Ar saugumo žiniatinkos mokymas yra privalomas ICT paslaugų teikėjams pagal NIS2?
NIS2 direktyva aiškiai nurodo sąmoningumą ir mokymą kaip vieną iš priemonių, kurias 21 straipsnis reikalauja organizacijoms taikyti valdant kibernetinio saugumo rizikus. Esminei ar svarbiai entitacijai tai nėra nebūtinas patarimas, o dalis priežiūros prieigos kartu su, pavyzdžiui, prieigos kontrole ir incidento registracija. ICT paslaugų teikėjui, kuris pats nepatenka į NIS2, bet vertinamas kaip tiekėjas, klausimas dažnai pasikartoja saugumo klausimyne: ar jūs teikiate mokymą, komu ir kaip dažnai.
Svarbu atskirti: direktyva šalia šios priemonės taip pat turi atskirą nuostatą, konkrečiai susijusią su pačiu valdymo organu. Tai yra kita pareiga, su kitu tikslu ir kitomis tiksline grupe. Kas šiuos du sumaišo, dažnai nepakankamai įvertina, ko iš likusios organizacijos reikalaujama, arba tiksliai, ko specifiškai reikalaujama iš valdymo.
Ką priežiūros prieiga reikalauja iš organizacijos
Dešimt priemonių iš 21 straipsnio suformuluotos remiantis rizika: direktyva nenurodo mokymo valandų skaičiaus, dažnumo ar teikėjo. Tai, kas svarbu, yra tai, kad darbuotojai atpažintų risikus, kurie yra svarbūs jų funkcijai. ICT paslaugų teikėjui tai dažnai liečia phishing, slaptažodžio elgesį, elgesį su prieiga prie kliento aplinkos ir incidento atpažinimą. Priežiūros institucijos žiūri, ar priemonė akivaizdžiai buvo įvykdyta, o ne ar yra nustatytas minimalus mokymo valandų skaičius.
Tai yra viena iš priemonių, kurioje MKB tiekėjas gali palyginti greitai ką nors naudingo nustatyti: trumpas mokymo momentas, testas, dalyvavimo pažymėjimas. Klausimas „kas tai vadovavo ir kada
*tai lygiai tai, ką perkant į klausimyno, ir lygiai tai, ką gyvenantis dosjeris gali lengvai pavaizduoti.
Skirtumas nuo mokymo pareigos valdymui
Direktyva tuo pačiu metu kelia atskirą atsakomybę esminės arba svarbios entitacijos valdymo organui. Ši nuostata skirta užtikrinti, kad valdantieji patys turėtų pakankamai žinių apie kibernetinio saugumo rizikus, kad galėtų patvirtinti priežiūros prieigos priemones ir jas kontroliuoti. Tai nėra mokymas visai organizacijai, o pareiga, kuri yra tiesiogiai susijusi su valdymu ir kuri atsiskiriama nuo bendro darbuotojų sąmoningimo. Saugumo priemonės nepataikais ICT paslaugų teikėjui pačiam nepatenka, ši valdymo nuostata negaliojamai tiesiogiai. Tačiau praktikoje plichting pirkėjas kartais klauža tęsdamas: ne tik ar darbuotojai buvo mokyti, bet ar vadovybė pakankamai įsitraukusi į saugumo politiką. Tai tada yra dalis tiekėjo vertinimo, o ne paties tiekėjo savarankiška įstatymų pareiga.
Ką tai reiškia, jei jūs esate paveikti per grandinę
Jei jūsų organizacija pati nepatenka į NIS2, tačiau teikia paslaugas entitacijai, kuri tai daro, šis klientas gali reikalauti informacijos apie jūsų mokymo metodą kaip dalį savo priežiūros prieigos. Tai dažniausiai vyksta per klausimyną ar sutarties nuostatą, o ne per tiesioginę įstatymų pareigą, kuri tiesioginiai spaudžia jus. Skirtumas yra daugiau nei formalumas: tai lemia, ar jūs esate pagrįsti, ar padarote pasirinkimą patenkinti savo pirkėjo reikalavimą, norint palikti sutartį. skaitykite paaiškinimą pagal temą parodo, kaip šis skirtumas pasikartoja ir su kitomis priemonėmis.
Ar jūsų organizacija patenka per tiekimo grandinę ir kurios iš dešimties priemonių yra svarbios, gali būti nustatyta keliomis klausimais. keliais klausimais pamatyti, ar ir kaip tai jūsų organizaciją paveikia suteikia pirmąjį žymę tam, be kurio jums nereikia paskyros.
Mokymą užfiksuoti kaip įrodymą
Tai, kas daro mokymus vertingus dossier, yra ne tik turinys, bet registracija: kas dalyvavo, kada ir kokį rezultatą pasiekė. Dalyvavimo sertifikatas kiekvienam darbuotojui, susietas su statusu ir atsakingu asmeniu, yra būtent tas dokumento tipas, kurio prašoma saugumo klausimyne, ir jo kartojimas sutaupo tyrinėjimo laiko. pamatyti, iš kur šia informacija gauta paaiškina, kaip toks dossier yra sudarytas ir kaip jis palaikomas.
Dėl tikslios direktyvos formuluotės šiuo klausimu ir dėl nacionalinės adaptacijos, kuri taikoma jūsų situacijai, oficialus tekstas yra vadovaujantis. Jei abejojate, ar konkretus klausimyne pateiktas reikalavimas viršija tai, ką rūpinimosi pareiga pagrįstai reikalauja, tai klausimas, kuriuo turėtų pasikonsultuoti teisininkas arba, jei abejojate dėl savo statuso, kompetentinga priežiūros institucija.
Norite žinoti, ar ir kaip jūsų organizacija per tiekimo grandinę turės reikalų su šiais reikalavimais? Atlikite nemokamą NIS2 patikrą arba peržiūrėkite atsakymus į dažnai užduodamus klausimus pirmajai orientacijai.