Είναι υποχρεωτική η κατάρτιση στη συνειδητοποίηση ασφαλείας για τους παρόχους υπηρεσιών ΤΠΕ σύμφωνα με το NIS2;
Η οδηγία NIS2 αναφέρει ρητά την ευαισθητοποίηση και την κατάρτιση ως ένα από τα μέτρα που ζητά το άρθρο 21 από τους οργανισμούς να διαχειριστούν τους κυβερνοκινδύνους. Για μια ουσιαστική ή σημαντική οντότητα, αυτό δεν είναι λοιπόν μη δεσμευτική συμβουλή αλλά μέρος της υποχρέωσης φροντίδας, μαζί με για παράδειγμα τον έλεγχο πρόσβασης και την καταγραφή περιστατικών. Για έναν πάροχο υπηρεσιών ΤΠΕ που δεν υπόκειται ο ίδιος στη NIS2, αλλά αξιολογείται ως προμηθευτής, το ερώτημα εμφανίζεται συχνά σε ένα ερωτηματολόγιο ασφάλειας: παρέχετε κατάρτιση, σε ποιους και πόσο συχνά.
Σημαντικό να γίνει διάκριση: η οδηγία, εκτός από αυτό το μέτρο, γνωρίζει επίσης ξεχωριστή διάταξη που αφορά ειδικά το ίδιο το διοικητικό σώμα. Αυτή είναι διαφορετική υποχρέωση, με διαφορετικό σκοπό και διαφορετική ομάδα-στόχο. Όποιος συγχέει τα δύο, συχνά υποεκτιμά τι ζητείται από τον υπόλοιπο οργανισμό ή ακριβώς τι ζητείται ειδικά από το διοικητικό σώμα.
Τι ζητά η υποχρέωση φροντίδας του οργανισμού
Τα δέκα μέτρα του άρθρου 21 διατυπώνονται με βάση τον κίνδυνο: η οδηγία δεν προβλέπει πόσες ώρες κατάρτισης, με ποια συχνότητα ή με ποιον προμηθευτή. Αυτό που έχει σημασία είναι ότι οι εργαζόμενοι αναγνωρίζουν τους κινδύνους που είναι σχετικοί για τη θέση τους. Για έναν πάροχο υπηρεσιών ΤΠΕ αυτό συχνά αφορά το phishing, τη συμπεριφορά κωδικών πρόσβασης, τη διαχείριση της πρόσβασης σε περιβάλλοντα πελατών και την αναγνώριση ενός περιστατικού. Οι ρυθμιστικές αρχές εξετάζουν εάν το μέτρο έχει εκτελεστεί με αποδείξεις, όχι εάν υπάρχει ένας καθορισμένος ελάχιστος αριθμός ωρών κατάρτισης.
Αυτό το κάνει ένα από τα μέτρα όπου ένας προμηθευτής ΜΜΕ μπορεί σχετικά γρήγορα να δημιουργήσει κάτι λογικό: ένα σύντομο στοιχείο κατάρτισης, ένα κουίζ, ένα πιστοποιητικό συμμετοχής. Το ερώτημα "ποιος το ακολούθησε και πότε" είναι ακριβώς αυτό που ένας αγοραστής σε ένα ερωτηματολόγιο συχνά θέλει να δει, και ακριβώς αυτό που ένα ζωντανό δοσσιέ μπορεί εύκολα να δείξει.
Η διαφορά με την υποχρέωση κατάρτισης του διοικητικού συμβουλίου
Η οδηγία ορίζει επιπλέον τη δική της ευθύνη στο διοικητικό σώμα μιας ουσιαστικής ή σημαντικής οντότητας. Αυτή η διάταξη προορίζεται να διασφαλίσει ότι οι διευθυντές έχουν οι ίδιοι αρκετή κατανόηση των κυβερνοκινδύνων για να μπορούν να εγκρίνουν τα μέτρα φροντίδας και να τα επιβλέπουν. Αυτό λοιπόν δεν είναι κατάρτιση για ολόκληρο τον οργανισμό, αλλά μια υποχρέωση που ισχύει στο ίδιο το διοικητικό σώμα και η οποία δεν σχετίζεται με το γενικό μέτρο ευαισθητοποίησης για τους εργαζόμενους.
Για έναν πάροχο υπηρεσιών ΤΠΕ που δεν υπόκειται ο ίδιος στη νομοθεσία, η διάταξη αυτή για το διοικητικό σώμα δεν ισχύει άμεσα. Αλλά στην πράξη, ένας υπόχρεος αγοραστής ενίοτε κάνει περαιτέρω ερωτήσεις: όχι μόνο εάν οι εργαζόμενοι έχουν καταρτιστεί, αλλά και εάν η διοίκηση είναι αρκετά εμπλεκόμενη στην πολιτική ασφάλειας. Αυτό αποτελεί μέρος της αξιολόγησης του προμηθευτή, όχι δικής του νόμιμης υποχρέωσης.
Τι σημαίνει αυτό εάν έρχεστε σε επαφή μέσω της αλυσίδας εφοδιασμού
Εάν ο οργανισμός σας δεν υπόκειται ο ίδιος στη NIS2 αλλά παρέχει υπηρεσίες σε μια οντότητα που υπόκειται, ο πελάτης σας μπορεί στο πλαίσιο της δικής του υποχρέωσης φροντίδας να ζητήσει από εσάς πληροφορίες σχετικά με την προσέγγιση κατάρτισής σας. Αυτό συμβαίνει συνήθως μέσω ενός ερωτηματολογίου ή της αλλαγής του συμβολαίου, όχι μέσω μιας νόμιμης υποχρέωσης που ασκείται άμεσα σε εσάς. Η διαφορά είναι περισσότερο από τυπική: καθορίζει εάν είστε υπόχρεοι ή εάν κάνετε μια επιλογή να πληفορείτε τις απαιτήσεις του αγοραστή σας για να διατηρήσετε το συμβόλαιο. διαβάστε την εξήγηση ανά θέμα δείχνει πώς αυτή η διάκριση επαναφέρεται και σε άλλα μέτρα.
Εάν ο οργανισμός σας έρχεται σε επαφή μέσω της αλυσίδας εφοδιασμού, και ποια από τα δέκα μέτρα είναι σχετικά, μπορεί να προσδιοριστεί με μερικές ερωτήσεις. σε μερικές ερωτήσεις δείτε εάν και πώς αυτό σας επηρεάζει παρέχει μια πρώτη ένδειξη για αυτό, χωρίς να χρειάζεστε λογαριασμό.
Τεκμηρίωση κατάρτισης ως απόδειξη
Αυτό που κάνει μια εκπαίδευση πολύτιμη για ένα δοσιέ δεν είναι μόνο το περιεχόμενο, αλλά η καταγραφή: ποιος έχει συμμετάσχει, πότε και με ποιο αποτέλεσμα. Ένα πιστοποιητικό συμμετοχής ανά υπάλληλο, συνδεδεμένο με μια κατάσταση και έναν ιδιοκτήτη, είναι ακριβώς το είδος του αποδεικτικού στοιχείου που ζητείται σε ένα ερωτηματολόγιο κυβερνοασφάλειας και που σε περιπτώσεις επανάληψης εξοικονομεί έρευνα. δείτε από πού προέρχονται αυτές οι πληροφορίες εξηγεί πώς δημιουργείται ένα τέτοιο δοσιέ και πώς διατηρείται.
Για τη ακριβή διατύπωση της Οδηγίας σε αυτό το σημείο και για τη εθνική μεταφορά που ισχύει για την κατάστασή σας, το επίσημο κείμενο είναι καθοριστικό. Εάν αμφιβάλλετε ή μια συγκεκριμένη απαίτηση σε ένα ερωτηματολόγιο υπερβαίνει αυτό που η υποχρέωση δίλιγης προσοχής λογικά απαιτεί, αυτή είναι μια ερώτηση για έναν δικηγόρο ή, εάν υπάρχει αμφιβολία για τη δική σας κατάσταση, για την αρμόδια αρχή εποπτείας.
Θέλετε να μάθετε εάν και πώς η οργάνωσή σας μέσω της αλυσίδας αντιμετωπίζει αυτές τις απαιτήσεις; Κάντε τον δωρεάν έλεγχο NIS2 ή περιηγηθείτε τις απαντήσεις σε συχνές ερωτήσεις για έναν πρώτο προσανατολισμό.