varför behöver jag ett deltagarbevis för en cybersäkerhetskurs

Bevis för att cyberhygien och utbildning är ordnade

Ett deltagarbevis fungerar som bevis för att personalutbildning verkligen har genomförts, och det är exakt vad både egen dokumentation och en kundsäkerhetsfrågelista kräver. Cybersäkerhet handlar inte bara om teknik, utan också om människor som vet hur de identifierar phishing, hanterar lösenord och rapporterar incidenter. Utbildning är därför en återkommande del av skyddsåtgärderna, och ett deltagarbevis är det påtagliga resultatet som kan visa att utbildningen genomfördes — inte bara gentemot en tillsynsmyndighet, utan också gentemot en uppdragsgivare som kräver underlag.

För skyldiga organisationer hör ett deltagarbevis till beviset som måste tillhandahållas per säkerhetsmåtgärd: inte åtgärden själv ("vi utbildar personal") utan det konkreta beviset för att det faktiskt genomfördes, med namn, datum och ämne. För leverantörer i försörjningskedjan som inte själva omfattas av lagen är det lika relevant: den som måste fylla i en säkerhetsfrågelista från en kund får ofta just denna fråga, eftersom en uppdragsgivare måste kunna visa att även försörjningskedjan är tillräckligt motståndskraftig. Utan ett deltagarbevis förblir "vi utbildar vår personal" ett påstående utan underlag, och det räcker vanligtvis inte.

Där detta följer från åtgärdskravet

Artikel 21 punkt 2 i NIS2-direktivet nämner bland de tio obligatoriska åtgärderna uttryckligen grundläggande cyberhygien och cybersäkerhetskurser som en del av skyddsåtgärderna, vilket tas upp i den nederländska cybersäkerhetslagens omfattning. ISO/IEC 27001 utvecklar detta i Annex A vidare som en kontrollåtgärd avseende medvetande och personalutbildning, där verifiering — alltså ett register över vem som när har genomgått vilken utbildning — är ett återkommande element. NCSC betonar i sitt informationsmaterial om skyddsåtgärderna att åtgärder inte bara måste vidtas, utan också måste kunna påvisas.