Er sikkerhedsbevidsthedsundervisning obligatorisk for ICT-tjenesteudbydere under NIS2?
NIS2-direktivet nævner bevidsthed og træning eksplicit som ét af de tiltag, som artikel 21 kræver af organisationer for at styre cyberrisici. For en væsentlig eller vigtig enhed er dette således ikke valgfrit råd, men en del af forsvarlighedspligten sammen med f.eks. adgangskontrol og hændelsesregistrering. For en IKT-tjenesteudbyder, der ikke selv falder under NIS2, men bliver vurderet som leverandør, kommer spørgsmålet ofte igen i et sikkerhedsspørgeskema: udbyder I træning, til hvem, og hvor ofte.
Det er vigtigt at skelne: direktivet har ud over dette tiltag også en særskilt bestemmelse, der specifikt handler om ledelsen selv. Det er en anden pligt med et andet formål og en anden målgruppe. Hvis man blander de to sammen, undervurderer man ofte, hvad der kræves af resten af organisationen, eller omvendt hvad der specifikt kræves af ledelsen.
Hvad organisationens forsvarlighedspligt kræver
De ti tiltag fra artikel 21 er formuleret på risikobasis: direktivet foreskriver ikke, hvor mange timers træning, med hvilken hyppighed eller hos hvilken leverandør. Hvad der betyder noget, er, at medarbejdere genkender de risici, der er relevante for deres funktion. For en IKT-tjenesteudbyder drejer det sig ofte om phishing, adgangskodeopførsel, håndtering af adgang til kundemiljøer og genkendelse af en hændelse. Tilsynsmyndighederne ser herved på, om tiltaget er påviseligt gennemført, ikke på et fastlagt minimumantal træningslektioner.
Dette gør det til ét af de tiltag, hvor en lille eller mellemstor leverandør relativt hurtigt kan etablere noget meningsfuldt: et kort træningsmoment, en test, et deltagelsesbevis. Spørgsmålet "hvem fulgte dette og hvornår" er præcis det, som en afnemer ofte ønsker at se i et spørgeskema, og præcis det, som et levende register nemt kan vise.
Forskellen til træningspligten for ledelsen
Direktivet pålægger desuden ledelsen i en væsentlig eller vigtig enhed et eget ansvar. Denne bestemmelse sigter mod at sikre, at ledere selv har tilstrækkelig indsigt i cyberrisici til at kunne godkende forsvarlighedstiltag og føre tilsyn med dem. Dette er således ikke træning for hele organisationen, men en pligt, der påhviler ledelsen selv, og som er adskilt fra det almene bevidsthedstiltag for medarbejdere.
For en IKT-tjenesteudbyder, der ikke selv er underlagt pligter, gælder denne ledelsesbestemmelse ikke direkte. Men i praksis spørger en underlagt afnemer nogle gange alligevel videre: ikke blot om medarbejdere er trænet, men også om ledelsen er tilstrækkelig involveret i sikkerhedspolitikken. Det hører så til under vurderingen af leverandøren, ikke under en egen juridisk pligt for denne leverandør.
Hvad det betyder, hvis Deres organisation bliver påvirket gennem leverandørkæden
Hvis Deres organisation ikke selv falder under NIS2, men leverer tjenester til en enhed, der gør det, kan denne kunde i forbindelse med sin egen forsvarlighedspligt spørge til Deres træningsmetode. Dette sker normalt via et spørgeskema eller kontraktbestemmelse, ikke via en juridisk pligt, der direkte påhviler Dem. Forskellen er mere end en formalitet: den bestemmer, om De er underlagt en pligt, eller om De træffer et valg for at opfylde Deres kundes krav for at bevare kontrakten. læs forklaringen pr. emne viser, hvordan denne skelnen også dukker op ved andre tiltag.
Om Deres organisation påvirkes gennem leverandørkæden, og hvilke af de ti tiltag, der er relevante, kan bestemmes med nogle få spørgsmål. se på få spørgsmål, om og hvordan dette påvirker Deres organisation giver en første indikation heraf, uden at De har brug for en konto.
dokumenter træning som bevis
Det, som gør en træning værdifuld for et dossier, er ikke indholdet alene, men registreringen: hvem der har deltaget, hvornår, og med hvilket resultat. Et deltagerbevis pr. medarbejder, knyttet til en status og en ejer, er præcis den slags bevisstykke, som efterspørges i et spørgeskema om cybersikkerhed, og som ved gentagelse sparer arbejde med undersøgelser. se hvor disse oplysninger kommer fra forklarer hvordan sådan et dossier er struktureret, og hvordan det vedligeholdes.
For den præcise ordlyd af direktivet på dette punkt, og for den nationale transponering, der gælder for jeres situation, er den officielle tekst vejledende. Hvis I er i tvivl om, hvorvidt et bestemt krav i et spørgeskema går videre end det, som risikostyringspligten med rimelighed kræver, er det et spørgsmål til en jurist, eller ved tvivl om jeres egen status, til den kompetente tilsynsmyndighed.
Vil I vide, om og hvordan jeres organisation via værdirekken kommer til at have med disse krav at gøre? Gennemfør den gratis NIS2-check, eller gennemse svarene på hyppigt stillede spørgsmål til en første orientering.