Vai drošības apzināšanas apmācība ir obligāta instalācijas nozarē?
Ja jūsu instalācijas uzņēmums ietilpst NIS2 direktīvas darbības jomā, darbinieku apzināšana par kiberdraudiem ir daļa no pasākumiem, kurus aprūpes pienākums prasa jums veikt. Direktīva skaidri nosauc apmācību un apzināšanu kā daļu no kiberdrošības pasākumiem, kurus svarīga vai kritiski svarīga entītija ir jāveic. Turklāt pastāv atsevišķs pienākums, kas īpaši attiecas uz vadību, un šie divi var praktiski tikt sajaukti.
Atšķirība ir tā, kuru obligē un cik kategorisks ir šis pienākums. Attiecībā uz darbiniekiem kopumā direktīva runā par atbilstošiem un proporcionāliem pasākumiem, kuros apmācība ir viens no elementiem, kas minēts plašākā aprūpes pienākuma kontekstā saskaņā ar 21. pantu. Vadībai un citiem vadības orgāna locekļiem ir atsevišķs personīgs pienākums pašiem apmeklēt apmācību, lai spētu atpazīt un novērtēt kiberdraudus. Tas nav obligāts padoms, bet prasība personām, kas atbild par politikas apstiprināšanu.
Kāpēc šis atšķirums instalācijas uzņēmumam ir aktuāls
Instalācijas uzņēmumā strādā montieri uz vietas, plānošanas nodaļa, administratīvais personāls un parasti viens vai daži vadības locekļi, kas vada ikdienas darbību. Darbinieku grupai apzināšana galvenokārt attiecas uz atpazīstamiem riskiem: e-pasta ziņojumi, kas izduļ par piegādātāju vai pasūtītāju, podozīti lūgumi sniegt pierakstīšanās datus un uzmanīga rīcība ar piekļuvi klienču un projektu datiem, kuri atrodas mobīlajos ierīcēs uzņēmuma automašīnās. Aprūpes pienākums prasa, lai šāda veida apmācība notiktu periodiski un jūs varētu pamatot, ka tā notiek; nav noteikts minimālais stundu skaits gadā.
Vadībai vai uzņēmuma īpašniekam prasības ir nedaudz citas. Šī persona pati ir jāspēj atpazīt riskus un labi jāapstiprina no tiem izrietošā politika. Tas nenozīmē, ka vadītājs ir jābūt tehnisks eksperts, bet gan viņam vai viņai ir jāsaprot, kādi ir galvenie riski uzņēmumam un kāpēc noteikti pasākumi ir nepieciešami. Šis pienākums ir atšķirts no tā, kas tiek organizēts darbiniekiem, un tāpēc to nevar aizstāt, piemēram, ar vienīgi vispārēju pikšķerēšanas testu visam komandai.
Ko tas praktiski nozīmē jūsu failā
Tā kā apmācība ir daļa no aprūpes pienākuma, katrai apmācības aktivitātei ir jābūt ierakstam: kas apmācību apmeklēja, kad un kāds bija saturs. Tas attiecas uz vispārēju darbinieku apzināšanu un apmācību, ko izmanto vadības locekļi. Vientuļš e-pasts ar padomiem neskaitās par pierādījumu; apkopojums ar dalībniekiem, datumu un tēmu — jā. aprūpes pienākuma desmit pasākumi pēc kārtas sniedz pārskatu par to, kur apmācība tieši ietilpst un kā tā attiecas uz citiem pienākumiem, piemēram, piekļuves kontroli un incidents reģistrāciju.
Uzņēmumiem, kurus skar piegādes ķēde bez patstāvīga pienākuma, arī šis jautājums ir aktuāls. Pasūtītājs, kurš pats ietilpst NIS2, drošības jautājumlapu var jautāt, vai darbinieki regulāri tiek apzināti par kiberdraudiem un vai tas ir ierakstīts. Instalācijas uzņēmums, kas darbojas kā apakšuzņēmējs enerģētikai vai slimnīcai, bieži saņem šo jautājumu, neietekmējot patstāvīgo pienākumu.
To, vai jūsu uzņēmums ietilpst patstāvīgajā aprūpes pienākumā, vadības pienākumā vai tikai caur pasūtītāju saskaras ar apmācību, nosaka nozare, lielums un loma piegādes ķēdē. Dažos jautājumos redzēt, kur jūsu uzņēmums stāv sniedz pirmo norādi par to, skaidrojot, kāpēc tā ir nepieciešama. Bieži uzdotie jautājumi par to, kas tieši tiek uzskatīts par apmācību un vai nepieciešams sertifikāts, ir apkopoti bieži uzdotajos jautājumos.
Bez apmācības nav dokumentēšanas, bez dokumentēšanas nav doseja
Uzņēmumam, kas nodarbojas ar instalācijām, pamatprincips ir viegli atcerēties: darbinieku apzināšana ir daļa no plašākās pienākuma piesardzības ietvaros, bet vadības personāla apmācība ir atsevišķa, personīga saistība. Abu gadījumos nepieciešama dokumentēšana, ko varēsiet parādīt uzraudzības iestādei vai pasūtītājam, kurš to pieprasa. Precīzai formulējumam un teksta atrašanās vietai oficiālajā tekstā mēs atsaucamies uz pašu direktīvu un uz jūsu valstij piemērojamo nacionālo transponēšanu.
Vēlaties savai instalāciju uzņēmumam skaidru priekšstatu par to, kas jau ir noregulēts un kas vēl pietrūkst? Sāciet ar bezmaksas NIS2 pārbaudi vai izveidojiet biznesa kontu doseja izveidošanai tiklīdz zināt, kādi pasākumi piemērojami jūsu situācijai.