nimamo oddelka za IT, kdo bi moral izpolniti ta vprašalnik o varnosti

Brez oddelka za IKT ni izjema

Vprašalnik se ne nanaša na to, kdo je na plačilnem seznamu, temveč na to, ali so prisotni deset ukrepov člena 21(2) NIS2 — tudi pri petih zaposlenimi. Naročnik, ki pošlje ta seznam, želi vedeti, ali so urejena analiza tveganj, obravnava incidentov, kontinuiteta in nadzor dostopa, ne pa to, ali za to obstaja oddelek s tem imenom. V majhnem podjetju je odgovor pogosto pri lastniku ali zunanjem IT-dobavitelju, in to je veljaven odgovor: kdo to počne, ne piše v vprašalniku, le to, da se to dogaja.

Praktično to pomeni, da ima oseba, ki upravlja gostovanje, prenosne računalnike ali računovodski program — pogosto zunanji urad — dejanskie odgovore na vprašanja o varnostnih kopijah in nujnih ukrepih in o večfaktorska avtentifikacija. Ta dobavitelj ni dolžan izpolniti vprašalnika, temveč zagotovi dokazilo ali potrdilo, s katerim sam odgovori podjetnik. Za vprašanja, ki se ne nanašajo na tehniko, temveč na politiko — kdo sme kam, kaj se zgodi ob incidentu — je znanje običajno pri lastniku samem, tudi brez IKT-znanja.

Člen 21(2) zahteva ukrepe, ne nazivov funkcij

Člen 21(2) direktive NIS2 navaja deset ukrepov kot obveznost za doseganje rezultata za subjekt, ne da bi postavljal zahteve glede organizacijske strukture, s katero se ta rezultat dosega. Prilog A standarda ISO/IEC 27001 razdeluje enake ukrepe na nadzorne ukrepe, ki jih lahko izvaja zunanji subjekt prav tako kot interno osebje. Vendar je vprašanje, ali само podjetje spada pod direktivo, ločeno vprašanje, neodvisno od tega, kdo izpolni vprašalnik — to je mogoče razbrati iz lastnega NIS2-statusa.