NIS2 ja suomalaiset yritykset – mitä teiltä todella vaaditaan

NIS2-direktiivi (EU 2022/2555) korvaa ensimmäisen NIS-direktiivin ja laajentaa niiden toimijoiden joukkoa, joiden on täytettävä selkeät kyberturvallisuusvaatimukset. Lyhyesti: useampi yritys kuuluu soveltamisalaan, vaatimukset ovat konkreettisempia ja vastuu siirtyy ylimmälle johdolle.

Tässä mitä sääntely tarkoittaa käytännössä – ja mistä kannattaa aloittaa.

Kuulutteko soveltamisalaan?

Kaksi kysymystä ratkaisee: millä toimialalla toimitte ja kuinka suuria olette.

Toimialat jaetaan käytännössä kahteen ryhmään. Toiseen kuuluvat muun muassa energia, liikenne, pankki- ja rahoitusmarkkinat, terveydenhuolto, juomavesi, jätevesi, digitaalinen infrastruktuuri, ICT-palvelujen hallinta ja avaruus. Toiseen kuuluvat muun muassa posti- ja kuriiripalvelut, jätehuolto, kemikaalit, elintarvikkeet, valmistus, digitaaliset palveluntarjoajat ja tutkimus.

Koon osalta sääntely koskee pääosin keskisuuria ja suuria yrityksiä – mutta tärkeitä poikkeuksia on. Eräät toimijat kuuluvat soveltamisalaan koosta riippumatta, kuten hyväksytyt luotetut palveluntarjoajat, yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat ja keskeiset DNS-palveluntarjoajat. Myös pienemmät yritykset voivat kuulua soveltamisalaan, jos ne ovat yhteiskunnan kannalta kriittisen palvelun ainoa tarjoaja.

Johtopäätös: tehkää dokumentoitu arvio toimialasta, koosta ja mahdollisista erityissäännöistä. Jos olette epävarmoja, lähtekää siitä, että voitte kuulua soveltamisalaan, ja varmistakaa asia – se on halvempaa kuin huomata asia valvonnassa.

Vaatimukset asiasisältönä

NIS2 ei ole tuoteluettelo. Se on vaatimus tietoturvan hallintajärjestelmästä, jossa on seuraavat ydinosa-alueet:

• Riskianalyysi ja turvallisuuspolitiikka, jotka on dokumentoitu ja joita todella noudatetaan.
• Poikkeamien hallinta, jossa on määritellyt roolit, eskalaatiopolut ja harjoittelu.
• Toiminnan jatkuvuus – varmuuskopiointi, palautus ja suunnitelma kriittisten toimintojen ylläpitämiseksi.
• Toimitusketju – vastaatte käyttämienne toimittajien turvallisuudesta, ette vain omastanne.
• Haavoittuvuuksien hallinta ja päivitykset, mukaan lukien rutiini tunnettujen haavoittuvuuksien käsittelyyn.
• Monivaiheinen tunnistautuminen ja viestinnän suojaaminen siellä, missä se on tarpeen.
• Koulutus johdolle ja henkilöstölle.
• Salaus siellä, missä se on tarkoituksenmukaista.

Raportointi on tiukin määräaika

Poikkeamailmoitukset ovat se osa, joka aliarvioidaan useimmin, koska kello on vastaan. Merkittävä poikkeama on NIS2:n mukaan ilmoitettava useassa vaiheessa: varhainen varoitus 24 tunnin kuluessa, poikkeamailmoitus 72 tunnin kuluessa ja loppuraportti kuukauden kuluessa.

Käytännössä se tarkoittaa, että rutinia ei voi keksiä poikkeaman sattuessa. Tarvitsette:

1. Määritelmän siitä, mikä on merkittävä poikkeama, johon liiketoiminta on sitoutunut.
2. Nimetyn henkilön, joka voi antaa varhaisen varoituksen – myös kello kolme yöllä.
3. Mallipohjan ja yhteydenottotavan valvontaviranomaiseen, valmiina ennen kuin sitä tarvitaan.
4. Lokituksen, joka mahdollistaa sen kuvaamisen, mitä tapahtui 72 tunnin kuluessa.

Johdon vastuu

Yksi tärkeimmistä muutoksista on, että johto ei voi siirtää vastuuta pois itseltään. Johdon on hyväksyttävä riskienhallintatoimenpiteet, valvottava toteutusta ja osallistuttava kyberturvallisuuskoulutukseen. Vakavissa rikkomuksissa seuraamukset voivat kohdistua toimijaan – ja joissakin tapauksissa johtaviin henkilöihin.

Käytännössä tämä tarkoittaa, että NIS2 on johdon asia, ei IT:n asia. Hyvä ensimmäinen askel on ottaa kyberriski asialistalle pysyvänä kohtana: mikä on kriittisin järjestelmämme, mitä tapahtuu, jos se seisoo 72 tuntia, ja kuka vastaa?

Mistä kannattaa aloittaa

1. Soveltamisala-arvio. Toimiala, koko ja erityissäännöt – dokumentoituna.
2. Gap-analyysi yllä oleviin vaatimuksiin. Missä on politiikka, missä on vain aikomus?
3. Poikkeamarutiini ensin. Sillä on tiukin määräaika ja se on halvin korjata.
4. Toimittajaluettelo. Millä kolmansilla osapuolilla on pääsy kriittisiin järjestelmiinne, ja mitä turvallisuusvaatimuksia asetatte heille sopimuksissa?
5. Johdon sitoutuminen. Päätökset, vastuut ja koulutus – dokumentoituna.

Tehkää se tässä järjestyksessä. Sääntelyn vaatimukset ovat pohjimmiltaan samaa työtä, joka todella vähentää riskiä – ero on siinä, että nyt sen on oltava dokumentoitua, omistettua ja osoitettavissa.