Este formarea obligatorie de conștiință în materie de securitate în sectorul instalațiilor?
Dacă întreprinderea dumneavoastră de instalații se încadrează în cadrul Directivei NIS2, sensibilizarea angajaților face parte din măsurile pe care obligația de diligență vă cere să le luați. Directiva menționează în mod explicit educația și sensibilizarea ca parte a măsurilor de securitate cibernetică pe care trebuie să le ia o entitate esențială sau importantă. În plus, există o obligație separată care se adresează în mod specific conducătorilor și aceste două sunt adesea confundate în practică.
Diferența constă în cine este obligat și cât de strictă este acea obligație. Pentru angajații în general, Directiva vorbește despre măsuri adecvate și proporționate, prin care formarea este unul dintre elementele menționate în cadrul obligației de diligență mai largi din articolul 21. Pentru conducători și alți membri ai organului de conducere, există o obligație separată și personală de a urma ei înșiși o formare pentru a putea recunoaște și evalua riscurile de securitate cibernetică. Aceasta nu este o recomandare facultativă, ci o cerință pentru persoanele responsabile cu aprobarea politicii.
De ce această distincție este relevantă pentru o întreprindere de instalații
Într-o întreprindere de instalații lucreaza montatori pe teren, un departament de planificare, personal administrativ și de obicei unu sau câțiva directori care asigură conducerea zilnică. Pentru grupul de angajați, sensibilizarea se concentrează în principal pe riscuri recunoscute: e-mailuri de phishing care se deghizează în furnizor sau client, cereri suspecte de date de autentificare și tratarea cu grijă a accesului la datele clienților și proiectelor pe dispozitivele mobile din vehiculele de companie. Obligația de diligență impune ca acest tip de formare să se desfășoare periodic și să puteți demonstra că se întâmplă, nu că există un număr minim prestabilit de ore pe an.
Pentru direcția sau proprietarul întreprinderii, standardul se situează ușor diferit. Acea persoană trebuie să fie în stare să recunoască riscurile și să aprobe în cunoștință de cauză politica care rezultă din acestea. Aceasta nu înseamnă că directorul trebuie să devină expert tehnic, dar bine că înțelege care sunt riscurile majore pentru întreprindere și de ce anumite măsuri sunt necesare. Această obligație este independentă de ceea ce se organizează pentru angajați și deci nu poate fi înlocuită prin, de exemplu, doar un test general de phishing pentru întreaga echipă.
Ce înseamnă aceasta în practică pentru dosarul dumneavoastră
Deoarece formarea face parte din obligația de diligență, fiecare activitate de formare trebuie documentată: cine a urmat formarea, când și care a fost conținutul. Aceasta se aplică atât sensibilizării generale a angajaților, cât și formării pe care o urmează conducătorii. Un email separat cu sfaturi nu se numără ca document de probă; un raport cu participanții, data și subiectul da. cele zece măsuri ale obligației de diligență enumerate oferă o imagine de ansamblu a locului în care se încadrează exact formarea și cum se raportează la alte obligații cum ar fi controlul accesului și înregistrarea incidentelor.
Pentru întreprinderile care sunt afectate prin lanț, fără a fi ele însuși obligate, acest subiect joacă și el un rol. Un client care se încadrează el însuși în NIS2 poate întreba într-un chestionar de securitate dacă angajații sunt sensibilizați în mod regulat cu privire la riscurile de securitate cibernetică și dacă aceasta a fost documentată. O întreprindere de instalații care lucrează ca subcontractor pentru o companie de energie sau un spital primește adesea această întrebare în retur, chiar fără a fi obligată ea însăși.
Indiferent dacă întreprinderea dumneavoastră se încadrează ea însăși în obligația de diligență, sub obligația conducerii, sau doar prin intermediul unui client devine vorba despre formare, depinde de sector, dimensiune și rol în lanț. în câteva întrebări vedeți unde se situează compania dvs. oferă o primă indicație în acest sens, cu explicații privind motivul pentru care. Întrebări frecvente despre ceea ce intră exact sub incidența instruirii și dacă este necesat un certificat sunt colectate la întrebări frecvente.
Nicio instruire fără înregistrare, nicio înregistrare fără dosar
Esența pentru o întreprindere de instalații este astfel simplă de reținut: sensibilizarea angajaților face parte din obligația mai largă de diligență, instruirea managerilor este o obligație separată și personală. Ambele necesită o înregistrare pe care o puteți prezenta unui organism de supraveghere sau unui client care o solicită. Pentru formularea exactă și localizarea în textul oficial vă trimitem la directiva în sine și la transpunerea națională care se aplică țării dvs.
Doriți pentru propria dvs. întreprindere de instalații o imagine clară a ceea ce este deja reglementat și ce lipsește? Începeți cu verificarea NIS2 gratuită sau creați un cont de afaceri pentru a construi dosarul odată ce știți ce măsuri se aplică situației dvs.