En la práctica esto es una cláusula en el contrato laboral o un acuerdo de uso aceptable adjunto que detalla las obligaciones de seguridad antes de que la persona comience, no una mención genérica de que la seguridad importa. Los auditores piden ver una copia firmada de un empleado contratado recientemente y verifican si las obligaciones ahí referidas coinciden con lo que se exige a la persona, como la confidencialidad tras la salida o el uso aceptable de los sistemas de la empresa. El vacío común es una cláusula tipo redactada una vez por el área jurídica que nadie ha actualizado para reflejar la política vigente, así que el contrato y la política de seguridad se han distanciado.
Brechas habituales
El contrato laboral hace referencia genérica a las políticas de seguridad de la empresa sin nombrar qué documento o versión aceptó el empleado.
Los contratistas y el personal temporal firman un acuerdo distinto y más antiguo que nunca se actualizó cuando cambiaron las cláusulas de seguridad para empleados.
Nadie puede presentar un acuse de recibo firmado para empleados contratados hace más de un año, solo para las contrataciones recientes.
Preguntas que hará tu auditor
¿Qué obligaciones de seguridad especifica un contrato laboral?
Una cláusula firmada o un anexo que nombra confidencialidad, uso aceptable y las políticas aplicables, contrastado contra la versión de la política vigente.
¿Los contratistas firman los mismos términos de seguridad que los empleados?
Los acuerdos de contratistas incluyen cláusulas de seguridad equivalentes, revisadas contra la misma versión de política a la que se sujeta a los empleados.
¿Pueden mostrar un acuse de recibo firmado de un empleado contratado recientemente?
Un contrato firmado o un acuse de recibo de incorporación archivado, con fecha igual o anterior a la de inicio del empleado.
Dónde lo exige la regulación
NIS2 10.1 exige medidas de seguridad de recursos humanos, que comienzan con términos de seguridad incorporados en la propia relación laboral.
ENS org.1 exige una política de seguridad escrita, la misma política que el personal está contractualmente obligado a aceptar bajo A.6.2.
Controles relacionados
Vía el tema compartido del Sekit CSF, no el índice del propio marco.