Hatályba lépett az NIS2, és érvényes a képzési kötelezettség

2026. október 1. óta az NIS2 Ausztriában hatályban van. A kérdés tehát már nem az, hogy megérkeznek-e a követelmények, hanem az, hogy vállalata már teljesíti-e őket. Egy pontot újra és újra alulbecsülnek: azt a kötelezettséget, hogy a munkatársakat és magát a vezetést is rendszeresen képezni kell kiberbiztonságból. Ez a cikk áttekinti, kit érint az NIS2, mit mond konkrétan az irányelv a képzésekről, és mivel érdemes most kezdeni.

Kit érint az NIS2

Az NIS2 két csoportot különböztet meg: „alapvető” és „fontos” szervezeteket. Az alapvető szervezetek közé tartozik egyebek mellett az energia, a közlekedés, a bankszektor, az egészségügy, az ivóvíz és a digitális infrastruktúra. Fontos szervezetnek számít például a postai és futárszolgáltatás, a hulladékgazdálkodás, a vegyipar, az élelmiszeripar, a feldolgozóipar és egyes digitális szolgáltatások. Mindkét csoportra nagyjából ugyanazok a kötelezettségek vonatkoznak. A különbségek főként a felügyeletben és a szankciókban vannak.

A hatálya alá általában e szektorok közepes és nagy vállalatai tartoznak, nagyjából 50 foglalkoztatottól vagy több mint tízmillió euró éves árbevételtől. Egyes szervezetekre méretüktől függetlenül vonatkozik. És aki formálisan nem érintett, az is gyakran az ellátási láncon keresztül érzi meg az NIS2-t: az érintett vállalatoknak értékelniük kell beszállítóik biztonságát, és a követelményeket szerződésben továbbadják.

Mit jelent a 20. és a 21. cikk a képzések szempontjából

Az irányelv két helye teszi kötelezővé a security awareness képzéseket:

• 20. cikk (irányítás): a vezető testületeknek jóvá kell hagyniuk a kiberbiztonsági kockázatkezelési intézkedéseket, és felügyelniük kell azok megvalósítását. Emellett kötelesek maguk is részt venni képzéseken, és hasonló képzéseket rendszeresen munkatársaiknak is kínálniuk kell.
• 21. cikk (kockázatkezelés): a minimális intézkedések katalógusa kifejezetten említi a kiberhigiénia alapvető gyakorlatait és a kiberbiztonsági képzéseket, egyenrangúan olyan témákkal, mint a biztonsági mentések kezelése, a hozzáférés-szabályozás és az ellátásilánc-biztonság.

A security awareness képzés így már nem önkéntes többlet, hanem a jogszabály által megkövetelt intézkedéscsomag része. Az új belépőknek tartott egyszeri oktatás nyilvánvalóan nem teljesíti a rendszeresség követelményét: folyamatos programról van szó, amely minden foglalkoztatottat elér, és amelynek megvalósítása igazolható.

A vezetés felelőssége

A 20. cikk szerint a vezető testületek felelősségre vonhatók a kockázatkezelési kötelezettségek megsértéséért. Hogy ez a felelősség az egyes esetekben hogyan alakul, az a nemzeti jogból következik, és a körülményektől függ. Ez a cikk kifejezetten nem jogi tanácsadás. Konkrét helyzetének értékeléséhez jogi tanácsot kell kérnie.

Annyi azonban megállapítható, hogy a képzési kötelezettség azon kevés pontok egyike, ahol az NIS2 személyesen a vezetést szólítja meg. Aki igazolni tudja a saját részvételét és a munkatársak számára dokumentált programot, lényegesen jobb helyzetben van, mint egy bizonyítékok nélküli vállalat.

Konkrét első lépések

1. Az érintettség tisztázása: vizsgálja meg a szektort és a vállalat méretét, valamint azt, hogy szabályozott iparágak ügyfelei továbbadnak-e Önnek követelményeket.
2. Helyzetfelmérés: milyen képzések voltak eddig, ki vett részt, mi van dokumentálva? A hiányosságok itt többnyire gyorsan kiderülnek.
3. Ismétlődő program felállítása: kombinálja az e-learning kurzusokat rendszeres phishing-szimulációkkal. Így a kötelezettség teljesítéséből mérhető biztonsági nyereség lesz. Hogy ez a kombináció miért hatásos, azt a kiberbiztonsági tudatosságról szóló cikkünk magyarázza.
4. A vezetés bevonása: a vezetői szint részvételét az elejétől fogva tervezze be, mert azt kifejezetten megkövetelik.
5. A bizonyítékok biztosítása: a részvételi arányokat, a teljesítéseket és a szimulációs eredményeket rendezetten dokumentálni kell, hogy a hatóságok és az ügyfelek kérdéseire megalapozottan válaszolhasson.

Induljon most, ne pótolja utólag

Az NIS2 hatályos jog, és a képzési kötelezettség átlátható ráfordítással teljesíthető, ha strukturáltan kezdi. Hogy a Protectly hogyan támogatja a vállalatokat ebben, a kész tudatosságnövelő kurzusoktól a részvételi riportig, azt az NIS2 áttekintésünk mutatja. Vagy nézze meg közvetlenül a platformot: kérjen demót, kötelezettségek nélkül és az Ön iparágára szabva.