tko u našoj tvrtki može pregledati ili promijeniti lanac dosijera

Uloge i prava, ne jedan račun za sve

Tko može vidjeti ili mijenjati datoteku lanca određuje sama organizacija: to nije zakonska uloga, već postavka u sustavu. U praksi funkcionira s ulogama: administrator koji smije mijenjati polja i povezivati izvore, te kolege koje smiju samo čitati ili samo dopuniti određeni dio — primjerice IT za pitanja o sigurnosti informacija, te financije za podatke o prihodu. Na taj način ne mora svako imati pristup svemu, a jasno ostaje tko je unio ili potvrdio koji odgovor.

To razlikovanje je usporedivo s onim što Jesu li mrežne usluge poduzeća u skladu sa zahtjevima dostupnosti? i ostale tehničke komponente traže: ne svaki zaposlenik ima dovoljno znanja da procijeni odgovor. Ista logika vrijedi za osjetljiva polja kao što su Koristi li poduzeće AI-sustave u svojoj usluznoj djelatnosti? — tamo želiš da osoba koja potvrdi odgovor, razumije što pitanje traži. Tko na kraju klikne "da" ili "ne" kod popisa pitanja, ostaje izbor same organizacije; sustav samo bilježi tko je to učinio i kada.

Zašto je uopće relevantna podjela uloga

Ova podjela ne proizlazi iz jednog specifičnog članka zakona, već iz prirode samih temeljnih zahtjeva. Deset mjera iz članka 21. stav 2. Direktive NIS2 eksplicitno spominju kontrolu pristupa kao mjeru upravljanja, a Prilog A ISO/IEC 27001 to dalje razrađuje s konkretnim kontrolama za tko smije vidjeti ili mijenjati koje podatke. Datoteka lanca koja sadrži odgovore na takve popise pitanja, pada pod istu logiku: ne zato što zakon propisuje platformu, već zato što sami popisi pitanja često traže kako je pristup poslovnim podacima uređen. Podjela uloga u datoteci je zato praktična projekcija onog što se već traži u tim zahtjevima, ne odvojena obaveza.