Dlaczego dostawca dostaje pytania o szkolenia
Dyrektywa NIS2, wdrażana w Polsce przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa, nakłada na podmioty kluczowe i ważne obowiązek zarządzania ryzykiem, także w łańcuchu dostaw. Duża firma nie może zrzucić odpowiedzialności na podwykonawcę, więc sprawdza go sama: przez ankietę przed podpisaniem umowy, audyt albo klauzule w kontrakcie.
W praktyce dostawcą jest biuro rachunkowe, software house, firma logistyczna, producent, agencja marketingowa czy administrator systemów. Wszyscy mają dostęp do poczty, danych lub systemów klienta, więc dla klienta każdy ich pracownik jest potencjalnym wejściem dla oszusta.
O co zwykle pytają w ankiecie bezpieczeństwa
- Czy pracownicy przechodzą cykliczne szkolenia z cyberhigieny i jak często
- Czy szkolenia są udokumentowane (kto, kiedy, z jakim wynikiem)
- Czy prowadzicie testy phishingowe i jak wygląda reakcja na błąd pracownika
- Czy kierownictwo jest szkolone osobno
- Czy nowy pracownik przechodzi szkolenie przed dostępem do danych klienta
- Jak zgłaszane są incydenty i kto za to odpowiada
Jakie dowody szkoleń przygotować
Audytor ani dział zakupów klienta nie czyta treści lekcji. Chce zobaczyć, że program istnieje, jest regularny i obejmuje wszystkich. Dobry zestaw dowodów to rejestr ukończeń z listą osób, datami i wynikami, harmonogram roczny, raport z kampanii testowych oraz informacja, że kierownictwo przeszło osobny moduł.
Zaświadczenie z jednodniowego szkolenia stacjonarnego pokazuje jedną datę. Po roku i rotacji pracowników odpowiada na pytanie, czy firma ma program, gorzej niż ciągły rejestr. Warto też trzymać odrębny wpis dla każdego nowego pracownika, bo klienci coraz częściej pytają o szkolenie wdrożeniowe.
Szkolenie jednorazowe czy program ciągły
Sesja z trenerem dobrze sprawdza się jako start programu albo przy zmianie polityki bezpieczeństwa. Jako jedyny element nie spełnia jednak oczekiwania cykliczności, które pojawia się w ankietach. Pracownik, który raz w roku słucha prezentacji, po kwartale nie pamięta, jak wygląda podmieniony numer konta na fakturze.
Program ciągły to krótkie lekcje oraz kampanie z symulowanymi oszustwami raz w miesiącu lub co tydzień. Błąd kończy się lekcją, a z wyników powstaje trend, który można pokazać klientowi. Tak działa Naiwna: scenariusze oparte na polskich oszustwach (BLIK, dopłata do paczki, fałszywy prezes, faktura KSeF), rejestr ukończeń i raport do eksportu w PDF i CSV.
Ile to kosztuje dla firmy 20 do 100 osób
Dla małego dostawcy liczy się koszt na osobę w roku i brak dodatkowej pracy administratora. W Naiwna plan Zespół do 25 osób to 490 zł netto miesięcznie (245 zł przy płatności rocznej), a plan Firma do 100 osób 1 290 zł netto miesięcznie. Plan Firma zawiera kampanie co tydzień, scenariusze dobrane do działów, moduł dla zarządu i raport ryzyka per dział. Pełne zestawienie jest w cenniku.
Dla porównania sesja z trenerem dla 50 osób wymaga oderwania całego zespołu od pracy na pół dnia, a kolejnych nowych pracowników trzeba dołączyć do następnego terminu. Szerzej o modelach cenowych piszemy w artykule ile kosztuje szkolenie z cyberbezpieczeństwa dla pracowników.
Jak wdrożyć program w jeden tydzień
- Przygotuj plik CSV z adresami służbowymi, imionami i działami wszystkich osób mających dostęp do danych klienta.
- Zaimportuj zespół do platformy i wybierz scenariusze dla działów, które obsługują klienta.
- Uruchom pierwszą kampanię i poinformuj zespół, że to program szkoleniowy firmy, a nie kontrola.
- Po dwóch tygodniach pobierz raport i rejestr ukończeń, dołącz je do odpowiedzi na ankietę klienta.
- Wpisz harmonogram roczny do polityki bezpieczeństwa, żeby cykliczność była udokumentowana.
Czego nie obiecywać klientowi
Szkolenia są jednym z elementów zarządzania ryzykiem, a nie dowodem pełnej zgodności z NIS2. Nie wpisuj do ankiety, że firma jest zgodna z dyrektywą, jeśli nie sprawdził tego prawnik lub audytor. Lepiej napisać wprost, jakie działania są wdrożone: cykliczne szkolenia, testy phishingowe, rejestr ukończeń, szkolenie kierownictwa. Taka odpowiedź jest prawdziwa i da się ją zweryfikować.
Ocena, czy Twoja firma sama podlega ustawie jako podmiot kluczowy lub ważny, należy do prawnika. Samo bycie dostawcą takiego podmiotu zwykle oznacza obowiązki umowne, a nie ustawowe, ale ich zakres zależy od kontraktu.
Umowy i dokumenty dla klienta
Aneks bezpieczeństwa, umowa powierzenia danych i oświadczenia o szkoleniach zwykle krążą mailem w kilku wersjach. Jeśli podpisujesz je z wieloma klientami, warto uporządkować obieg, na przykład przez podpisywanie umów online podpisem elektronicznym, żeby w razie audytu wszystkie wersje były w jednym miejscu.
Co zrobić dalej
Sprawdź, jak zespół radzi sobie dziś, w teście czujności. Potem zobacz, jak wygląda szkolenie NIS2 z rejestrem dla audytora i wybierz plan odpowiedni do liczby osób.