Je školení informovanosti o bezpečnosti povinné v instalatérském oboru?
Pokud vaše instalatérská společnost spadá pod směrnici NIS2, zvědomování zaměstnanců je součástí opatření, která vyžaduje vaše povinnost péče. Směrnice výslovně jmenuje vzdělávání a zvědomování jako součást opatření v oblasti kybernetické bezpečnosti, která musí podnikat kritická nebo důležitá entita. Kromě toho existuje samostatná povinnost zaměřená speciálně na vedoucí pracovníky, a tyto dvě povinnosti se v praxi často zaměňují.
Rozdíl spočívá v tom, kdo je povinen a jak stringentní je tato povinnost. U zaměstnanců obecně se směrnice odnáší na vhodná a přiměřená opatření, přičemž školení je jedním z pojmenovaných prvků v rámci širší povinnosti péče článku 21. U vedoucích pracovníků a dalších členů vedoucího orgánu existuje samostatná osobní povinnost absolvovat školení, aby mohli rozpoznat a posoudit kybernetická rizika. Nejedná se o dobrovolné doporučení, ale o požadavek na osoby odpovědné za schválení politiky.
Proč je toto rozlišení pro instalatérskou společnost relevantní
V instalatérské společnosti pracují montéři na místech, oddělení plánování, administrativní personál a obvykle jeden nebo několik vedoucích pracovníků, kteří vede den. Pro skupinu zaměstnanců se zvědomování zaměřuje především na rozpoznatelná rizika: e-maily podvádějící se za dodavatele nebo objednavatele, podezřelé žádosti o přihlašovací údaje a opatrné zacházení s přístupem k údajům o zákaznících a projektům na mobilních zařízeních v podnikových dodávkách. Povinnost péče vyžaduje, aby toto školení probíhalo pravidelně a abyste mohli prokázat, že se koná, ne že existuje stanoveného minimálního počtu hodin ročně.
U vedení nebo vlastníka společnosti je měřítko poněkud jiné. Tato osoba musí být schopna sama rozpoznat rizika a řádně schválit z nich plynoucí politiku. To neznamená, že ředitel musí být technickým expertem, ale že rozumí, jaká jsou hlavní rizika pro společnost a proč jsou určitá opatření nezbytná. Tato povinnost je nezávislá na tom, co se organizuje pro zaměstnance, a proto ji nelze nahradit například pouze běžným testem na phishing pro celý tým.
Co to znamená v praxi pro váš spis
Protože školení je součástí povinnosti péče, měl by s každou školící akcí souviset záznam: kdo se školení zúčastnil, kdy a jaký byl obsah. To platí jak pro obecné zvědomování zaměstnanců, tak pro školení, které absolvují vedoucí pracovníci. Pouhý e-mail s tipy se nepočítá jako doklad; seznam s účastníky, datem a předmětem se počítá. deset opatření povinnosti péče v přehledu poskytuje přehled o tom, kde školení přesně spadá a jak se vztahuje k ostatním povinnostem, jako je správa přístupu a registrace incidentů.
Pro společnosti, které jsou postiženy prostřednictvím řetězce, bez toho, aby byly samy povinnými subjekty, hraje toto téma také roli. Objednávající osoba, která sama spadá pod NIS2, může v seznamu bezpečnostních otázek zeptat, zda jsou zaměstnanci pravidelně informováni o kybernetických rizicích a zda je to zaznamenáno. Instalatérská společnost pracující jako subdodavatel pro energetickou společnost nebo nemocnici dostane tuto otázku často zpět, i když není sama povinna.
Zda vaše společnost sama spadá pod povinnost péče, pod povinnost vedení, nebo se s školením setkává pouze prostřednictvím objednavatele, závisí na sektoru, velikosti a roli v řetězci. v několika otázkách zjistit, kde vaše společnost stojí poskytuje tam první indicii s vysvětlením proč. Často kladené otázky ohledně toho, co přesně zahrnuje školení a zda je nutný certifikát, jsou shromážděny v často kladených otázkách.
Žádné školení bez dokumentace, žádná dokumentace bez spisu
Jádro pro instalační firmu je tedy jednoduché zapamatovat si: povědomí zaměstnanců je součástí širší péče o bezpečnost, školení vedoucích pracovníků je samostatná, osobní povinnost. Oboje vyžadují dokumentaci, kterou můžete předložit dozorčímu orgánu nebo objednavateli, který ji požaduje. Pro přesné znění a umístění v oficiálním textu vás odkazujeme na samotnou směrnici a na transpozici, která platí pro vaši zemi.
Chcete si vytvořit jasný přehled o tom, co je již ve vaší instalační firmě vyřešeno a co chybí? Začněte bezplatnou kontrolou NIS2 nebo vytvořte si obchodní účet, abyste vytvářeli spis jakmile víte, jaká opatření se vztahují na vaši situaci.