zakaj potrebujem potrdilo o udeležbi na usposabljanju iz kibernetske varnosti

Dokaz, da sta vzpostavljena kibernetska higiena in usposabljanje

Potrdilo o udeležbi je dokaz, da se je usposabljanje osebja dejansko odvilo, kar je natanko tisto, kar zahtevata tako lastna administracija kot tudi vprašalnik o varnosti stranke. Kibernetska varnost ne temelji samo na tehniki, temveč tudi na osebju, ki zna prepoznati lažne e-poštne sporočila, upravljati gesla in prijaviti incidente. Usposabljanje je zato ena rednih sestavin obveznosti za varnostne ukrepe, potrdilo o udeležbi pa je čutljiv rezultat, s katerim se lahko to usposabljanje dokaže — ne le pred nadzornim organom, temveč tudi pred naročnikom, ki zahteva dokaze.

Za organizacije, ki so zavezane z zakonom, je potrdilo o udeležbi del dokaza, ki mora biti priložen za vsak varnostni ukrep: ne samega ukrepa (»usposabljamo naš osebjem«) temveč konkretnega dokaza, da se je to res zgodilo, z imenom, datumom in temo. Za MKB-dobavitelje, ki so prizadeti preko verige, a sami niso pod zakon, je to enako pomembno: tisti, ki mora izpolniti vprašalnik o varnosti stranke, pogosto dobi ravno to vprašanje, ker mora naročnik dokazati, da je tudi verига dovolj odpoorna. Brez potrdila o udeležbi ostane »usposabljamo naš osebjem« le trditev brez dokazov, kar praviloma ne zadostuje.

Kje to izhaja iz obveznosti skrbnega ravnanja

Člen 21 odstavek 2 Direktive NIS2 med desetimi obveznimi ukrepi izrecno omenja osnovno kibernetsko higieno in usposabljanje za kibernetsko varnost kot del obveznosti za varnostne ukrepe, kar je prevzeta tudi v Cyberbeveiligingswet kot izvedba v Slovenskih zakonih. ISO/IEC 27001 to v Priporočilih A dodatno razvija kot kontrolo v zvezi z zavestjo in usposabljanjem zaposlenih, pri čemer je dokazljiv uspeh — torej zapis o tem, kdo, kdaj in katero usposabljanje je prejel — ponavljajoči se element. NCSC poudarja v svojem vodiču o obveznosti za varnostne ukrepe, da ukrepi ne smejo biti le sprejeti, temveč morajo biti tudi dokazljivi.