NIS2: क्या CISO नियुक्त करने से बोर्ड की जिम्मेदारी खत्म हो जाती है? ACN की नई FAQ ने साफ किया

क्या CISO नियुक्त करने से बोर्ड की जिम्मेदारी खत्म हो जाती है?

नहीं, ACN की नई FAQ के अनुसार, CISO नियुक्त करने से NIS2 के तहत निदेशक मंडल की जिम्मेदारी खत्म नहीं होती। साइबर सुरक्षा की अंतिम जवाबदेही हमेशा बोर्ड के पास रहती है, भले ही परिचालन कार्यों को CISO को सौंपा जाए।

नई FAQ का सार: बोर्ड की भूमिका स्पष्ट

इटली की साइबर सुरक्षा एजेंसी (ACN) ने हाल ही में NIS2 डायरेक्टिव पर नई FAQ जारी की हैं। इनमें सबसे महत्वपूर्ण बात यह है कि CISO (Chief Information Security Officer) की नियुक्ति से बोर्ड की जिम्मेदारी कम नहीं होती। बोर्ड को साइबर सुरक्षा को गवर्न करना और सुपरवाइज करना होता है।

यह ठीक वैसा ही है जैसे कि आप अपने घर की सुरक्षा के लिए एक सिक्योरिटी गार्ड रखते हैं, लेकिन अगर चोरी हो जाए, तो जिम्मेदारी आपकी ही होती है। गार्ड ने अपना काम किया या नहीं, यह अलग बात है, लेकिन अंतिम जवाबदेही आपकी।

NIS2 के तहत बोर्ड की जिम्मेदारी क्या है?

NIS2 डायरेक्टिव के अनुसार, बोर्ड को साइबर सुरक्षा के लिए एक स्पष्ट गवर्नेंस फ्रेमवर्क स्थापित करना होगा। इसमें शामिल है: साइबर सुरक्षा नीतियों को मंजूरी देना, जोखिम मूल्यांकन की समीक्षा करना, और यह सुनिश्चित करना कि संसाधन पर्याप्त हों।

बोर्ड को साइबर सुरक्षा प्रशिक्षण भी लेना होगा। हाँ, आपने सही पढ़ा। बोर्ड के सदस्यों को खुद को साइबर सुरक्षा के बारे में शिक्षित करना होगा, ताकि वे सही निर्णय ले सकें। यह उतना ही मजेदार है जितना कि टर्म्स एंड कंडीशंस पढ़ना, लेकिन जरूरी है।

क्या CISO की भूमिका कम हो गई?

बिल्कुल नहीं। CISO की भूमिका पहले से अधिक महत्वपूर्ण हो गई है। वे परिचालन कार्यों के लिए जिम्मेदार हैं, जैसे कि सुरक्षा उपायों को लागू करना, घटनाओं की निगरानी करना, और रिपोर्ट तैयार करना। लेकिन बोर्ड को यह सुनिश्चित करना होगा कि CISO के पास आवश्यक संसाधन और अधिकार हों।

यह एक टीम वर्क है। बोर्ड रणनीति तय करता है, CISO उसे लागू करता है। लेकिन अगर कुछ गलत होता है, तो बोर्ड को जवाब देना होगा।

कंपनियों को क्या करना चाहिए?

पहला कदम: बोर्ड को साइबर सुरक्षा को एजेंडे में सबसे ऊपर रखना होगा। दूसरा: एक स्पष्ट गवर्नेंस स्ट्रक्चर बनाना, जिसमें भूमिकाएं और जिम्मेदारियां स्पष्ट हों। तीसरा: नियमित रूप से साइबर सुरक्षा रिपोर्ट की समीक्षा करना।

ACN की FAQ यह भी स्पष्ट करती हैं कि बोर्ड को साइबर सुरक्षा घटनाओं की रिपोर्टिंग के लिए एक प्रक्रिया स्थापित करनी चाहिए। यह सिर्फ एक कानूनी आवश्यकता नहीं है, बल्कि एक अच्छा व्यवसायिक अभ्यास भी है।

अगर आप सोच रहे हैं कि यह सब बहुत जटिल है, तो आप अकेले नहीं हैं। लेकिन याद रखें: साइबर सुरक्षा में निवेश करना, बीमा प्रीमियम से सस्ता है।

निष्कर्ष के बजाय एक कार्य सूची

अब समय है कि आप अपनी कंपनी के बोर्ड को बुलाएं और NIS2 के तहत उनकी जिम्मेदारियों पर चर्चा करें। यह सुनिश्चित करें कि हर कोई अपनी भूमिका समझे। और हाँ, CISO को अकेला न छोड़ें।

अधिक जानकारी के लिए, NIS2 डायरेक्टिव का पूरा पाठ यहां पढ़ें।

FAQ