Má bezpečnostní povědomostní školení povinný charakter pro poskytovatele ICT služeb podle NIS2?
Směrnice NIS2 explicitně zmiňuje povědomí a školení jako jedno z opatření, která článek 21 od organizací vyžaduje k řízení kybernetických rizik. Pro podstatný nebo důležitý subjekt se nejedná o nepovinné doporučení, ale o součást povinné péče, spolu například se kontrolou přístupu a registrací incidentů. Pro poskytovatele ICT služeb, který sám pod NIS2 nepadá, ale je posuzován jako dodavatel, se otázka často vrací v bezpečnostním dotazníku: poskytujete školení, komu a jak často.
Důležité je rozlišit: směrnice kromě tohoto opatření obsahuje také samostatné ustanovení, které se konkrétně vztahuje na samotný orgán vedení. Jde o jinou povinnost s jiným cílem a jinou cílovou skupinou. Kdo tyto dvě pojí dohromady, často podceňuje, co se požaduje od zbytku organizace, nebo právě naopak, co se konkrétně vyžaduje od vedení.
Co povinná péče organizace vyžaduje
Deset opatření z článku 21 jsou formulována na základě rizika: směrnice nepředepisuje, kolik hodin školení, jakou frekvenci nebo kterého poskytovatele. Co se počítá, je to, že zaměstnanci rozpoznají rizika, která jsou relevantní pro jejich funkci. U poskytovatele ICT služeb jde často o phishing, chování v souvislosti s hesly, správu přístupu do prostředí klientů a rozpoznání incidentu. Dohledové orgány přitom sledují, zda je opatření prokazatelně provedeno, nikoli zda je zaznamenán minimální počet hodin školení.
To z toho dělá jedno z opatření, kde dodavatel MKB může relativně rychle nastavit něco smysluplného: krátký vzdělávací moment, test, certifikát účasti. Otázka "kdo se toho účastnil a kdy" je přesně to, co chce vidět odběratel v dotazníku, a přesně to, co živý spis snadno může prokázat.
Rozdíl od školící povinnosti vedení
Směrnice také klade samostatnou odpovědnost na vedoucí orgán podstatného nebo důležitého subjektu. Toto ustanovení má zajistit, aby vedoucí představitelé sami měli dostatečný přehled o kybernetických rizicích, aby mohli schvalovat opatření povinné péče a dohlížet na ně. Nejde tedy o školení pro celou organizaci, ale o povinnost spočívající na samotném vedení a která je oddělena od obecného opatření na zvýšení povědomí pro zaměstnance.
Pro poskytovatele ICT služeb, který sám není vázán povinnostmi, toto ustanovení vedení přímo neplatí. Ale v praxi se někdy zavázaný odběratel dále ptá: nejen zda jsou zaměstnanci školeni, ale také zda je vedení dostatečně zapojeno do bezpečnostní politiky. To pak patří k posuzování dodavatele, nikoli k vlastní právní povinnosti takového dodavatele.
Co to znamená, když je vaše organizace postižena prostřednictvím dodavatelského řetězce
Pokud vaše organizace sama pod NIS2 nepadá, ale poskytuje služby subjektu, který pod ní padá, může vám tento zákazník v rámci své povinné péče položit otázku na váš přístup ke školení. Obvykle se to děje prostřednictvím dotazníku nebo smluvního ustanovení, nikoli prostřednictvím právní povinnosti, která by na vás přímo doléhala. Rozdíl je více než formální: určuje, zda jste vázáni povinností, nebo si vybíráte splnit požadavek svého odběratele, abyste si udrželi smlouvu. přečtěte si vysvětlení pro každé téma ukazuje, jak se tento rozdíl objevuje také u ostatních opatření.
Zda je vaše organizace postižena prostřednictvím dodavatelského řetězce a která z deseti opatření jsou v tom relevantní, lze určit pomocí několika otázek. v několika otázkách zjistěte, zda a jak to vaši organizaci postihuje poskytuje první orientaci bez toho, aby jste pro to potřebovali účet.
Zaznamenat školení jako důkaz
To, co činí školení cenným pro soubor, není pouze obsah, ale registrace: kdo se zúčastnil, kdy a s jakým výsledkem. Certifikát účasti pro každého zaměstnance, propojený se stavem a vlastníkem, je přesně typ dokladu, který se vyžaduje v bezpečnostním dotazníku a který při opakovaném používání šetří vyšetřovací práci. vidět, odkud tyto informace pocházejí vysvětluje, jak je takový soubor strukturován a jak se udržuje.
Pro přesné znění směrnice v tomto bodě a pro národní transpozici, která se vztahuje na vaši situaci, je směrodatný oficiální text. Máte-li pochybnosti o tom, zda konkrétní požadavek v dotazníku jde dále, než co povinnost péče přiměřeně vyžaduje, jedná se o otázku pro právníka nebo, v případě pochybností o vlastním postavení, pro příslušný dohledový orgán.
Chcete vědět, zda a jak vaše organizace prostřednictvím dodavatelského řetězce s těmito požadavky souvisí? Proveďte bezplatnou NIS2-kontrolu nebo si projděte odpovědi na často kladené otázky pro první orientaci.