Czy szkolenie w zakresie świadomości bezpieczeństwa jest obowiązkowe dla dostawców usług ICT zgodnie z NIS2?
Dyrektywa NIS2 wyraźnie wymienia świadomość i szkolenie jako jedną z miar, które artykuł 21 wymaga od organizacji w celu ograniczenia ryzyka cybernetycznego. Dla podmiotu zasadniczego lub ważnego nie jest to zatem rada bez zobowiązań, ale część obowiązku ochrony, wraz na przykład z kontrolą dostępu i rejestracją incydentów. Dla dostawcy usług ICT, który sam nie podlega NIS2, ale jest oceniany jako dostawca, pytanie często pojawia się w kwestionariuszu bezpieczeństwa: czy udziela Pan szkolenia, dla kogo i jak często.
Ważne jest rozróżnienie: oprócz tej miary dyrektywa zawiera również odrębne postanowienie dotyczące samego organu zarządzającego. To jest inne obowiązka, z innym celem i inną grupą docelową. Ci, którzy mylą te dwa obowiązki, często niedoceniają tego, co wymaga się od reszty organizacji, lub odwrotnie, co wymaga się konkretnie od organu zarządzającego.
Co wymaga od organizacji obowiązek ochrony
Dziesięć środków z artykułu 21 zostało sformułowanych w oparciu o ocenę ryzyka: dyrektywa nie określa liczby godzin szkolenia, częstotliwości ani wyboru dostawcy. Liczy się natomiast to, że pracownicy rozpoznają zagrożenia istotne dla ich funkcji. W przypadku dostawcy usług ICT dotyczy to często łowów na dane, postępowania z hasłami, zarządzania dostępem do środowisk klientów oraz rozpoznania zdarzenia. Organy nadzorcze zwracają uwagę na to, czy środek został udokumentowanie wdrożony, a nie na ustalony minimalny wymiar godzin szkoleniowych.
To sprawia, że jest to jeden ze środków, który dostawca MKB może stosunkowo szybko wdrożyć w sensowny sposób: krótkie szkolenie, test, zaświadczenie udziału. Pytanie „kto to przeszedł i kiedy
Różnica w stosunku do obowiązku szkoleniowego dla organu zarządzającego
Dyrektywa nakłada ponadto własną odpowiedzialność na organ zarządzający podmiotu o znaczeniu krytycznym lub ważnym podmiotem. Postanowienie to ma na celu zapewnienie, że członkowie organów zarządzających sami posiadają wystarczającą wiedzę na temat zagrożeń cyberbezpieczeństwa, aby móc zatwierdzić środki zarządzania ryzykiem i sprawować nad nimi nadzór. Nie jest to zatem szkolenie dla całej organizacji, lecz obowiązek spoczywający na samym organie zarządzającym i niezwiązany ze środkami ogólnej świadomości dla pracowników.
Dla dostawcy usług ICT, który sam nie podlega obowiązkowi, ta ustawa nie ma zastosowania bezpośredniego. Jednak w praktyce zamawiający, który podlega obowiązkowi, czasami pyta więcej: nie tylko czy pracownicy otrzymali szkolenie, ale czy kierownictwo wystarczająco angażuje się w politykę bezpieczeństwa. To wówczas część oceny dostawcy, a nie własny obowiązek prawny dostawcy.
Co to oznacza, jeśli dotknięty jest Pani/Pana organizacja przez łańcuch dostaw
Jeśli Pana/Pani organizacja sama nie podlega NIS2, ale świadczy usługi dla podmiotu, który podlega, ten klient może w ramach własnego obowiązku zadbania poprosić o informacje dotyczące Pana/Pani podejścia do szkolenia. Zwykle odbywa się to za pośrednictwem ankiety lub warunku umowy, a nie poprzez obowiązek prawny, który bezpośrednio ciąży na Panu/Pani. Różnica to więcej niż formalność: określa, czy jest Pan/Pani zobowiązany, czy podejmuje Pan/Pani decyzję, aby spełnić wymóg zamawiającego i utrzymać umowę. przeczytaj wyjaśnienie dla każdego tematu pokazuje, jak to rozróżnienie pojawia się również w przypadku innych działań.
To, czy Pana/Pani organizacja dotknięta jest przez łańcuch dostaw i które z dziesięciu działań są tutaj istotne, można ustalić za pomocą kilku pytań. w kilku pytaniach sprawdzić, czy i jak to dotyczy Pana/Pani organizacji daje pierwsze wskazanie w tym zakresie, bez konieczności posiadania konta.
Udokumentowanie szkolenia jako dowód
To, co sprawia, że szkolenie jest wartościowe dla dokumentacji, to nie tylko treść, ale rejestracja: kto uczestniczył, kiedy i z jakim rezultatem. Zaświadczenie o uczestnictwie dla każdego pracownika, powiązane ze statusem i odpowiedzialnym, to dokładnie taki dowód, który jest wymagany w kwestionariuszu bezpieczeństwa i który przy powtarzaniu oszczędza pracę przygotowawczą. zobacz, skąd pochodzą te informacje wyjaśnia, jak taka dokumentacja jest budowana i jak jest utrzymywana.
W kwestii dokładnego brzmienia dyrektywy w tym punkcie i krajowej transpozycji mającej zastosowanie do Pani sytuacji tekst urzędowy jest wiążący. Jeśli ma Pani wątpliwości, czy określone wymóg w kwestionariuszu wykracza poza to, co obowiązek należytej staranności rozsądnie wymaga, to pytanie należy skierować do prawnika lub, w razie wątpliwości co do własnego statusu, do właściwego organu nadzoru.
Chce Pani wiedzieć, czy i w jaki sposób Pana organizacja napotka te wymogi za pośrednictwem łańcucha dostaw? Wykonaj bezpłatną kontrolę NIS2 lub przejrzyj odpowiedzi na często zadawane pytania aby się zapoznać.