Ali je usposabljanje za varnost zavedanja obvezno v instalacijskem podjetju?
Če vaše instalacijsko podjetje spada pod Direktivo NIS2, je ozaveščanje zaposlenih del ukrepov, ki jih zahteva obveznost varnostnega managementa. Direktiva izrecno omenja usposabljanje in ozaveščanje kot del ukrepov kibernetske varnosti, ki jih mora sprejeti bistveni ali pomembni subjekt. Poleg tega obstaja posebna obveznost, ki je posebej usmerjena v člane upravljavske strukture, in ta dva vidika se v praksi pogosto meša.
Razlika je v tem, kdo je zavezana in kako zavezujoča je ta obveznost. Za zaposlene na splošno direktiva govori o ustreznih in sorazmernih ukrepih, pri čemer je usposabljanje eden od navedenih elementov v okviru širše obveznosti varnostnega managementa iz člena 21. Za člane upravljavske strukture in druge člane vodstva obstaja posebna, osebna obveznost za sledenje usposabljanju, da bi znali prepoznati in oceniti kibernetska tveganja. To ni neobvezno nasveto, temveč zahteva za osebe, ki so odgovorne za odobravanje politike.
Zakaj je razlika za instalacijsko podjetje pomembna
V instalacijskem podjetju delajo monterji na terenu, oddelek za načrtovanje, administrativni kader in običajno eden ali nekaj direktorjev, ki vodijo dnevne operacije. Za skupino zaposlenih se ozaveščanje osredotoča predvsem na prepoznavna tveganja: e-poštne sporočila za phishing, ki se predstavljajo kot dobavitelj ali naročitelj, sumljivi zahtevki za dostopne podatke in previdno ravnanje z dostopom do podatkov strank in projektov na mobilnih napravah v poslovnih vozilih. Obveznost varnostnega managementa zahteva, da se tovrstno usposabljanje izvaja периodično in da lahko dokažete, da se izvaja, ne pa da je predpisano najmanjše število ur na leto.
Za upravljavsko strukturo ali lastnika podjetja je pričakovanje drugačno. Ta oseba mora biti sama sposobna prepoznati tveganja in ustrezno odobriti politiko, ki iz tega izhaja. To ne pomeni, da mora biti direktor tehnični strokovnjak, ampak da razume, katera so glavna tveganja za podjetje in zakaj so určeni ukrepi potrebni. Ta obveznost je ločena od tega, kar se organizira za zaposlene, in je torej ne morejo nadomestiti na primer samo splošni test phishinga za celotno skupino.
Kaj to v praksi pomeni za vaš dosje
Ker je usposabljanje del obveznosti varnostnega managementa, mora biti pri vsaki aktivnosti usposabljanja dokumentirano: kdo je sledil usposabljanju, kdaj in kakšna je bila vsebina. To velja tako za splošno ozaveščanje zaposlenih kot za usposabljanje, ki ga sledijo člani upravljavske strukture. Samska e-pošta s nasveti se ne šteje kot dokazni material; pregled z udeleženci, datumom in temo pa se. deset ukrepov obveznosti varnostnega managementa na eni strani daje pregled, kam se usposabljanje natanko uvrsti in kako se nanaša na druge obveznosti, kot so nadzor dostopa in registracija incidentov.
Za podjetja, ki so v verigi prizadeta, brez da bi bila sama zavezana, ima ta tema tudi vlogo. Naročnik, ki sam spada pod NIS2, lahko v vprašalniku za varnost vpraša, ali so zaposleni redno obveščeni o kibernetskih tveganjih in ali je to dokumentirano. Instalacijsko podjetje, ki deluje kot podizvajalec za energetsko podjetje ali bolnico, pogosto dobi to vprašanje nazaj, tudi brez da bi bilo samo zavezano.
Ali vaše podjetje samo spada pod obveznost varnostnega managementa, pod osebno obveznost upravljavske strukture ali se samo preko naročnika srečuje z usposabljanjem, je odvisno od sektorja, velikosti in vloge v verigi. v nekaj vprašanjih vidite, kje stoji vaše podjetje daje tam prvo navedbo s pojasnilem zakaj. Pogosta vprašanja o tem, kaj natanko spada pod usposabljanje in ali je potrebno potrdilo, so zbrana v pogostih vprašanjih.
Brez usposabljanja brez zapisov, brez zapisov brez dokumentacije
Jedro za namestitvenega podjetnika je torej preprosto zapomniti si: zavest zaposlenih je del širše skrbne dolžnosti, usposabljanje upravljavcev je ločena, osebna obveznost. Oboje zahteva zapise, ki jih lahko pokažete nadzornemu organu ali naročniku, ki to zahteva. Za natančno besedilo in lokacijo v uradnem besedilu vas napotujemo na samo direktivo in na nacionalno preusmerjeno zakonodajo, ki velja za vašo državo.
Želite imeti za svoje namestilniško podjetje jasen pregled, kaj je že urejeno in kaj še manjka? Začnite s prostim preverjanjem NIS2 ali odpreti poslovni račun za gradnjo dokumentacije takoj ko veste, kateri ukrepi veljajo za vaš položaj.