Je li obuka o svjesnosti o sigurnosti obavezna za pružatelje ICT-usluga prema NIS2?
Direktiva NIS2 eksplicitno spominje osvijetost i obuku kao jednu od mjera koje članak 21 traži od organizacija da upravljaju kibernetskim rizicima. Za suštinsku ili važnu entitetu to nije dakle neobavezujući savjet već dio obveze brige, zajedno s primjerice kontrolom pristupa i registracijom incidenata. Za pružatelja usluga ICT-a koji sam ne pada pod NIS2, ali se ocjenjuje kao dobavljač, pitanje se često javlja u popisu sigurnosnih pitanja: pružate li obuku, komu, i kako često.
Važno je razlikovati: direktiva pored ove mjere poznaje i zasebnu odredbu koja se specifično bavi samom upravom. To je drugačija obveza, s drugačijom svrhom i drugačijom ciljnom skupinom. Tko pomeša ta dva, često potkjenjuje što se traži od ostatka organizacije ili obrnuto što se specifično traži od uprave.
Što obveza brige organizacije traži
Deset mjera iz članka 21 formulirane su na temelju rizika: direktiva ne propisuje koliko sati obuke, s kojom frekvencijom ili s kojim dobavljačem. Ono što se računa je da zaposlenici prepoznaju rizike relevantne za njihovu funkciju. Za pružatelja usluga ICT-a to se često tiče phishinga, ponašanja s lozinkama, upravljanja pristupom okruženjima klijenta i prepoznavanja incidenta. Nadzorni organi pri tome gledaju je li mjera dokazivo izvršena, ne je li fiksiran minimalan broj sati obuke.
To čini ovu jednom od mjera gdje dobavljač MSP-a relativno brzo može uspostaviti nešto korisno: kratko razdoblje obuke, test, dokaz o sudjelovanju. Pitanje "tko je to slijedio i kada" je upravo ono što preuzimač u popisu često želi vidjeti, i upravo ono što živući dosje može lako pokazati.
Razlika u odnosu na obavezu obuke za upravu
Direktiva osim toga postavlja vlastitu odgovornost na organ uprave suštinske ili važne entitete. Ta odredba je namijenjena osiguranju da upravitelji sami imaju dovoljno uvida u kibernetske rizike kako bi mogli odobriti mjere brige i nad njima nadzirati. To dakle nije obuka za cijelu organizaciju već obveza koja počiva na samoj upravi i koja je odvojena od općene mjere osvijetosti za zaposlenike.
Za pružatelja usluga ICT-a koji sam nije obvezan, ta odredba uprave ne vrijedi izravno. Ali u praksi obvezan preuzimač ponekad dalje pita: ne samo jesu li zaposlenici obučeni već i je li uprava dovoljno uključena u pravila sigurnosti. To tada spada pod ocjenu dobavljača, ne pod vlastitu zakonsku obvezu tog dobavljača.
Što to znači ako vas pogađa kroz lanac opskrbe
Ako vaša organizacija sama ne pada pod NIS2 ali pružate usluge entiteti koja to čini, taj klijent može u okviru svoje obveze brige pitati o vašem pristupu obuki. To se obično javlja putem popisa ili ugovorne odredbe, ne putem zakopne obveze koja se izravno na vas primjenjuje. Razlika je više nego formalno: određuje je li obveza na vama ili donosite izbor da zadovoljite zahtjev vašeg preuzimača kako biste zadržali ugovor. pročitajte objašnjenje po temi pokazuje kako se ta razlika javlja i kod ostalih mjera.
Je li vaša organizacija pogođena kroz lanac opskrbe i koje od deset mjera su pritom relevantne, može se utvrditi s nekoliko pitanja. vidi s nekoliko pitanja je li i kako vas to pogađa daje tam prvu naznaku, bez da trebate račun.
Bilježenje obuke kao dokaza
Ono što vrijednu obuku čini vrijednom za dosje nije samo sadržaj, već evidencija: tko je sudjelovao, kada i s kojim rezultatom. Certifikat sudjelovanja po zaposleniku, povezan sa statusom i vlasnikom, upravo je vrsta dokaza koju se traži u listi sigurnosnih pitanja i koji pri ponavljanju štedi na istraživačkom poslu. vidjeti odakle dolaze ove informacije objašnjava kako se takav dosje gradi i kako se održava.
Za točnu formulaciju direktive na ovoj točki, i za nacionalnu pretragu koja se primjenjuje na vašu situaciju, mjerodavna je službena tekst. Ako sumnjate jesu li određeni zahtjevi na popisu pitanja širi nego što opreznost redovito zahtijeva, to je pitanje za pravnika ili, ako ste nesigurni oko vlastitog statusa, za nadležnog nadzornog tijela.
Želite li znati jesu li i kako vaša organizacija preko lanca uključena s ovim zahtjevima? Obavite besplatnu NIS2-provjeru ili pregledajte odgovore na često postavljana pitanja za prvu orijentaciju.