ماده ۲۰ دستورالعمل NIS2، نهادهای مدیریتی را مسئول کنترل‌های دسترسی (Access Control) که تأیید می‌کنند، می‌داند. این تغییر رویکرد باعث شده است که هیئت‌مدیره‌ها اکنون به دنبال شواهدی باشند که نشان دهد این کنترل‌ها به‌درستی عمل می‌کنند. مسئولیت‌پذیری هیئت‌مدیره تحت NIS2، نقش مستقیم‌تری برای مدیران در حوزه امنیت سایبری ایجاد می‌کند.
طبق این ماده، نهادهای حیاتی و مهم باید اقدامات مدیریت ریسک امنیت سایبری را تأیید و بر اجرای آن‌ها نظارت کنند. در صورت بروز تخلف، مدیران ممکن است طبق قوانین ملی، با مسئولیت شخصی روبرو شوند. این الزام در اکثر کشورهای اتحادیه اروپا اجرایی شده است.
نیاز به اثبات عملکرد، نه فقط تأیید سیاست‌ها
مدیران نباید در جزئیات فنی مانند تعیین سطح دسترسی ادمین‌ها دخالت کنند، اما باید بدانند که کنترل دسترسی مدیریت می‌شود، مسئول مشخصی برای مدیریت ریسک وجود دارد و مشکلات برطرف می‌شوند. هیئت‌مدیره نیاز به اطلاعاتی دارد که نشان دهد کنترل‌ها در عمل چگونه عمل می‌کنند؛ برای مثال، آیا استثنائات (Exceptions) در استفاده از MFA بررسی می‌شوند یا حساب‌های قدیمی همچنان فعال هستند؟
جریمه‌های سنگین و پیامدهای قانونی
عدم رعایت این مقررات می‌تواند پیامدهای مالی سنگینی داشته باشد. برای نهادهای حیاتی، جریمه‌ها می‌تواند تا ۱۰ میلیون یورو یا ۲٪ از گردش سالانه جهانی باشد. همچنین، مقامات ذی‌صلاح می‌توانند در شرایط خاص، مدیران ارشد (مانند CEO) را از انجام وظایف مدیریتی موقتاً منع کنند.
توصیه به مدیران امنیت (CISO)
مدیران امنیت اطلاعات (CISO) باید در گزارش‌های خود به هیئت‌مدیره نشان دهند که چه کسی مالک ریسک کنترل دسترسی است و آیا آن فرد قدرت کافی برای رفع ریسک را دارد یا خیر. ارائه شواهد عملی از کارکرد کنترل‌ها، بسیار حیاتی‌تر از ارائه صرفِ خلاصه‌ای از سیاست‌های امنیتی است.
