Czy kierownictwo w Niemczech musi odbywać szkolenia z cyberbezpieczeństwa na podstawie BSIG?
Tak, regularnie. § 38 ust. 3 BSIG wymaga od kierownictwa podmiotów szczególnie ważnych i ważnych regularnego udziału w szkoleniach, by zdobyć wystarczającą wiedzę i umiejętności do rozpoznawania i oceny ryzyk i praktyk zarządzania ryzykiem w bezpieczeństwie informacji oraz do oceny ich wpływu na usługi świadczone przez podmiot. Ustawa nie określa liczby godzin, formy ani certyfikatu, więc trzeba wybrać szkolenie dopasowane do sektora i wielkości firmy i powtarzać je w rozsądnych odstępach, na przykład co roku i po dużych zmianach w obrazie zagrożeń lub w przepisach. Obowiązek jest osobisty dla członków kierownictwa, więc przekazanie go kierownikowi IT go nie spełnia. Warto zachować zaświadczenia o udziale i program: BSI może uwzględnić przestrzeganie § 38 ust. 3 w audytach, które zleca podmiotom szczególnie ważnym na podstawie § 61 ust. 1, a wobec ważnych działać na podstawie § 62.
Informacja ogólna, nie porada prawna. Przepisy krajowe mogą uzupełniać cytowane tu akty UE, na przykład o terminy, formularze czy kanały zgłoszeń: sprawdź przepisy swojego kraju.
Ta odpowiedź, z szerszym kontekstem, jest też tutaj: Niemcy: BSIG