Czy szkolenie świadomości bezpieczeństwa jest obowiązkowe w branży instalacyjnej?
Jeśli Twoja firma instalacyjna podlega Dyrektywie NIS2, świadomość pracowników dotycząca zagrożeń cyberbezpieczeństwa jest częścią działań, które obowiązek ochrony od Ciebie wymaga. Dyrektywa wyraźnie wymienia szkolenie i podnoszenie świadomości jako część środków cyberbezpieczeństwa, które musi podjąć podmiot istotny lub ważny. Poza tym istnieje oddzielny obowiązek skierowany konkretnie do członków zarządu, a te dwa obowiązki są w praktyce często mylone.
Różnica polega na tym, kto jest zobowiązany i jak wiążący jest ten obowiązek. W odniesieniu do pracowników ogólnie dyrektywa mówi o odpowiednich i proporcjonalnych działaniach, przy czym szkolenie jest jednym z wymienionych elementów w ramach szerszego obowiązku ochrony z artykułu 21. Dla członków zarządu i innych członków organu zarządzającego istnieje oddzielny, osobisty obowiązek samodzielnego przejścia szkolenia w celu rozpoznawania i oceny zagrożeń cyberbezpieczeństwa. Nie jest to niewiążąca rada, ale wymóg dla osób odpowiedzialnych za zatwierdzanie polityki.
Dlaczego to rozróżnienie jest istotne dla firmy instalacyjnej
W firmie instalacyjnej monterzy pracują na terenie, istnieje dział planowania, personel administracyjny i zwykle jeden lub kilka członków kierownictwa prowadzących codzienne funkcjonowanie. Dla grupy pracowników świadomość dotyczy przede wszystkim możliwych do rozpoznania zagrożeń: wiadomości e-mail z phishingiem podszywające się pod dostawcę lub zleceniodawcę, podejrzane prośby o dane logowania oraz ostrożne postępowanie z dostępem do danych klientów i projektów na urządzeniach mobilnych w samochodach firmowych. Obowiązek ochrony wymaga, aby tego rodzaju szkolenia odbywały się okresowo i abyś mógł wykazać, że się odbywają; nie ma ustalonej minimalnej liczby godzin rocznie.
Dla kierownictwa lub właściciela firmy poprzeczka jest postawiona inaczej. Ta osoba musi sama być w stanie rozpoznawać zagrożenia i właściwie zatwierdzać politykę wynikającą z tych zagrożeń. Nie oznacza to, że dyrektor musi być ekspertem technicznym, ale musi rozumieć, jakie są główne zagrożenia dla firmy i dlaczego pewne działania są konieczne. Obowiązek ten jest niezależny od tego, co jest organizowane dla pracowników i dlatego nie może być zastąpiony na przykład jedynie ogólnym testem phishingowym dla całego zespołu.
Co to oznacza w praktyce dla Twojego dossier
Ponieważ szkolenie jest częścią obowiązku ochrony, każda aktywność szkoleniowa powinna być udokumentowana: kto uczestniczył w szkoleniu, kiedy i jaka była jego zawartość. Dotyczy to zarówno ogólnego podnoszenia świadomości pracowników, jak i szkolenia, które przechodzą członkowie zarządu. Sama wiadomość e-mail ze wskazówkami nie liczy się jako dowód; przegląd z uczestnikami, datą i tematem natomiast tak. dziesięć działań obowiązku ochrony na jednym miejscu zawiera przegląd tego, gdzie dokładnie szkolenie się umieszcza i jak się odnosi do innych obowiązków, takich jak kontrola dostępu i rejestracja incydentów.
Dla firm, które są objęte poprzez łańcuch dostaw bez samodzielnego podlegania obowiązkowi, ten temat również odgrywa rolę. Zleceniodawca, który sam podlega NIS2, może w kwestionariuszu bezpieczeństwa zapytać, czy pracownicy są regularnie zapoznawani z zagrożeniami cyberbezpieczeństwa i czy jest to udokumentowane. Firma instalacyjna pracująca jako podwykonawca dla przedsiębiorstwa energetycznego lub szpitala często otrzymuje to pytanie z powrotem, nawet bez samodzielnego podlegania obowiązkowi.
Czy Twoja firma sama podlega obowiązkowi ochrony, obowiązkowi dla członków zarządu, czy tylko poprzez zleceniodawcę ma do czynienia ze szkoleniem, zależy od sektora, wielkości i roli w łańcuchu dostaw. w kilku pytaniach sprawdzić, gdzie stoi Twoja firma zapewnia początkową wskazówkę na ten temat wraz z wyjaśnieniem przyczyn. Często zadawane pytania na temat tego, co dokładnie obejmuje szkolenie i czy certyfikat jest wymagany, zebrano w jednym miejscu w sekcji odpowiedzi na często zadawane pytania.
Brak szkolenia bez dokumentacji, brak dokumentacji bez sprawozdania
Dla firmy instalacyjnej zasada jest prosta do zapamiętania: świadomość pracowników jest częścią szerszego obowiązku staranności, szkolenie kierownictwa to odrębny, osobisty wymóg. Oba wymagają dokumentacji, którą można przedstawić organowi nadzoru lub zleceniodawcy, jeśli o nią poprosi. W sprawie dokładnego brzmienia i lokalizacji w oficjalnym tekście odsyłamy do samej dyrektywy oraz do transpozycji krajowej mającej zastosowanie w Pani/Pana kraju.
Chcesz dla swojej firmy instalacyjnej jasny obraz tego, co zostało już załatwione i co jeszcze brakuje? Zacznij od bezpłatnego sprawdzenia NIS2 lub utwórz konto biznesowe, aby budować sprawozdanie gdy już wiesz, które środki mają zastosowanie w Twojej sytuacji.