Vai drošības informācijas apmācība ir obligāta IKT pakalpojumu sniedzējiem saskaņā ar NIS2?
NIS2 direktīvā apzināšana un apmācība ir skaidri minētas kā viens no pasākumiem, ko 21. panta ietvaros organizācijas tiek aicinātas veikt, lai pārvaldītu kiberdraudus. Būtiskai vai svarīgai subjektam tas nav obligāts padoms, bet gan pienākuma darbības pienākuma daļa kopā ar, piemēram, piekļuves kontroli un incidentu reģistrāciju. IKT pakalpojumu sniedzējam, kas pats neparadās NIS2 darbības jomā, bet tiek novērtēts kā piegādātājs, jautājums bieži parādās drošības jautājumos: vai sniedzat apmācību, kam un cik bieži.
Svarīgi nošķirt: direktīvā papildus šim pasākumam ir arī atsevišķs noteikums, kas īpaši attiecas uz pašu vadības orgānu. Tas ir cits pienākums ar citu mērķi un citu mērķauditoriju. Ja divas lietas jauks kopā, bieži vien nepietiekami novērtē, ko prasa pārējā organizācija, vai arī nepareizi saprast, ko īpaši prasa vadības orgāns.
Ko pienākuma darbības pienākums organizācijai prasa
Desmit 21. panta pasākumi ir formulēti uz riska pamata: direktīvā nav norādīts, cik stundu apmācības, kāds ir biežums vai kurš ir piegādātājs. Svarīgs ir tas, ka darbinieki atpazīst riskus, kas ir svarīgi viņu funkcijām. IKT pakalpojumu sniedzējam tas bieži attiecas uz phishing, paroles rīcību, piekļuves pārvaldīšanu uz klientu vidēm un incidenta atpazīšanu. Uzraudzības iestādes pārbaudīs, vai šis pasākums ir pamanāmi īstenots, nevis vai ir iestatīts minimālais apmācības stundu skaits.
Tas padara to par vienu no pasākumiem, kur MKB piegādātājs var relatīvi ātri izveidot ko nozīmīgu: īsu apmācības sesiju, pārbaudi, dalības sertifikātu. Jautājums "kurš to apmeklēja un kad" ir tieši tas, ko patērētājs jautājumlistaā bieži vēlas redzēt, un tieši tas, ko darbības dosejants var viegli parādīt.
Atšķirība pret vadības orgāna apmācības pienākumu
Direktīvā tiek noteikta atsevišķa atbildība būtiskas vai svarīgas subjekta vadības orgānam. Šis noteikums ir paredzēts, lai nodrošinātu, ka vadības locekļi paši ir pietiekami informēti par kiberdraudiem, lai varētu apstiprināt pienākuma darbības pasākumus un tos pārraudzīt. Tas nav apmācība visai organizācijai, bet pienākums, kas ir uz pašu vadības orgānu un ir neatkarīgs no vispārējās apzināšanas pasākuma darbiniekiem.
IKT pakalpojumu sniedzējam, kas pats nav pienākuma subjekts, šis vadības noteikums tieši neattiecas. Taču praksē pienākuma subjekts klientas dažreiz jautā tālāk: ne tikai to, vai darbinieki ir apmācīti, bet arī to, vai vadība ir pietiekami iesaistīta drošības politikā. Tas tad ietilpst piegādātāja novērtējumā, nevis piegādātāja pašas likumīgajā pienākumā.
Ko tas nozīmē, ja jūs tiekat skarts caur piegādes ķēdi
Ja jūsu organizācija pati neparadās NIS2 darbības jomā, bet sniedz pakalpojumus subjektam, kas to dara, šis klients savā pienākuma darbības pienākuma ietvaros var jautāt par jūsu apmācības pieeju. Parasti tas notiek caur jautājumlisti vai līguma noteikumiem, nevis caur likumīgu pienākumu, kas tieši uz jums attiecas. Atšķirība ir vairāk nekā formāla: tā nosaka, vai esat obligāts, vai ņemat lēmumu apmierināt sava klienta prasības, lai saglabātu līgumu. lasiet paskaidrojumu par katru tēmu parāda, kā šis nošķīrums parādās arī citos pasākumos.
Vai jūsu organizācija tiek skarta caur piegādes ķēdi un kuri no desmit pasākumiem ir attiecīgi, var noteikt ar dažiem jautājumiem. ar dažiem jautājumiem redziet, vai un kā tas jūsu organizāciju skar sniedz pirmās norādes bez tā, ka jums būtu nepieciešams konts.
Apmācības dokumentēšana kā pierādījums
Tas, kas padara apmācību vērtīgu dossierā, nav tikai saturs, bet gan reģistrācija: kas piedalījās, kad un kāds bija rezultāts. Dalības apliecinājums katram darbiniekam, kas saistīts ar statusu un īpašnieku, ir tieši tāds pierādījums, ko lūdz drošības jautājumu sarakstā un kas atkārtošanas gadījumā ietaupa izmeklēšanas darbu. skatīt, no kurienes šī informācija nāk izskaidro, kā šāds dossiers ir veidots un kā tas tiek uzturēts.
Lai iegūtu Richtlīnijas precīzu formējumu šajā jautājumā un nacionālo transponēšanu, kas attiecas uz jūsu situāciju, jāvadās pēc oficiālā teksta. Ja jūs šaubāties, vai kāda konkrēta prasība jautājumu sarakstā pārsniedz to, ko pienākuma aprūpē pamatoti var prasīt, tas ir jautājums juristam vai, šaubājoties par savu statusu, attiecīgajai uzraudzības iestādei.
Vēlaties zināt, vai un kā jūsu organizācija caur piegādes ķēdi saskaras ar šīm prasībām? Veiciet bezmaksas NIS2 pārbaudi vai pārlūkojiet atbildes uz bieži uzdotiem jautājumiem pirmajam iepazīstinājumam.