En medarbejder sidder derhjemme og forsøger at logge ind på arbejdspladsens system. Pludselig dukker der en anmodning op om at godkende et login, medarbejderen ikke selv har startet. Skal den godkendes? Nej. Men hvad medarbejderen gør bagefter, afhænger af, om arbejdspladsens vejledning er let at finde og forstå.

Her bliver NIS2 krav konkrete. De handler ikke kun om dokumenter og beslutninger i ledelsen, men også om, at medarbejderne kender deres rolle, kan genkende mistænkelig aktivitet og ved, hvem de skal kontakte. Det kan mærkes i hverdagen, når en usædvanlig besked lander midt i arbejdet.

Tre mulige reaktioner på én mistænkelig besked

Medarbejderen kan ignorere loginanmodningen og håbe, at den forsvinder. Det er bedre end at godkende den, men arbejdspladsen får måske ikke besked om, at noget er galt. En anden mulighed er at forsøge at løse problemet selv, for eksempel ved at ændre adgangskode eller undersøge beskeden på egen hånd. Det kan virke handlekraftigt, men uden en klar procedure risikerer medarbejderen at gøre situationen mere uklar.

Det sikre forløb er at afvise en anmodning, man ikke selv har udløst, og derefter melde den videre gennem arbejdspladsens aftalte kanal. Kort og kontant. Når proceduren fortæller, hvem der skal kontaktes, og hvilke oplysninger der skal gives, kan medarbejderen handle uden at gætte sig frem.

Forestil dig, at beskeden dukker op under et videomøde, mens medarbejderen også skal svare en kunde. En enkel instruktion, der er let at finde på arbejdspladsens interne side, gør det nemmere at vælge rigtigt. Efter min mening er en kort vejledning, man kan finde i en fart, bedre end en lang tekst, der samler støv på intranettet.

Træningen skal passe til arbejdet

Medarbejderne møder ikke de samme digitale risici. En kollega i økonomi kan modtage en falsk faktura, mens en medarbejder i kundeservice får en besked fra nogen, der udgiver sig for at være en kunde. It-medarbejdere har brug for andre færdigheder, blandt andet til at vurdere tekniske advarsler og sende dem videre til de rette personer.

Det betyder ikke, at alle skal være eksperter i cybersikkerhed. De skal kende de situationer, der er relevante for deres opgaver: et uventet login, en mistænkelig fil eller en afsender, der presser på for et hurtigt svar. Træningen kan for eksempel handle om falske mails, adgangskoder, sikker brug af systemer og indberetning af hændelser.

Tag en mail, der ligner en besked fra en fast leverandør, med en faktura vedhæftet. Medarbejderen bør vide, hvordan afsenderen kontrolleres, og hvor mistanken meldes. Det er en lille øvelse, men den træner beslutningen, der skal træffes, før filen åbnes. NIS2 krav bliver dermed lettere at omsætte til handlinger, der passer til arbejdsdagen.

På Skillflows side om uddannelse i NIS2-krav kan virksomheder læse om, hvordan læring kan styrke medarbejdernes sikkerhedsviden. Det giver mening at tage udgangspunkt i situationer, folk faktisk møder, frem for at behandle cybersikkerhed som et emne, der kun hører hjemme hos it-afdelingen.

Lederen skal gøre det let at reagere

En procedure hjælper kun, hvis medarbejderne ved, hvor den ligger, og hvad de skal gøre. Derfor skal ledere forklare arbejdsgangene, holde dem relevante og sørge for, at nye kolleger bliver introduceret til dem fra begyndelsen. Det er ofte her, forskellen viser sig mellem en plan på papir og en rutine, der faktisk bliver brugt.

Når en ny medarbejder begynder, kan introduktionen for eksempel omfatte, hvordan man indberetter mistænkelige mails, hvem man kontakter ved problemer med arbejdscomputeren, og hvad man gør ved et uventet login. Senere kan korte øvelser tage udgangspunkt i konkrete situationer fra arbejdspladsen. Det er mere jordnært end at forvente, at alle husker en vejledning, de kun har set én gang.

Hvis en arbejdscomputer opfører sig mærkeligt efter installation af et program, skal medarbejderen ikke stå alene med vurderingen. En tydelig kontaktvej gør det muligt at fortælle, hvad der skete, og få sagen håndteret af de rette personer. Lederen kan følge op ved at spørge, om medarbejderen vidste, hvem der skulle kontaktes, og om proceduren var let at finde.

Afprøv arbejdsgangen, før behovet opstår

Hvordan ved en arbejdsplads, om vejledningen virker? Prøv den af i en kort samtale: Hvad gør du, hvis en leverandør sender en uventet faktura? Hvem kontakter du, hvis computeren reagerer usædvanligt? Og hvad gør du, hvis du får en loginanmodning, du ikke selv har startet?

Hvis medarbejderen tøver, er det ikke nødvendigvis et tegn på manglende interesse. Måske er instruktionen gemt et sted, der er svært at finde, eller skrevet på en måde, der ikke passer til situationen. Det er nyttig viden for lederen. En lille ændring af kontaktvejen eller formuleringen kan gøre det lettere at reagere sikkert næste gang.

En øvelse kan også vise, om forskellige hold har brug for forskellig vejledning. Økonomiafdelingen kan træne kontrollen af fakturaer, mens medarbejdere, der arbejder hjemme, kan gennemgå, hvad de gør ved uventede loginbeskeder. Det behøver ikke være kompliceret. Det afgørende er, at medarbejderne får mulighed for at øve beslutningen, før en reel hændelse kræver et hurtigt svar.

NIS2 krav bliver først en del af arbejdspladsens sikkerhed, når medarbejderne kan omsætte dem til handling. Det kræver klare procedurer, relevant undervisning og ledere, der følger op uden at skælde ud. Spørg derfor kollegerne, hvad de ville gøre ved den mistænkelige loginanmodning. Hvis svaret er tydeligt, er arbejdspladsen bedre rustet til den næste besked, der ikke ser helt rigtig ud.

Se mere hos skillflow.dk.