Je bezpečnostné povedomie zákonnú povinnosťou pre poskytovateľov ICT služieb v rámci NIS2?
Smernica NIS2 výslovne uvádza povedomie a školenie ako jedno z opatrení, ktoré článok 21 od organizácií vyžaduje na riadenie kybernetických rizík. Pre subjekt považovaný za nevyhnutný alebo dôležitý ide teda nie o nezáväznú radu, ale o súčasť povinnosti starostlivosti spolu s napríklad riadením prístupu a registráciou incidentov. Pre poskytovatele služieb ICT, ktorý sám nespadá pod NIS2, ale je hodnotený ako dodávateľ, sa otázka často objavuje v bezpečnostnom dotazníku: poskytujete školenie, komu a ako často.
Je dôležité rozlíšiť: okrem tohto opatrenia obsahuje smernica aj samostatnú establecu, ktorá sa špecificky zaoberá samotným vedením. Ide o inú povinnosť, s iným cieľom a inou cieľovou skupinou. Kto si tieto dve pomiešava, často podceňuje, čo sa od zvyšku organizácie vyžaduje, alebo naopak, čo sa špecificky vyžaduje od vedenia.
Čo vyžaduje povinnosť starostlivosti organizácie
Desať opatrení z článku 21 sú formulované na báze rizík: smernica nepredpisuje počet hodín školenia, frekvenciu ani poskytovateľa. Dôležité je, aby zamestnanci rozpoznali riziká relevantné pre ich funkciu. Pre poskytovatele služieb ICT ide často o phishing, správanie hesiel, manažment prístupu k zákazníckym prostrediam a rozpoznávanie incidentu. Dohľadoví orgány sa pritom pozerajú na to, či bolo opatrenie preukázateľne vykonané, nie na určený minimálny počet hodín školenia.
To z tohto robí jedno z opatrení, kde dodávateľ malého a stredného podniku môže pomerne rýchlo niečo zmysluplného nastaviť: krátky školiaci moment, test, certifikát účasti. Otázka "kto to absolvoval a kedy" je presne to, čo chce zákazník v dotazníku často vidieť, a presne to, čo živý dossier ľahko môže ukázať.
Rozdiel od školiacej povinnosti pre vedenie
Smernica zároveň ukladá vlastnú zodpovednosť vedeniu nevyhnutného alebo dôležitého subjektu. Toto postavenie je určené na to, aby sa zabezpečilo, že správcovia sami majú dostatočný prehľad o kybernetických rizikách, aby mohli schvaľovať a dohľadať opatrenia na dodržanie povinnosti starostlivosti. Nejde teda o školenie celej organizácie, ale o povinnosť spočívajúcu na samotnom vedení a nezávislú od všeobecného opatrenia zvyšovania povedomia pre zamestnancov.
Pre poskytovateľa služieb ICT, ktorý sám nie je subjektom, podliehajúcim povinnostiam, sa toto ustanovenie vlády neuplatňuje priamo. V praxi však niekedy zákazník, ktorý je viazaný povinnosťami, napriek tomu dopytuje: nielen to, či sú zamestnanci školení, ale aj to, či je vedenie dostatočne zapojené do bezpečnostnej politiky. To potom patrí do hodnotenia dodávateľa, nie do vlastnej zákonnej povinnosti tohto dodávateľa.
Čo to znamená, ak vás dosiahnu prostredníctvom dodávateľského reťazca
Ak vaša organizácia samotnú NIS2 nepodlieha, ale poskytuje služby entite, ktorá áno, môže tento zákazník v rámci svojej vlastnej starostlivosti dopytovať vašu školiaci prístup. Zvyčajne sa to deje prostredníctvom otáznika alebo zmluvného ustanovenia, nie prostredníctvom zákonnej povinnosti, ktorá by na vás priamo viazala. Rozdiel je viac ako formálny: určuje, či ste povinní, alebo či si vyberiete splnenie požiadavky vášho zákazníka, aby ste si udržali zmluvu. si prečítajte vysvetlenie podľa jednotlivých tém ukazuje, ako sa tento rozdiel uplatňuje aj pri ďalších opatreniach.
To, či sa vaša organizácia dosiahne prostredníctvom dodávateľského reťazca a ktoré z desiatich opatrení sú pritom relevantné, sa dá určiť pomocou niekoľkých otázok. zistite v niekoľkých otázkach, či a ako vás to dotkne poskytuje na to prvý návrh bez toho, aby ste na to potrebovali konto.
Školenie zaznamenajte ako dôkaz
To čo robí školenie cenným pre spis, nie je iba obsah, ale registrácia: kto sa zúčastnil, kedy a s akým výsledkom. Potvrdenka o účasti pre každého zamestnanca, prepojená so stavom a vlastníkom, je presne ten typ dokazného materiálu, ktorý sa požaduje v bezpečnostnom zozname otázok a ktorý pri opakovaní šetrí na preskúmavacej práci. pozrite, odkiaľ tieto informácie pochádzajú vysvetľuje, ako je takýto spis zostavený a ako sa udržiava.
Pri presnej formulácii smernice v tomto bode a pri národnej implementácii, ktorá sa vzťahuje na vašu situáciu, je rozhodujúcim faktorom oficiálny text. Ak si nie ste istí, či špecifická požiadavka v zozname otázok presahuje to, čo zavezie povinnosť starostlivosti redukuje, je to otázka pre právnika alebo, ak ste v pochybnosti o vašom vlastnom stave, pre príslušný dohľadný orgán.
Chcete vedieť, či a ako vaša organizácia prostredníctvom reťazca čelí týmto požiadavkám? Urobte bezplatnú kontrolu NIS2 alebo si prelistujte odpovede na často kladené otázky na prvú orientáciu.