Is security awareness training verplicht in de installatiebranche?
Als uw installatiebedrijf onder de NIS2-richtlijn valt, hoort bewustwording van medewerkers bij de maatregelen die de zorgplicht van u verwacht. De richtlijn noemt opleiding en bewustmaking expliciet als onderdeel van de cyberbeveiligingsmaatregelen die een essentiële of belangrijke entiteit moet nemen. Daarnaast bestaat er een aparte verplichting die specifiek op bestuurders gericht is, en die twee worden in de praktijk vaak door elkaar gehaald.
Het verschil zit in wie verplicht wordt en hoe hard die verplichting is. Voor medewerkers in het algemeen spreekt de richtlijn over passende en proportionele maatregelen, waarbij training een van de genoemde elementen is binnen de bredere zorgplicht van artikel 21. Voor bestuurders en andere leden van het leidinggevend orgaan ligt er een eigen, persoonlijke verplichting om zelf training te volgen om cyberrisico's te kunnen herkennen en beoordelen. Dat is geen vrijblijvend advies, maar een eis aan de personen die verantwoordelijk zijn voor het goedkeuren van het beleid.
Waarom dat onderscheid voor een installatiebedrijf relevant is
In een installatiebedrijf werken monteurs op locatie, een planningsafdeling, administratief personeel en meestal één of enkele directieleden die de dagelijkse leiding voeren. Voor de groep medewerkers draait bewustwording vooral om herkenbare risico's: phishing-mails die zich voordoen als een leverancier of opdrachtgever, verdachte verzoeken om inloggegevens, en het zorgvuldig omgaan met toegang tot klant- en projectgegevens op mobiele apparaten in bedrijfsbusjes. De zorgplicht vraagt dat dit soort training periodiek gebeurt en dat u kunt aantonen dát het gebeurt, niet dat er een vastgelegd minimumaantal uren per jaar is.
Voor de directie of de eigenaar van het bedrijf ligt de lat net ergens anders. Die persoon moet zelf in staat zijn om risico's te herkennen en het beleid dat daaruit volgt goed te keuren. Dat betekent niet dat de directeur een technisch expert moet worden, maar wel dat hij of zij begrijpt wat de belangrijkste risico's voor het bedrijf zijn en waarom bepaalde maatregelen nodig zijn. Deze verplichting staat los van wat voor medewerkers wordt georganiseerd en kan dus niet worden vervangen door bijvoorbeeld alleen een algemene phishingtest voor het hele team.
Wat dit in de praktijk betekent voor uw dossier
Omdat training onderdeel is van de zorgplicht, hoort er bij elke trainingsactiviteit een vastlegging: wie heeft de training gevolgd, wanneer, en wat was de inhoud. Dat geldt zowel voor de algemene bewustwording van medewerkers als voor de training die bestuurders volgen. Een losse e-mail met tips telt niet als bewijsstuk; een overzicht met deelnemers, datum en onderwerp wel. de tien maatregelen van de zorgplicht op een rij geeft een overzicht van waar training precies tussen valt en hoe die zich verhoudt tot de andere verplichtingen zoals toegangsbeheer en incidentregistratie.
Voor bedrijven die via de keten worden geraakt, zonder zelf plichtig te zijn, speelt dit onderwerp ook een rol. Een opdrachtgever die zelf wel onder NIS2 valt, kan in een securityvragenlijst vragen of medewerkers regelmatig bewust worden gemaakt van cyberrisico's en of dat is vastgelegd. Een installatiebedrijf dat als onderaannemer werkt voor een energiebedrijf of een ziekenhuis krijgt die vraag vaak terug, ook zonder zelf plichtig te zijn.
Of uw bedrijf zelf onder de zorgplicht valt, onder de bestuursverplichting, of alleen via een opdrachtgever met training te maken krijgt, hangt af van de sector, de omvang en de rol in de keten. in een paar vragen zien waar uw bedrijf staat geeft daar een eerste indicatie van, met uitleg waarom. Veelgestelde vragen over wat precies onder training valt en of er een certificaat nodig is, staan verzameld bij de veelgestelde vragen.
Geen training zonder vastlegging, geen vastlegging zonder dossier
De kern voor een installatiebedrijf is dus simpel te onthouden: bewustwording van medewerkers is onderdeel van de bredere zorgplicht, training van bestuurders is een aparte, persoonlijke verplichting. Beide vragen om een vastlegging die u kunt tonen aan een toezichthouder of aan een opdrachtgever die daarom vraagt. Voor de exacte formulering en de vindplaats in de officiële tekst verwijzen wij naar de richtlijn zelf en naar de nationale omzetting die voor uw land geldt.
Wilt u voor uw eigen installatiebedrijf een duidelijk beeld van wat er al geregeld is en wat nog ontbreekt? Begin met de gratis NIS2-check of maak een zakelijk account aan om het dossier op te bouwen zodra u weet welke maatregelen voor uw situatie gelden.