Usposabljanje NIS2: Obvezne zahteve za vodstvo in zaposlence

Člen 20 NIS2 nalaga pravno obveznost upravljavskim organom (vodstvu, nadzornemu svetu) razviti in izvesti strategijo politike varnosti informacij, vključno s usposabljanjem o oceni kibernetskega tveganja. To ni priporočilo — to je obvezna zahteva.

Člen 21(2)(g) NIS2 priporoča s pravno močjo usposabljanje vseh zaposlenih s področja varnostnih groženj, posebej phishinga in socialnega inženirstva. Slovenija ima obveznost transpozicije te direktive v zakon o varovanju podatkov in varnosti omrežij.

Zahteva velja za:

• Člane upravljavskih organov — obvezno usposabljanje
• Vse zaposlene — priporočljivo usposabljanje s pravno močjo
• Dobavitelje in partnerje — priporočljiva usposabljanja

Usposabljanja morajo vključevati praktične scenarije kibernetskih napadov, postopke odzivanja na incidente ter vloge in odgovornosti vsakega zaposlenega v obrambi organizacije.

Vsako usposabljanje NIS2 mora zajemati naslednja ključna področja:

• Phishing in spearphishing — prepoznavanje sumljivih e-poštnih sporočil, analiza naslova pošiljatelja, preverjanje povezav
• Socialno inženirstvo — tehnike manipulacije, testiranje ustnenih zahtev za dostop, preverjanje identitete klicajočih
• Varnost gesel — ustvarjanje močnih gesel, varno hranjenje, nikoli ne deljenje gesel
• Večfaktorska avtentifikacija (MFA) — konfiguracija in uporaba MFA kot druga plast zaščite
• Ravnanje s občutljivimi podatki — razvrstitev podatkov, pravilno hranjenje in prenos, skladnost z GDPR
• Varna uporaba naprav — zaščita mobilnih naprav, izogibanje javnim omrežjem WiFi
• Poročanje o incidentih — postopki za prijavo morebitnih groženj brez strahu pred represivnimi ukrepi

Platforme, kot je KnowBe4, vsebujejo usposabljalne module za vsako od teh področij s lokalnim kontekstom Slovenije.

Člen 20 NIS2 jasno nalaga članom upravljavskih organov obveznost imeti znanje, ki omogoča oceno in upravljanje kibernetskega tveganja. To pomeni, da mora vodstvo razumeti:

• Krajino groženj kibernetske varnosti v industriji
• Vpliv kibernetske varnosti na poslovno strategijo
• Metrike in kazalnike varnosti (KPI)
• Poročanje in eskalacijo incidentov
• Upravljanje dobaviteljev (varnost dobavne verige)
• Postopke inšpekcije in varnostne revizije

Usposabljanja vodstva bi morala izvajati strokovnjaki s izkušnjami na področju kibernetske varnosti. Priporoča se letno osvežitev znanja. KnowBe4 ponuja posebne module za direktorje in menedžerje na platformi knowbe4.com s podatki o tveganjih v sektorju.

KnowBe4 je vodilna platforma za usposabljanje s področja varnostne ozaveščenosti z značilnostmi, posebej koristnimi za skladnost NIS2:

• Simulacije phishinga — pošiljanje realističnih lažnih e-poštnih sporočil za testiranje zaposlenih in identifikacijo tistih, ki potrebujejo dodatno usposabljanje
• Knjižnica modulov — dostop do 2000+ standardiziranih usposabljanj v 80+ jezikih, vključno slovenščino
• Nadzorne plošče za vodstvo — poročanje v realnem času za člane upravljavskih organov
• Poti usposabljanja — prilagojene vloge (IT, HR, finance, vodstvo)

Izvajanje v 30 minutah:

1. Registracija na KnowBe4 (brezplačna 14-dnevna preizkušnja)
2. Uvozite seznam zaposlenih iz datoteke CSV
3. Izberite predlogo usposabljanja NIS2 iz knjižnice
4. Konfiguracija simulacij phishinga
5. Zagon kampanje usposabljanja z enim klikom

Vse brez potrebe po kodiranju ali podpori IT-ja.

Poleg KnowBe4 so na trgu dostopne druge rešitve, ki izpolnjujejo zahteve NIS2:

• Hornetsecurity Security Awareness Service — nemška podjetja, specialista za usposabljanja s področja varnosti elektronske pošte, vključno simulacije phishinga in poročanja o skladnosti
• Proofpoint Security Awareness Training — napredna platforma z AI, analizo vedenja in osebnostnim usposabljanjem ogrozenih zaposlenih

Primerjava:

• KnowBe4: najbolje razmerje med ceno in funkcijami, najhitrejše izvajanje, intuitiven vmesnik za slovenska podjetja
• Hornetsecurity: moč v Evropi, integracija s poštnimi strežniki, dobra podpora za stranke iz EU
• Proofpoint: najnaprednejši AI, najdražji, za velika podjetja

Večina majhnih in srednje velikih podjetij v Sloveniji izbira KnowBe4 zaradi dostopne cene in hitrega časa do vrednosti.

Stroški usposabljanja so odvisni od števila zaposlenih in izbrane platforme:

• KnowBe4 — od 2 EUR/zaposlenega/meseca (letni načrt), brezplačna preizkušnja, brez potrebne dolgoročne pogodbe
• Hornetsecurity — od 3 EUR/zaposlenega/meseca, letna pogodba, lokalna podpora
• Proofpoint — od 5 EUR/zaposlenega/meseca, Enterprise licenciranje, potrebno izvajanje

Primer: podjetje s 100 zaposlenimi:

• KnowBe4 ~ 200 EUR/mesec (2400 EUR/leto)
• Hornetsecurity ~ 300 EUR/mesec (3600 EUR/leto)
• Proofpoint ~ 500 EUR/mesec (6000 EUR/leto)

Brezplačne preizkušnje so dostopne za vse tri platforme. Priporočamo, da najprej testirate KnowBe4, ker je najpreprostejša za izvajanje.