Säkerhetsbiskyddsutbildning i mjukvaran utveckling är inte ett separat kapitel i lagen, utan följer från omsorgsplikt: skyldigheten att vidta lämpliga tekniska och organisatoriska åtgärder mot risker för nätverks- och informationssystem. Medvetenhet bland anställda är en av de åtgärder som omfattas, eftersom en stor del av incidenter börjar med ett mänskligt misstag: ett phishinge-mail som öppnas, ett lösenord som delas, en felkonfigurerad åtkomst som ingen märker.
Dessutom finns det i direktivet en andra, separat skyldighet som inte gäller anställda utan direktören själv: han eller hon måste själv också utbildas, och måste övervaka inrättandet av cybersäkerhet inom organisationen. Det är en annan skyldighet än utbildningsskyldigheten för personalen, med ett annat syfte och en annan ägare. För ett mjukvaran företag som omfattas av omsorgsplikt, eller som möter NIS2-krav via en kund, är distinktionen mellan dessa två skikt exakt där mycket förvirring uppstår.
Vad omsorgsplikt kräver av organisationen
Omsorgsplikt beskriver inget fast utbildningsprogram med ett minsta antal timmar eller en obligatorisk leverantör. Vad direktivet väl kräver, är att en organisation påtagligt har fokus på säkerhetsbiskydd som en del av sin riskhantering. I praktiken betyder det: anställda som arbetar med kod, kunddata eller produktionsmiljöer måste veta vad social engineering är, hur de känner igen en misstänkt förfrågan, och vad de gör om de tvivlar.
För ett mjukvaran företag ligger fokus ofta på ett par specifika risker som inte förekommer hos varje SMF-företag: åtkomst till källkod, hemligheter i konfigurationsfiler, och frestelsen att säkra testmiljöer mindre strikt än produktion. Ett medvetandeprogram som bara varnar för phishinge-mail, men inte säger något om att dela en API-nyckel i ett chattmeddelande, missar exakt den risk som i utvecklingsverkstaden mest ofta missköts. Den som vill dokumentera detta systematiskt hittar i sammanfattningen av ämnen per sektor hur andra åtgärder från omsorgsplikt anknyter till detta, såsom åtkomstkontroll och incidentregistrering.
Direktörens separata skyldighet
Utöver utbildningsskyldigheten för personalen ställer direktivet ett eget ansvar på direktören: han eller hon måste själv ha tillräcklig kunskap för att kunna bedöma de åtgärder som vidtagits, och måste kunna bedöma de risker som är förknippade med organisationen. Detta är ingen tillägg till personalutbildningen utan en oberoende skyldighet, riktad mot den som är ytterst ansvarig.
Den distinktionen är relevant eftersom den ofta förbises: ett företag ordnar e-learning för alla anställda och tror därmed att de också har uppfyllt direktörsskyldigheten. Eller direktören för ett mjukvaran företag utgår från att den egna tekniska bakgrunden räcker, utan att något är dokumenterat. Båda situationerna visar ett gap mellan vad som faktiskt sker och vad som är påtagligt organiserat. För den exakta utformningen av denna skyldighet, och för vad som är landsspecifikt fastställt i den nationella genomförandet, är direktivets officiella text utgångspunkten; vi håller i kunskapsbanken reda på vilka publikationer vi har sett och när.
Vad det betyder för ett mjukvaran företag i praktiken
Ett mjukvaruföretag som antingen själv omfattas av det obligatoriska åtgärdskraven eller som mottar en säkerhetsfrågelista från en uppdragsgivare som det, får vanligtvis två typer av frågor samtidigt: om det finns ett medvetenhetsprogram för anställda och om ledningen själv har genomgått eller organiserat träningsaktiviteter. Den som endast kan visa det första, lämnar på papper ett krav som frågelistan faktiskt ställer obesvarat.
För att avgöra om, och i vilken roll, detta är relevant för er organisation är det bra att först kartlägga sektorn, storleken och platsen i leveranskedjan. Det är exakt vad den kostnadsfria NIS2-kontrollen börjar med: i ett par frågor blir det tydligt om en organisation själv är omfattad, endast påverkas via en kund, eller inget av båda.
Dokumentera: bevis och ansvarig
Ett träningskrav som endast existerar i huvudet är inte möjligt att visa upp vid en inspektion eller en frågelista. Vad som fungerar är att för varje krav dokumentera en status, ett bevis och en ansvarig: när har vilken grupp anställda genomgått vilken träning, och har det funnits ett separat tillfälle då ledningen har blivit informerad om de vidtagna åtgärderna och organisationens risker. Båda ska finnas i en dokumentation, inte i två lösa e-postmeddelanden.
Vanliga tveksamheter om vad som exakt omfattas av träningskravet, och hur det förhåller sig till andra åtgärder från det obligatoriska åtgärdskraven, är utarbetade i vanliga frågor. Där läser ni också hur secria.eu håller reda på källor och när en sida senast kontrollerades, som kan hittas via förklaringen av hur informationen är strukturerad.
Vill ni först veta om detta ämne är relevant för er organisation, eller endast kommer till er via en kund? Gör den kostnadsfria NIS2-kontrollen eller bläddra genom ämnena; båda kan konsulteras utan konto och ger omedelbar konkret nästa steg.