La formazione sulla consapevolezza della sicurezza è obbligatoria nel settore degli impianti?
Se la vostra impresa di installazione rientra nella direttiva NIS2, la sensibilizzazione dei dipendenti fa parte delle misure che l'obbligo di diligenza vi richiede di adottare. La direttiva cita esplicitamente l'istruzione e la sensibilizzazione come parte delle misure di cibersicurezza che un'entità essenziale o importante deve intraprendere. Inoltre, esiste un obbligo separato rivolto specificamente ai dirigenti, e i due concetti vengono spesso confusi nella pratica.
La differenza sta in chi è obbligato e quanto rigida è tale obbligazione. Per i dipendenti in generale, la direttiva parla di misure appropriate e proporzionate, in cui la formazione è uno degli elementi citati nell'ambito del più ampio obbligo di diligenza di cui all'articolo 21. Per i dirigenti e gli altri membri dell'organo di governo esiste un obbligo separato e personale di seguire essi stessi una formazione al fine di riconoscere e valutare i rischi informatici. Non si tratta di un consiglio facoltativo, ma di un requisito per le persone responsabili dell'approvazione della politica.
Perché questa distinzione è rilevante per un'impresa di installazione
In un'impresa di installazione lavorano montatori in loco, un reparto pianificazione, personale amministrativo e solitamente uno o pochi dirigenti che conducono le operazioni quotidiane. Per il gruppo dei dipendenti, la sensibilizzazione riguarda principalmente rischi riconoscibili: e-mail di phishing che si fingono fornitori o clienti, richieste sospette di credenziali di accesso, e la gestione attenta dell'accesso ai dati dei clienti e dei progetti su dispositivi mobili nei furgoni aziendali. L'obbligo di diligenza richiede che questo tipo di formazione avvenga periodicamente e che possiate dimostrare che avvenga, non che esista un numero minimo di ore stabilito all'anno.
Per la direzione o il proprietario dell'impresa lo standard è leggermente diverso. Tale persona deve essere in grado di riconoscere i rischi e approvare adeguatamente la politica che ne deriva. Questo non significa che il dirigente debba diventare un esperto tecnico, ma che comprenda quali siano i rischi principali per l'impresa e perché determinate misure siano necessarie. Questo obbligo è indipendente da ciò che viene organizzato per i dipendenti e pertanto non può essere sostituito da, ad esempio, un solo test di phishing generale per l'intero team.
Cosa questo significa in pratica per il vostro dossier
Poiché la formazione fa parte dell'obbligo di diligenza, ogni attività formativa deve essere documentata: chi ha partecipato alla formazione, quando e quale era il contenuto. Questo vale sia per la sensibilizzazione generale dei dipendenti che per la formazione che seguono i dirigenti. Una semplice e-mail con suggerimenti non conta come elemento di prova; un elenco con i partecipanti, la data e l'argomento sì. le dieci misure dell'obbligo di diligenza riassunte fornisce una panoramica di dove la formazione rientra esattamente e come si relaziona agli altri obblighi come il controllo degli accessi e la registrazione degli incidenti.
Per le imprese interessate attraverso la catena di fornitura, senza essere esse stesse soggette all'obbligo, questo argomento ha comunque un ruolo. Un appaltante che rientra stesso nella NIS2 può chiedere in un questionario di sicurezza se i dipendenti sono regolarmente sensibilizzati sui rischi informatici e se questo è documentato. Un'impresa di installazione che opera come subappaltatore per un'azienda energetica o un ospedale riceve spesso questa domanda, anche senza essere essa stessa soggetta all'obbligo.
Se la vostra impresa è soggetta all'obbligo di diligenza, all'obbligo dei dirigenti, o se ha a che fare con la formazione solo attraverso un appaltante, dipende dal settore, dalle dimensioni e dal ruolo nella catena di fornitura. in poche domande scopri dove si colloca la vostra azienda fornisce una prima indicazione, con una spiegazione del motivo. Le domande frequenti su cosa rientra esattamente nella formazione e se è necessario un certificato sono raccolte nelle domande frequenti.
Nessuna formazione senza documentazione, nessuna documentazione senza fascicolo
Per un'azienda di installazione il principio è semplice da ricordare: la consapevolezza dei dipendenti è parte dell'obbligo di diligenza più ampio, la formazione dei dirigenti è un obbligo separato e personale. Entrambi richiedono una documentazione che potete mostrare a un'autorità di vigilanza o a un cliente che la richiede. Per la formulazione esatta e la fonte nel testo ufficiale, vi rinviamo alla direttiva stessa e all'attuazione nazionale che si applica al vostro paese.
Desiderate avere un quadro chiaro per la vostra azienda di installazione di ciò che è già stato regolato e di ciò che ancora manca? Iniziate con il controllo NIS2 gratuito oppure create un account aziendale per costruire il fascicolo una volta che sapete quali misure si applicano alla vostra situazione.