lista kontrolna pyta, czy przeprowadzamy przesiewanie pracowników przed zatrudnieniem

Weryfikacja personelu należy do bezpieczeństwa zasobów ludzkich, a nie do kontroli dostępu

Pytanie dotyczące weryfikacji przed zatrudnieniem podlega bezpieczeństwu personelu, jednej z dziesięciu środków z artykułu 21 ust. 2 NIS2 — wymienionej z nazwy w punkcie (g), wraz z warunkami zatrudnienia i środkami dyscyplinarnymi w przypadku naruszeń. Jest to inna kategoria niż kontrola dostępu: weryfikacja dotyczy tego, kogo zatrudniasz, polityka dostępu dotyczy tego, co osoba może widzieć lub robić po wejściu do systemu. Nie wpisuj zatem automatycznie "tak" w odpowiedzi na to pytanie tylko dlatego, że istnieje już macierz dostępu — to jest inny dokument potwierdzający.

To, co liczy się jako dowód, zależy od tego, co dzieje się w praktyce. Obowiązek posiadania zaświadczenia o niekaralności (VOG — verklaring omtrent het gedrag) dla stanowisk mających dostęp do wrażliwych systemów jest najbardziej konkretnym dowodem. Jeśli brakuje tego warunku, to liczą się również stałe procedury w procesie rekrutacji: sprawdzenie referencji, weryfikacja tożsamości, a w przypadku firm posiadających certyfikat ISO 27001 klauzula weryfikacyjna z Załącznika A 6.1 (przed nawiązaniem stosunku pracy). Bez certyfikatu ISO i bez polityki dotyczącej weryfikacji odpowiedź to zwykle "nie" lub "częściowo" — i jest to w porządku, aby tak to wpisać. Nie wymyślaj procesu weryfikacji, który nie istnieje; jeśli klient będzie w tej sprawie zadawać dalsze pytania, szczera odpowiedź "nie, ale tak przy stanowiskach X i Y" jest silniejsza niż potwierdzenie, które nie wytrzyma audytu.

Źródło: artykuł 21 ust. 2 lit. g oraz Załącznik A 6.1

Dziesięć środków z artykułu 21 ust. 2 NIS2 wymieniają bezpieczeństwo personelu wyraźnie w punkcie (g), obok kontroli dostępu i zarządzania zasobami firmy. W praktyce jest to często weryfikowane razem z szkoleniem w zakresie higieny cybernetycznej, ponieważ oba elementy należą do tej samej polityki zasobów ludzkich. Dla firm posiadających certyfikat ISO 27001 odpowiedni środek można znaleźć w Załączniku A, w klauzuli dotyczącej weryfikacji przed nawiązaniem stosunku pracy — sprawdź zatem, czy certyfikat ISO 27001 przedsiębiorstwa obejmuje tę klauzulę, gdyż nie każdy certyfikat ma jednakowy zakres. Dla firm, które po raz pierwszy podlegać będą Ustawie o bezpieczeństwie cybernetycznym od 15 sierpnia 2026 r., nie jest to jeszcze obowiązek ustawowy, ale klienci pytają o to już teraz w ramach przygotowania się do wymogów łańcucha dostaw.