Kötelező-e a biztonsági tudatosság képzése a szerelőiparban?
Ha szerelőipari vállalata a NIS2-irányelv hatálya alá esik, a munkatársak tudatosítása a gondossági kötelezettség által elvárt intézkedések közé tartozik. Az irányelv kifejezetten említi az oktatást és a tudatosítást a kiberbiztonsági intézkedések részeként, amelyeket az alapvető vagy fontos szereplőknek meg kell tenniük. Ezenkívül létezik egy külön kötelezettség, amely kifejezetten az igazgatókat célozza meg, és ezt a kettőt a gyakorlatban gyakran összetévesztik.
A különbség abban rejlik, hogy kit terhelnek kötelezettséggel és mennyire szigorú az adott kötelezettség. Az általános munkatársak számára az irányelv megfelelő és arányos intézkedésekről szól, amelyekben a képzés az irányelv 21. cikkében szereplő szélesebb gondossági kötelezettségen belüli elemek közül egy. Az igazgatók és a vezetésben részt vevő egyéb személyek számára saját, személyes kötelezettség áll fenn, hogy maguk is részt vegyenek képzésben a kiberkockázatok felismeréséhez és értékeléséhez. Ez nem kötetlen tanács, hanem követelmény azokkal a személyekkel szemben, akik a politika jóváhagyásáért felelősek.
Miért relevánsa ez a különbség egy szerelőipari vállalat számára
Egy szerelőipari vállalatnál szerelők dolgoznak helyszínen, van egy tervezési osztály, adminisztratív személyzet, és általában egy vagy néhány igazgató, aki a napi vezetést végzi. A munkatársak csoportja számára a tudatosítás elsősorban a felismerhető kockázatokra összpontosít: olyan adathalász-e-mailek, amelyek szállítónak vagy megrendelőnek adják ki magukat, gyanús jelszóadatok ismeretére vonatkozó kérések, valamint a ügyfél- és projektadatok gondos kezelése az üzleti kisteherautókon található mobil eszközökön. A gondossági kötelezettség előírja, hogy az ilyen típusú képzés rendszeres időközönként történjen, és be tudjátok bizonyítani, hogy történt, nem az, hogy egy rögzített minimális óraszám van évente.
Az igazgatóság vagy a vállalat tulajdonosa számára a léc valamivel máshol van. Ez a személy képes kell legyen a kockázatok felismerésére és a belőlük következő politika megfelelő jóváhagyására. Ez nem azt jelenti, hogy az igazgatónak technikai szakértőnek kell lennie, de azt igen, hogy megérti, milyen a vállalat főbb kockázatai, és miért szükségesek bizonyos intézkedések. Ez a kötelezettség független attól, amit a munkatársak számára szerveznek, és ezért nem helyettesíthető például csupán egy általános adathalász-teszttel az egész csapat számára.
Mit jelent ez a gyakorlatban az Ön dossziéjában
Mivel a képzés a gondossági kötelezettség része, minden képzési tevékenységhez dokumentálás tartozik: ki vett részt a képzésben, mikor és mi volt a tartalma. Ez mind a munkatársak általános tudatosítására, mind az igazgatók által végzett képzésre vonatkozik. Egy levelezésben elküldött tippek nem számítanak bizonyítéknak; a résztvevőket, dátumot és tárgyat tartalmazó áttekintés igen. a gondossági kötelezettség tíz intézkedésének áttekintése áttekintést nyújt arról, hogy a képzés pontosan hol helyezkedik el és hogyan viszonyul az olyan egyéb kötelezettségekhez, mint a hozzáférés-vezérlés és az incidens-nyilvántartás.
Azoknak a vállalkozásoknak, amelyekre a láncon keresztül hat az erre vonatkozó szabály, de maguk nem kötelesek, ez a téma is szerepet játszik. Az a megbízó, aki maga is a NIS2 hatálya alá esik, a biztonsági kérdéslistáján rákérdezhet arra, hogy a munkatársak rendszeres időközönként felhívják-e a figyelmet a kiberkockázatokra és ezt rögzítik-e. A szerelőipari vállalat, amely egy nagyobb vállalat, például egy energiacég vagy egy kórház alvállalkozójaként működik, ezt a kérdést gyakran visszakérdezik, még akkor is, ha maguk nem kötelesek.
Az Ön vállalata maga a gondossági kötelezettség hatálya alá esik-e, az igazgatási kötelezettség hatálya alá, vagy csak egy megbízón keresztül foglalkozik képzéssel, az a szektortól, a vállalat méretétől és a láncon belüli szerepétől függ. néhány kérdésben megtudja, hová tartozik a cége ez egy első jelzést ad, magyarázattal, hogy miért. A gyakoriak között összegyűjtött kérdések arra vonatkoznak, hogy pontosan mi számít képzésnek, és szükséges-e tanúsítvány a gyakori kérdéseknél.
Nincs képzés dokumentáció nélkül, nincs dokumentáció dosszie nélkül
A telepítőcég számára a lényeg tehát egyszerű: a munkavállalók tudatossága része az átfogóbb gondoskodási kötelezettségnek, a vezetők képzése pedig külön, személyes kötelezettség. Mindkettő szükséges dokumentálásra van, amelyet bemutathat egy felügyeleti hatóságnak vagy egy olyan megrendelőnek, aki ezt kéri. A pontos szövegezéshez és az eredeti szövegben való megtalálásához az irányelvhez magához és az Ön országára vonatkozó nemzeti átültetéshez irányítjuk Önt.
Szeretne egyértelmű képet kapni saját telepítőcégéről, hogy mit intézett már el és mi hiányzik még? Kezdje az ingyenes NIS2-ellenőrzéssel, vagy hozzon létre egy üzleti fiókot a dosszie felépítéséhez amint tudja, mely intézkedések vonatkoznak az Ön helyzetére.