vi har ingen CISO, vem fyller jag i som ansvarig för säkerhet

Ingen funktionsbeteckning krävs, men en identifierbar roll

Artikel 21 stycke 2 NIS2 kräver inte en CISO. Det står ingenstans att en funktionsbeteckning är obligatorisk — direktivet kräver "lämpliga och proportionella tekniska, operativa och organisatoriska åtgärder", och styrning därutöver. Det du måste kunna fylla i är vem som internt beslutar om informationssäkerhet och vem som gör att ledningen är medveten om det. Vid ett mindre företag är det ofta direktören själv, en IT-chef med säkerhet som deltidsuppgift, eller en extern part som är engagerad strukturellt. Fyll i denna roll med namn eller titel, inte med "ingen" och inte med en titel som inte finns.

Vad du måste ha i åtanke: det handlar inte för kunden om titeln, utan om verifiering. Kan du visa att det finns någon som är ansvarig för policy för riskanalys och säkring av informationssystem, och att samma eller en annan utsedd person också är kontaktpunkten vid säkerhetshändelser? Det är det bevis som vanligtvis efterfrågas: ett organisationsschema, en RACI-matris, eller helt enkelt ett stycke i policydokumentet som anger rollen och behörigheterna. Har du inte dokumenterat det, är "nej" med en förklaring att ledningen bär detta ansvar ett mer ärligt svar än en påhittad titel.

Var detta följer från: artikel 21 stycke 2 a NIS2 och Annex A 5.2 ISO 27001

Artikel 21 stycke 2 a nämner "policy för riskanalys och säkerhet för informationssystem" som den första av tio åtgärder, och styrning är en implicit del av det: utan utsedd ansvarig är policy inte genomförbar och inte kontrollerbar. ISO/IEC 27001 gör detta explicit i Annex A 5.2, "information security roles and responsibilities", där en roll krävs men ingen specifik titel. Om du fyller i denna lista utan ISO-certifikat är det extra viktigt att rollfördelningen finns dokumenterad någonstans — det hjälper när frågan om företaget är ISO 27001-certifierat uppkommer, där du annars står utan möjlighet.