Onko tietoturvatietoisuuden koulutus pakollista ICT-palveluntarjoajille NIS2:n mukaisesti?
NIS2-direktiivi mainitsee tietoisuuden ja koulutuksen nimenomaisesti yhtenä toimenpiteistä, jota organisaatioilta vaaditaan kyberriskejen hallintaa koskevassa artiklan 21 säännöksessä. Olennaisen tai tärkeän yhteisön kohdalla tämä ei siis ole vapaaehtoinen suositus vaan osa huolellisuusvelvollisuutta, samoin kuin esimerkiksi pääsynvalvonta ja tapahtumakirjaus. ICT-palveluntarjoajalle, joka ei itse kuulu NIS2:n piiriin mutta joka arvioidaan toimittajana, kysymys toistuu usein tietoturvakysymyslistalla: tarjoatteko koulutusta, kenelle ja kuinka usein.
Tärkeää erottaa toisistaan: direktiivi sisältää tämän toimenpiteen lisäksi erillisen säännöksen, joka koskee nimenomaisesti hallintoelinten itseään. Se on eri velvollisuus, eri tarkoituksella ja eri kohderyhmälle. Jos nämä kaksi sekoittaa toisiinsa, aliarvioidaan usein, mitä muulta organisaatiolta vaaditaan, tai päinvastoin, mitä erityisesti hallintoelinilta vaaditaan.
Mitä organisaation huolellisuusvelvollisuus edellyttää
Artiklan 21 kymmenen toimenpidettä on muotoiltu riskiperusteisesti: direktiivi ei määrää, kuinka monta tuntia koulutusta, millä taajuudella tai millä toimittajalla. Mikä on ratkaisevaa, on se, että työntekijät tunnistavat riskit, jotka ovat merkityksellisiä heidän tehtävilleen. ICT-palveluntarjoajalla tämä koskee usein phishing-hyökkäyksiä, salasanojen käsittelyä, pääsyn hallintaa asiakasympäristöihin ja tapahtuman tunnistamista. Valvontaviranomaiset katsovat, onko toimenpide näytettävästi toteutettu, eivätkä ole kiinnostuneita määritellyistä minimikoulutustunneista.
Tämä on yksi toimenpiteistä, joiden osalta pienemmän tai keskisuuren yrityksen toimittaja voi suhteellisen nopeasti toteuttaa jotakin järkevää: lyhyt koulutustilaisuus, testi, osallistumistodistus. Kysymys "kuka osallistui tähän ja milloin" on juuri se, mitä asiakas usein haluaa nähdä kysymyslistalla, ja juuri sitä, mitä elävä dossier voi helposti osoittaa.
Ero hallituksen koulutusvelvollisuuteen
Direktiivi asettaa samalla oman vastuun olennaisen tai tärkeän yhteisön hallintoelinten tehtävänä. Tämä säännös on tarkoitettu varmistamaan, että hallituksen jäsenillä itsellään on riittävä käsitys kyberriskeistä, jotta he voivat hyväksyä huolellisuusvelvollisuuden toimenpiteet ja valvoa niiden noudattamista. Se ei siis ole koulutus koko organisaatiolle, vaan velvollisuus, joka kuuluu itse hallitukselle ja joka on erillään yleisestä tietoisuuden lisäämisen toimenpiteestä työntekijöille.
ICT-palveluntarjoajalle, joka ei itse ole velvoitettu osapuoli, tämä hallituksen säännös ei suoraan kosketa. Mutta käytännössä velvoitettu asiakas usein kysyy lisäksi: eivät vain se, ovatko työntekijät saaneet koulutusta, vaan myös se, ovatko johtajat riittävästi osallistuneet tietoturvastrategiaan. Se kuuluu silloin toimittajan arviointiin, ei kyseisen toimittajan omaan lainsäädännölliseen velvollisuuteen.
Mitä tämä merkitsee, jos organisaationne tulee kyseeseen toimitusketjun kautta
Jos organisaationne ei itse kuulu NIS2:n piiriin mutta tarjoaa palveluja yhteisölle, joka kuuluu siihen, kyseinen asiakas voi omaa huolellisuusvelvollisuuttaan noudattaen kysyä koulutusstrategiastanne. Tämä tapahtuu yleensä kysymyslistan tai sopimussäännöksen kautta, ei lainsäädännöllisen velvollisuuden kautta, joka koskee suoraan teitä. Ero on enemmän kuin muodollinen: se määrittää, oletko velvoitettu vai tekisitäkö valinnan asiakkaasi vaatimukseen vastaamiseksi sopimuksen säilyttämiseksi. kunkin aiheen selitys osoittaa, miten tämä ero ilmenee myös muissa toimenpiteissä.
Se, onko organisaationne kyseeseen tulossa toimitusketjun kautta ja mitkä kymmenen toimenpiteestä siihen liittyvät, voidaan määrittää muutamalla kysymyksellä. nähdään muutamalla kysymyksellä, koskettaako ja miten tämä organisaatiotanne antaa siitä ensimmäisen viitteen ilman, että tarvitsisitte tilin.
Koulutuksen kirjaaminen todistusaineistoksi
Se, mikä tekee koulutuksesta arvokkaan dossierille, ei ole ainoastaan sisältö, vaan rekisteröinti: ketkä ovat osallistuneet, milloin ja millä tuloksella. Osallistumistodistus jokaiselle työntekijälle, joka on linkitetty tilaan ja vastuuhenkilöön, on täsmälleen sellainen todiste, jota tietoturvakyselyssä kysytään ja joka toistettaessa säästää tutkimustyötä. nähdä mistä nämä tiedot tulevat selittää kuinka tällainen dossier on rakennettu ja kuinka sitä ylläpidetään.
Direktiivin tarkan sanamuodon osalta tässä kohdassa ja kansallisen toimeenpanon osalta, joka koskee tilannettanne, virallinen teksti on määräävä. Jos epäröitte, menikö tietty kyselyn vaatimus kohtuullisesti huomattavasti pidemmälle kuin hoitovelvollisuus edellyttää, se on kysymys juristille tai, jos epäröitte omasta asemastanne, pätevällä valvontaviranomaiselle.
Haluatteko tietää, kuinka ja ovatko organisaationne myymälässä ketjussa näiden vaatimusten kanssa tekemisessä? Tee ilmainen NIS2-tarkistus tai selaa vastauksia usein kysyttyihin kysymyksiin ensimmäiseksi ohjaukseksi.