Met de NIS2 die nu naar verwachting op 1 juli in werking gaat, is dat een gemiste kans. Want zonder HR wordt het behalen van een NIS2-certificering veel moeilijker. Maar wat houdt die rol precies in? Lees hieronder meer informatie vanuit onze partner Samen Digitaal Vaardig.
-
De directie moet worden opgeleid
De NIS2 legt de verantwoordelijkheid expliciet bij de top van de organisatie. Bestuurders en directieleden zijn hoofdelijk aansprakelijk voor het cybersecuritybeleid. Dat betekent dat zij moeten begrijpen wat NIS2 inhoudt, welke risico’s er spelen en welke beslissingen van hen worden verwacht. Het volgen van een opleiding is zelfs verplicht en moet binnen twee jaar na inwerkingtreding van de wet plaatsvinden. Het organiseren, faciliteren en documenteren van die opleiding is een HR-taak.
-
Ook alle medewerkers moeten worden opgeleid
De NIS2 stelt ook eisen aan het bewustzijn en de kennis van medewerkers op alle niveaus. HR is de aangewezen partij om die opleidingen te organiseren, bij te houden en te borgen binnen de organisatie.
-
Zorg dat medewerkers de relevante onderwerpen kennen
Als je de NIS2 Supply Chain-norm wilt behalen en wilt werken aan compliance, moeten medewerkers meer weten dan alleen de basis. Denk aan concrete thema’s zoals:
-
Veilig thuiswerken: welke risico’s brengt dit mee en welke afspraken gelden er?
-
Omgaan met phishing, social engineering en verdachte situaties
-
Vertrouwelijk omgaan met klantgegevens, regelmatig wachtwoorden wijzigen en het activeren van multifactorauthenticatie (MFA)
Dit zijn geen technische onderwerpen. Dit zijn gedragsvraagstukken. En gedrag is het domein van HR.
Drie concrete HR-taken onder NIS2
NIS2 vraagt concreet drie dingen van HR:
-
Training en bewustwording voor alle medewerkers, afgestemd op rol en risicoprofiel. Geen generieke sessie voor iedereen.
-
Aandacht voor de digitale component in onboarding en offboarding: welke toegangen worden verleend bij indiensttreding en structureel ingetrokken bij vertrek?
-
Aansluiting bij de bredere governance: HR handelt op basis van de kaders die de directie heeft vastgesteld.
Het SDV-platform biedt 28 trainingsvideo’s die HR-afdelingen direct kunnen inzetten voor verplichte bewustwordingstraining.
Wat kun je nu doen?
Bewustwording is een van de meest kosteneffectieve manieren waarop een organisatie haar cyberweerbaarheid kan versterken. Onder NIS2 is het bovendien verplicht.