kund frågar vem vår CISO är men vi har ingen separat funktion för det

Ingen CISO anställd är inget problem

Frågan om en CISO handlar inte om en titel på ett visitkort, utan om rollen: vem är ansvarig för informationssäkerhet och cybersäkerhet, och vem kan kunden kontakta om något inträffar. Vid mindre företag ligger denna roll ofta hos direktören, IT-chefen eller någon som "hanterar det vid sidan om". Det är ett giltigt svar, så länge du kan pekar ut vem det är och vad personen gör.

Besvara frågan därför med den funktion som faktiskt uppfyller rollen, inte med "ej tillämpligt". Typisk ifyllning: "rollen som CISO uppfylls av [funktion], ansvarig för [uppgifter]". Det överensstämmer med vad kunder i praktiken testar: inte titeln, utan om det finns övervakning av riskanalys och säkring av informationssystem och om säkerhetsåtgärderna granskas regelbundet. Governance är det underliggande temat, inte en personalfråga.

Governance är oberoende av funktionstiteln

Artikel 21 punkt 2 i NIS2-direktivet (direktiv (EU) 2022/2555) anger tio kategorier av åtgärder, däribland policy för riskanalys och säkerhet för informationssystem — en CISO-titel förekommer inte i denna lista. ISO/IEC 27001 arbetar enligt samma logik: Annex A kräver tilldelade ansvarsområden för informationssäkerhet (ofta under A.5, organisation av informationssäkerhet), inte ett specifikt funktionsnamn. Kundens frågeformulär översätter denna krav vanligtvis till "vem är CISO:n" eftersom det är den vanliga termen i större organisationer, men den underliggande frågan förblir: är ansvaret tilldelat. Så snart det är fastställt — även om det är i en funktionsbeskrivning för direktören — finns det ett faktiskt underlag för ett svar, även utan titeln själv.