chestionarul întreabă dacă evaluăm angajații înainte de angajare

Verificarea personalului aparține securității hrm, nu controlului accesului

Întrebarea cu privire la verificarea pentru angajare se încadrează sub securitatea personalului, una dintre cele zece măsuri din articolul 21 alineatul 2 NIS2 — menționată explicit la punctul (g), alături de condițiile de muncă și măsurile disciplinare în caz de încălcare. Acesta este un alt domeniu decât controlul accesului: verificarea se referă la cine angajezi, politica de acces se referă la ceea ce o persoană are permisiunea să vadă sau să facă odată ce intră în interior. Nu completa deci automat "da" la această întrebare doar pentru că există deja o matrice de acces — acesta este un alt document de probă.

Ceea ce contează ca probă depinde de ceea ce se întâmplă în practică. O obligație VOG (declarație de moralitate) pentru funcții cu acces la sisteme sensibile este cea mai concretă probă. Dacă lipsește, o procedură constantă în procesul de angajare contează și ea: verificare de referințe, verificare identității, și la companiile certificate ISO 27001 clauza de verificare din Anexa A 6.1 (anterioară semnării contractului de muncă). Fără certificare ISO și fără politică VOG, răspunsul este de obicei "nu" sau "parțial" — și este perfect să completezi formularul astfel. Nu inventa un proces de verificare care nu există; dacă clientul pun întrebări în continuare, un "nu, dar da pentru funcțiile X și Y" este mai solid decât un da care nu rezistă la audit.

Sursa: articolul 21 alineatul 2 litera g și Anexa A 6.1

Cele zece măsuri din articolul 21 alineatul 2 NIS2 menționează în mod explicit securitatea personalului la (g), alături de controlul accesului și gestionarea activelor unei întreprinderi. În practică, aceasta se evaluează adesea împreună cu antrenament în igienă cibernetică, deoarece ambele se încadrează sub aceeași politică hrm. Pentru companiile cu certificare ISO 27001, măsura de control asociată se găsește în Anexa A, sub clauza referitoare la verificarea anterioară angajării — cere deci confirmare dacă certificatul ISO 27001 al întreprinderii acoperă această clauză, deoarece nu fiecare certificat are același domeniu de aplicare. Pentru companiile care încep abia după 15 august 2026 să se încadreze sub Legea de securitate cibernetică, aceasta nu este încă o obligație legală, dar clienții pun adesea deja întrebări în acest sens în anticiparea obligațiilor din lanț.