vprašalnik sprašuje, kdo v našem podjetju je odgovoren za varnost

Upravljanje in odgovornost, ne le ime

Vprašanje gre dlje od vnosa kontaktne osebe. Člen 21 odstavek 2 direktive NIS2 navaja »politiko za analizo tveganja in varnost informacijskih sistemov« kot eno od desetih obveznih ukrepov, upravljanje pa — kdo se odloča, kdo odobrava, kdo nosi odgovornost — je pri tem del. V ISO/IEC 27001 se to pojavlja v Dodatku A, med ukrepi za upravljanje organizacije varnosti informacij: tam se pričakuje, da so vloge in odgovornosti dodeljene in dokumentirane, ne le ustno dogovorjene. Navedba imena brez dokumentirane vloge je zato običajno le polovična izpolnitev.

Kaj natanko želi videti naročnik, se razlikuje glede na obliko: včasih je to naziv funkcije (CISO, IT-manager, direktor), včasih tabela, podobna RACI, včasih pa samo vprašanje, ali je sploh določena oseba. Če podjetje nima formalno določenega odgovornega, vendar je naloga dejansko pri ком, je to pogosto dovolj za »da« — če je to zapisano nekje, na primer v opisu funkcije ali zapisnikih. Brez kakršnega koli zapisa je »ne« pošten odgovor; sistem verižnega kartoteke tega ne more rešiti z izmišljenim trditvijo. To vprašanje je pogosto povezano s politika za analizo tveganja in varnost informacijskih sistemovker naročnik, ki se sprašuje o upravljanju, običajno želi vedeti tudi, kdo je to politiko določil.

Kje je to v direktivi in normi

Sklicevanje na upravljanje in odgovornosti je navedeno v členu 21 odstavku 2 točki a direktive NIS2 (politika za analizo tveganja in varnost informacij) in v Dodatku A standarda ISO/IEC 27001, med organizacijskimi ukrepi za upravljanje. Na Nizozemskem je ista obveznost vključena tudi v Zakon o kibernetski varnosti, ki začne veljati 15. avgusta 2026 kot prenos direktive NIS2. Regulatorji in naročniki, ki to vprašanje postavljajo, implicitno preverjajo tudi, ali obstaja proces za tem — zato se to vprašanje v praksi pogosto pojavi skupaj s vprašanjem, ali se učinkovitost ukrepov redno preverisaj je odgovorni brez trenutka preverjanja na papirju malo vreden.