Задължително ли е обучение за осведоменост в областта на киберсигурността за доставчиците на услуги в областта на информационните и комуникационни технологии (ИКТ) в NIS2?
Директива NIS2 изрично посочва осъзнаване и обучение като една от мерките, които членовете на организацията трябва да предприемат според член 21, за управление на киберрисковете. За субект, който е от съществено или важно значение, това не е неподвижен съвет, а част от задължението за надзор, наред с например управление на достъпа и регистрация на инциденти. За доставчик на ICT услуги, който сам не попада под NIS2, но е оценяван като доставчик, въпросът често се появява в анкета за киберсигурност: предоставяте ли обучение, на кого и колко често.
Важно е да се прави разлика: директивата, в допълнение към тази мярка, съдържа и отделно условие, което се отнася конкретно до самия управленски орган. Това е друго задължение, с друга цел и друга целева група. Оези, които бърканат двете, често подценяват какво се изисква от останалата част на организацията, или обратно какво се изисква конкретно от управленския орган.
Какво изисква задължението на организацията за надзор
Десетте мерки от член 21 са формулирани на основата на риск: директивата не предписва колко часа обучение, с каква честота или с кой доставчик. Важното е, че служителите да разпознават рисковете, които са актуални за техните функции. При доставчик на ICT услуги това често включва фишинг, поведение на пароли, управление на достъп до клиентски среди и разпознаване на инцидент. Надзорните органи проверяват дали мярката е била доказано приложена, а не дали е установен минимален брой часове обучение.
Това го прави една от мерките, където доставчик на малко и средно предприятие (МСП) може относително бързо да установи нещо полезно: кратък момент за обучение, тест, свидетелство за участие. Въпросът "кой е следвал това и кога" е точно това, което покупателят в анкета често иска да види, и точно това, което живо досие може лесно да покаже.
Разликата с задължението за обучение на управленския орган
От своя страна, директивата възлага собствена отговорност на управленския орган на субект от съществено или важно значение. Това условие е предназначено да гарантира, че управленските органи сами имат достатъчна представа за киберрисковете, за да могат да одобрят мерките за надзор и да ги наблюдават. Така че това не е обучение за цялата организация, а задължение, което лежи върху самия управленски орган и което е отделно от общата мярка за осъзнаване на служителите.
За ICT доставчик на услуги, който сам не подлежи на задължение, този административен акт не се прилага пряко. Но на практика понякога пълнолетен клиент все пак проверява допълнително: не само дали служителите са обучени, но и дали ръководството е достатъчно ангажирано в политиката за киберсигурност. Това се счита част от оценката на доставчика, а не собствено законово задължение на този доставчик.
Какво означава това, ако вашата организация е засегната чрез веригата на доставки
Ако вашата организация сама не попада под NIS2, но предоставя услуги на организация, която попада, този клиент може в рамките на собственото си задължение за надзор да запита за вашия подход към обучението. Това обикновено се случва чрез въпросник или договорно условие, а не чрез законово задължение, което директно върлича на вас. Разликата е повече от формална: тя определя дали сте длъжни да извършите действието или че правите избор да отговорите на изискването на вашия клиент, за да запазите договора. прочетете обяснението по всяка тема показва как това разграничение се появява и при други мерки.
Дали вашата организация е засегната чрез веригата на доставки и кои от десетте мерки са при това релевантни, може да се определи с няколко въпроса. видете с няколко въпроса дали и как това засяга вашата организация дава там първо указание, без да имате нужда от акаунт.
Документирайте обучението като доказателство
Това, което прави едно обучение ценно за досие, е не само съдържанието, а регистрацията: кой е участвал, кога и с какъв резултат. Сертификат за участие за всеки служител, свързан със статус и собственик, е точно видът доказателство, което се поиска в списък със въпроси за сигурност и което при повторение намалява административната работа. видите откъде идва тази информация обяснява как е построено такова досие и как се поддържа.
За точното формулиране на ръководството по този въпрос и за националното прилагане, което е приложимо на вашата ситуация, официалният текст е водещ. Ако се съмнявате дали конкретно изискване в списък със въпроси надвишава това, което задължеността по грижа разумно изисква, това е въпрос за юрист или, при съмнение относно вашия собствен статус, за компетентния надзорен орган.
Искате ли да знаете дали и как вашата организация ще се сблъска с тези изисквания чрез веригата? Направете безплатната проверка на NIS2 или прегледайте отговорите на често задавани въпроси за първа ориентация.