A formação em segurança é obrigatória para prestadores de serviços de TIC sob a NIS2?
A Diretiva NIS2 menciona explicitamente sensibilização e formação como uma das medidas que o artigo 21 exige das organizações para gerir riscos de cibersegurança. Para uma entidade crítica ou importante, isto não é, portanto, um conselho facultativo, mas parte da obrigação de diligência devida, juntamente com, por exemplo, controlo de acesso e registo de incidentes. Para um prestador de serviços de TIC que não está sujeito à NIS2, mas é avaliado como fornecedor, a questão surge frequentemente numa lista de verificação de segurança: oferece formação, a quem, e com que frequência.
É importante distinguir: a Diretiva inclui, para além desta medida, uma disposição separada que se aplica especificamente ao órgão de administração. Esta é uma obrigação diferente, com um objetivo diferente e um público diferente. Quem confunde as duas frequentemente subestima o que é pedido ao resto da organização, ou invés disso, o que é pedido especificamente à administração.
O que a obrigação de diligência devida da organização exige
As dez medidas do artigo 21 são formuladas com base no risco: a Diretiva não especifica quantas horas de formação, com que frequência ou com que fornecedor. O que importa é que os colaboradores reconheçam os riscos relevantes para a sua função. Para um prestador de serviços de TIC, isto frequentemente diz respeito a phishing, comportamento de palavras-passe, gestão do acesso a ambientes de clientes e reconhecimento de um incidente. Os supervisores verificam se a medida foi executada de forma comprovável, não se existe um número mínimo de horas de formação registado.
Isto torna-se uma das medidas em que um fornecedor PME pode estabelecer algo útil relativamente rapidamente: uma breve sessão de formação, um teste, um certificado de participação. A pergunta "quem frequentou isto e quando" é exatamente o que um utilizador numa lista de verificação frequentemente pretende ver, e exatamente o que um registo dinâmico pode facilmente demonstrar.
A diferença com a obrigação de formação para a administração
A Diretiva estabelece, além disso, uma responsabilidade própria do órgão de administração de uma entidade crítica ou importante. Esta disposição destina-se a garantir que os administradores têm, por si próprios, compreensão suficiente dos riscos de cibersegurança para aprovar as medidas de diligência devida e supervisionar o seu cumprimento. Isto não é, portanto, formação para toda a organização, mas uma obrigação que recai sobre a administração em si e que é separada da medida geral de sensibilização para os colaboradores.
Para um prestador de serviços de TIC que não está sujeito à Diretiva, esta disposição sobre a administração não se aplica diretamente. Mas na prática, um cliente sujeito à Diretiva às vezes questiona mais: não apenas se os colaboradores foram formados, mas também se a direção está suficientemente envolvida na política de segurança. Isto é então parte da avaliação do fornecedor, não de uma obrigação legal própria desse fornecedor.
O que isto significa se for afetado através da cadeia de abastecimento
Se a sua organização não está sujeita à NIS2, mas fornece serviços a uma entidade que está, esse cliente pode, no âmbito da sua própria obrigação de diligência devida, questionar a sua abordagem de formação. Isto acontece normalmente através de uma lista de verificação ou disposição contratual, não através de uma obrigação legal que incida diretamente sobre si. A diferença é mais do que uma formalidade: determina se está obrigado, ou se está a fazer uma escolha para cumprir o requisito do seu cliente para manter o contrato. ler a explicação por tópico mostra como essa distinção também aparece noutras medidas.
Se a sua organização é afetada através da cadeia de abastecimento, e qual das dez medidas é relevante, pode ser determinado com algumas perguntas. veja em algumas perguntas se e como isto o afeta fornece uma primeira indicação para isto, sem que necessite de uma conta.
Registar a formação como prova
O que torna uma formação valiosa para um dossiê não é apenas o conteúdo, mas o registo: quem participou, quando e com que resultado. Um certificado de participação por colaborador, associado a um estado e um responsável, é precisamente o tipo de prova que é solicitado num questionário de segurança e que, repetidamente, poupa trabalho de investigação. ver de onde vem esta informação explica como um dossiê destes é construído e como é mantido.
Para a formulação exata da diretiva neste ponto e para a transposição nacional que se aplica à sua situação, o texto oficial é vinculativo. Se tem dúvidas sobre se um requisito específico num questionário vai além do que o dever de diligência razoavelmente exige, essa é uma questão para um jurista ou, em caso de dúvida sobre o seu próprio estatuto, para a autoridade de supervisão competente.
Quer saber se e como a sua organização será afetada por estes requisitos através da cadeia de valor? Faça a verificação NIS2 gratuita ou consulte as respostas a perguntas frequentes para uma primeira orientação.