Czy pracownicy otrzymują szkolenia w zakresie podstawowych praktyk cyberhigieny?
Cyberhigiena i szkolenia: dwie odrębne środki
Tak, to pole powinno standardowo znajdować się w ankietach dotyczących bezpieczeństwa informacji, ponieważ jest to jeden z dziesięciu środków z artykułu 21 ust. 2 dyrektywy NIS2. Punkt (g) tego ustępu dosłownie wymienia "podstawowe praktyki w zakresie cyberhigieny i szkolenia z zakresu cyberbezpieczeństwa". Chodzi więc o dwie rzeczy jednocześnie: strukturalne podstawowe praktyki (polityka haseł, dyscyplina aktualizacji, bezpieczne postępowanie z załącznikami i linkami) i szkolenia, które zwracają na to uwagę pracowników. Klient zadający to pytanie zwykle chce wiedzieć, czy oprócz środków technicznych istnieje coś jeszcze — ludzki aspekt bezpieczeństwa.
Jako dowód zwykle żąda się przeglądu szkoleń, modułu e-learningowego z procentem ukończenia lub wewnętrznego dokumentu polityki zawierającego podstawowe praktyki. Jeśli tego nie masz, wówczas "nie" lub "jeszcze nie istnieje" to bardziej uczciwa odpowiedź niż sugerowanie szkolenia, które nie istnieje — klient często pyta o to jako uzupełnienie pytań dotyczących polityki dostępu, więc sprawdź również czy polityka dostępu przedsiębiorstwa jest udokumentowana, ponieważ świadomość bez odpowiadającej jej polityki rzadko przekonuje. Zwróć także uwagę na periodyczność: szkolenie jednorazowe przy rozpoczęciu pracy to coś innego niż powtarzane rocznie, i to rozróżnienie często decyduje o ocenie przez klienta.
Źródło: artykuł 21 ust. 2, punkt g
Artykuł 21 ust. 2 dyrektywy (UE) 2022/2555 wymienia dziesięć kategorii środków, które jednostki muszą podjąć w celu zabezpieczenia swoich sieci i systemów informacyjnych. Punkt (g) konkretnie wymienia cyberhigienę i szkolenia z zakresu bezpieczeństwa, obok m.in. punktu (a) dotyczącego polityki analizy ryzyka — zobacz także jak oceniana jest polityka analizy ryzyka — i punktu (d) dotyczącego ciągłości biznesu. To pytanie zatem nie może być rozpatrywane w oderwaniu od reszty listy: jest to jeden z dziesięciu obowiązkowych elementów, które klient systematycznie przegląda.
Na czym to się opiera
Sama rozporządzenie znajduje się na EUR-Lex. Powołujemy się na każde stwierdzenie; nie musisz nam wierzyć.
Co konkretnie musisz zrobić
Szczegóły dla każdego obowiązku, wraz z mającymi zastosowanie terminami i szablonami do ich dokumentacji, znajdują się w subskrypcji.
Zapoznaj się z subskrypcją Najpierw bezpłatny szybki przeglądTo nie jest porada prawna. Ta strona zawiera ogólne informacje o przepisach, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W razie wątpliwości co do Twojego konkretnego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.
Napisane za pomocą AI na podstawie powyższych źródeł, sprawdzane przez człowieka w dniu 2026-09-05. Coś się nie zgadza? Daj nam znać — poprawki mają priorytet.