Vprašalnik prosi, ali pregledamo delavce pred zaposlitvijo

Preverjanje osebja spada pod varnost kadrov, ne pod nadzor dostopa

Vprašanje o preverjanju pred zaposlitvijo spada pod varnost osebja, eno od desetih ukrepov iz člena 21(2) direktive NIS2 — izrecno navedeno pod točko (g), skupaj z delovnimi pogoji in disciplinskimi ukrepi pri kršitvah. To je drugo polje kot nadzor dostopa: preverjanje se nanaša na to, koga najaviš, pravilnik o dostopu govori o tem, kaj lahko oseba vidi ali počne, ko je že notri. Zato ne izpolni samodejno »da« pri tem vprašanju samo zato, ker že obstaja matrika dostopa — to je drugačen dokument.

Kaj šteje za dokaz, je odvisno od tega, kaj se v praksi dogaja. Obveznost pridobitve izjave o pravi naravi in o vedenju (»verklaring omtrent het gedrag«) za funkcije z dostopom do občutljivih sistemov je najbolj konkretna oblika dokaza. Če te obveznosti ni, šteje tudi stalen postopek v procesu zaposlitve: preverjanje referenc, preverjanje istovetnosti in pri podjetjih s certifikatom ISO 27001 klavzula o preverjanju iz priloge A 6.1 (pred pričetkom delovnega razmerja). Brez certifikata ISO in brez pravilnika o preverjanju je odgovor običajno »ne« ali »delno« — in to je v redu, da se tako izpolni. Ne izmišljaj postopka preverjanja, ki ne obstaja; če stranka o tem še sprašuje, je pošten »ne, le pri funkcijah X in Y« močnejši kot da, ki ne prestane audita.

Vir: člen 21(2) pod g in priloga A 6.1

Deset ukrepov člena 21(2) direktive NIS2 izrecno navaja varnost osebja pod (g), skupaj z nadzorom dostopa in upravljanjem sredstev podjetja. V praksi se to pogosto ocenjuje skupaj z usposabljanjem v kibernetski higieni, ker oba spadata pod isti pravilnik kadrov. Za podjetja s certifikatom ISO 27001 je ustrezni nadzorni ukrep v prilogici A, pod klavzulo o preverjanju pred zaposlitvijo — zato preveri, ali certifikat ISO 27001 podjetja to klavzulo zajema, saj ni vsak certifikat enako široko zajet. Za podjetja, ki šele po 15. avgustu 2026 spadajo pod Zakon o kibernetski varnosti, to še ni zakonska obveznost, vendar stranke pogosto sprašujejo že prej v pričakovanje obveznosti v verigi.