kdo je odgovoren za izpolnitev varnostnega vprašalnika

Razdelitev vlog sama po sebi ni normativna zahteva, odgovore pa je treba preveriti

Vprašalnik sam po sebi ne predpisuje, kdo ga izpolni; člen 21 odstavek 2 NIS2 in Priloga A standarda ISO/IEC 27001 se nanašata na ukrepe, ki jih sprejme organizacija, ne pa na funkcionarja, ki podpiše obrazec. V praksi je to običajno oseba, ki pozna politiko varnosti informacij: varnostni inženir, IT-vodja ali pri manjših podjetjih sam direktor. Pri potrdilu ISO 27001 je v sistemu ravnanja pogosto že določen odgovoren — to ime je torej logična kontaktna točka za ta vprašalnik.

Kar je zagotovo: odgovori morajo biti utemeljeni. Če se vprašanje nanaša na nadzor dostopa, mora biti nekdo sposoben pokazati, katera politika ali ukrep stoji za tem — ne izpolniti po pomnenju, ampak prebrati iz datotek. To vprašanje naredi manj kot "kdo sme to izpolniti" in bolj kot "kdo ima osnovne dejstve pri roki". Ta ista oseba je pogosto tudi tista, ki lahko oceni ali podjetje uporablja sisteme umetne inteligence pri svojem poslovanju," ker se to dotika iste tehnične popisovalnosti. V primeru dvoma o tem, kdo je interno lastnik odgovora, je pogosto ista oseba, ki tudi načrt nadaljevanja poslovanja v primeru hudega motenja upravlja — obe temi se v smislu izvornega materiala prekrivata.

Od koder to sledi: člen 21(2) in Prilog A

Člen 21 odstavek 2 NIS2 našteva deset vrst ukrepov, med njimi upravljanje tveganja, obravnavo incidentov in politiko dostopa — direktiva ureja vsebino teh ukrepov, ne pa tega, kdo jih interno poroča. ISO/IEC 27001 Priloga A to razdeluje v konkretne nadzorne ukrepe, organizacije s certifikatom pa imajo ponavadi v svojem sistemu ravnanja že določenega odgovornega. Ta obstoječa razdelitev vlog je najbolj očitni vir, na katerega se je mogoče zanesti pri izpolnjevanju varnostnega vprašalnika.