Er sikkerhedsbevidsthedstræning obligatorisk inden for installationsbranchen?
Hvis din installationsvirksomhed falder ind under NIS2-direktivet, skal medarbeidernes bevidsthed om cyberrisici indgå i de foranstaltninger, som omsorgspligten forventer af dig. Direktivet nævner uddannelse og bevidstgøring eksplicit som en del af de cybersikkerhedsforanstaltninger, som en vigtig eller kritisk enhed skal træffe. Derudover findes der en særskilt pligt, som specifikt retter sig mod ledere, og disse to bliver i praksis ofte blandet sammen.
Forskellen ligger i, hvem der bliver pålagt pligten, og hvor bindende den pligt er. For medarbeidere generelt taler direktivet om passende og proportionale foranstaltninger, hvor træning er ét af de nævnte elementer inden for den bredere omsorgspligt i artikel 21. For ledere og andre medlemmer af ledelsen gælder en egen, personlig pligt til selv at gennemgå træning for at kunne genkende og vurdere cyberrisici. Det er ikke blot et ikke-bindende råd, men et krav til de personer, der er ansvarlige for godkendelse af politikken.
Hvorfor denne skelnen er relevant for en installationsvirksomhed
I en installationsvirksomhed arbejder teknikere på stedet, en planlægningsafdeling, administrativt personale og normalt en eller nogle få ledelsesmedlemmer, der fører den daglige ledelse. For gruppen af medarbeidere handler bevidsthed især om genkendelige risici: phishing-e-mails, der udgiver sig for at være fra en leverandør eller opdragsgiver, mistænkelige anmodninger om loginoplysninger, og omhyggelig håndtering af adgang til kunde- og projektdata på mobile enheder i firmabiler. Omsorgspligten kræver, at denne slags træning forekommer regelmæssigt, og at du kan påvise, at det sker, ikke at der er et fastsat minimumsantal timer pr. år.
For ledelsen eller virksomhedsejer ligger målet et andet sted. Denne person skal selv være i stand til at genkende risici og godkende det politikker, der udspringer deraf. Det betyder ikke, at lederen skal blive en teknisk ekspert, men vel at han eller hun forstår, hvad de vigtigste risici for virksomheden er, og hvorfor bestemte foranstaltninger er nødvendige. Denne pligt står uafhængigt af det, der organiseres for medarbeidere, og kan derfor ikke erstattes af f.eks. kun en generel phishing-test for hele holdet.
Hvad det betyder i praksis for dit dossier
Fordi træning er en del af omsorgspligten, skal der ved hver træningsaktivitet foretages en registrering: hvem der har gennemgået træningen, hvornår, og hvad indholdet var. Det gælder både for medarbeideres generelle bevidsthed og for den træning, ledere gennemgår. En løs e-mail med tips tæller ikke som bevis; en oversigt med deltagere, dato og emne derimod. de ti foranstaltninger under omsorgspligten på en linje giver et overblik over, hvor træning præcist hører til, og hvordan det forhold sig til andre pligter såsom adgangskontrol og hændelsesregistrering.
For virksomheder, der bliver påvirket gennem leverandørkæden uden selv at være pålagt, spiller dette emne også en rolle. En ordregiver, der selv falder ind under NIS2, kan i et sikkerhedsspørgeskema spørge, om medarbeidere regelmæssigt gøres opmærksomme på cyberrisici, og om det er dokumenteret. En installationsvirksomhed, der arbejder som underleverandør for et energiselskab eller et hospital, får ofte dette spørgsmål tilbage, selv uden selv at være pålagt.
Om din virksomhed selv falder ind under omsorgspligten, under ledelsespligten, eller kun kommer til at håndtere træning via en ordregiver, afhænger af sektoren, størrelsen og rollen i leverandørkæden. få klarhed over, hvor dit firma står på få spørgsmål giver her en første indikation af, med forklaring på hvorfor. Hyppigt stillede spørgsmål om, hvad der præcist falder under træning, og om der er behov for et certifikat, er samlet ved de hyppigt stillede spørgsmål.
Ingen træning uden dokumentation, ingen dokumentation uden dossier
Kernepunktet for en installatørvirksomhed er således simpel at huske: medarbejderbevidstheden er en del af den bredere pligtedel, mens træning af ledere er en særskilt, personlig forpligtelse. Begge kræver en dokumentation, som du kan vise til en tilsynsmyndighed eller til en ordregiver, der spørger derom. For den præcise formulering og placeringen i den officielle tekst henviser vi til selve direktivet og til den nationale implementering, der gælder for dit land.
Vil du have et klart billede af, hvad der allerede er ordnet for din installatørvirksomhed, og hvad der stadig mangler? Start med den gratis NIS2-check eller opret en forretningskonto for at opbygge dossieret når du ved, hvilke foranstaltninger der gælder for din situation.