a kérdőív azt kérdezi, hogy szűrünk-e munkavállalókat a felvételük előtt

A munkaerő-szűrés az emberi erőforrások biztonsági intézkedéseihez tartozik, nem a hozzáférés-szabályozáshoz

A munkatársak felvételkor történő szűrésére vonatkozó kérdés a munkaerő-biztonsági intézkedések alá tartozik, amely a NIS2 21. cikk (2) bekezdésből származó tíz intézkedés egyike — amely név szerint a (g) pont alatt szerepel, valamint munka- és foglalkoztatási feltételek és a megsértések miatt hozandó fegyelmi intézkedések mellett. Ez egy másik kategória, mint a hozzáférés-szabályozás: a szűrés arról szól, kit veszelsz fel, hozzáférési politika arról szól, hogy mit láthat vagy tehet valaki, amint már bent van. Ezért ne tölts automatikusan "igen"-t erre a kérdésre csak azért, mert már van egy hozzáférés-mátrixod — az egy másik bizonyíték.

Hogy mi számít bizonyítéknak, attól függ, mi történik a gyakorlatban. A VOG-kötelezettség (nyilatkozat a magatartásról) az érzékeny rendszerekhez való hozzáféréssel rendelkező funkciók esetében a leginkább konkrét bizonyíték. Ha ez hiányzik, akkor az is számít, ha van egy szilárd eljárás a felvételi folyamatban: referencia-ellenőrzés, személyazonosság-ellenőrzés, és ISO 27001-tanúsított vállalatoknál a szűrési feltétel az A. melléklet 6.1-ből (a munkaviszony előtt). ISO-tanúsítvány és VOG-politika nélkül a válasz általában "nem" vagy "részben" — és teljesen rendben van így kitölteni. Ne találj ki olyan szűrési folyamatot, amely nem létezik; ha az ügyfél erre rákérdez, egy őszinte "nem, viszont X és Y funkciók esetében igen" erősebb, mint egy olyan igen, amely egy audit során nem áll meg.

Ahonnan ez származik: NIS2 21. cikk (2) bekezdés g) pont és A. melléklet 6.1

A NIS2 21. cikk (2) bekezdés tíz intézkedése explicit módon említi a munkaerő-biztonságot a (g) pont alatt, a hozzáférés-szabályozás és az üzleti eszközök kezelése mellett. A gyakorlatban ezt gyakran együtt vizsgálják a kyberbiztonsági higiéniében nyújtott képzéssel, mivel mindkettő ugyanazon emberi erőforrások politika alá tartozik. Az ISO 27001-tanúsítvánnyal rendelkező vállalatoknál a kapcsolódó ellenőrzési intézkedés az A. mellékletben található, a munkaviszony előtti szűrésre vonatkozó feltétel alatt — ezért ellenőrizd, hogy az szervezet ISO 27001-tanúsítványa fed-e ezt a feltételt, mivel nem minden tanúsítvány egyformán széles körű. Az olyan vállalatok számára, amelyek csak 2026. augusztus 15. után esnek az Irányelvbe, ez még nem kötelező jogi előírás, de az ügyfelek gyakran már előre rákérdeznek a lánc kötelezettségeire való tekintettel.