NIS2 oktatási kötelezettség: kinek, mit, milyen gyakran

/tudastar/nis2-oktatasi-kotelezettseg · Célkifejezés: NIS2 oktatás · Elsődleges modul: Dojo

A három réteg

A harmadik réteg az, amit a legtöbb szervezet kihagy, pedig ez a legnagyobb hiányosságkockázat: a vezetés felelőssége nem delegálható, és az auditon a vezetői felkészítést is kérdezik.

Miért nem elég a jelenléti ív

A jelenléti ív azt bizonyítja, hogy valaki a teremben volt. Azt nem, hogy érti. Az auditor pedig a kontroll működésére kíváncsi, nem a szervezésre.

Ez nem formalitás. Ha egy adathalász kampány után kiderül, hogy a munkavállalók fele bedőlt, az oktatás megtörténte nem lesz enyhítő körülmény — épp ellenkezőleg: azt mutatja, hogy a kontroll működésképtelen volt, és ezt senki nem mérte.

Ebből következik a gyakorlati minimum: mérni kell az eredményt, nem a részvételt. Vizsga, visszamérés, és ha van rá mód, valós helyzetben végzett gyakorlás.

Mit kell nyilvántartani

Öt adat személyenként és alkalmanként: mit végzett el, mikor, mennyi idő alatt, milyen eredménnyel, és mikor esedékes újra. Ha ezek megvannak, az oktatási kontroll bizonyítható. Ha bármelyik hiányzik, az audit során hézag lesz belőle.

Érdemes külön kezelni az elmaradást is. Ha valaki nem végezte el, az önmagában nem bukás — az a bukás, ha a szervezet nem tud róla, és nem tett érte semmit.

Az újonnan belépők

A leggyakoribb rés. Az éves kampány februárban lefut, a márciusban belépő kolléga pedig kimarad, és a következő évig senki nem veszi észre. Belépéskor kötelező oktatást kell indítani, nem a következő körre várni.

Ugyanez igaz a szerepkörváltásra: aki új felelősséget kap, annak az ahhoz tartozó felkészítés is jár.

A különbség az IBF továbbképzéshez képest

Ez két külön kötelezettség, és a keverésük gyakori hiba. Az IBF évi 20 órás továbbképzése a kijelölt személy szakmai naprakészségéről szól, és a személyhez kötődik. A munkavállalói oktatás a szervezet egészéről szól. Két külön nyilvántartás, két külön logika.

Hogyan segít ebben a Cybersensei

A Dojo oktatási rendszer mindhárom réteget kezeli, elkülönített nyilvántartással. A leckék szekvenciálisan érkeznek, a vizsga a tudást méri, a rendszer pedig figyelmeztet a lejáró oktatásra és jelzi az elmaradást. A beépített social engineering kampányok valós helyzetben mérnek — és a bukott kattintásból tananyag lesz, nem szégyen.

Ami a részvételt igazán mozgatja: a szervezeten belüli, folyamatosan változó ranglista. A tapasztalat az, hogy a kollégák versenyeznek benne, és ez többet hoz, mint a körlevél.

Gyakori kérdések

Elég egy éves kampány? Éves ciklus kell, de a belépők és a szerepkörváltók miatt folyamatos működés is.

Külsős munkavállalókra is vonatkozik? Ha hozzáférnek a rendszerekhez, akkor rájuk is kell felkészítést és nyilvántartást biztosítani.

Mennyi ideig kell őrizni a nyilvántartást? Legalább az auditciklusokon átívelően, hogy a teljesítés visszamenőleg is igazolható legyen.

Elég az e-learning? Igen, ha mérhető és nyilvántartott. A forma kevésbé számít, mint a bizonyíthatóság.