Tietojärjestelmien käyttösäännöt (joita kutsutaan usein yrityksen IT-käyttösäännöiksi) kertovat kaikille järjestelmiäsi käyttäville, mitä he saavat tehdä, mitä eivät saa tehdä ja mitä yritys voi valvoa. Acceptable Use Express on itsepalvelutyöpaja, joka auttaa eurooppalaista pk-yritystä kirjoittamaan tällaiset säännöt selkeällä kielellä, GDPR:ään ja ISO/IEC 27001 -standardiin tukeutuen sekä etätyö, henkilökohtaiset laitteet ja generatiivinen tekoäly huomioon ottaen. Saat yrityksesi nimissä laaditun työluonnoksen, jonka oma neuvonantajasi tarkistaa ja vahvistaa.
Lyhyt, helppolukuinen asiakirja, joka muuttaa tietoturvatavoitteesi ihmisten arkisiksi säännöiksi
Useimmilla pienillä ja keskisuurilla yrityksillä on tietokoneet, postilaatikko jokaiselle, pilvessä jaetut tiedostot, muutama liiketoimintasovellus ja yhä useammin puhelimet ja kannettavat, jotka lähtevät toimistosta. Usein niiltä puuttuu yksi asiakirja, joka kertoo työntekijän ymmärtämällä kielellä, miten näitä työkaluja saa käyttää. Tämä asiakirja on tietojärjestelmien käyttösääntö. Ranskassa sitä kutsutaan yleensä nimellä charte informatique; muualla puhutaan "IT usage policy", "computer use policy" tai "IT charter". Nimellä on vähemmän merkitystä kuin sen kolmella tehtävällä.
Käyttäjät eivät voi noudattaa sääntöjä, joita kukaan ei ole kirjoittanut ylös. Tietojärjestelmien käyttösäännöt kertovat odotetun toiminnan salasanojen, sähköpostin, internetin selaamisen, tiedostojen jakamisen, siirrettävien tallennusvälineiden, ohjelmistojen asennuksen, yrityksen laitteiden henkilökohtaisen käytön, matkustamisen ja etätyön osalta. Se on tietoturvasi se osa, jonka käyttäjät näkevät ja joka tavoittaa jokaisen työpöydän.
Lokitus, suodatus, postilaatikon käyttö poissaolon aikana, laitehallinta, työasemien varmuuskopiointi: kaikki nämä koskevat työntekijöiden henkilötietoja. Yleisen tietosuoja-asetuksen mukaan rekisteröidyille on kerrottava käsittelyn tarkoitukset ja edellytykset (13 artikla). Tietojärjestelmien käyttösäännöt ovat luonteva paikka antaa tämä tieto yhdessä yhtenäisessä tekstissä sen sijaan, että se hajautuisi useisiin sähköposteihin.
Kun sääntöä rikotaan, organisaation on osoitettava, että sääntö oli olemassa, että henkilö tiesi siitä ja että rikkomuksen paljastanut valvonta oli itsessään laillista ja oikeasuhteista. Käytäntö, jota ei koskaan tiedotettu, tai joka salaa valvonnan, josta henkilöstö ei ole kuullut, ei anna sinulle juuri mitään tukea. Se, miten käytännöstä tulee täytäntöönpantava, riippuu kansallisesta työlainsäädännöstä. Siksi pidämme tämän sivun yleisenä ja ohjaamme viimeisen vaiheen neuvonantajallesi.
Kansainvälinen tietoturvastandardi tunnustaa tämän roolin nimenomaisesti. ISO/IEC 27001:2022 sisältää liitteessään A hallintatoimen 5.10 "Acceptable use of information and other associated assets" (tiedon ja muiden siihen liittyvien omaisuuserien hyväksyttävä käyttö), joka edellyttää, että hyväksyttävän käytön säännöt sekä tiedon ja omaisuuserien käsittelyn menettelyt tunnistetaan, dokumentoidaan ja otetaan käyttöön. Tietojärjestelmien käyttösäännöt ovat yleisin tapa, jolla pk-yritykset täyttävät tämän odotuksen, sertifiointia hakivat tai eivät.
Lähteet: Asetus (EU) 2016/679 (GDPR), EUR-Lex · ISO/IEC 27001, julkinen sivu iso.org-sivustolla
Samat muutamat virheet toistuvat yhä uudelleen. Mikään niistä ei vaadi suurta budjettia korjatakseen.
Internetistä ladattu käytäntö kuvaa jonkun muun työkaluja, jonkun muun maata ja jonkun muun riskejä. Se mainitsee järjestelmiä, joita et käytä, eikä sano mitään niistä, joita käytät. Henkilöstö huomaa tämän ja lakkaa lukemasta.
Jaetussa kansiossa pölyttyvää asiakirjaa ei ole viestitty henkilöstölle. Jos et pysty osoittamaan, kuka sen sai, milloin ja missä versiossa, siihen on myöhemmin vaikea nojata. Useissa maissa työntekijöiden tiedottamis- tai kuulemisvaiheet ovat osa sitä, mikä tekee säännöistä sovellettavia.
Verkkosuodatuksen lokit, sähköpostiyhdyskäytävän lokit, päätelaitehallinta ja tietovuotojen estotyökalut valvovat kaikki ihmisten toimintaa. GDPR edellyttää avoimuutta (5 artiklan 1 kohdan a alakohta) ja rekisteröityjen tiedottamista (13 artikla). Salassa pidetty valvonta on jo itsessään vaatimustenmukaisuusriski.
Monet käyttösäännöt on kirjoitettu ajalta, jolloin kaikki työskentelivät toimiston työpöydän ääressä. Ne eivät sano mitään kotiverkoista, henkilökohtaisista puhelimista, jotka vastaanottavat yrityksen sähköpostia, tai työntekijöistä, jotka liittävät asiakastietoja julkiseen tekoälychattiin. Tällaisessa aukossa tietoturvapoikkeamat syntyvät.
Alla olevat osiot muodostavat työpajan tuottaman luonnoksen rungon. Jokainen osio mukautetaan vastauksiisi, ja jokaista voi lyhentää tai poistaa.
Työntekijät, harjoittelijat, määräaikaiset, alihankkijat ja kaikki, joilla on tunnus. Mitä järjestelmiä sääntö koskee: työasemat, mobiililaitteet, sähköposti, yhteistyöalustat, liiketoimintasovellukset, verkot, tulostimet, pilvitallennus. Selkeä soveltamisala estää klassisen väitteen "tämä ei koskenut minua".
Henkilökohtaiset, siirtokelvottomat tunnukset; salasanojen laatu ja säilytys; monivaiheinen todentaminen siellä, missä yritys on sen ottanut käyttöön; istunnon lukitseminen työpisteeltä poistuttaessa; toimet, jos salasana on saattanut vuotaa.
Aiheeseen liittyvää: NIS2, 21 artiklan 2 kohdan j alakohta luettelee monivaiheisen todentamisen soveltamisalaan kuuluvien toimijoiden toimenpiteiden joukkoon.
Ammatillinen käyttö pääsääntönä, kohtuullinen henkilökohtainen käyttö, jos yritys sallii sen, ja se, miten henkilökohtaiset viestit tulee merkitä. Tietojenkalastelun tunnistaminen, liitteet ja linkit, edelleenlähetyssäännöt, automaattinen edelleenlähetys henkilökohtaisiin osoitteisiin, kielletyt sivustot ja sisältö.
Mitkä tiedot ovat luottamuksellisia, miten niitä saa jakaa yrityksen sisällä ja ulkopuolelle, hyväksytyt tiedostonjakotyökalut, tulostus, puhdas työpöytä ja velvollisuus käsitellä henkilötietoja vain yrityksen ohjeiden mukaisesti.
GDPR 29 artikla ja 32 artiklan 4 kohta: rekisterinpitäjän valvonnassa toimivat henkilöt käsittelevät henkilötietoja vain sen ohjeiden mukaisesti.
Kuka saa asentaa ohjelmistoja, henkilökohtaisten USB-muistitikkujen ja ulkoisten levyjen käyttö, kannettavien ja puhelinten huolto, katoamisen tai varkauden ilmoittaminen sekä laitteiden ja käyttöoikeuksien palauttaminen, kun joku lähtee (ISO/IEC 27001:2022 liitteessä A on myös omaisuuden palauttamista koskeva hallintatoimi 5.11).
Työskentely kotoa, asiakkaan toimipaikasta tai liikkeellä: luotettavat verkot, VPN tarvittaessa, näytön yksityisyys, laitteiden fyysinen suojaus, videopuhelut julkisilla paikoilla. ISO/IEC 27001:2022 liitteessä A on oma hallintatoimensa 6.7 "Remote working" (etätyö).
Saavatko henkilökohtaiset puhelimet, tabletit tai tietokoneet käyttää yrityksen tietoja, ja millä ehdoin (laitteen lukitus, päivitykset, erillinen työprofiili, vain yrityksen tietojen etäpyyhintä), sekä mitä yritys saa ja ei saa nähdä henkilökohtaisella laitteella.
Mitkä tekoälytyökalut on hyväksytty, mitä tietoja niihin ei saa koskaan syöttää (henkilötiedot, asiakassalaisuudet, lähdekoodi, tunnistetiedot), tuotosten tarkistus ihmisellä ja se, miten uuden työkalun voi pyytää. Käytäntö, joka kieltää kaiken, ajaa käytön helposti piiloon.
Tekoälyasetus, asetus (EU) 2024/1689, 4 artikla henkilöstön tekoälyosaamisesta.
Mitä kirjataan, suodatetaan tai tarkistetaan, mihin tarkoitukseen, kenen toimesta, kuinka kauan lokeja säilytetään ja rekisteröityjen oikeudet. Tässä osiossa täytetään GDPR:n avoimuus- ja tiedottamisvelvoitteet.
GDPR 5 ja 13 artikla.
Miten ja kenelle epäilyttävästä sähköpostista, kadonneesta laitteesta tai virheestä ilmoitetaan ilman pelkoa siitä, että nopea ilmoitus johtaa syyllistämiseen. Viittaus yrityksessäsi sovellettavaan kurinpitokehykseen (ISO/IEC 27001:2022 liite A, hallintatoimi 6.4 "Disciplinary process" (kurinpitomenettely)), sekä käytännön päivämäärä ja versio.
Oikeudellinen reitti vaihtelee jäsenvaltioittain. Logiikka ei vaihtele: lainmukaisuus, oikeasuhteisuus ja ennakolta tiedottaminen.
Tietojärjestelmien käyttösäännöt kuvaavat lähes aina työntekijöiden henkilötietojen käsittelyä: tunnuslokit, yhteyskirjaukset, suodatus, laiteluettelot ja joskus postilaatikon käyttö. GDPR:n kolme artiklaa kehystävät tätä käsittelyä kaikkialla Euroopan unionissa.
5 artikla, periaatteet. Henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja läpinäkyvästi; ne on kerättävä määriteltyihin, nimenomaisiin ja oikeutettuihin tarkoituksiin; ne ovat riittäviä, olennaisia ja rajoitettuja siihen, mikä on tarpeen; ne on säilytettävä ei kauemmin kuin on tarpeen; ja ne on käsiteltävä asianmukaisella tietoturvalla. 5 artiklan 2 kohdan mukaan rekisterinpitäjän on pystyttävä osoittamaan noudattavansa näitä periaatteita (vastuuvelvollisuus). Tietojärjestelmien käyttösäännöissä tämä tarkoittaa, että jokaisella kuvaamallasi valvontakeinolla on oltava ilmoitettu tarkoitus ja kohtuullinen säilytysaika, ja sinun on pystyttävä osoittamaan, miksi se on oikeasuhteinen.
13 artikla, annettavat tiedot. Kun tietoja kerätään rekisteröidyltä, rekisterinpitäjän on muun muassa annettava sen henkilöllisyys ja yhteystiedot, tietosuojavastaavan yhteystiedot, jos sellainen on, käsittelyn tarkoitukset ja oikeusperuste, oikeutettu etu silloin, kun se on perusteena, vastaanottajat, säilytysaika sekä rekisteröidyn oikeudet. Tietojärjestelmien käyttösäännöt tai niihin liitetty tiedote ovat käytännöllinen tapa välittää nämä tiedot.
88 artikla, käsittely työsuhteen yhteydessä. GDPR sallii jäsenvaltioiden säätää lailla tai työehtosopimuksilla tarkemmat säännöt työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä. 88 artiklan 2 kohdan mukaan tällaisten sääntöjen on sisällettävä asianmukaiset ja erityiset toimenpiteet rekisteröidyn ihmisarvon, oikeutettujen etujen ja perusoikeuksien suojaamiseksi, erityisesti käsittelyn läpinäkyvyyden, yrityskonsernin sisäisten tiedonsiirtojen ja työpaikan valvontajärjestelmien osalta. Käytännössä tämä on syy siihen, miksi vastaus kysymykseen "mitä saamme valvoa ja miten?" riippuu osittain maasta, jossa toimit.
Koko EU:ssa direktiivi 2002/14/EY luo yleisen kehyksen työntekijöiden tiedottamiselle ja kuulemiselle yrityksissä, jotka ylittävät kynnysarvot, joita kukin jäsenvaltio valitsee direktiivin rajoissa. Kansallinen lainsäädäntö ja työehtosopimukset määrittelevät sitten, täytyykö yhteistoimintaelin, henkilöstön edustajaelin tai ammattiliitto tiedottaa tai kuulla ennen kuin tietojärjestelmien käyttöä tai työpaikan valvontaa koskevat säännöt otetaan käyttöön, ja missä muodossa. Joissakin maissa käyttösäännöt liitetään sisäisiin työjärjestyksiin ja noudattavat samaa menettelyä; toisissa ne ovat osa työsopimusta, työehtosopimusta tai erillistä käytäntöä, jonka kukin käyttäjä vahvistaa.
Otetaan esimerkiksi Ranska muiden joukosta: työlaki (Code du travail) määrää, että työntekijöiden toiminnan valvontaan käytettävistä keinoista tai tekniikoista on tiedotettava ja kuultava CSE:tä (työntekijäneuvostoa) ennen niiden käyttöönottoa yrityksessä, ja että työntekijää koskevia henkilökohtaisia tietoja ei saa kerätä laitteella, josta työntekijää ei ole ensin informoitu. Ranskan tietosuojaviranomainen CNIL suosittelee henkilötietojen turvallisuutta koskevassa oppaassaan, että yritys laatii IT-käyttösäännöt ja antaa niille sitovan vaikutuksen, esimerkiksi liittämällä ne sisäisiin työjärjestyksiin. Muissa maissa on omat vastineensa, minkä vuoksi työpaja kysyy, missä henkilöstösi on palkattu, ja merkitsee kohdat, jotka kannattaa tarkistaa neuvonantajasi kanssa.
Kansallisesta tiestä riippumatta säilytä todisteet: käytännön versio ja päivämäärä, tiedottamisen päivämäärä, tapa (sähköposti, intranet, perehdytyspaketti, allekirjoitus) ja se, kuka on vahvistanut sen. Tiedota uudelleen, kun käytäntö muuttuu. ISO/IEC 27001:2022 liite A käsittelee tätä osana henkilöstöön liittyviä hallintatoimia, yhdessä työsuhteen ehtojen (6.2) sekä tietoturvatietoisuuden, koulutuksen ja harjoittelun (6.3) kanssa.
Tärkeää. Tämä osio on yleistä tietoa eurooppalaisista ja kansallisista säädöksistä. Se ei ole oikeudellista neuvontaa, eikä se korvaa työoikeusasiantuntijan, tietosuojavastaavan tai henkilöstöneuvonantajan analyysiä sinun tilanteeseesi, maasi ja työehtosopimuksiisi nähden.
Lähteet: GDPR, 5, 13 ja 88 artikla (EUR-Lex) · Direktiivi 2002/14/EY (EUR-Lex) · Ranskan työlaki (Légifrance) · CNIL, henkilötietojen turvallisuuden opas · ISO/IEC 27001 (iso.org)
Tietojärjestelmien käyttösäännöt eivät ole pelkkä tietoturvapolitiikka. Ne ovat sen osa, joka puhuttelee käyttäjiä.
Tietoturvapolitiikka on kirjoitettu johdolle ja IT:lle: se asettaa tavoitteet, roolit, riskien käsittelyn ja hallintatoimet, joihin yritys sitoutuu. Tietojärjestelmien käyttösäännöt kääntävät sen käyttäjille näkyvät osat konkreettiseksi toiminnaksi. ISO/IEC 27001:2022 liite A erottaa nämä kaksi toisistaan: hallintatoimi 5.1 "Policies for information security" (tietoturvapolitiikat) ja hallintatoimi 5.10 "Acceptable use of information and other associated assets" (tiedon ja muiden omaisuuserien hyväksyttävä käyttö). Kahdessa asiakirjassa tulisi käyttää samaa sanastoa, samaa tietojen luokitusta ja samoja yhteyshenkilöitä, jotta työntekijä ei koskaan saa ristiriitaisia ohjeita.
Jos laadit itse tietoturvapolitiikkaa, katso sisarsivumme pssi-express.eu.
Etätyö siirtää yrityksen tietoja kotiverkkoihin, keittiön pöydille ja junan istuimille. Tietojärjestelmien käyttösäännöissä kerrot vähimmäisodotukset: käytä yrityksen tarjoamaa laitetta, pidä se ajan tasalla, yhdistä yrityksen suojatun käyttöyhteyden kautta tarvittaessa, vältä julkista tulostamista, suojaa näyttö ja keskustelut sekä ilmoita katoamisesta välittömästi. Jos sinulla on myös erillinen etätyösopimus tai -käytäntö, käyttösääntöjen tulisi viitata siihen eikä toistaa sitä. ISO/IEC 27001:2022 liitteen A hallintatoimi 6.7 "Remote working" kattaa turvallisuusnäkökulman.
Henkilökohtaisten puhelimien ottaminen yrityksen sähköpostin käyttöön on kätevää ja yleistä. Se nostaa myös kaksi kysymystä, joihin käytännön on vastattava. Mitä yritys vaatii laitteelta (näytön lukitus, tuettu käyttöjärjestelmä, erillinen työprofiili tai -säiliö)? Ja mitä yritys saa nähdä tai poistaa? Laitehallintatyökalut voidaan määrittää hallitsemaan vain yrityksen tietoja; käytännössä tulee sanoa niin ja kertoa, mitä yrityksen tiedoille tapahtuu, kun henkilö lähtee. ISO/IEC 27001:2022 liitteen A hallintatoimi 8.1 "User endpoint devices" (käyttäjien päätelaitteet) kehystää teknisen puolen.
Julkiset tekoälyavustajat voivat olla hyödyllisiä, ja henkilöstö käyttää niitä usein jo nyt. Riski piilee syötetyissä tiedoissa ja ilman tarkistusta käytetyissä tuloksissa. Lyhyt tekoälyosio listaa tyypillisesti hyväksytyt työkalut, kieltää henkilötietojen, luottamuksellisten tietojen tai tunnistetietojen syöttämisen hyväksymättömiin palveluihin, edellyttää ihmisen tarkistusta ennen uudelleenkäyttöä ja kertoo, miten uuden työkalun pyytämisestä tehdään. Kun ulkoinen tekoälypalvelu käsittelee henkilötietoja puolestasi, sovelletaan GDPR:n säännöksiä henkilötietojen käsittelijöistä (28 artikla) ja EU:n ulkopuolisiin siirtoihin (V luku). Tekoälyasetuksen 4 artikla, jota sovelletaan 2. helmikuuta 2025 alkaen, edellyttää tekoälyjärjestelmien tarjoajilta ja käyttöönottajilta toimenpiteitä sen varmistamiseksi, että henkilöstöllä on parhaan kykynsä mukaan riittävä tekoälyosaaminen (tarkista artiklan ajantasainen konsolidoitu sanamuoto, sillä muutoksia on ehdotettu). Tietojärjestelmien käyttösääntöjen tekoälyosio sekä lyhyt tietoisuustilaisuus ovat kohtuullinen rakennuspalikka.
Asetus (EU) 2024/1689 (tekoälyasetus) · GDPR, 28 artikla ja V luku
NIS2-direktiivin keskeisten ja tärkeiden toimijoiden osalta 21 artiklan kyberturvallisuuden riskienhallintatoimenpiteisiin kuuluvat perus kyberhygieniakäytännöt ja kyberturvallisuuskoulutus (21 artiklan 2 kohdan g alakohta) sekä henkilöstön turvallisuus, pääsynvalvontakäytännöt ja omaisuudenhallinta (21 artiklan 2 kohdan i alakohta). Tietojärjestelmien käyttösäännöt eivät tee sinusta NIS2-vaatimustenmukaista, mutta ne ovat yksi asiakirjoista, jotka tukevat näitä toimenpiteitä.
Käytäntö, joka allekirjoitetaan ja unohdetaan, ei muuta mitään. Käytännön ja tietoisuusohjelman tulee toimia yhdessä: käytäntö kertoo säännön, lyhyet tilaisuudet selittävät, miksi. Jos tietosuojavastaava on olemassa, GDPR:n mukaan henkilöstön tietoisuuden lisääminen ja koulutus kuuluvat tietosuojavastaavan tehtäviin (39 artiklan 1 kohdan b alakohta). Kansalliset virastot julkaisevat ilmaista materiaalia, jota voit käyttää uudelleen, esimerkiksi ENISA EU-tasolla sekä Ranskassa ANSSI ja cybermalveillance.gouv.fr.
Pidät ohjat käsissäsi alusta loppuun. Ihmiskonsultti on vaihtoehto, ei koskaan vaatimus.
Lyhyt kysely organisaatiostasi: missä henkilöstösi on palkattu, mitä työkaluja he käyttävät, sallitaanko henkilökohtaiset laitteet ja etätyö, käytetäänkö tekoälyavustajia, onko henkilöstön edustajia ja onko sinulla jo tietoturvapolitiikka. Se kertoo, mitä osioita tarvitset ja mitkä kohdat vaativat paikallisen oikeudellisen tarkistuksen.
Vastaat ohjattuihin kysymyksiin omin sanoin osio kerrallaan: mikä on sallittua, mikä ei, mitä yritys tarkistaa ja miksi, kuinka kauan lokit säilytetään, kenen puoleen kääntyä. Jokaiseen kysymykseen liittyy lyhyt selitys ja tarvittaessa linkki virallisiin lähteisiin. Voit tallentaa keskeneräisen työn, palata myöhemmin ja ottaa mukaan kollegan.
Käytäntö luodaan automaattisesti vastauksistasi yrityksesi nimissä, ja mukana on erillinen valvontaa koskeva tiedote sekä vahvistuslomake. Se on työpohja: anna oman neuvonantajasi (työoikeusasiantuntija, tietosuojavastaava, henkilöstöhallinto) tarkistaa se ennen kuin tiedotat siitä, kuulet edustajia tarvittaessa ja otat sen käyttöön.
Jos haluat jonkun käyvän vastauksesi kanssasi läpi, mukauttavan luonnoksen tiettyyn tilanteeseen tai valmistelevan esityksen henkilöstölle tai sen edustajille, voit pyytää tukea kumppanikonsultilta. Tämä on valinnainen ja erillinen itsepalvelutyökalusta.
Työpohja, ei oikeudellista neuvontaa. Luotu asiakirja on luonnos, joka on rakennettu omista vastauksistasi ja julkisista lähteistä. Se ei ole oikeudellista neuvontaa. Sen pätevyys maassasi sekä menettely sen soveltamiseksi henkilöstöösi on pätevän neuvonantajan tarkistettava.
Asiakirjat, joita voit muokata, tiedottaa ja säilyttää todisteina
Pääasiakirja selkeällä kielellä, rakennettu vastauksistasi.
Erillinen tiedote, joka on jäsennelty GDPR:n 13 artiklan mukaan.
Mitä tarvitset käytännön tiedottamiseen ja jäljen säilyttämiseen.
Missä kukin osio liittyy julkisiin säädöksiin.
Lyhyt, erillinen liite, jota voit päivittää useammin kuin käytäntöä.
Asiakirjasi pysyy sinun, muodoissa joita voit muuttaa.
Viittaamme vain säädöksiin, joihin voimme linkittää. Kun jokin riippuu kansallisesta lainsäädännöstä, luonnos sanoo sen arvaamisen sijaan.
5 artikla (periaatteet ja vastuuvelvollisuus), 13 artikla (rekisteröityjen tiedottaminen), 88 artikla (käsittely työsuhteen yhteydessä) ja tarvittaessa 28 artikla (käsittelijät), 32 artikla (käsittelyn turvallisuus) ja 39 artikla (tietosuojavastaavan tehtävät).
Hallintatoimi 5.10 "Acceptable use of information and other associated assets", sekä siihen liittyvät hallintatoimet 5.1 (tietoturvapolitiikat), 5.11 (omaisuuden palautus), 6.2 (työsuhteen ehdot), 6.3 (tietoisuus, koulutus ja harjoittelu), 6.4 (kurinpitomenettely), 6.7 (etätyö) ja 8.1 (käyttäjien päätelaitteet). Standardin myy ISO; mainitsemme vain hallintatoimien nimikkeet.
Vain soveltamisalaan kuuluville toimijoille: 21 artiklan 2 kohdan g alakohta perus kyberhygieniakäytännöt ja kyberturvallisuuskoulutus, 21 artiklan 2 kohdan i alakohta henkilöstön turvallisuus, pääsynvalvontakäytännöt ja omaisuudenhallinta, 21 artiklan 2 kohdan j alakohta monivaiheinen todentaminen. Kansalliset täytäntöönpanolait ovat sovellettavia.
4 artikla tekoälyosaamisesta, sovelletaan 2. helmikuuta 2025 alkaen tekoälyjärjestelmien tarjoajiin ja käyttöönottajiin (tarkista ajantasainen konsolidoitu sanamuoto ennen luottamista siihen). Merkityksellinen heti, kun henkilöstösi käyttää tekoälyjärjestelmiä työssään.
Mitä kukin vaihtoehto sisältää. Saatavuudesta ilmoitetaan tällä sivulla.
Selvittääksesi, mitä tarvitset ennen aloittamista
Oman käytäntöluonnoksen laatimiseen
Lisätäksesi ihmisarvion itsepalveluluonnokseen
Kaikissa vaihtoehdoissa asiakirja on työpohja, jonka oma neuvonantajasi tarkistaa ja vahvistaa. Se ei ole oikeudellista neuvontaa.
Lyhyet vastaukset. Kun säädökseen viitataan, linkki vie viralliseen lähteeseen.
Jokainen yllä oleva sääntelyä tai normeja koskeva väite linkittyy johonkin näistä.
Tämä sivu tarjoaa yleistä tietoa. Se ei ole oikeudellista neuvontaa.
Itsepalvelutyöpajaa valmistellaan. Se avautuu tällä sivulla.
Kysymyksiä välillä: contact@syaga.eu