perché ho bisogno di un certificato di partecipazione per una formazione sulla cybersecurity

Prova che l'igiene informatica e la formazione sono state organizzate

Una certificazione di partecipazione serve come prova che la formazione del personale ha effettivamente avuto luogo, e questo è esattamente ciò che sia la documentazione interna che un questionario di sicurezza di un cliente richiedono. La sicurezza informatica non riguarda solo la tecnologia, ma anche le persone che sanno come riconoscere il phishing, gestire le password e segnalare gli incidenti. La formazione è quindi una delle componenti ricorrenti all'interno dell'obbligo di diligenza, e una certificazione di partecipazione è il risultato tangibile con cui tale formazione può essere documentata — non solo nei confronti di un'autorità di vigilanza, ma anche nei confronti di un cliente che richiede una giustificazione.

Per le organizzazioni soggette agli obblighi, una certificazione di partecipazione rientra nella prova da fornire per ogni misura di sicurezza: non la misura stessa ("formiamo il personale") ma la prova concreta che è stata effettivamente attuata, con nome, data e oggetto. Per i fornitori di piccole e medie imprese nella catena di approvvigionamento che non ricadono direttamente sotto la normativa, è ugualmente rilevante: chi deve compilare un questionario sulla sicurezza di un cliente riceve spesso proprio questa domanda, perché un committente deve poter dimostrare che anche la catena di approvvigionamento è sufficientemente resiliente. Senza un certificato di partecipazione, "formiamo il nostro personale" rimane un'affermazione senza fondamento, e di solito non è sufficiente.

Dove ciò deriva dall'obbligo di diligenza

L'articolo 21, paragrafo 2, della direttiva NIS2 menziona esplicitamente tra le dieci misure obbligatorie l'igiene cibernetica di base e la formazione sulla sicurezza informatica come parte dell'obbligo di diligenza, che nella legge sulla sicurezza informatica olandese viene recepita come attuazione nazionale. ISO/IEC 27001 lo sviluppa ulteriormente nell'Allegato A come misura di controllo relativa alla consapevolezza e alla formazione dei dipendenti, dove la dimostrabilità — quindi una registrazione di chi ha seguito quale formazione e quando — è un elemento ricorrente. L'NCSC sottolinea nella sua comunicazione sull'obbligo di diligenza che le misure non devono solo essere adottate, ma anche poter essere provate.