Czy administratorem bezpieczeństwa informacji może być inny podmiot niż osoba fizyczna?

NIE.
Zgodnie z art. 36 ust. 3 ustawy o ochronie danych osobowych istotą funkcji administratora bezpieczeństwa informacji jest nadzorowanie przestrzegania zasad ochrony ustalonych przez administratora danych w celu zapewnienia danym bezpieczeństwa.

Wykonywanie zatem nadzoru w tym zakresie wiąże się z koniecznością dostępu do danych osobowych, a zgodnie z art. 37 ustawy o ochronie danych osobowych do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych.

Administratorem bezpieczeństwa informacji nie musi być jednak osoba zatrudniona u administratora danych. Może nim być pracownik innego podmiotu lub osoba której drogą umowy zlecono sprawowanie tej funkcji. Jednakże administrator danych powinien mieć decydujący wpływ na wybór konkretnej osoby, ponieważ zgodnie z art. 36 ust. 3 ustawy o ochronie danych osobowych to administrator danych, a nie inny podmiot, wyznacza administratora bezpieczeństwa informacji.