La direction de votre organisation doit approuver lesmesures de gestion des risques et decybersécurité mises en œuvre pour se conformer à la NIS2, et joue donc un rôle central dans la gouvernance de la cybersécurité.
Pour gérer efficacement cette responsabilité, l ‘article 20, paragraphe 2, du NIS2 exige que les cadres reçoivent une formation appropriée qui renforce leur capacité à comprendre les risques, à prendre des décisions en connaissance de cause et à assurer le suivi des mesures de sécurité de l’organisation.
Il n’existe pas de lignes directrices précises sur la forme que doivent prendre ces cours, mais ce qui importe, c’est que la direction dans son ensemble acquière les compétences nécessaires pour guider les efforts de l’organisation en matière de cybersécurité.
La formation peut prendre de nombreuses formes : cours généraux sur la cybersécurité et la sécurité de l’information, ateliers de leadership sur la gestion des cyberrisques, certifications de normes de sécurité reconnues telles que la norme ISO 27001, ou séminaires internes adaptés à votre organisation.
La participation à cette formation et son achèvement doivent être documentés afin de démontrer la conformité, par exemple au moyen d’un certificat ou d’une confirmation de présence.
Rôle de la direction dans la formation des salariés
La direction joue également un rôle clé dans l’élaboration des compétences et du comportement des employés. Ils doivent soutenir et encourager activement la formation à la cybersécurité du personnel à tous les niveaux, en veillant à ce que les compétences des employés correspondent à leur rôle et à leurs responsabilités au sein de l’organisation.
Par conséquent, votre organisation devrait élaborer une politique de formation à l’intention de ses employés et veiller à ce que tous, des nouveaux embauchés aux employés expérimentés, sachent comment protéger les systèmes, suivre les meilleures pratiques en matière de cyberhygiène et réagir de manière appropriée aux menaces. En montrant l’exemple et en accordant la priorité à la formation, la direction montre que la cybersécurité est importante pour l’ensemble de l’organisation.
Cette exigence est conforme à celle de l’article 21, paragraphe 2, point g), qui stipule que les employés doivent connaître les pratiques de cyberhygiène et recevoir une formation en matière de cybersécurité.
