Je li obuka o sigurnosti i osvješćivanju obavezna u instalaterskoj branši?
Ako vaše instalatersko poduzeće spada pod Direktivu NIS2, osvješćivanje zaposlenika dio je mjera koje obveze upravljanja rizicima od vas očekuju. Direktiva eksplicitno navodi obuku i osvješćivanje kao dio mjera kibernetske sigurnosti koje mora poduzeti osnovna ili važna entiteta. Uz to, postoji odvojena obveza koja je specifično usmjerena na članove upravljačkog organa, a te dvije se u praksi često brkaju.
Razlika je u tome tko je obvezan i koliko je snažna ta obveza. Za zaposlenike općenito, direktiva govori o primjerenim i proporcioniranim mjerama, pri čemu je obuka jedan od navedenih elemenata u okviru šire obveze upravljanja rizicima iz članka 21. Za članove upravljačkog organa i druge članove vodstva postoji odvojena, osobna obveza da sami prođu obuku kako bi mogli prepoznati i procijeniti kibernetske rizike. To nije neobvezujući savjet, već zahtjev prema osobama koje su odgovorne za odobravanje politike.
Zašto je to razlikovanje relevantno za instalatersko poduzeće
U instalaterskom poduzeću montažeri rade na lokacijama, postoji odjel planiranja, administrativni kadar i obično jedan ili nekoliko direktorija koji vode dnevnu operativu. Za skupinu zaposlenika, osvješćivanje uglavnom se odnosi na prepoznatljive rizike: e-poruke lova na phishing koje se predstavljaju kao dobavljač ili naručitelj, sumnjivi zahtjevi za pristupne podatke, te pažljivo rukovanje pristupom podacima o kupcima i projektima na mobilnim uređajima u poslovnim vozilima. Obveze upravljanja rizicima zahtijevaju da se ovakva obuka odvija periodički i da možete dokazati da se odvija, a ne da postoji utvrđeni minimalni broj sati godišnje.
Za direktorij ili vlasnika poduzeća, mjerila su malo drugačija. Ta osoba mora sama biti sposobna prepoznati rizike i odobriti politiku koja iz toga proizlazi. To ne znači da direktor mora biti tehnički stručnjak, ali znači da razumije koji su glavni rizici za poduzeće i zašto su određene mjere potrebne. Ova obveza je odvojena od onoga što se organizira za zaposlenike i stoga je ne može zamijeniti samo opći test lova na phishing za cijeli tim.
Što to znači u praksi za vaš dossier
Budući da je obuka dio obveza upravljanja rizicima, uz svaku aktivnost obuke trebalo bi biti dokumentirano: tko je prošao obuku, kada i koji je bio sadržaj. To vrijedi kako za opću osvješćivanju zaposlenika tako i za obuku koju prolaze članovi upravljačkog organa. Opća e-poruka sa savjetima ne računa se kao dokaz; pregled s popisom sudionika, datumom i temom računa se. deset mjera obveza upravljanja rizicima u nizu daje pregled gdje se obuka točno nalazi i kako se odnosi prema ostalim obvezama kao što su kontrola pristupa i registracija incidenta.
Za poduzeća koja su zahvaćena kroz lanac opskrbe, bez da su sama obvezana, ova tema također ima ulogu. Naručitelj koji je sam pod NIS2 može u popis sigurnosnih pitanja uključiti pitanje jesu li zaposlenici redovito osvješćivani o kibernetskim rizicima i je li to dokumentirano. Instalatersko poduzeće koje radi kao podizvođač za energetsku tvrtku ili bolnicu često dobije to pitanje natrag, čak i bez da je samo obvezano.
Je li vaše poduzeće samo pod obvezama upravljanja rizicima, pod obvezom upravljačkog organa, ili samo kroz naručitelja dolazi do obuke, ovisi o sektoru, veličini i ulozi u lancu opskrbe. u nekoliko pitanja vidjeti gdje vaša tvrtka stoji pruža tu početnu indikaciju s objašnjenjem zašto. Često postavljana pitanja o tome što točno spada pod osposobljavanje i je li potreban certifikat skupljena su na jednom mjestu kod često postavljanih pitanja.
Nema osposobljavanja bez dokumentiranja, nema dokumentiranja bez dosjea
Jezgra za instalacijsko poduzeće je dakle jednostavna za pamćenje: svjesnost zaposlenika dio je šire dužnosti brižnosti, a osposobljavanje ruководitelja je odvojena, osobna obveza. Obje zahtijevaju dokumentaciju koju možete pokazati nadzorniku ili naručitelju koji to traži. Za točnu formulaciju i mjesto u službenom tekstu upućujemo vas na samu direktivu i na nacionalnu transpoziciju koja vrijedi za vašu zemlju.
Želite li za svoje instalacijsko poduzeće jasnu sliku što je već uređeno i što nedostaje? Započnite s besplatnom NIS2-provjerom ili otvorite poslovni račun za izgradnju dosjea čim znate koje mjere vrijede za vašu situaciju.