Списъкът пита дали скринираме служителите преди наемане

Проверката на персонала е част от сигурността на управлението на човешките ресурси, а не от контрола на достъпа

Въпросът относно проверката при наемане попада под сигурност на персонала, една от десетте мерки от член 21, параграф 2 на NIS2 — изрично посочена под точка (g), заедно с условията на труда и дисциплинарни мерки при нарушения. Това е друго поле в сравнение с контрола на достъпа: проверката касае кого наемаш, политика на достъпа касае какво може да вижда или какво може да прави някой, след като е вътре. Затова не попълвай автоматично "да" на този въпрос само защото вече има матрица на достъпа — това е друго доказателство.

Какво брои за доказателство, зависи от това какво се случва на практика. Задължение за VOG (verklaring omtrent het gedrag) за длъжности с достъп до чувствителни системи е най-конкретното доказателство. Ако липсва, тогава брои и фиксирана процедура при приема: проверка на препоръките, проверка на самоличността и при предприятия, сертифицирани по ISO 27001, клаузулата за проверка от Приложение A 6.1 (преди встъпване в трудовото отношение). Без ISO-сертификат и без политика за проверка, отговорът обикновено е "не" или "частично" — и е съвсем нормално да се попълни така. Не измисляй процес за проверка, който не съществува; ако клиентът задълбочи въпроса, честен "не, но при функции X и Y" е по-силен от "да", което не издържа при одит.

Откъде идва това: член 21, параграф 2, под буква g и Приложение A 6.1

Десетте мерки на член 21, параграф 2 на NIS2 назовават изрично защитата на персонала под буква (г), наред с управлението на достъпа и управлението на активите. На практика това често се оценява заедно с обучение по киберхигиена, тъй като и двата попадат под един и същ HR политика. За компании със сертификат ISO 27001 свързаната мярка за контрол се намира в Annex A, под клаузулата за проверка преди назначаването — затова проверете дали сертификатът ISO 27001 на предприятието обхваща тази клаузула, тъй като не всеки сертификат има еднакво широкия обхват. За компании, които самите попадат под Закона за кибербезопасност едва след 15 август 2026 г., това все още не е законово задължение, но клиентите често питат за него предварително във връзка с верижните задължения.