Szkolenie zarządu z cyberbezpieczeństwa pod NIS2 to przygotowanie członków organu zarządzającego do rozpoznawania ryzyk i oceny praktyk zarządzania ryzykiem, za które zgodnie z dyrektywą odpowiadają.
Poniżej sześć kroków przygotowania zarządu, pytania kontrolne do każdego z nich i przepisy dyrektywy, na których opiera się ten obowiązek.
Kiedy szkolenie zarządu z NIS2 ma sens?
Zawsze, gdy organizacja jest podmiotem kluczowym albo ważnym w rozumieniu dyrektywy (UE) 2022/2555, czyli NIS2. Art. 20 dyrektywy wymaga, aby organy zarządzające zatwierdzały środki zarządzania ryzykiem w cyberbezpieczeństwie i nadzorowały ich wdrażanie, a ich członkowie odbywali szkolenia. Celem szkoleń jest wiedza i umiejętności pozwalające rozpoznawać ryzyka i oceniać praktyki zarządzania ryzykiem oraz ich wpływ na usługi podmiotu.
W Polsce dyrektywę wdrażają przepisy o krajowym systemie cyberbezpieczeństwa. Przed wdrożeniem warto sprawdzić z prawnikiem ich aktualny stan.
Krok 1: Sprawdź, czy NIS2 dotyczy firmy - podmiot kluczowy czy ważny?
Pierwszy krok ustala, czy obowiązek w ogóle dotyczy organizacji. Dyrektywa wymienia sektory w załącznikach I i II, a o kwalifikacji decyduje też wielkość podmiotu. Dla części podmiotów wielkość nie ma znaczenia ze względu na rodzaj działalności. Wynik tego kroku warto potwierdzić z prawnikiem, bo od niego zależy zakres dalszych obowiązków.
Pytania kontrolne:
- Czy sprawdziliśmy sektor działalności w załącznikach I i II?
- Czy wiemy, czy jesteśmy podmiotem kluczowym, czy ważnym?
- Czy wynik został potwierdzony przez prawnika?
Jeśli odpowiedź brzmi „nie”, zacznij od tej analizy. Bez niej trudno określić zakres szkoleń i odpowiedzialności.
Krok 2: Ustal, kogo obejmuje szkolenie - kto należy do organu zarządzającego?
Drugi krok wskazuje uczestników. Obowiązek z art. 20 ust. 2 dyrektywy dotyczy członków organów zarządzających, czyli w spółce przede wszystkim zarządu. Dyrektywa przewiduje też, że państwa członkowskie zachęcają podmioty do oferowania podobnych szkoleń pracownikom, regularnie. Warto od razu zaplanować obie grupy: zarząd i zespół. Dzięki temu zarząd i pracownicy posługują się tym samym językiem, gdy dochodzi do incydentu.
Pytania kontrolne:
- Czy znamy pełny skład organu zarządzającego objętego szkoleniem?
- Czy uwzględniliśmy osoby, które wejdą do zarządu w trakcie roku?
- Czy zaplanowaliśmy szkolenie dla pracowników?
Jeśli odpowiedź brzmi „nie”, przygotuj listę uczestników razem z działem prawnym albo kadr i ustal, kto ją aktualizuje.
Krok 3: Określ zakres - czego zarząd musi się nauczyć?
Trzeci krok ustala treść szkolenia. Zarząd nie musi być zespołem technicznym, ale powinien rozumieć ryzyka, które dotyczą usług firmy, i umieć ocenić, czy środki bezpieczeństwa są wystarczające. Art. 21 dyrektywy wymienia środki zarządzania ryzykiem, które podmiot ma wdrożyć, a art. 23 opisuje obowiązki w zakresie zgłaszania incydentów. Te dwa artykuły wyznaczają oś szkolenia. Na koniec warto sprawdzić wiedzę uczestników krótkim testem albo omówieniem przykładowego incydentu, tak jak w szkoleniach pracowników.
Pytania kontrolne:
- Czy program obejmuje środki zarządzania ryzykiem z art. 21?
- Czy zarząd rozumie obowiązki zgłaszania incydentów z art. 23?
- Czy przykłady odnoszą się do usług, które świadczy firma?
Jeśli odpowiedź brzmi „nie”, przejdź z prowadzącym szkolenie przez listę środków z art. 21 i dopasuj przykłady do działalności firmy.
Krok 4: Powiąż szkolenie z decyzjami - jak zarząd zatwierdza środki?
Czwarty krok łączy wiedzę z odpowiedzialnością. Zgodnie z art. 20 ust. 1 dyrektywy organ zarządzający zatwierdza środki zarządzania ryzykiem, nadzoruje ich wdrażanie i może ponosić odpowiedzialność za naruszenia. Szkolenie powinno więc przygotować zarząd do konkretnych decyzji: zatwierdzenia polityk, przeglądu ryzyk i oceny raportów z ich realizacji.
Pytania kontrolne:
- Czy zarząd formalnie zatwierdził środki zarządzania ryzykiem?
- Czy ma regularny przegląd ich realizacji?
- Czy wie, jakie decyzje należą wyłącznie do niego?
Jeśli odpowiedź brzmi „nie”, wpisz zatwierdzenie i przegląd środków do kalendarza posiedzeń zarządu.
Krok 5: Przeszkol zespół - jak rozszerzyć szkolenie na pracowników?
Piąty krok obejmuje resztę organizacji. Art. 21 ust. 2 dyrektywy wymienia wśród środków zarządzania ryzykiem podstawowe praktyki cyberhigieny i szkolenia z cyberbezpieczeństwa. Pracownicy potrzebują innego zakresu niż zarząd: rozpoznawania prób oszustwa, bezpiecznej pracy z danymi i wiedzy, komu zgłosić podejrzany incydent.
Pytania kontrolne:
- Czy pracownicy mają szkolenie dopasowane do swojej pracy?
- Czy wiedzą, komu i jak zgłosić podejrzany incydent?
- Czy szkolenie kończy się sprawdzeniem wiedzy?
Jeśli odpowiedź brzmi „nie”, zacznij od krótkiego modułu cyberhigieny dla wszystkich i ścieżki zgłaszania incydentów.
Krok 6: Dokumentuj i powtarzaj - jak wykazać regularność?
Szósty krok zamyka cykl. Dyrektywa mówi o szkoleniach regularnych, a obowiązki zarządu mają charakter ciągły. Prowadź rejestr, w którym zapisujesz, kto, kiedy i z jakiego zakresu został przeszkolony oraz z jakim wynikiem. Taki rejestr dokumentuje należytą staranność, gdy pyta o nią organ nadzoru, audytor albo kontrahent.
Pytania kontrolne:
- Czy rejestr obejmuje zarząd i pracowników?
- Czy szkolenie ma ustalony termin powtórzenia?
- Czy nowi członkowie zarządu i nowi pracownicy trafiają do programu automatycznie?
Jeśli odpowiedź brzmi „nie”, ustal stały cykl szkoleń i powiąż go z przeglądem środków z kroku 4.
Samodzielnie czy z platformą?
Jeden warsztat dla zarządu da się zorganizować samodzielnie. Gdy dochodzą szkolenia pracowników, nowi członkowie zarządu i potrzeba stałego rejestru, wygodniej prowadzić całość na platformie, która przypisuje ścieżki do ról, sprawdza wiedzę i przechowuje historię. Tak działa e-LEA Cyber Governance: szkolenia dla załogi i kierownictwa z egzaminem oraz polityki i procedury w jednym miejscu.
Podsumowanie
Przygotowanie zarządu zaczyna się od ustalenia, czy firma jest podmiotem kluczowym albo ważnym w rozumieniu NIS2. Szkolenie obejmuje członków organu zarządzającego, a dyrektywa zachęca do podobnych szkoleń dla pracowników. Treść opiera się na środkach z art. 21 i obowiązkach zgłaszania z art. 23. Szkolenie przygotowuje zarząd do zatwierdzania i nadzoru środków, za które odpowiada zgodnie z art. 20. Pracownicy potrzebują własnej ścieżki z cyberhigieną. Rejestr i regularne powtórki dokumentują należytą staranność.