La formazione sulla consapevolezza della sicurezza è obbligatoria per i fornitori di servizi ICT secondo la NIS2?
La direttiva NIS2 menziona esplicitamente la consapevolezza e la formazione come una delle misure che l'articolo 21 richiede alle organizzazioni di attuare per gestire i rischi di cybersicurezza. Per un'entità essenziale o importante, quindi, non è un consiglio facoltativo ma parte dell'obbligo di diligenza, insieme ad altre misure come il controllo degli accessi e la registrazione degli incidenti. Per un fornitore di servizi ICT che non rientra direttamente nella NIS2, ma viene valutato come fornitore, la domanda ricorre spesso in un questionario di sicurezza: fornite formazione, a chi, e con quale frequenza?
È importante distinguere: la direttiva, oltre a questa misura, contiene anche una disposizione separata che riguarda specificamente l'organo di governo. Si tratta di un obbligo diverso, con uno scopo diverso e un destinatario diverso. Chi confonde i due spesso sottovaluta ciò che è richiesto al resto dell'organizzazione, oppure sopravvaluta ciò che è richiesto specificamente all'organo di governo.
Cosa richiede l'obbligo di diligenza dell'organizzazione
Le dieci misure dell'articolo 21 sono formulate sulla base del rischio: la direttiva non prescrive quante ore di formazione, con quale frequenza o con quale fornitore. Ciò che conta è che i dipendenti riconoscono i rischi rilevanti per la loro funzione. Per un fornitore di servizi ICT, questo spesso riguarda il phishing, il comportamento relativo alle password, la gestione dell'accesso agli ambienti dei clienti e il riconoscimento di un incidente. Le autorità di controllo esaminano se la misura è stata implementata in modo dimostrabile, non se è fissato un numero minimo di ore di formazione.
Ciò rende questa una delle misure in cui un fornitore MKB può relativamente facilmente implementare qualcosa di significativo: un breve momento di formazione, una verifica, un certificato di partecipazione. La domanda "chi ha seguito questo e quando" è esattamente quello che un cliente spesso vuole vedere in un questionario, e esattamente quello che un registro continuativo può facilmente mostrare.
La differenza con l'obbligo di formazione per l'organo di governo
La direttiva assegna inoltre una responsabilità specifica all'organo di governo di un'entità essenziale o importante. Questa disposizione è intesa a garantire che i membri dell'organo di governo stessi abbiano una comprensione sufficiente dei rischi di cybersicurezza per approvare le misure di diligenza e supervisionarle. Quindi non si tratta di una formazione per l'intera organizzazione, ma di un obbligo che ricade sull'organo di governo stesso e che è separato dalla misura generale di consapevolezza per i dipendenti.
Per un fornitore di servizi ICT che non è direttamente soggetto agli obblighi, questa disposizione relativa all'organo di governo non si applica direttamente. Ma in pratica, un cliente soggetto agli obblighi a volte approfondisce ulteriormente: non solo se i dipendenti sono stati formati, ma anche se la direzione è sufficientemente coinvolta nella politica di sicurezza. Questo rientra allora nella valutazione del fornitore, non in un obbligo legale proprio di quel fornitore.
Cosa significa questo se la vostra organizzazione è coinvolta tramite la catena di fornitura
Se la vostra organizzazione non rientra direttamente nella NIS2 ma fornisce servizi a un'entità che vi rientra, quel cliente può chiedere informazioni sul vostro approccio alla formazione nel contesto del suo obbligo di diligenza. Di solito accade tramite un questionario o una clausola contrattuale, non tramite un obbligo legale che grava direttamente su di voi. La differenza è più che formale: determina se siete obbligati, oppure se fate una scelta per soddisfare il requisito del vostro cliente al fine di mantenere il contratto. leggere la spiegazione per argomento mostra come questa distinzione si ripete anche in altre misure.
Se la vostra organizzazione è coinvolta tramite la catena di fornitura, e quali delle dieci misure sono rilevanti in tal caso, può essere determinato con poche domande. in poche domande verificare se e come questo riguarda la vostra organizzazione fornisce una prima indicazione, senza che abbiate bisogno di un account.
Documentare la formazione come prova
Ciò che rende preziosa una formazione per un fascicolo non è solo il contenuto, ma la registrazione: chi ha partecipato, quando e con quale risultato. Un attestato di partecipazione per ogni dipendente, collegato a uno stato e a un proprietario, è esattamente il tipo di prova che viene richiesta in un questionario di sicurezza e che, in caso di ripetizione, evita lavoro di verifica. vedere da dove provengono queste informazioni spiega come è strutturato un fascicolo di questo tipo e come viene mantenuto.
Per la formulazione esatta della direttiva su questo punto, e per il recepimento nazionale applicabile alla vostra situazione, il testo ufficiale è determinante. Se dubbiate che un requisito specifico in un questionario vada oltre quello che l'obbligo di diligenza ragionevolmente richiede, questa è una questione per un legale o, in caso di dubbio sul vostro status, per l'autorità competente di vigilanza.
Volete sapere se e come la vostra organizzazione attraverso la catena di approvvigionamento avrà a che fare con questi requisiti? Eseguite il controllo NIS2 gratuito o consultate le risposte alle domande frequenti per un primo orientamento.