W skrócie
Szkolenia nie są wymagane jednym przepisem, ale RODO każe zapewnić, że osoby upoważnione do danych znają zasady, a NIS2 wymienia szkolenia wśród środków zarządzania ryzykiem. Do tego dochodzą wymogi kontraktowe. Kontrola, audyt klienta albo likwidacja szkody pyta zawsze o to samo, czyli o dowód, że pracownicy byli szkoleni i kiedy.
| Źródło wymagania | Czego dotyczy | Co zwykle trzeba pokazać |
|---|---|---|
| RODO | Osoby upoważnione do przetwarzania danych osobowych | Zakres upoważnień i zapis szkolenia |
| NIS2 i ustawa o KSC | Podmioty kluczowe i ważne, ich dostawcy | Rejestr szkoleń, program dla zarządu i pracowników |
| Umowy z klientami | Dostawcy dużych firm i instytucji | Ankieta bezpieczeństwa, często zaświadczenia ze szkoleń |
| Ubezpieczenie od cyberryzyka | Firmy z polisą lub planujące ją | Odpowiedzi w ankiecie dotyczące szkoleń i symulacji |
| Wewnętrzna polityka bezpieczeństwa | Każda firma, która ją przyjęła | Zgodność z własnymi zapisami |
Co mówi RODO o szkoleniach?
RODO wymaga odpowiednich środków technicznych i organizacyjnych, a osoby działające z upoważnienia administratora mają przetwarzać dane tylko zgodnie z jego poleceniami. W praktyce oznacza to, że pracownik z dostępem do danych klientów powinien znać zasady i wiedzieć, jak reagować na incydent. Konkretnej częstotliwości przepis nie podaje, dlatego najczęściej ustala ją polityka firmy, a bezpieczny standard to szkolenie przy zatrudnieniu i powtarzanie w ciągu roku.
Czy NIS2 wymaga szkoleń pracowników?
Dyrektywa NIS2 wymienia szkolenia i podstawowe praktyki higieny cyberbezpieczeństwa wśród środków zarządzania ryzykiem, a kierownictwo ma przechodzić szkolenia samo. W Polsce wdraża to ustawa o krajowym systemie cyberbezpieczeństwa. To, czy Twoja firma jest podmiotem kluczowym lub ważnym, ustalasz na podstawie sektora i wielkości, najlepiej z prawnikiem. Nawet jeśli nie jesteś, możesz być dostawcą takiego podmiotu i wtedy obowiązek wraca w umowie. Szczegóły omawiamy na stronie szkolenie NIS2.
Czy prezentacja raz w roku wystarczy?
Formalnie często tak, bo przepisy nie określają formy. Jako obrona w praktyce jest to słabe. Pracownicy zapominają treść po kilku tygodniach, a oszuści zmieniają scenariusze co miesiąc. Audytor i ubezpieczyciel coraz częściej pytają nie tylko o fakt szkolenia, ale o to, czy sprawdzacie jego skutek, na przykład symulacją phishingu i wskaźnikiem zgłoszeń.
Jak wykazać, że pracownicy zostali przeszkoleni?
Potrzebujesz trzech rzeczy: listy osób, dat ukończenia i wyniku. Najlepiej, gdy zapis powstaje sam, a nie w arkuszu uzupełnianym po fakcie. W planie Firma Naiwne prowadzi rejestr szkoleń z zaświadczeniami z lekcji i raportem kwartalnym dla zarządu, według działów. Dzięki temu na pytanie klienta lub audytora odpowiadasz wydrukiem, nie zapewnieniem.
Kogo trzeba objąć szkoleniem?
Wszystkich, którzy mają skrzynkę mailową lub dostęp do systemów, ale priorytet mają trzy grupy. Pierwsza to osoby z uprawnieniem do przelewów i zmiany danych kontrahentów. Druga to osoby z dostępem do danych klientów, czyli obsługa, HR i sprzedaż. Trzecia to zarząd, bo to jego podpisem oszuści najczęściej się posługują, a przepisy wymagają, by kierownictwo znało ryzyka.
- księgowość i zakupy, ćwiczone na zmianie rachunku i fałszywych fakturach,
- HR i obsługa klienta, ćwiczone na załącznikach i prośbach o dane,
- zarząd, ćwiczony na podszywaniu się pod prezesa i pilnych przelewach,
- nowi pracownicy, od pierwszego tygodnia pracy.
Czy szkolenie z BHP wystarczy jako szkolenie z bezpieczeństwa?
Nie. Szkolenie BHP dotyczy bezpiecznych warunków pracy, nie ochrony danych i płatności. Obie rzeczy są obowiązkowe w różnych podstawach prawnych, a firma, która organizuje badania i szkolenia BHP, ma już proces, który łatwo rozszerzyć o cyfrową higienę. Podobnie jak przy skierowaniach na badania medycyny pracy dla firm, warto mieć jedno miejsce, które pilnuje terminów i zapisuje wyniki.
Co grozi firmie, która nie szkoli pracowników?
Po incydencie pytania są stałe: czy były procedury, czy pracownicy byli szkoleni, czy to dało się wykazać. Brak dowodu osłabia pozycję wobec UODO, klientów i ubezpieczyciela. Najczęstszy realny koszt to jednak nie kara, ale wyprowadzony przelew albo przerwa w pracy po kliknięciu w załącznik. Przykłady scenariuszy płatniczych opisujemy na stronie fałszywa faktura i oszustwa płatnicze.
Ile kosztuje szkolenie, które da się obronić?
Szkolenie stacjonarne z trenerem zwykle jest jednorazowym wydatkiem na całą grupę, a po kilku miesiącach wiedza słabnie. Abonament z miesięcznymi symulacjami to koszt ciągły, ale za to z zapisem wyników. W Naiwne plan Start kosztuje 390 zł netto miesięcznie (do 30 osób), Firma 990 zł netto (do 150 osób), a przy płatności rocznej cena za miesiąc to połowa. Przeliczenia na różne wielkości zespołu są w artykule ile kosztują symulacje phishingu i w cenniku.
Od czego zacząć w firmie?
Najpierw ustal, kto ma uprawnienia do przelewów i danych, potem wybierz formę, która zostawia dowód. Pierwsza symulacja dla działu finansów pokaże, jak wygląda punkt wyjścia, a raport da zarządowi liczby do decyzji. Jeśli zastanawiasz się, jaki model wybrać, zobacz jak wybrać szkolenie z cyberbezpieczeństwa.
Czy firma musi szkolić pracowników z cyberbezpieczeństwa?
Nie istnieje jeden przepis dla wszystkich firm, ale obowiązek wynika z RODO, NIS2 i ustawy o KSC dla objętych nią podmiotów oraz z umów z klientami. Dla większości firm bezpieczne jest szkolenie przy zatrudnieniu i powtarzanie w ciągu roku, z zapisem wyników.
Jak często szkolić pracowników z cyberbezpieczeństwa?
Przepisy nie podają jednej częstotliwości. Praktyka audytowa to szkolenie wstępne i powtarzanie co najmniej raz w roku, a skuteczniejsze są krótkie ćwiczenia co miesiąc. Krótka lekcja po symulacji utrwala nawyk lepiej niż długa prezentacja.
Czy szkolenie z cyberbezpieczeństwa musi prowadzić trener?
Nie. Przepisy nie wymagają formy, a liczy się skuteczność i dowód. Szkolenie online z symulacjami i rejestrem ukończeń spełnia to w sposób policzalny. Trener bywa przydatny dla zarządu na starcie programu.
Czy zarząd też musi przechodzić szkolenie?
Przy NIS2 tak, kierownictwo podmiotów objętych dyrektywą ma przechodzić szkolenia i odpowiada za nadzór nad środkami ryzyka. Również poza NIS2 zarząd jest najczęściej podszywanym celem, więc warto go włączyć do programu.