Формально може бути і без відділу.

Відповідно до ч. 3 ст. 64 Господарського кодексу (https://zakon.rada.gov.ua/laws/show/436-15/conv#n485) підприємство самостійно визначає свою організаційну структуру, встановлює чисельність працівників і штатний розпис. Отже, лише керівник підприємства вправі визначати, якою буде організаційна структура та штатний розпис підприємства – чинне законодавство не встановлює будь-яких вимог щодо цього (для приватних підприємств). Тож відсутність у штатному розписі структурного підрозділу за наявності посади керівника такого підрозділу формально не є порушенням законодавства про працю.

Водночас, зверніть увагу, що хоча офіційно затвердженої кваліфікаційної характеристики «Керівник структурного підрозділу з питань безпеки інформації та кіберзахисту» наразі немає, про ця посада має код КП 1239, який вказує, що вона належить угруповання «Керівники функціональних підрозділів», тож у посадовій інструкції Вашого працівника має бути прописано керування підлеглими, забезпечення умови для вдосконалення організації розподілу праці та виконання робіт працівниками підрозділу тощо – тобто без наявності відповідного структурного підрозділу Ваш працівник не зможе здійснювати одні з основних своїх завдань та обов'язків.

Тож Ви можете залишити все як є (штрафу за це не буде, проте, звісно, може призвести до ускладнень та непорозумінь під час перевірок). Водночас, Ви можете, допоки немає структурного підрозділу, замість посади «Керівник структурного підрозділу з питань безпеки інформації та кіберзахисту» ввести до штатного розпису посаду «Менеджер (управитель) систем з інформаційної безпеки», яка також належить до керівних посад, але не з обов'язковим безпосереднім управлінням працівниками (тобто він може відповідати за координацію роботи у певному напрямку, але не мати формальних підлеглих у своєму підпорядкуванні).

Раді допомогти, звертайтесь ще!