A NIS2 szerinti informatikai szolgáltatók számára kötelező-e a biztonsági tudatosság-képzés?
A NIS2-irányelv az ismeret és a képzést kifejezetten az egyik olyan intézkedésként említi, amelyet a 21. cikk a szervezetektől kér a kibernetikai kockázatok kezelésére. Egy alapvető vagy fontos entitás számára ez tehát nem kötelező tanács, hanem a gondossági kötelezettség részét képezi, valamint például a hozzáférés-kezelést és az incidensek regisztrálását. Egy olyan ICT-szolgáltatónak, amely maga nem tartozik a NIS2 alá, de szállítóként kerül értékelésre, a kérdés gyakran visszatér a biztonsági kérdőívben: biztosít-e képzést, kinek, és milyen gyakran.
Fontos megkülönböztetni: az irányelv mellett ez az intézkedés egy külön rendelkezést is tartalmaz, amely kifejezetten az igazgatósági szervhez kapcsolódik. Ez egy másik kötelezettség, más céllal és más célcsoporttal. Aki a kettőt összetéveszti, gyakran alulbecsüli, hogy mit kérnek a szervezet többi tagjától, vagy éppen azt, hogy mit kérnek kifejezetten az igazgatóságtól.
Mit követel meg a szervezet gondossági kötelezettségei
A 21. cikkből származó tíz intézkedés kockázatalapú megfogalmazás: az irányelv nem írja elő, hogy hány óra képzés, milyen gyakorisággal vagy melyik szállítóval. Ami számít, az az, hogy az alkalmazottak felismerik azokat a kockázatokat, amelyek a saját funkciójukhoz relevánsak. Egy ICT-szolgáltatónak ez gyakran a phishing-gel, a jelszavakkal való bánásmódról, az ügyfélkörnyezethez való hozzáférés kezelésével és az incidensek felismerésével jár. A felügyeleti hatóságok azt nézik, hogy az intézkedés igazolható módon végre lett-e hajtva, nem pedig egy rögzített, minimális képzési óraszám.
Ez az egyik olyan intézkedés, amelynél egy KKV-szállító viszonylag gyorsan értelmes dolgokat tudhat tenni: rövid képzési időpont, teszt, részvételi igazolás. Az a kérdés, hogy "ki követte ezt, és mikor" pontosan az, amit a megkérdezett fél gyakran szeretne látni egy kérdőívben, és pontosan az, amit egy élő dosszié könnyen tud mutatni.
Az igazgatóság képzési kötelezettségétől való eltérés
Az irányelv emellett az alapvető vagy fontos entitás igazgatóságára vonatkozó saját felelősséget helyez. Ez a rendelkezés annak biztosítása céljából készült, hogy az igazgatók maguk is megfelelő betekintéssel rendelkezzenek a kibernetikai kockázatokba ahhoz, hogy a gondossági intézkedéseket jóváhagyják és felügyelhetik. Ez tehát nem a teljes szervezet számára szánható képzés, hanem egy kötelezettség, amely az igazgatóságra magára hárul, és független az alkalmazottaknak szóló általános tudatosság intézkedésétől.
Egy olyan ICT-szolgáltatónak, amely maga nem plichtig, ez az igazgatósági rendelkezés nem közvetlenül érvényes. De a gyakorlatban egy plichtig ügyfél néha mégis megkérdezi: nem csak arról, hogy az alkalmazottaknak képzésben részesültek-e, hanem arról is, hogy az igazgatás kellően bevonódott-e a biztonsági politikába. Ez ekkor a szállító értékeléséhez tartozik, nem pedig az adott szállító saját jogi kötelezettségéhez.
Mit jelent ez, ha Ön a szállítási láncon keresztül érinti
Ha szervezete maga nem tartozik a NIS2 alá, de olyan szervezetnek nyújt szolgáltatásokat, amely az, az ügyfél saját gondossági kötelezettségeire tekintettel rákérdezhet az Ön képzési megközelítésére. Ez általában egy kérdőív vagy szerződéses rendelkezés útján történik, nem pedig egy olyan jogi kötelezettség útján, amely közvetlenül Önre hárul. A különbség többek között: meghatározza, hogy Ön kötelezett-e, vagy Ön választ azért, hogy teljesítse ügyfelének követelményét a szerződés megtartása érdekében. a tárgy szerinti magyarázat olvasása bemutatja, hogyan jelenik meg ez a különbség más intézkedésekben is.
A NIS2 alapján Ön-e szállítási láncon keresztül érinti, és amely intézkedések relevánsak, az néhány kérdéssel meghatározható. néhány kérdésben megtudhatja, hogy ez hogyan érinti szervezetét ennek egy első jelzésére ad, anélkül, hogy szükséges lenne egy fiók.
Képzés regisztrálása bizonyítékként
Amit egy képzés értékessé tesz egy dosszié számára, az nem pusztán a tartalom, hanem a regisztráció: ki vett részt, mikor és milyen eredménnyel. Egy meghatalmazott munkavállaló résztvételi igazolása, amely egy állapothoz és egy tulajdonoshoz kapcsolódik, pontosan olyan bizonyíték, amelyet egy biztonsági kérdőívben kérnek, és amely ismételt esetben csökkenti a nyomozómunkát. megtudhatja, honnan származik ez az információ bemutatja, hogyan épül fel az ilyen dosszié, és hogyan kezelik azt.
Az irányelv pontos szövegezéséhez ezen a ponton, valamint a helyzetére alkalmazandó nemzeti átültetéshez az hivatalos szöveg az irányadó. Ha kétségei vannak, hogy egy konkrét követelmény egy kérdőívben meghaladja-e azt, amit az ügyeleti kötelezettség ésszerűen megkövetel, akkor ez egy jogi képviselő vagy, ha kétségei vannak saját státusza kapcsán, az illetékes felügyeleti hatóság felé intézendő kérdés.
Szeretné tudni, hogy szervezete a beszerzési láncon keresztül hogyan kerül szembe ezekkel a követelményekkel? Végezze el az ingyenes NIS2-ellenőrzést, vagy böngésszen a gyakran ismételt kérdésekre adott válaszok között az első tájékozódáshoz.