Sikkerhedsbevidstheds-træning i softwareudvikling er ikke et separat kapitel i direktivet, men følger af omsorgspligten: forpligtelsen til at gennemføre passende tekniske og organisatoriske foranstaltninger mod risici for net- og informationssystemer. Medarbejdernes bevidsthed er én af de foranstaltninger, der falder herunder, fordi en stor del af hændelserne begynder med menneskelig fejl: en phishing-e-mail, der åbnes, en adgangskode, der deles, en forkert konfigureret adgang, som ingen bemærker.
Desuden er der i direktivet en anden, separat forpligtelse, der ikke handler om medarbejdere, men om ledelsen selv: den skal selv også trænes og skal føre tilsyn med etablering af cybersikkerhed inden for organisationen. Det er en anden pligt end træningsforpligtelsen for personalet, med et andet formål og et andet ansvar. For et softwarefirma, der falder under omsorgspligten, eller som møder NIS2-krav via en klient, er skelnen mellem disse to niveauer præcis hvor meget forvirring opstår.
Hvad omsorgspligten kræver af organisationen
Omsorgspligten beskriver intet fast træningsprogram med et minimumsantal timer eller en obligatorisk leverandør. Hvad direktivet derimod kræver, er, at en organisation kan påvise, at den har opmærksomhed på sikkerhedsbevidstheds som en del af sin risikostyring. I praksis betyder det: medarbejdere, der arbejder med kode, kundedata eller produktionsmiljøer, skal vide, hvad social engineering er, hvordan de genkender en mistænkelig anmodning, og hvad de gør, hvis de er i tvivl.
For et softwarefirma ligger fokus ofte på et par specifikke risici, der ikke gælder alle små og mellemstore virksomheder: adgang til kildekode, hemmeligheder i konfigurationsfiler og fristelsen til at sikre testmiljøer mindre strengt end produktion. Et bevidsthedsprogram, der kun advarer mod phishing-e-mails, men intet siger om deling af en API-nøgle i en chatbesked, mister netop den risiko, der oftest går galt i udviklingskæden. Hvem der ønsker at dokumentere dette systematisk, finder i oversigten over emner pr. sektor hvordan andre foranstaltninger fra omsorgspligten forbinder hermed, såsom adgangskontrol og hændelsesregistrering.
Ledelsens særskilte pligt
Ud over træningsforpligtelsen for personalet pålægger direktivet ledelsen et eget ansvar: den skal selv have tilstrækkelig viden til at kunne vurdere de foranstaltninger, der er truffet, og skal kunne vurdere de risici, der er forbundet med organisationen. Dette er ikke et tillæg til medarbejdertræning, men en selvstændig forpligtelse, rettet mod den, som har det endelige ansvar.
Denne skelnen er relevant, fordi den ofte overses: en virksomhed etablerer e-learning for alle medarbejdere og tror dermed også at have opfyldt ledelsespligten. Eller direktøren for et softwarefirma går ud fra, at egen teknisk baggrund er tilstrækkelig, uden at noget er dokumenteret. Begge situationer viser et hul mellem, hvad der faktisk sker, og hvad der er dokumenteret organiseret. For den præcise udfyldning af denne forpligtelse, og for hvad der er landspecifikt fastslået i den nationale gennemførelse, er direktivets officielle tekst udgangspunktet; vi registrerer i videnbasen, hvilke publikationer vi har set og hvornår.
Hvad det betyder for et softwarefirma i praksis
Et softwareselskab, der selv er omfattet af debido diligence-forpligtelsen, eller som modtager et sikkerhedsspørgeskema fra en klient, der er det, får normalt to slags spørgsmål samtidigt: om der er et bevidsthedsprogram for medarbejdere, og om ledelsen selv har gennemgået eller arrangeret træningsaktiviteter. Den, der kun kan påvise det første, lader et påkrævede spørgsmål på papiret ubesvaret, som spørgeskemaet faktisk stiller.
For at fastslå, om og i hvilken rolle dette er relevant for jeres organisation, er det først og fremmest nyttigt at kortlægge sektoren, omfanget og jeres placering i værdikæden. Det er præcis det, som den gratis NIS2-tjek starter med: i et par spørgsmål bliver det klart, om en organisation selv er omfattet af lovkravet, kun bliver påvirket gennem en klient, eller ingen af delene.
Dokumentering: bevis og ansvarlig
En træningsforpligtelse, der kun eksisterer i menneskers hoveder, kan ikke påvises under kontrol eller ved et spørgeskema. Det, der virker, er for hver forpligtelse at dokumentere en status, et bevis og en ansvarlig: hvornår har hvilken gruppe medarbejdere gennemgået hvilken træning, og har der været et særskilt moment, hvor ledelsen blev informeret om de trufne foranstaltninger og organisationens risici. Begge dele hører hjemme i et dossier, ikke i to løse e-mails.
Hyppigt forekommende usikkerheder om præcis, hvad der falder ind under træningsforpligtelsen, og hvordan det forholder sig til andre foranstaltninger fra debido diligence-forpligtelsen, er udarbejdet i ofte stillede spørgsmål. Her læser du også, hvordan secria.eu vedligeholder kilder og hvornår en side blev kontrolleret senest, som kan findes via forklaringen af, hvordan informationen opbygges.
Ønsker du først at vide, om dette emne er relevant for jeres organisation, eller kun når det kommer til dig gennem en klient? Udfør den gratis NIS2-kontrol eller gennemse emnerne; begge kan konsulteres uden konto og giver straks et konkret næste skridt.