21 odstavek 2 Direktive NIS2 ne zahteva CISO-ja. Nigdje ni navedeno, da je naziv funkcije obvezen — direktiva zahteva »ustrezne in sorazmerne tehnične, operativne in organizacijske ukrepe«, ter upravljanje nad tem. Kar moraš biti sposoben izpolniti, je, kdo interno odloča o varnosti informacij in komu vodstvo odgovarja. V manjšem podjetju je to pogosto direktor sam, vodja IT-ja z varnostjo kot delomočjo, ali zunanja pogodba, ki je strukturno angažirana. Izpolni to vlogo z imenom ali nazivom, ne z »nihče« in ne s nazivom, ki ne obstaja.

Kaj moraš imeti v mislih: za stranko ne gre za naziv, ampak za dokazljivost. Ali lahko pokažeš, da je nekdo odgovoren za politike analize tveganja in zaščite informacijskih sistemov, in da je ista ali druga imenovana oseba tudi stičnica pri varnostne incidente? To je dokaz, ki se običajno zahteva: organizacijski diagram, RACI-tabela, ali samo odstavek v dokumentu politike, ki pojasnjuje vlogo in pooblastila. Če tega nisi zapisal, je »ne« s pojasnitvijo, da odgovornost nosi vodstvo, pošten odgovor kot izmišljena funkcija.

Od koder to izhaja: člen 21 odstavek 2 pododstavek a Direktive NIS2 in Prilogo A 5.2 standarda ISO 27001

Člen 21 odstavek 2 pododstavek a navaja »politiko analize tveganja in varnosti informacijskih sistemov« kot prvo od desetih ukrepov, upravljanje pa je tam implicitni del: brez imenovane odgovorne osebe politika ni izvedljiva in ni nadzorovana. ISO/IEC 27001 to eksplicitno izpostavlja v Prilogi A 5.2, »vloge in odgovornosti za varnost informacij«, kjer je vlogo sicer zahtevana, vendar ne specifičnega naslova. Če izpolnjuješ ta seznam brez certifikata ISO, je še posebej pomembno, da je razdelitev vlog nekje napisana — to pomaga pri vprašanju ali je podjetje sertificirano po ISO 27001·, drugače staš z praznimi rokami.