Czy jest wymagane powołanie pełnomocnika do spraw systemu zarządzania bezpieczeństwem informacji?

Ustawa nie nakłada obowiązku powołania pełnomocnika do spraw systemu zarządzania bezpieczeństwem informacji. Przepisy pozostawiają w tym zakresie swobodę kierownikowi podmiotu co do organizacji realizacji zadań wynikających z wdrożonego systemu zarządzania bezpieczeństwem informacji. Ustawa wskazuje, że kierownik podmiotu kluczowego lub podmiotu ważnego przydziela zadania z zakresu cyberbezpieczeństwa w tym podmiocie i nadzoruje ich wykonanie.

Jeżeli kierownik podmiotu decyduje się na powołanie pełnomocnika do spraw systemu zarządzania bezpieczeństwem informacji to powinna być to osoba, którą łączy z danym podmiotem stosunek prawny umożliwiający wydawanie jej poleceń

oraz zapewniający odpowiedzialność za realizację zadań. Powołanie takiego pełnomocnika powinno być w szczególności zgodne z przepisami ustrojowymi jak i przepisami wewnętrznymi danej jednostki organizacyjnej. W przypadku jednostek sektora finansów publicznych przed podjęciem takiej decyzji można przeprowadzić szacowanie ryzyka w ramach systemu kontroli zarządczej.

Jeżeli zadania z zakresu systemu zarządzania bezpieczeństwem informacji realizowałby zewnętrzny dostawca usług zarządzanych z zakresu cyberbezpieczeństwa należy przy tym zadbać o bezpieczeństwo łańcuchów dostaw i w umowie z samym dostawcą ująć wymogi dotyczące cyberbezpieczeństwa oraz kwestie odpowiedzialności za realizowane zadania.