Utbildningskravet: ledningen ska utbildas, men i vad?

Bestämmelsen talar om de personer som ingår i ledningen för en verksamhetsutövare. Den definierar inte ledning, vilket i praktiken gör avgränsningen till er egen bedömning och därmed till något som behöver motiveras.

De flesta organisationer landar i att kretsen omfattar den nivå som fattar beslut om resurser och prioriteringar för verksamheten, och inte varje person med personalansvar. Styrelsen är en egen fråga: i en verksamhet där styrelsen fattar de avgörande besluten om säkerhetsåtgärder är det svårt att argumentera för att den skulle stå utanför.

Det praktiska rådet är att skriva ned kretsen som en lista med befattningar, med en mening om varför just den avgränsningen valts, och att datera listan. Kretsen ändras vid omorganisationer, och en odaterad lista säger inget om vem som ingick när utbildningen hölls.

De personer som ingår i ledningen för en verksamhetsutövare ska genomgå utbildning om säkerhetsåtgärder.

Lagen säger utbildning om säkerhetsåtgärder, vilket knyter innehållet till 2 kap. 3 § snarare än till cybersäkerhet i allmänhet. En generell hotbildsföreläsning är intressant men svarar inte mot ordalydelsen.

Det som följer av kopplingen är att utbildningen bör beröra de tio områdena, vad organisationen valt att göra inom dem, och vilka avvägningar som ligger bakom. Ledningen ska kunna fatta beslut om åtgärderna, vilket förutsätter att den förstår vad som är beslutat och vad som medvetet inte är det.

Två delar hör hemma där även om de inte nämns i paragrafen. Den ena är rapporteringsskyldigheten, eftersom besluten under en incident fattas av samma krets under tidspress. Den andra är vad tillsynen faktiskt innebär, eftersom det är ledningen som möter tillsynsmyndigheten.

Frånvaron av intervall betyder inte att en engångsinsats är avklarad för alltid. Kravet är formulerat som att personerna ska genomgå utbildning, och kretsen förändras när personer tillkommer. En nyrekryterad ledningsperson som aldrig utbildats är en lucka oavsett vad som gjordes för två år sedan.

En hållning som går att försvara är att knyta utbildningen till två händelser i stället för till ett kalenderintervall: när någon tillträder i kretsen, och när åtgärderna eller riskbilden ändrats väsentligt. Ett årligt tillfälle utöver det är vanligt och enkelt att administrera, men det är er modell och inte lagens.

Kontrollera föreskriftslagret innan ni fastställer modellen. Försvarets radioanstalt har enligt cybersäkerhetsförordningen rätt att meddela närmare föreskrifter om bland annat utbildning, och en föreskrift kan lägga till krav som lagtexten inte innehåller.

Utbildningskravet är ett av få krav i lagen där beviset är okomplicerat. Det som behövs är ett register över vilka som deltagit, när, vad innehållet var och vem som höll utbildningen.

Lägg till den daterade listan över vilka befattningar som ingår i kretsen, så går det att avgöra om alla som skulle utbildas faktiskt gjorde det. Utan den listan visar deltagarregistret bara att några utbildats.

Spara också materialet, inte bara en agenda. Frågan vid en granskning är vad ledningen fick veta, och en rubriklista svarar inte på den.