kes peab minu organisatsioonis vastutama meedetabeme eest

Omanik on määratav meetmete kaupa, mitte organisatsioonilaisel alusel

Iga NIS2-direktiivi hoolsuskohustusest tulenevat meetmit saab organisatsiooni piires määrata ühele omanikule, ja praktikas toimib see paremini kui üldine "küberturvalisus on kõigi vastutus"-lähenemine. NIS2-direktiivi artikli 21 lõike 2 kohaselt nimetatakse kümmekond meetmete kategooriat riskianalüüsist juurdepääsupoliitikani kuni intsidentide käsitlemiseni välja, ning need lõikuvad organisatsiooni. Kes IT-infrastruktuuri hallata, on loogiline omanik juurdepääsupoliitika ja võrguturvalisuse jaoks; kes HR-protsessidega tegeleb, sobib selle põhjal kontrollida ja teadlikkuse koolitusele; kes hangetega või lepingutega tegitseb, kuulub tarnijate ketturvalisuse juurde. Üks inimene, kes kõike kannab, tavaliselt omanik või IT-vastutav väiksema organisatsiooni juures, satub praktikas ülekoormatud ja kaotab ülevaate.

Teine lõik käsitleb seda, mida omanikuks olemine konkreetselt tähendab: mitte seda, et see inimene teeb kõike ise, vaid seda, et see inimene teab, mis on seisund, milline tõendav dokument sellega kaasas on ja millal korrigeerimine on vajalik. See ülevaade on täpselt see, mida elusat meetmete registrit aitab — iga meetme kohta seisund, tõendav dokument ja nimi kõrvale, selle asemel et teadmised oleks ainult kellegi peas. Organisatsioonidele, mis peavad veel otsustama, millised meetmed on asjakohased ja kes sellega käib, on sammsammülane lähenemine sobiv lähtepunkt, samuti küsimus millest ohu vähendamise kohustus tavakõnes aru saada enne kui jaotus omanikele tehakse.

Kust see tuleneb: NIS2-direktiivi artikli 21 lõige 2 ja ISO 27001 lisa A

NIS2-direktiivi artikli 21 lõige 2 nimetab kümmet meetmit, millest hoolsuskohustus koosneb, neile seeläbi sisemist rollide jaotust ette nägemata — see valik on organisatsiooni enda käes. Küberturvalisuse seadus, selle direktiivi Hollandi rakendamine, kordab seda kohustust, ilma organisatsioonilise struktuuri ettekirjutamiseta. ISO/IEC 27001 lisa A pakub juhtelementidega tavalist jaotust, mida sageli kasutatakse nende samade kümne kategooria jaoks konkreetsete, toetatavate tööülesannetega. NCSC rõhutab oma hoolsuskohustuse teatmetes, et vastutus on organisatsioonil tervikuna, mis praktikas tähendab, et sisene jaotus on valik, mis sobib selle organisatsiooni olemasolevas struktuuriga.