zašto trebam dokaz završene obuke za cybersigurnost

Dokaz da su cybergijena i obuka uređeni

Potvrda o sudjelovanju služi kao dokaz da je obuka osoblja doista održana, što je upravo ono što zahtijevaju i vlastita administracija i sigurnosni upitnik klijenta. Cybersigurnost ne počiva samo na tehnici, već i na ljudima koji znaju kako prepoznati phishing, upravljati lozinkama i prijaviti incidente. Obuka je zato jedan od ponavljajućih elemenata unutar obveze pažnje, a potvrda o sudjelovanju je opipljiv rezultat kojim se ta obuka može dokazati — ne samo prema nadzornom tijelu, već i prema naručitelju koji zahtijeva dokazivanje.

Za obvezne organizacije potvrda o sudjelovanju dio je dokaza koji se mora dostaviti po mjeri zaštite: nije sama mjera zaštite ("provodimo obuku osoblja") već konkretan dokaz da se to dogodilo, s imenom, datumom i temom. Za MKB-dobavljače zahvaćene kroz lanac opskrbe koji sami ne podliježu zakonu, jednako je relevantno: tko mora popuniti sigurnosni upitnik klijenta često dobije upravo to pitanje, jer naručitelj mora moći dokazati da je i lanac opskrbe dovoljan otporan. Bez potvrde o sudjelovanju "provodimo obuku osoblja" ostaje tvrdnja bez dokazivanja, a to obično nije dovoljno.

Gdje to proizlazi iz obveze skrbi

Članak 21 stavak 2 Direktive NIS2 navodi između deset obaveznih mjera zaštite eksplicitno osnovnu cybergigjenu i obuku iz cybersigurnosti kao dio obveze pažnje, što se preuzima u Zakonu o cybersigurnosti kao hrvatsku provedbu. ISO/IEC 27001 to dalje razvija u Prilogu A kao mjeru upravljanja vezanu uz osvješćenost i obuku zaposlenika, gdje je dokazivost — dakle evidentiranje tko je kada prošao koju obuku — ponavljajući element. NCSC ističe u svojoj informaciji o obvezi pažnje da mjere ne trebaju samo biti provedene, već i da se mora moći dokazati da su provedene.