kuka minun yrityksessään voi tarkastella tai muokata ketjudossieria

Roolit ja oikeudet, ei yhtä tiliä kaikille

Ketjuasiakirjan näkemisen tai muuttamisen määrittää organisaatio itse: se ei ole lakisääteinen rooli vaan järjestelmän asetus. Käytännössä se toimii roolien avulla: hallinnointija, joka saa muuttaa kenttiä ja yhdistää lähteitä, ja kollegat, jotka saavat vain lukea tai täydentää vain tiettyä osaa — esimerkiksi IT tietoturvakysymyksiin liittyen ja rahoitus myyntiä koskeviin tietoihin. Näin ei jokaisen tarvitse pääsy kaikkeen, ja on selvästi nähtävissä, kuka on antanut tai vahvistanut kunkin vastauksen.

Tämä ero on verrattavissa siihen, mitä Täyttävätkö yrityksen online-palvelut saavutettavuusvaatimukset? ja muut tekniset osat kysyvät: kaikilla työntekijöillä ei ole yhtä paljon tietoa vastauksen arvioimiseksi. Samaa logiikkaa sovelletaan arkaluontoisiin kenttiin, kuten Käyttääkö yritys tekoälyjärjestelmiä palveluntarjonnassaan? — haluat, että henkilö, joka vahvistaa vastauksen, ymmärtää myös, mitä kysymys tarkoittaa. Kuka lopulta klikkaa "kyllä" tai "ei" kyselylomakkeessa, on organisaation oman valinnan asia; järjestelmä vain kirjaa ylös, kuka sen teki ja milloin.

Miksi roolinjako on ollenkaan olennaista

Tämä jako ei johdu yhdestä erityisestä lainsäädäntöpykälästä, vaan itse taustalla olevien vaatimusten luonteesta. NIS2-direktiivin 21 artiklan 2 kohdan kymmenen toimenpidettä mainitsevat pääsynvalvonnan nimenomaisesti hallintotoimenpiteenä, ja ISO/IEC 27001:n liite A konkretisoi sen lisätoimenpiteillä siitä, kuka saa nähdä tai muuttaa mitäkin tietoja. Ketjuasiakirja, joka sisältää vastauksia tällaisiin kyselylomakkeisiin, kuuluu samaan logiikkaan: ei siksi, että laki määrää alustan, vaan koska kyselylomakkeet usein kysyvät, kuinka pääsy yrityksen tietoihin on säännelty. Roolinjako asiakirjassa on siis käytännön heijastus siitä, mitä kyseisissä vaatimuksissa jo pyydetään, ei erillinen velvoite.