Este necesară formarea de conștientizare a securității pentru furnizorii de servicii ICT în cadrul NIS2?
Directiva NIS2 menționează în mod explicit conștientizarea și formarea ca una din măsurile pe care articolul 21 le solicită organizațiilor pentru a gestiona riscurile cibernetice. Pentru o entitate esențială sau importantă, aceasta nu este deci un sfat neobligatoriu, ci o parte a obligației de diligență, alături de alte măsuri precum controlul accesului și înregistrarea incidentelor. Pentru un furnizor de servicii TIC care nu cade el însuși sub NIS2, dar este evaluat ca furnizor, întrebarea apare adesea într-un chestionar de securitate: oferiți formare, cui și cât de des.
Important de distins: directiva conține alături de această măsură și o dispoziție separată care se referă specific la organul de conducere însuși. Aceasta este o altă obligație, cu un alt scop și alt public țintă. Cine confundă cele două adesea subestimează ceea ce se cere din restul organizației, sau invers, ceea ce se cere în mod specific de la organul de conducere.
Ceea ce obligația de diligență a organizației solicită
Cele zece măsuri din articolul 21 sunt formulate pe bază de risc: directiva nu prescrie câte ore de formare, cu ce frecvență sau cu ce furnizor. Ceea ce contează este ca angajații să recunoască riscurile relevante pentru propria lor funcție. La un furnizor de servicii TIC, aceasta se referă adesea la phishing, comportamentul referitor la parole, gestionarea accesului la mediile clienților și recunoașterea unui incident. Autoritățile de supraveghere verifică dacă măsura a fost pusă în practică în mod demonstrabil, nu dacă există un număr minim de ore de formare consemnat.
Aceasta o face una din măsurile în care un furnizor IMM poate configura relativ ușor ceva util: un moment scurt de formare, o evaluare, o dovadă de participare. Întrebarea "cine a urmat aceasta și când" este exact ceea ce un beneficiar într-un chestionar dorește adesea să vadă, și exact ceea ce un dosar viu poate arăta cu ușurință.
Diferența față de obligația de formare pentru organul de conducere
Directiva impune în plus o responsabilitate proprie organului de conducere al unei entități esențiale sau importante. Această dispoziție are scopul de a se asigura că conducătorii înșiși au înțelegere suficientă a riscurilor cibernetice pentru a putea aproba măsurile de diligență și a supraveghea respectarea lor. Aceasta nu este deci formare pentru întreaga organizație, ci o obligație care se sprijină pe organul de conducere însuși și care este independentă de măsura generală de conștientizare pentru angajați.
Pentru un furnizor de servicii TIC care nu este el însuși obligat, această dispoziție privind conducerea nu se aplică în mod direct. Dar în practică, beneficiarul obligat uneori cere totuși informații suplimentare: nu doar dacă angajații au fost formare, dar și dacă conducerea este suficient implicată în politica de securitate. Aceasta aparține atunci evaluării furnizorului, nu unei obligații legale proprii a acelui furnizor.
Ce înseamnă aceasta dacă sunteți afectat prin lanțul de aprovizionare
Dacă organizația dvs. nu cade ea însăși sub NIS2, dar furnizează servicii unei entități care cade, acel client poate cere, în contextul propriei obligații de diligență, informații despre abordarea dvs. privind formarea. Aceasta se întâmplă de obicei printr-un chestionar sau o clauză contractuală, nu prin obligația legală care se aplică direct asupra dvs. Diferența este mai mult decât o formalitate: ea determină dacă sunteți obligat sau dacă faceți o alegere pentru a îndeplini cerința beneficiarului dvs. și a păstra contractul. citiți explicația pe fiecare subiect arată cum acest distincție apare și la alte măsuri.
Dacă organizația dvs. este afectată prin lanțul de aprovizionare și care din cele zece măsuri sunt relevante în acest caz pot fi determinate cu câteva întrebări. vedeți în câteva întrebări dacă și cum aceasta vă afectează organizația oferă o primă indicație pentru aceasta, fără a avea nevoie de un cont.
Consemnarea formării ca dovadă
Ceea ce face o formare valoroasă pentru un dosar nu este doar conținutul, ci înregistrarea: cine a participat, când și cu ce rezultat. Un certificat de participare per angajat, legat de un statut și un proprietar, este exact tipul de dovadă care se cere într-o listă de verificare a securității și care economisește mult efort de investigație la repetare. a vedea de unde provin aceste informații explică cum este construit un astfel de dosar și cum este menținut.
Pentru formularea exactă a directivei pe această chestiune și pentru transpunerea națională care se aplică situației dumneavoastră, textul oficial este decisive. Dacă aveți îndoieli dacă o cerință specifică dintr-o listă de verificare merge mai departe decât ceea ce obligația de diligență rezonabil cere, aceasta este o întrebare pentru un jurist sau, în caz de îndoieli cu privire la starea dumneavoastră, pentru autoritatea competentă de supraveghere.
Doriți să știți dacă și cum organizația dumneavoastră va fi afectată pe lanț de aceste cerințe? Efectuați verificarea NIS2 gratuită sau răsfoiți răspunsurile la întrebări frecvente pentru o primă orientare.