Задължително ли е обучение по информационна сигурност в монтажния бранш?
Ако вашата монтажна компания попада в сферата на директива NIS2, осведомяването на служителите е част от мерките, които задължението за грижа от вас очаква. Директивата споменава явно обучението и осведомяването като част от кибербезопасностните мерки, които трябва да предприема критична или важна организация. Освен това съществува отделно задължение, което е насочено конкретно към управителите, и тези две в практиката често се объркват.
Разликата е в това кой е задължен и колко силно е това задължение. За служителите в общия случай директивата говори за подходящи и пропорционални мерки, при които обучението е един от посочените елементи в рамките на по-широкото задължение за грижа на член 21. За управителите и други членове на органа на управление съществува самостоятелно, лично задължение да следват собствено обучение, за да могат да разпознават и оценяват киберрисковете. Това не е необвързващ съвет, а изискване към лицата, отговорни за одобрението на политиката.
Защо тази разлика е уместна за монтажна компания
В монтажна компания работят монтьори на място, отдел планиране, административен персонал и обикновено един или няколко управителя, които осъществяват ежедневния надзор. За групата служители осведомяването е главно за разпознаваеми рискове: фишинг имейли, които се правят за доставчик или поръчител, подозрителни искания за данни за вход и внимателното работене с достъпа до данни на клиенти и проекти на мобилни устройства в служебни превозни средства. Задължението за грижа изисква този вид обучение периодично да се провежда и вие да можете да докажете, че се провежда, не че има установен минимален брой часове годишно.
За управлението или собственика на компанията стандартът е малко по-различен. Този човек трябва сам да бъде в състояние да разпознава рискове и да одобри правилно произтичащата от тях политика. Това не означава, че директорът трябва да бъде технически експерт, но означава, че той или тя разбира какви са основните рискове за компанията и защо определени мерки са необходими. Това задължение е отделно от това, което се организира за служителите, и следователно не може да бъде замено, например, с общ фишинг тест само за целия екип.
Какво това означава в практиката за вашия досие
Тъй като обучението е част от задължението за грижа, при всяка обучаваща дейност трябва да има документация: кой е следвал обучението, кога и каквото беше съдържанието. Това важи както за общото осведомяване на служителите, така и за обучението, което следват управителите. Един обикновен имейл с съвети не се счита за доказателство; обзор с участници, дата и тема - да. десетте мерки на задължението за грижа в един преглед предоставя преглед на това къде точно попада обучението и как то се отнася към другите задължения като управление на достъпа и регистрация на инциденти.
За компании, които са засегнати чрез веригата на доставки, без да са самите задължени, този въпрос също играе роля. Поръчител, който сам попада под NIS2, може в списък с въпроси за сигурност да попита дали служителите редовно се осведомяват за киберрисковете и дали е документирано. Монтажна компания, която работи като подизпълнител за енергийна компания или болница, получава този въпрос често обратно, дори без да е самата задължена.
Дали вашата компания самата попада под задължението за грижа, под управленското задължение, или само чрез поръчител работи с обучение, зависи от сектора, размера и ролята в веригата на доставки. в няколко въпроса вижте къде стои вашата фирма предоставя първа индикация за това, с обяснение защо. Често задавани въпроси относно това какво точно се включва в обучението и дали е необходим сертификат, са събрани в често задаваните въпроси.
Без обучение без документиране, без документиране без досие
Основното за монтажна компания е просто да се помни: осъзнаване на служителите е част от по-широката задължение за грижа, обучението на управители е отделно, лично задължение. И двете изискват документиране, което можете да представите на контролния орган или на възложител, който го поиска. За точното формулиране и местоположението в официалния текст се позовавяме на самата директива и на национално прилагане, което се прилага за вашата страна.
Желаете ли за вашата монтажна компания да получите ясна представа за това какво е вече уредено и какво все още липсва? Започнете с безплатната NIS2 проверка или създайте делови акаунт, за да изградите досието след като знаете кои мерки се отнасят за вашата ситуация.