Onko tietoturvakoulutus pakollista asennusalalla?
Jos asennusyrityksesi kuuluu NIS2-direktiivin piiriin, työntekijöiden tietoisuus on osa huolellisuusvelvollisuuden edellyttämiä toimenpiteitä. Direktiivi mainitsee koulutuksen ja tietoisuuden eksplisiittisesti osana kyberturvatoimenpiteitä, jotka kriittisen tai tärkeän entiteetin on toteutettava. Lisäksi on erillinen velvollisuus, joka kohdistuu erityisesti johtajiin, ja nämä kaksi sekoitetaan käytännössä usein keskenään.
Ero on siinä, ketä velvoitetaan ja kuinka sitova velvollisuus on. Direktiivi puhuu työntekijöistä yleensä sopivista ja oikeasuhteisista toimenpiteistä, joissa koulutus on yksi nimetyn elementin 21 artiklan laajemman huolellisuusvelvollisuuden sisällä. Johtajille ja leimaavalle elimelle kuuluville muille jäsenille on erillinen, henkilökohtainen velvollisuus osallistua koulutukseen kyberriskejen tunnistamiseksi ja arvioimiseksi. Tämä ei ole vapaaehtoinen neuvonta, vaan vaatimus niille henkilöille, jotka vastaavat politiikan hyväksymisestä.
Miksi tämä eroavaisuus on merkityksellinen asennusyritykselle
Asennusyrityksessä montöörit työskentelevät paikan päällä, on suunnitteluosasto, hallintohenkkilökunta ja yleensä yksi tai muutama johtaja, joka johtaa päivittäistä toimintaa. Työntekijöiden ryhmälle tietoisuus kohdistuu pääasiassa tunnistettaviin riskeihin: kalastelu-sähköposteihin, jotka esittäytyvät toimittajiksi tai tilaajiksi, epäilyttäviin pyyyntöihin kirjautumistiedoista ja varovaiseen käsittelyyn asiakas- ja projektitietoihin, jotka sijaitsevat mobiililaatteilla yritysautoissa. Huolellisuusvelvollisuus edellyttää, että tämäntyyppinen koulutus tapahtuu säännöllisesti ja että voit osoittaa, että se tapahtui, ei että on olemassa vahvistettua vuotuista vähimmäistuntimäärää.
Johto tai yrityksen omistaja on asetettu eri tavalla. Tämän henkilön on itse oltava kykenevä tunnistamaan riskit ja hyväksymään siitä seuraavan politiikan asianmukaisesti. Tämä ei tarkoita sitä, että johtajan olisi oltava tekninen asiantuntija, mutta hänen on ymmärrettävä, mitkä ovat yrityksen tärkeimmät riskit ja miksi tiettyjä toimenpiteitä tarvitaan. Tämä velvollisuus on erillinen siitä, mitä työntekijöille järjestetään, eikä sitä voida korvata esimerkiksi vain yleisellä tietojenkalastelutestillä koko tiimille.
Mitä tämä käytännössä tarkoittaa dossieraasi
Koska koulutus on osa huolellisuusvelvollisuutta, jokaisen koulutustoiminnan yhteydessä on oltava dokumentaatio: ketkä osallistuivat koulutukseen, milloin ja mikä oli sisältö. Tämä koskee sekä työntekijöiden yleistä tietoisuutta että johtajien saamaa koulutusta. Irronnainen sähköposti neuvoilla ei ole todisteeksi; osallistujien, päivämäärän ja aiheen luettelo kyllä. huolellisuusvelvollisuuden kymmenen toimenpidettä riveittäin antaa yleiskatsauksen siitä, mihin koulutus täsmälleen kuuluu ja miten se liittyy muihin velvollisuuksiin, kuten pääsynhallintaan ja tapausten rekisteröintiin.
Yrityksille, joita ketjussa kosketetaan ilman, että ne ovat itse velvollisia, tämä aihe on myös merkityksellinen. Tilaaja, joka itse kuuluu NIS2:n piiriin, voi turvallisuuskysymysluettelossa kysyä, tiedostetaanko työntekijät säännöllisesti kyberriskeistä ja dokumentoidaanko se. Asennusyritys, joka toimii alihankkijana energia- tai sairaalalle, saa tämän kysymyksen usein takaisin, vaikka se ei itse olisi velvollinen.
Se, kuuluuko yrityksesi itse huolellisuusvelvollisuuden piiriin, johtajien velvollisuuksiin vai saako koulutukseen liittyen yhteyden vain tilaajan kautta, riippuu sektorista, koosta ja roolista ketjussa. muutamalla kysymyksellä näet, missä yrityksenne sijaitsee antaa siitä ensimmäisen viitteen, sekä selityksen miksi. Usein kysytyt kysymykset siitä, mitä koulutukseen tarkalleen ottaen sisältyy ja onko sertifikaattia tarpeen, on koottu yhteen usein kysytyissä kysymyksissä.
Ei koulutusta ilman dokumentointia, ei dokumentointia ilman dossieeta
Asennusliiketoiminnalle ytimen muistamisesta on siis helppo asia: työntekijöiden tietoisuus on osa laajempaa due diligence -velvoitetta, johtajien koulutus on erillinen, henkilökohtainen velvoite. Molemmat edellyttävät dokumentointia, jonka voit esittää valvontaviranomaiselle tai asiakkaalle, joka sitä pyytää. Tarkkaa sanamuotoa ja sen sijaintia virallisessa tekstissä varten ohjaamme sinut itse direktiiviin ja kansalliseen implementaatioon, joka pätee omassa maassasi.
Haluatko selkeän kuvan siitä, mitä asennusliikeesi on jo järjestänyt ja mitä vielä puuttuu? Aloita ilmaisella NIS2-tarkastuksella tai avaa liikettä varten tarkoitettu tili, jotta voit kehittää dossieeta kun tiedät, mitä toimenpiteitä tilanteeseesi sovelletaan.