Είναι υποχρεωτική η κατάρτιση ενημέρωσης ασφαλείας στον κλάδο εγκαταστάσεων;
Εάν η εταιρεία εγκαταστάσεών σας υπάγεται στην Οδηγία NIS2, η ενημέρωση των εργαζομένων αποτελεί μέρος των μέτρων που απαιτεί από σας το καθήκον φροντίδας. Η Οδηγία αναφέρει ρητώς την κατάρτιση και την ενημέρωση ως στοιχείο των μέτρων κυβερνοασφάλειας που πρέπει να λάβει μια κρίσιμη ή σημαντική οντότητα. Επιπλέον, υπάρχει ξεχωριστή υποχρέωση που απευθύνεται ειδικά στα διοικητικά στελέχη και οι δύο συχνά συγχέονται στην πράξη.
Η διαφορά έγκειται στο ποιος υπόκειται στην υποχρέωση και πόσο δεσμευτική είναι αυτή η υποχρέωση. Για τους εργαζόμενους γενικά, η Οδηγία αναφέρεται σε κατάλληλα και αναλογικά μέτρα, στα οποία η κατάρτιση είναι ένα από τα αναφερόμενα στοιχεία στο πλαίσιο του ευρύτερου καθήκοντος φροντίδας του άρθρου 21. Επιπλέον, υπάρχει μια ξεχωριστή, προσωπική υποχρέωση για τα διοικητικά στελέχη και άλλα μέλη του διοικητικού οργάνου να ακολουθήσουν κατάρτιση για να μπορέσουν να αναγνωρίσουν και να αξιολογήσουν τους κυβερνητικούς κινδύνους. Δεν πρόκειται για μη δεσμευτική συμβουλή, αλλά για απαίτηση που αφορά τα πρόσωπα που είναι υπεύθυνα για την έγκριση της πολιτικής.
Γιατί αυτή η διάκριση είναι σχετική για μια εταιρεία εγκαταστάσεων
Σε μια εταιρεία εγκαταστάσεων εργάζονται τεχνικοί που δραστηριοποιούνται στο χώρο, ένα τμήμα σχεδιασμού, διοικητικό προσωπικό και συνήθως ένα ή λίγα διοικητικά στελέχη που ασκούν την καθημερινή διοίκηση. Για τη ομάδα των εργαζομένων, η ενημέρωση περιστρέφεται γύρω από αναγνωρίσιμους κινδύνους: μηνύματα ηλεκτρονικής αλληλογραφίας που παριστάνουν τον εαυτό τους ως προμηθευτή ή ανάδοχο, ύποπτα αιτήματα για διαπιστευτήρια σύνδεσης και προσεκτικός χειρισμός της πρόσβασης σε δεδομένα πελατών και έργων σε κινητές συσκευές σε εταιρικά οχήματα. Το καθήκον φροντίδας απαιτεί αυτό το είδος κατάρτισης να πραγματοποιείται περιοδικά και να μπορείτε να αποδείξετε ότι συμβαίνει, όχι ότι υπάρχει προκαθορισμένος ελάχιστος αριθμός ωρών ανά έτος.
Για τη διοίκηση ή τον ιδιοκτήτη της εταιρείας, το ύψος του κατωφλιού είναι κάπως διαφορετικό. Αυτό το πρόσωπο πρέπει από μόνο του να είναι σε θέση να αναγνωρίσει τους κινδύνους και να εγκρίνει σωστά την πολιτική που προκύπτει από αυτούς. Αυτό δεν σημαίνει ότι ο διοικητής πρέπει να γίνει τεχνικός ειδικός, αλλά ότι κατανοεί ποιοι είναι οι κύριοι κίνδυνοι για την εταιρεία και γιατί ορισμένα μέτρα είναι απαραίτητα. Αυτή η υποχρέωση είναι ανεξάρτητη από αυτό που οργανώνεται για τους εργαζόμενους και επομένως δεν μπορεί να αντικατασταθεί, για παράδειγμα, μόνο με ένα γενικό τεστ phishing για ολόκληρη την ομάδα.
Τι αυτό σημαίνει στην πράξη για το δοσιέ σας
Επειδή η κατάρτιση είναι μέρος του καθήκοντος φροντίδας, η τεκμηρίωση πρέπει να συνοδεύει κάθε δραστηριότητα κατάρτισης: ποιος ακολούθησε την κατάρτιση, πότε και ποια ήταν το περιεχόμενο. Αυτό ισχύει τόσο για τη γενική ενημέρωση των εργαζομένων όσο και για την κατάρτιση που ακολουθούν τα διοικητικά στελέχη. Ένα απλό μήνυμα ηλεκτρονικής αλληλογραφίας με συμβουλές δεν θεωρείται ως αποδεικτικό στοιχείο· ένας κατάλογος με συμμετέχοντες, ημερομηνία και θέμα, ωστόσο, θεωρείται. τα δέκα μέτρα του καθήκοντος φροντίδας σε σειρά παρέχει μια επισκόπηση του πού η κατάρτιση εντάσσεται με ακρίβεια και πώς σχετίζεται με άλλες υποχρεώσεις όπως ο έλεγχος πρόσβασης και η εγγραφή περιστατικών.
Για εταιρείες που επηρεάζονται μέσω της αλυσίδας προσφοράς, χωρίς να υπόκεινται στη δική τους υποχρέωση, το θέμα αυτό διαδραματίζει επίσης ένα ρόλο. Ένας ανάδοχος που υπόκειται στη δική του NIS2, μπορεί να ρωτήσει σε έναν κατάλογο ερωτήσεων ασφάλειας εάν οι εργαζόμενοι ενημερώνονται τακτικά για τους κυβερνητικούς κινδύνους και εάν αυτό έχει τεκμηριωθεί. Μια εταιρεία εγκαταστάσεων που λειτουργεί ως υπεργολάβος για μια εταιρεία ενέργειας ή ένα νοσοκομείο λαμβάνει αυτή την ερώτηση συχνά, ακόμη και χωρίς να υπόκειται στη δική της υποχρέωση.
Το εάν η εταιρεία σας υπόκειται ίδια στο καθήκον φροντίδας, στην υποχρέωση της διοίκησης, ή μόνο εμπλέκεται σε κατάρτιση μέσω ενός αναδόχου, εξαρτάται από τον κλάδο, την πληθυσμιακή δυναμική και το ρόλο στην αλυσίδα προσφοράς. σε μερικές ερωτήσεις δούμε πού βρίσκεται η επιχείρησή σας δίνει μια πρώτη ένδειξη σχετικά με αυτό, με εξήγηση για το λόγο. Συχνές ερωτήσεις σχετικά με το τι ακριβώς περιλαμβάνεται στην εκπαίδευση και εάν απαιτείται πιστοποιητικό, συγκεντρώνονται στις συχνές ερωτήσεις.
Καμία εκπαίδευση χωρίς τεκμηρίωση, καμία τεκμηρίωση χωρίς φάκελο
Το κύριο σημείο για ένα εγκαταστάσιμο επιχείρηση είναι λοιπόν απλό να θυμηθείτε: η ευαισθητοποίηση των υπαλλήλων είναι μέρος της ευρύτερης υποχρέωσης προσοχής, η εκπαίδευση των διευθυντών είναι μια ξεχωριστή, προσωπική υποχρέωση. Και οι δύο απαιτούν τεκμηρίωση που μπορείτε να παρουσιάσετε σε έναν ρυθμιστικό φορέα ή σε έναν πελάτη που το ζητά. Για τη σωστή διατύπωση και τη θέση στο επίσημο κείμενο, σας παραπέμπουμε στην ίδια την Οδηγία και στη εθνική μεταφορά που ισχύει για τη χώρα σας.
Θέλετε να έχετε σαφή εικόνα για τη δική σας εγκαταστάσιμη επιχείρηση για το τι έχει ήδη ρυθμιστεί και τι λείπει; Ξεκινήστε με τον δωρεάν έλεγχο NIS2 ή δημιουργήστε έναν επαγγελματικό λογαριασμό για να δημιουργήσετε το φάκελο μόλις γνωρίζετε ποια μέτρα ισχύουν για την κατάστασή σας.