küsimustik küsib, kas kontrollige töötajaid enne töölevõtmist

Personalikontroll kuulub personalijuhtimise turvalisuse alla, mitte juurdepääsukontrolli alla

Küsimus seulimise kohta enne töölesaamist kuulub personaliturbe alla, mis on üks kümest meetmest artikli 21 lõike 2 alusel NIS2 — nimetatud nime järgi punkti (g) all koos töötingimuste ja distsiplinaarsetega rikkumiste korral. See on erinev kast kui juurdepääsukontroll: seulimisküsimus käsitleb seda, keda sa palkad, juurdepääsupoliitika käsitleb seda, mida keegi võib näha või teha, kui ta asutuse sees on. Ärge täitke seda küsimust automaatselt "jah"-ga seetõttu, et juurde ligipääsumaatriks on juba olemas — see on muu dokumendi esitus.

Mis võib tõendusena arvestatavaks lugeda, sõltub sellest, mida praktikas tehakse. Käitumisdeklaratsiooni nõue tundlikus süsteemides pääsutega töökohti jaoks on konkreetseim tõend. Kui see puudub, siis arvestatakse ka fikseeritud protseduuri palkamises: referentsikontroll, identiteedi kontrollimine ja ISO 27001-sertifitseeritud ettevõtetes ekraaniklasel Annex A 6.1 alt (enne töösuhet). Ilma ISO-sertifikaadita ja ilma seulimispoliitikaga on vastus tavaliselt "ei" või "osaliselt" — ja see on seaduses õigesti täitmisel. Ärge leiutage seulimisprotsessi, mis seal ei ole; kui klient edasi küsib, on aus "ei, küll aga X ja Y funktsioonides" tugevam kui jah, mis auditil ei pea.

Kust see pärineb: artikkel 21 lõige 2 punkt g ja Annex A 6.1

Kümme meetmet artikli 21 lõike 2 alusel NIS2 nimetavad personaliturvalisust selgesõnaliselt punkti (g) all koos juurdepääsukontrolli ja ärivahendite juhtimisega. Praktikas hinnatakse seda sageli koos küberhügieeni koolitusega, kuna mõlemad kuuluvad sama personalijuhtimise poliitika alla. Ettevõtetele, millel on ISO 27001-sertifikaat, leidub vastav tegevusmeetmed Annex A-st seulimise klausulis enne töösuhet — küsige seega, kas organisatsiooni ISO 27001-sertifikaat katab selle klausli, kuna mitte iga sertifikaat ei ole sama lai. Ettevõtetele, kes jäävad Küberjulgeolekuse seaduse regulatsiooni alust 15. augustil 2026 pärast, pole see veel õiguslik kohustus, kuid kliendid küsivad seda sageli juba ettepoole vastu võetavate ketteseotud kohustuste ootuses.