Ali je usposabljanje za ozaveščenost o varnosti obvezno za ponudnike storitev IKT v okviru NIS2?
Direktiva NIS2 izrecno omenja zavedanje in usposabljanje kot enega izmed ukrepov, ki ga člen 21 zahteva od organizacij za upravljanje kibernetskih tveganj. Za bistveni ali pomembni subjekt to torej ni poljubno nasveto, temveč del dolžnosti skrbi, skupaj s primeri kot so nadzor dostopa in registracija incidentov. Za ponudnika storitev IKT, ki sam ne pada pod NIS2, vendar je ocenjen kot dobavitelj, se vprašanje pogosto pojavi v seznamu vprašanj o varnosti: Ali nudite usposabljanje, komu in kako pogosto.
Pomembno je razlikovati: direktiva poleg tega ukrepa pozna tudi ločeno določbo, ki se nanaša posebej na sam organ upravljanja. To je druga obveznost, z drugim namenom in drugo ciljno skupino. Kdor oba zmešata, pogosto podceni, kaj se zahteva od preostalega dela organizacije, ali pa napačno razume, kaj se konkretno zahteva od upravljanja.
Kaj zahteva dolžnost skrbi organizacije
Deset ukrepov iz člena 21 je formulirano na osnovi tveganja: direktiva ne predpisuje števila ur usposabljanja, pogostnosti ali dobavitelja. Kar šteje, je da zaposleni prepoznajo tveganja, ki so relevantna za njihovo funkcijo. Pri ponudniku storitev IKT to pogosto vključuje email-phishing, vedenje pri geslih, ravnanje z dostopom do okolij strank in prepoznavanje incidenta. Nadzorni organi pri tem gledajo, ali je bil ukrep dokazljivo izvršen, ne pa fiksno najmanjše število ur usposabljanja.
To je eden izmed ukrepov, pri katerem lahko dobavitelj MKB razmeroma hitro vzpostavi kaj smiselnega: kratek trenutek usposabljanja, test, spričevalo udeleženosti. Vprašanje »kdo je to sledil in kdaj« je natanko tisto, kar kupec v seznamu vprašanj pogosto želi videti, in natanko tisto, kar lahko živi dosje enostavno pokaže.
Razlika od obveznosti usposabljanja za upravo
Direktiva poleg tega postavlja lastno odgovornost organu upravljanja bistvene ali pomembne entitete. Ta določba je namenjena zagotoviti, da imajo upravniki sami dovolj vpogleda v kibernetska tveganja, da lahko odobrijo in nadzorujejo ukrepe skrbi. To torej ni usposabljanje za celo organizacijo, temveč obveznost, ki teži na upravi sami in je neodvisna od splošnega ukrepa ozaveščanja za zaposlene.
Za ponudnika storitev IKT, ki sam ni prichakovan kot zavezanec, se ta upravna določba neposredno ne nanaša. Toda v praksi zavezanec kupec včasih vseeno sprašuje: ne samo ali so zaposleni usposobljeni, temveč tudi ali je vodstvo dovolj vključeno v varnostno politiko. To potem spada v oceno dobavitelja, ne v lastno zakonsko obveznost tega dobavitelja.
Kaj to pomeni, če vas dosegajo prek verige
Če vaša organizacija sama ne pada pod NIS2, vendar nudite storitve entiteti, ki to res počne, lahko ta stranka v okviru svoje dolžnosti skrbi sprašuje po vašem pristopu k usposabljanju. To se običajno zgodi prek seznama vprašanj ali pogodbene določbe, ne prek zakonske obveznosti, ki se neposredno nanaša na vas. Razlika je več kot samo formalna: določa, ali ste obvezani, ali pa se odločite izpolniti zahtevo kupca, da ohranite pogodbo. preberite razlago po predmetu pokazuje, kako se to razlikovanje pojavi tudi pri drugih ukrepih.
Ali je vaša organizacija dosežena prek verige in kateri izmed desetih ukrepov so pri tem relevantni, je mogoče ugotoviti z nekaj vprašanji. s nekaj vprašanji vidite, ali in kako to vpliva na vašo organizacijo tu daje prvo indicijo za to, brez da bi za to potrebovali račun.
Beleženje usposabljanja kot dokazila
Tisto, kar naredi usposabljanje dragoceno za mapo, ni le vsebina, ampak registracija: kdo je sodeloval, kdaj in s kakšnim rezultatom. Potrdilo o udeležbi za vsakega delavca, povezano s stanjem in lastnikom, je natanko ta vrsta dokazila, ki se zahteva v varnostnem vprašalniku in ki pri ponavljanju prihrani raziskovalno delo. videti, odkod ti podatki prihajajo pojasni, kako je tako mapo zgrajeno in kako se vzdrževalo.
Za natančno besedilo Direktive na tej točki in za nacionalno izvršitev, ki velja za vašo situacijo, je uradni besedilo voditeljski. Če dvomite, ali specific zahtevek v vprašalniku presega tisto, kar dolžnost varnostnega ravnanja razumno zahteva, je to vprašanje za pravnika ali, če dvomite o lastnem statusu, za pristojni nadzorni organ.
Želite vedeti, ali in kako vaša organizacija preko verige prihaja k tem zahtevkom? Izvedite brezplačno preverjanje NIS2 ali preglejte odgovore na pogosto zastavljena vprašanja za prvo orientacijo.