NIS2 og Varhugi
Skjalfest öryggisþjálfun fyrir starfsfólk er ein af kjarnaskyldum NIS2. Hér útskýrum við hvaða fyrirtæki bera ábyrgð, hvaða kröfur tilskipunin gerir um þjálfun og hvernig Varhugi sinnir þjálfunarþættinum. Varhugi hjálpar þér að skipuleggja og skjalfesta öryggisvitundarþjálfun starfsfólks sem hluta af öryggisstarfi fyrirtækisins. NIS2 gerir fleiri kröfur sem þjónustan nær ekki yfir.
Þessi síða er almenn leiðbeining og ekki lögfræðiráðgjöf.
Hvað er NIS2
NIS2 (tilskipun ESB 2022/2555) er evrópsk löggjöf um net- og upplýsingaöryggi, sem leysir af hólmi eldri NIS-tilskipunina frá 2016. Í ESB-ríkjunum hefur hún þegar tekið gildi. Tilskipunin fellur undir EES-samninginn og innleiðing á Íslandi er í undirbúningi, með breytingum á lögum um öryggi net- og upplýsingakerfa (78/2019). Markmiðið er sameiginlegt öryggisstig á net- og upplýsingakerfum þvert á ríkin, og kröfurnar ná til íslenskra fyrirtækja nú þegar í gegnum viðskiptavini í ESB.
Hverja varðar þetta
Tilskipunin nær til miðlungsstórra og stærri fyrirtækja (að jafnaði yfir 50 manns í starfi eða 10 milljónir evra í veltu) sem starfa í eftirfarandi geirum:
Mikilvæg þjónusta
Orkugeiri (rafmagn, gas, fjarvarmaveitur), samgöngur, banka- og fjármálaþjónusta, heilbrigðisþjónusta, drykkjarvatns- og fráveitukerfi, stafrænir innviðir, opinber stjórnsýsla og geimstarfsemi.
Þýðingarmikil þjónusta
Pósta- og hraðsendingaþjónusta, úrgangsstjórnun, framleiðsla, sala og dreifing efna, matvælaframleiðsla, framleiðsla tiltekinna tækja, stafrænir veitendur (skýjaþjónusta, leitarþjónusta, samfélagsmiðlar) og rannsóknir.
Lítil fyrirtæki utan þessara geira eru oft undanþegin NIS2, en taka samt á sig kröfur óbeint þegar viðskiptavinir sem falla undir tilskipunina krefjast staðfestrar þjálfunar af birgjum sínum.
Hvað segir NIS2 um þjálfun starfsfólks
Í 21. grein NIS2 er kveðið á um „kerfisbundnar áhættustjórnunaraðgerðir“ á sviði netöryggis. Þar á meðal eru sérstaklega tilgreind „grunnatriði í netöryggi og þjálfun starfsfólks í netöryggi“.
Í reynd þýðir þetta:
- Reglubundin (ekki einskipti) þjálfun starfsfólks í netöryggi.
- Skjalfesting á því hverjir hafi lokið þjálfun og hvenær.
- Sönnun fyrir endurskoðendum og eftirlitsstofnunum.
- Sérstök ábyrgð stjórnenda, sem geta borið persónulega ábyrgð á því að skyldan sé uppfyllt.
Hvernig Varhugi sinnir þjálfunarþættinum
Mánaðarleg námskeið
Stutt fimm mínútna námskeið á íslensku, sjálfvirkt útdeilt á starfsfólk. Engin innleiðing, enginn LMS-kostnaður.
Skjalfest skírteini fyrir hvern starfsmann
Hvert lokið námskeið býr til staðfestingarskírteini sem hægt er að sannreyna á opnu vefsvæði (varhugi.is/verify), bæði fyrir endurskoðendur og fyrir viðskiptavini sem biðja um sannanir.
Endurskoðunarskýrsla tilbúin til afhendingar
Mánaðarleg skýrsla á PDF-sniði sem dregur saman þjálfunarstöðu alls starfsfólks á tilteknu tímabili. Tilbúin til að senda á endurskoðanda eða eftirlit.
Sjálfvirkar áminningar
Þú þarft ekki að elta starfsfólkið. Áminningar fara út áður en frestur rennur út, eftir að hann er liðinn, og aftur þegar þjálfun er orðin meira en 12 mánaða gömul.
Hvernig Varhugi svarar kröfum NIS2
Taflan tengir kröfur tilskipunarinnar um þjálfun og vitund starfsfólks við það sem Varhugi gerir og hvaða gögn þú getur lagt fram þegar spurt er.
| Krafa | Hvað Varhugi gerir | Sönnun |
|---|---|---|
Grunnnetöryggisvenjur og þjálfun starfsfólks 21. gr., 2. mgr., g-liður | Stutt námskeið á íslensku um lykilorð, veiðipóst, tveggja þátta auðkenningu, gervigreind og fleira, úthlutað sjálfkrafa á allt starfsfólk eða valdar deildir. | Endurskoðunarskýrslan sýnir hver lauk hvaða námskeiði, hvenær og með hvaða einkunn. |
Þjálfun sem er reglubundin, ekki einskipti 21. gr., áhættustjórnun sem varanlegt ferli | Nýtt námskeið í hverjum mánuði með skilafresti, sjálfvirkum áminningum og upprifjun eftir atvik. | Tímabil skýrslunnar er frjálst, svo hægt er að sýna samfellda þjálfun yfir ár eða ársfjórðung. |
Skjalfesting á því hverjir hafa lokið þjálfun Sönnunarbyrði rekstraraðila gagnvart eftirliti | Hvert staðið próf gefur skírteini með staðfestingarkóða og dagsetningu. | Hvert skírteini er sannreynanlegt á varhugi.is/verify/{kóði} án innskráningar. |
Gögn sem endurskoðandi eða eftirlitsstofnun getur yfirfarið Eftirlit og úttektir, 32. og 33. gr. | Endurskoðunarskýrsla á PDF-sniði með samantekt og línu fyrir hvern starfsmann og hvert námskeið, ásamt CSV-skrá. | Skýrslan sjálf. Sýnishorn með tilbúnum gögnum er hér fyrir neðan. |
Ábyrgð og þjálfun stjórnenda 20. gr., 2. mgr. | Stjórnendur taka sömu námskeið og starfsfólkið, og stjórnborðið sýnir fylgnihlutfall, deildasamanburð og hverjir eru á eftir. | Staða hvers stjórnanda kemur fram í skýrslunni eins og annarra; stjórnborðið sýnir stöðuna hvenær sem er. |
Meðhöndlun atvika og vitund um tilkynningu þeirra 21. gr., 2. mgr., b-liður, og 23. gr. | Námskeið um fyrstu viðbrögð eftir öryggisatvik og hvernig á að tilkynna, og upprifjun send á einstakling eftir atvik. | Skírteini fyrir atvikanámskeiðið og upprifjunin skráð á starfsmanninn með dagsetningu. |
Tilvísanir eru í NIS2, tilskipun (ESB) 2022/2555. Íslensk innleiðing getur bætt við kröfum; láttu lögfræðing staðfesta hvaða ákvæði gilda um þitt fyrirtæki.
Endurskoðunarferlið
- 1.Þú opnar stjórnborðið og ýtir á „Sækja endurskoðunarskýrslu“.
- 2.Þú færð skjal á PDF-sniði: lista yfir starfsfólk, lokin námskeið, dagsetningar, prófniðurstöður og samantekt á heildarstöðu.
- 3.Endurskoðandinn fær skjalið. Hvert skírteini sem nefnt er er staðfestanlegt á varhugi.is/verify/{kóði}, engin þörf á frekari gagnasendingu.
Viltu sjá skýrsluna áður en þú stofnar reikning? Sýnishornið er búið til með sama kerfi og raunverulegar skýrslur, með tilbúnu fyrirtæki og tilbúnu fólki. Skoða sýnishorn af skýrslunni (PDF)
Byrjaðu með Varhuga í dag
Allt sem þarf til að byrja er hér á vefnum: verðskrá, spurningar og svör og uppsetningarleiðbeiningar fyrir IT. Uppsetningin er sjálfsafgreiðsla og tekur nokkrar mínútur. Ef eitthvað vantar svörum við pósti innan eins virks dags.