Baza wiedzy • NIS2

NIS2 a szkolenia z cyberbezpieczeństwa: jak spełnić obowiązek i realnie obniżyć ryzyko

Dyrektywa NIS2 przesuwa bezpieczeństwo z działu IT na poziom zarządu, a czynnik ludzki po raz pierwszy staje się wymogiem prawnym, a nie miłym dodatkiem. Poniżej tłumaczymy, czego naprawdę wymagają przepisy i jak zbudować program szkoleń, który przejdzie audyt i jednocześnie ograniczy ryzyko.

Czas czytania około 6 minut. Materiał ma charakter informacyjny i nie stanowi porady prawnej.

Czym jest NIS2 i kogo obejmuje

NIS2 to unijna dyrektywa 2022/2555, którą Polska wdraża przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Nowe przepisy znacząco rozszerzają katalog firm objętych obowiązkami, dzieląc je na podmioty kluczowe i podmioty ważne. Dotyczą one między innymi energetyki, transportu, bankowości, ochrony zdrowia, gospodarki wodnej, produkcji, przetwarzania żywności, dostawców usług cyfrowych oraz wielu firm średnich.

W praktyce oznacza to, że obowiązki, które jeszcze niedawno kojarzono wyłącznie z infrastrukturą krytyczną, obejmą teraz znacznie szersze grono przedsiębiorstw, w tym takie, które do tej pory nie traktowały cyberbezpieczeństwa jako priorytetu.

Co NIS2 mówi o szkoleniach i odpowiedzialności zarządu

Najważniejsza zmiana dotyczy kierownictwa. Zgodnie z artykułem 20 dyrektywy organy zarządzające zatwierdzają środki zarządzania ryzykiem i nadzorują ich wdrożenie, a ich członkowie mają obowiązek odbywać szkolenia oraz zachęcać pracowników do regularnej edukacji. Artykuł 21 wprost wymienia podstawową cyberhigienę i szkolenia z cyberbezpieczeństwa jako element wymaganych środków technicznych i organizacyjnych.

Polskie przepisy idą o krok dalej i przewidują, że kierownictwo podmiotu odbywa szkolenie z zakresu cyberbezpieczeństwa co najmniej raz w roku, a udział w nim musi być udokumentowany. To istotny szczegół, ponieważ przenosi ciężar z samego faktu przeszkolenia na zdolność wykazania go przed organem nadzoru.

Pułapka: zgodność na papierze to jeszcze nie odporność

Łatwo potraktować NIS2 jako listę punktów do odhaczenia. To kosztowny błąd. Z badań wynika, że za znaczną większość incydentów, według części analiz nawet około 78 procent, odpowiada błąd człowieka. Jednorazowe szkolenie raz w roku spełnia formalny wymóg, ale nie zmienia nawyków i nie chroni przed atakiem, który przyjdzie wiele miesięcy po ostatnim szkoleniu.

Sens przepisów jest inny. Chodzi o realne obniżenie ryzyka, a to wymaga powtarzalności, pomiaru i reakcji. Zgodność powinna być produktem ubocznym dobrze zbudowanej odporności, a nie celem samym w sobie.

Czego wymaga skuteczny program szkoleń

Program, który jednocześnie spełnia wymogi NIS2 i faktycznie działa, opiera się na kilku filarach:

• Regularne testy odporności, a nie pojedyncza akcja raz na rok
• Automatyczna reakcja, czyli szkolenie kierowane do osób, które popełnią błąd
• Pomiar postępu w czasie, żeby widzieć, czy ryzyko realnie spada
• Dokumentacja gotowa do przedłożenia audytorowi i zarządowi
• Objęcie programem także kadry zarządzającej, zgodnie z literą przepisów

Jak ClickGuard 360 wspiera przygotowanie do NIS2

Platforma odpowiada za obszar, który NIS2 stawia w centrum, czyli czynnik ludzki oraz dokumentację szkoleń. Każdy z poniższych elementów to funkcja dostępna w aplikacji, a nie obietnica na przyszłość.

Warto zachować uczciwą perspektywę. ClickGuard 360 obejmuje obszar szkoleń, świadomości i ich dokumentacji. Nie zastępuje całego systemu zarządzania bezpieczeństwem, lecz pokrywa jego część, która w NIS2 jest obowiązkowa, a w praktyce najczęściej zaniedbywana.