Kas turbe-teadlikkuse koolitamine on NIS2 alusel IKT-teenuste pakkujatele kohustuslik?
NIS2-direktiiv mainib teadlikkust ja koolitust selgesõnaliselt üheks abinõuks, mida artikkel 21 organisatsioonidelt nõuab küberriski maandamiseks. Oleavia või olulist olemit on see seega mitte jäätev soovitus, vaid osa riskimaandamise kohustusest, koos näiteks juurdepääsukontrolli ja juhtumite registreerimisega. IKT-teenusepakkujale, kes ise NIS2-s ei sisaldu, kuid kes hinnatakse tarnijana, ilmub küsimus sageli turvalisuse küsimustikus: kas te pakute koolitust, kellele ja kui sageli.
Oluline eristada: direktiivil on lisaks sellele abinõule ka eraldi säte, mis käsitleb konkreetselt juhtkonda. See on erinev kohustus, erineva eesmärgiga ja erineva sihtrühmaga. Kes neid kahte segusse ajab, alahindab sageli, mida organisatsiooni ülejäänud osalt nõutakse, või vastupidi, mida juhtkonnalt konkreetselt nõutakse.
Mida riskimaandamise kohustus organisatsioonilt nõuab
Artikli 21 kümme abinõud on sõnastatud riskipõhiselt: direktiiv ei kirjuta ette, mitu tundi koolitust, millise sagedusega või millise pakkujaga. Mis aga loeb, on see, et töötajad tungivad ära riskid, mis nende ametile asjakohased on. IKT-teenusepakkuja jaoks käib see sageli phishingu, parooliharjumuste, juurdepääsukontrolli käitlemise kliendiõngustele ja juhtumi äratundmise kohta. Järelevalveasutused vaatavad, kas abinõu teostamine on tõendatav, mitte fikseeritud miinimumtunnimaatust.
See teeb sellest ühe abinõutest, kus MKB-tarnija saab suhteliselt kiiresti midagi otstarbekast seada: lühike koolitusmoment, test, osavõtuõigus. Küsimus "kes selles osales ja millal" on täpselt see, mida ostja küsimustikus sageli näha soovib, ja täpselt see, mida elav dossiee hõlpsasti näidata saab.
Erinevus juhtkonna koolituskohustusest
Direktiiv seab oleavia või olulist olemaasutuse juhtkondale eraldi vastutuse. See säte on ette nähtud selleks, et juhtkonnaliikmed ise oleksid küberriski piisavalt teadlikud, et riskimaandamise abinõusid heaks kiita ja nende järgi valvata. See ei ole seega koolitamine kogu organisatsioonile, vaid kohustus, mis lasub juhtkonnale endale ja mis on eraldiseisev üldisest teadlikkuse abinõust töötajatele.
IKT-teenusepakkujale, kes ise ei ole kohustuslik, ei kohaldu see juhtkonna säte otseselt. Kuid praktikas küsib kohustuslik ostja mõnikord siiski edasi: mitte ainult seda, kas töötajad on koolitatud, vaid ka seda, kas juhtkond on piisavalt kaasatud turvalisuse poliitikasse. See kuulub siis tarnija hindamisse, mitte sellise tarnija enda seadusandliku kohustuse alla.
Mida see tähendab, kui teid rea kaudu takatakse
Kui teie organisatsioon ise NIS2-s ei sisaldu, kuid pakub teenuseid olemile, mis seda teeb, võib see kliente oma riskimaandamise kohustuse raames küsida teie koolituslähenemise kohta. Tavaliselt toimub see küsimustiku või lepingusätte kaudu, mitte seadusandliku kohustuse kaudu, mis lasuks otseselt teie peal. Erinevus on rohkem kui formaliteet: see määrab, kas olete kohustuslik või teete valikut, et vastata oma ostnija nõudele lepingu säilitamiseks. selgitus teema kohta näitab, kuidas see eristus ilmneb ka teiste abinõude puhul.
Kas teie organisatsioon takatakse rea kaudu ja millised kümmetest abinõutest on sellega asjakohased, saab paar küsimusi määrata. paar küsimust näha, kas ja kuidas see teie organisatsiooni takatakse annab selle kohta esimese indikatsioon, ilma et vajaksid kontot.
Koolituse fikseerimien tõendina
Seda, mis muudab koolituse väärtusliku failile, pole ainult sisu, vaid osavõtu registreerimine: kes osales, millal ja millise tulemusega. Osavõtutõend iga töötaja kohta, seotud staatuse ja vastutava isikuga, on täpselt selline tõendusmaterjal, mida turvalisuse küsimustikus küsitakse ja mis korduvate küsitluste puhul säästab uurimisvajadust. näha, kust see informatsioon pärineb selgitab, kuidas selline fail on üles ehitatud ja kuidas seda säilitatakse.
Richtlijn täpse sõnastuse kohta selles küsimuses ja teie olukorra jaoks kohaldatava riikliku rakendamise kohta on ametlik tekst määrav. Kui kahtlete, kas konkreetne nõue küsimustikus läheb kaugemale, kui ettevaatavuse kohustus mõistlikult nõuab, siis see on küsimus juristile või, kui kahtlete oma staatuse osas, pädevale järelevalveasutusele.
Kas soovite teada, kas ja kuidas satub teie organisatsioon keti kaudu nende nõuetega kokku? Tehke tasuta NIS2-kontroll või lehitsege vastused sagedasti esitatud küsimustele esmasel orienteerumiseks.