Podmiot ważny będący podmiotem publicznym ma obowiązek wyznaczyć co najmniej jedną osobę odpowiedzialną za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa.

Przepisy nie wymagają, aby osoba pełniąca tę funkcję miała określone wykształcenie lub kwalifikacje związane z cyberbezpieczeństwem. Zgodnie z wyjaśnieniami Ministerstwa Cyfryzacji może to być osoba związana z podmiotem umową o pracę lub innym stosunkiem zatrudnienia.

Czy może to być kierownik podmiotu?

Tak. Przepisy nie zakazują łączenia funkcji kierownika podmiotu kluczowego lub ważnego z funkcją osoby kontaktowej. Przy wyborze takiej osoby należy jednak uwzględnić przede wszystkim efektywność realizacji tego zadania oraz jej dostępność.

Jak wyznaczyć osobę kontaktową?

Przepisy nie określają szczególnej formy wyznaczenia osoby kontaktowej. W praktyce warto jednak formalnie wskazać ją w dokumentacji wewnętrznej podmiotu, np. w decyzji lub innym dokumencie określającym jej rolę i zakres obowiązków.

Dobrze, aby osoba kontaktowa miała również odpowiednią znajomość organizacji i możliwość sprawnego dotarcia do osób odpowiedzialnych za poszczególne obszary, w szczególności IT, bezpieczeństwo, administrację i kierownictwo.

Jest to istotne, ponieważ rola osoby kontaktowej nie ogranicza się do odbierania wiadomości. Powinna ona mieć możliwość przekazywania informacji właściwym osobom wewnątrz organizacji oraz uzyskiwania od nich informacji potrzebnych do dalszej komunikacji.