Är säkerhetsinstruktioner för medvetenhet obligatorisk för ICT-tjänsteleverantörer enligt NIS2?
NIS2-direktivet nämner medvetenhet och träning uttryckligen som en av de åtgärder som artikel 21 kräver av organisationer för att hantera cybersäkerhetrisker. För en väsentlig eller viktig enhet är detta alltså inte frivillig rådgivning utan en del av skyddsplikt tillsammans med till exempel åtkomstkontroll och incidentregistrering. För en ICT-tjänsteleverantör som själv inte omfattas av NIS2, men bedöms som leverantör, återkommer frågan ofta i en säkerhetsfrågelista: tillhandahåller ni träning, för vem, och hur ofta.
Det är viktigt att göra en åtskillnad: direktivet har, förutom denna åtgärd, även en separat bestämmelse som specifikt gäller styrelserna själva. Det är en annan skyldighet, med ett annat syfte och en annan målgrupp. Även om de två blandas ihop, underskattar man ofta vad som krävs av resten av organisationen, eller omvänt vad som specifikt krävs av styrelserna.
Vad skyddsplikt från organisationen kräver
De tio åtgärderna i artikel 21 är riskbaserade: direktivet föreskriver inte hur många timmar träning, med vilken frekvens eller med vilken leverantör. Det som räknas är att anställda kan identifiera de risker som är relevanta för deras funktion. För en ICT-tjänsteleverantör handlar det ofta om phishing, lösenordsbeteende, hantering av åtkomst till kundmiljöer och identifiering av en incident. Tillsynsmyndigheterna ser då till om åtgärden är uppenbart genomförd, inte till ett fastställt minimiantal träningtimmar.
Det gör detta till en av åtgärderna där en liten eller mellanstorlegsföretag som leverantör relativt snabbt kan sätta upp något meningsfullt: ett kort träningsmoment, ett test, ett deltagarbevis. Frågan "vem har följt detta och när" är precis vad en köpare i en lista ofta vill se, och precis vad ett levande register lätt kan visa.
Skillnaden från träningsskyldigheten för styrelserna
Direktivet ålägger vidare en egen ansvar på styrelserna för väsentliga eller viktiga enheter. Den bestämmelsen är avsedd att säkerställa att styrelseledamöter själva har tillräcklig insikt i cybersäkerhetrisker för att kunna godkänna och övervaka skyddspliktsåtgärderna. Det är alltså inte träning för hela organisationen, utan en skyldighet som vilar på styrelserna själva och som är skild från den allmänna medvetenhetsåtgärden för anställda.
För en ICT-tjänsteleverantör som själv inte är skyldig gäller denna styrelsebestämmelse inte direkt. Men i praktiken frågar en skyldig köpare ibland ändå vidare: inte bara om anställda är tränade, utan också om ledningen är tillräckligt engagerad i säkerhetspolicyn. Det hör då till bedömningen av leverantören, inte till en egen laglig skyldighet för denna leverantör.
Vad det betyder om ni nås via kedjan
Om din organisation själv inte omfattas av NIS2 men tillhandahåller tjänster till en enhet som det gör, kan denna kund inom ramen för sin egen skyddplikt fråga efter din träningsmetod. Det sker vanligtvis via en lista eller avtalsbetsämmelse, inte via en laglig skyldighet som direkt vilar på dig. Skillnaden är mer än en formalitet: den avgör om du är skyldig, eller om du gör ett val för att uppfylla din köpares krav för att behålla kontraktet. läs förklaringen per ämne visar hur denna skillnad även återkommer i andra åtgärder.
Huruvida din organisation nås via kedjan, och vilka av de tio åtgärderna som är relevanta därvid, kan fastställas med ett par frågor. i ett par frågor se om och hur detta påverkar din organisation ger en första indikation för detta, utan att du behöver ett konto.
Dokumentera träning som bevis
Det som gör en utbildning värdefull för en dokumentation är inte bara innehållet, utan registreringen: vem som har deltagit, när och med vilket resultat. Ett deltagerbevis per medarbetare, kopplat till en status och en ägare, är exakt den typ av bevisstycke som efterfrågas i en säkerhetsfrågelista och som vid upprepning sparar utredningsarbete. se var denna information kommer från förklarar hur sådan dokumentation är uppbyggd och hur den upprätthålls.
För direktlivets exakta formulering på denna punkt, och för den nationella genomförande som gäller för er situation, är den officiella texten vägledande. Är ni osäkra på om ett specifikt krav i en frågelista går längre än vad omsorgsplikt rimligen kräver, är det en fråga för en jurist eller, vid osäkerhet om er egen status, för den behörig tillsynsmyndigheten.
Vill ni veta om och hur er organisation via leveranskedjan får göra med dessa krav? Gör den kostnadsfria NIS2-kontrollen eller bläddra igenom svaren på vanliga frågor för en första orientering.