kinek kell felelőssé válnia az intézkedésért a szervezetemben

A felelősség mérték alapján hozzárendelhető, nem szervezeti szinten

Minden, a gondossági kötelezettségből eredő intézkedést egy személy lehet kijelölni a szervezeten belül, és a gyakorlatban ez jól működik, mint egy általános "a biztonsági tudatosság mindenki felelőssége" megközelítés. A NIS2-irányelv 21. cikk 2. bekezdése tíz intézkedési kategóriát sorol fel — a kockázatelemzéstől a hozzáférési szabályzaton keresztül az incidens kezeléséig —, és ezek végigmennek a szervezeten. Aki az informatikai infrastruktúrát kezeli, logikus felelős a hozzáférési szabályzatért és a hálózati biztonságért; aki HR-folyamatokkal foglalkozik, az felel a szűréssel és a tudatosságnövelő képzésért; aki beszerzést vagy szerződéseket kezel, az tartozik a szállítói lánc biztonságáért. Egy olyan személy, aki mindent visel — általában a vezetője vagy egy informatikai felelős a kisebb szervezeteknél — gyakorlatban túlterhelt lesz és elveszti az áttekintést.

A második bekezdés azt írja le, hogy mit jelent a felelősség konkrétan: nem azt, hogy az illető minden munkát maga végez, hanem azt, hogy ismeri az állapotot, mely dokumentum tartozik hozzá, és mikor szükséges az átállamítás. Ez az áttekintés pontosan az, amit egy frissített mérték-nyilvántartás segít — mérték szerint egy állapot, egy dokumentum és egy név mellett, ahelyett, hogy csak valaki fejében lenne a tudás. Azoknak a szervezeteknek, amelyeknek még meg kell határozniuk, mely intézkedések relevánsak és ki illik oda, egy lépésenkénti megközelítés megfelelő kiindulópont, valamint a kérdés mit jelent a gondossági kötelezettség hétköznapi nyelven mielőtt a felelősség felosztása megtörténik.

Ahonnan ez következik: a NIS2-irányelv 21. cikk 2. bekezdése és az ISO 27001 A melléklete

A NIS2-irányelv 21. cikk 2. bekezdése felsorolja azt a tíz intézkedést, amelyből a gondossági kötelezettség áll, anélkül hogy belső szereposztást írna elő — ezt a döntést maga a szervezet hozza meg. A Cyberbeveiligingswet, mint a direktíva nemzeti átvétele, ismételten előírja ezt a kötelezettséget, anélkül hogy szervezeti szerkezetet írna elő. Az ISO/IEC 27001 A melléklete az irányítási intézkedésekkel olyan szokásos osztályozást nyújt, amelyet gyakran használnak ugyanezen tíz kategória konkrét, hozzárendelhető feladatokra fordítására. Az NCSC a gondossági kötelezettségről szóló közleményben hangsúlyozza, hogy a felelősség a szervezetnél mint egésznél van, amely a gyakorlatban azt jelenti, hogy a belső felosztás egy olyan választás, amely illeszkedik az adott szervezet meglévő szerkezetéhez.