proč potřebuji certifikát o účasti na školení kybernetické bezpečnosti

Doklad o zařízení kyberbezpečnostní hygieny a školení

Doklad o účasti slouží jako důkaz, že školení zaměstnanců skutečně proběhlo, a to je přesně to, co vyžaduje jak vlastní správa, tak bezpečnostní dotazník od zákazníka. Kyberbezpečnost se netýká pouze techniky, ale také lidí, kteří vědí, jak rozpoznat phishing, spravovat hesla a hlásit incidenty. Školení je proto jednou z opakujících se součástí odpovídajícího postupu a doklad o účasti je hmotným výsledkem, kterým lze školení prokázat — nejen vůči dohledovému orgánu, ale také vůči zadavateli, který požaduje zdůvodnění.

Pro subjekty v souladu s povinnostmi patří doklad o účasti k důkazu, který musí být poskytnut pro každé bezpečnostní opatření: ne samotné opatření ("provádíme školení zaměstnanců"), ale konkrétní důkaz, že k němu skutečně došlo, s jménem, datem a tématem. Pro dodavatele MSP zasažené řetězcem, které se samy právního předpisu nepovinně řídí, je to stejně relevantní: kdo musí vyplnit bezpečnostní dotazník od zákazníka často dostane právě tuto otázku, protože zadavatel musí být schopen prokázat, že je i řetězec dostatečně odolný. Bez dokladu o účasti zůstává "provádíme školení zaměstnanců" tvrzením bez zdůvodnění, a to zpravidla nestačí.

Kde to vyplývá z povinnosti péče

Článek 21 odstavec 2 směrnice NIS2 uvádí mezi deseti povinnými opatřeními explicitně základní kyberbezpečnostní hygienu a školení v oblasti kyberbezpečnosti jako součást odpovídajícího postupu, což se v Zákoně o kyberbezpečnosti přejímá jako české provedení. ISO/IEC 27001 to dále rozpracovává v příloze A jako opatření týkající se povědomí a školení zaměstnanců, přičemž prokazatelnost — tedy záznam o tom, kdo kdy jaké školení absolvoval — je opakujícím se prvkem. NCSC ve své informační činnosti o odpovídajícím postupu zdůrazňuje, že opatření nesmí být pouze přijata, ale také mají být prokázatelná.