prečo potrebujem certifikát o účasti na školení kybernetickej bezpečnosti

Dôkaz, že kybernetická hygiena a školenie sú usporiadané

Certifikát účasti slúži ako dôkaz, že školenie personálu skutočne prebehlo, a to je presne to, čo vyžaduje tak vlastná správa ako aj bezpečnostný dotazník zákazníka. Kybernetická bezpečnosť sa netýka len techniky, ale aj ľudí, ktorí vedia, ako rozpoznať phishing, spravovať heslá a nahlasovať incidenty. Školenie je preto jednou z opakujúcich sa súčastí povinnosti starostlivosti a certifikát účasti je hmatateľný výsledok, ktorým je možné školenie preukázať — nielen voči dohľadnému orgánu, ale aj voči objednávateľovi, ktorý požaduje podloženie.

Pre povinné subjekty certifikát účasti patrí medzi dôkaz, ktorý sa musí poskytnúť na jednotlivú bezpečnostnú opatrenie: nie samotné opatrenie ("školíme náš personál"), ale konkrétny dôkaz, že sa to skutočne uskutočnilo, s menom, dátumom a predmetom. Pre subjekty v dodávateľskom reťazci, ktoré samy podliehajú zákonu, je to rovnako relevantné: kto musí vyplniť bezpečnostný dotazník zákazníka často dostane práve túto otázku, pretože objednávateľ musí vedieť dokázať, že aj dodávateľský reťazec je dostatočne odolný. Bez certifikátu účasti zostáva "školíme náš personál" tvrdením bez podloženia, čo zvyčajne nestačí.

Kde to vyplýva z povinnosti starostlivosti

Článok 21 odsek 2 smernice NIS2 medzi desiatimi povinnými opatreniami výslovne menuje základnú kybernetickú hygienu a školenie v oblasti kybernetickej bezpečnosti ako súčasť povinnosti starostlivosti, čo je v Zákone o kybernetickej bezpečnosti prevzaté ako slovenská implementácia. ISO/IEC 27001 to rozpracúva ďalej v prílohe A ako kontrolu vedomia a školenia zamestnancov, pričom preukázateľnosť — teda zaznamenanie, kto, kedy a ktoré školenie absolvoval — je opakujúcim sa prvkom. NCSC vo svojich pokynoch k povinnosti starostlivosti zdôrazňuje, že opatrenia sa musia nielen prijať, ale aj vedieť preukázať.