Je školenie v oblasti bezpečnosti povedomia povinné v odvetví inštalácií?
Ak vaša inštalačná firma spadá pod smernicou NIS2, povedomie zamestnancov patrí medzi opatrenia, ktoré od vás povinnosť starostlivosti očakáva. Smernica výslovne spomína školenie a povedomie ako súčasť opatrení v oblasti kybernetickej bezpečnosti, ktoré musí prijať podstatná alebo dôležitá entita. Okrem toho existuje samostatná povinnosť, ktorá je špecificky zameraná na vedúcich pracovníkov, a tieto dve sú v praxi často zamieňané.
Rozdiel spočíva v tom, kto je povinný a aká pevná je táto povinnosť. Smernica hovorí o zamestnancoch všeobecne o vhodných a proporcionálnych opatreniach, pričom školenie je jedným z uvedených prvkov v rámci širšej povinnosti starostlivosti podľa článku 21. Pre vedúcich pracovníkov a ostatných členov vedenia platí samostatná osobná povinnosť absolvovať školenie, aby mohli rozpoznať a zhodnotiť kybernetické riziká. Nie je to neviazaný pokyn, ale požiadavka na osoby zodpovedajúce za schvaľovanie politiky.
Prečo je tento rozdiel relevantný pre inštalačnú firmu
V inštalačnej firme pracujú monterovia na miestach, oddiel plánovania, administratívny personál a zvyčajne jeden alebo niekoľko vedúcich pracovníkov, ktorí vedú denne činnosti. Pre skupinu zamestnancov sa povedomie točí najmä okolo rozpoznateľných rizík: phishingové e-maily vydávajúce sa za dodávateľa alebo objednávateľa, podozrivé žiadosti o prihlasovacie údaje a starostlivé zaobchádzanie s prístupom k údajom o zákazníkoch a projektoch na mobilných zariadeniach v firemných dodávkach. Povinnosť starostlivosti vyžaduje, aby sa tento typ školenia uskutočňoval periodicky a aby ste mohli preukázať, že sa to uskutočňuje, nie že existuje stanovený minimálny počet hodín ročne.
Pre vedenie alebo vlastníka firmy je úroveň o niečo iná. Táto osoba musí byť sama schopná rozpoznať riziká a správne schváliť politiku, ktorá z toho vyplýva. To neznamená, že riaditeľ musí byť technickým odborníkom, ale znamená to, že chápe, aké sú hlavné riziká pre firmu a prečo sú určité opatrenia potrebné. Táto povinnosť je nezávislá od toho, čo sa organizuje pre zamestnancov, a preto nemôže byť nahradená napríklad iba všeobecným testom phishingu pre celý tím.
Čo to znamená v praxi pre vašu dokumentáciu
Pretože školenie je súčasťou povinnosti starostlivosti, každá školiaca činnosť by mala byť zaznamenané: kto školenie absolvoval, kedy a aký bol obsah. To platí jak pre všeobecné povedomie zamestnancov, tak aj pre školenie, ktoré absolvujú vedúci pracovníci. Jednoduchý e-mail s tipmi sa nepočíta ako dôkazný dokument; prehľad s účastníkmi, dátumom a témou áno. desať opatrení povinnosti starostlivosti na jednom mieste poskytuje prehľad o tom, kde presne školenie spadá a ako sa vzťahuje k ďalším povinnostiam, ako je riadenie prístupu a registrácia incidentov.
Pre firmy, ktoré sú zasiahnuté prostredníctvom reťazca bez toho, aby samy spadali do povinnosti, hrá táto téma tiež úlohu. Objednávateľ, ktorý sám spadá pod NIS2, môže v zozname otázok bezpečnosti spýtať, či sa zamestnanci pravidelne povedomia kybernetických rizík a či je to zaznamenané. Inštalačná firma, ktorá pracuje ako subdodávateľ pre energetickú firmu alebo nemocnicu, dostane túto otázku často späť, aj bez toho, aby sama spadala do povinnosti.
To, či vaša firma sama spadá pod povinnosť starostlivosti, pod povinnosť vedenia alebo je s školením zúčastená iba prostredníctvom objednávateľa, závisí od odvetvia, veľkosti a úlohy v reťazci. v niekoľkých otázkach zistiť, kde sa váš podnik nachádza poskytuje na to prvý náhľad s vysvetlením prečo. Často kladané otázky o tom, čo presne spadá pod školenie a či je potrebný certifikát, sú zozbierané v časť Často kladaných otázok.
Žiadne školenie bez dokumentácie, žiadna dokumentácia bez spisu
Jadro pre inštalačnú firmu je preto jednoduché zapamätať si: povedomie zamestnancov je súčasťou širšej povinnosti starostlivosti, školenie manažérov je samostatnou, osobnou povinnosťou. Obe vyžadujú dokumentáciu, ktorú môžete preukázať dohľadnému orgánu alebo objednávateľovi, ktorý si ju vyžiada. Na presné znenie a umiestnenie v oficiálnom texte vás odkazujeme na samotnú direktívu a na jej transpozíciu, ktorá platí pre vašu krajinu.
Chcete mať jasný prehľad o tom, čo je už v poriadku a čo ešte chýba vo vašej inštalačnej firme? Začnite bezplatnou kontrolou NIS2 alebo vytvorte si obchodný účet na zostavenie spisu len čo zistíte, ktoré opatrenia sú relevantné pre vašu situáciu.