NIS2-direktiivi tuo yrityksesi tietoturvalle uusia vaatimuksia

NIS2 on EU:n uusi, laajennettu kyberturvallisuusdirektiivi. Se laajentaa jo käytössä olevaa koko EU:n kattavaa tietoturvalainsäädäntöä ja korvaa aiemman NIS1-direktiivin vuodelta 2016. NIS on lyhenne englannin kielen sanoista Network and information security.

Uuden lainsäädännön tarkoitus on modernisoida sekä laajentaa jo olemassa olevaa lainsäädäntökehystä ja pysyä kasvaneen digitalisaation ja jatkuvasti kehittyvien tietoturvauhkien edellä. NIS2 asettaa korkean tason tietoturva vaatimukset kriittisen infrastruktuurin suojaamisesta jäsenvaltioille, näin lisäten tietoturvallisuutta koko EU:n alueella. Laajennus kattaa kaikenlaisen kriittisen infrastruktuurin, ei ainostaan tietoteknillistä infrastruktuuria.

NIS2 on tällä hetkellä Liikenne- ja viestintäministeriön lakivalmistelussa.

Direktiivi asettaa seuraavat vaatimukset koskettamaan keskeisiä ja tärkeitä toimijoita:

1. Henkilöstöturvallisuus ja kyberturvallisuuskoulutus
2. Johdon vastuu
3. Kyberturvallisuuden riskienhallinnan toimintamalli
4. Kyberturvallisuuden riskienhallinnan toimintaperiaatteet ja riskienhallinnan toimenpiteiden vaikuttavuuden arviointi
5. Omaisuudenhallinta ja turvallisuuden kannalta tärkeiden toimintojen tunnistaminen
6. Pääsynhallinnan ja todentamisen menettelyt
7. Poikkeamailmoitukset ja poikkeamista raportointi
8. Poikkeamien havainnointi ja käsittely turvallisuuden ja toimintavarmuuden palauttamiseksi ja ylläpitämiseksi
9. Perustason kyberhygieniakäytännöt toiminnan, tietoliikenneturvallisuuden, laitteisto- ja ohjelmistoturvallisuuden ja tietoaineistoturvallisuuden varmistamiseksi
10. Salausmenetelmien käyttämistä koskevat toimintaperiaatteet ja menettelyt sekä tarvittaessa toimenpiteet suojatun sähköisen viestinnän käyttöön
11. Toimitusketjun toimittajien tuotteiden ja palveluntarjoajien palvelujen yleinen laatu ja häiriönsietokyky, tuotteisiin ja palveluihin sisällytetyt kyberturvallisuusriskien hallintatoimenpiteet sekä toimittajien ja palveluntarjoajien kyberturvallisuuskäytännöt
12. Toimenpiteet viestintäverkkojen ja tietojärjestelmien fyysisen ympäristön ja tilaturvallisuuden sekä välttämättömien resurssien varmistamiseksi
13. Varmuuskopiointi, palautumissuunnittelu, kriisinhallinta ja muu toiminnan jatkuvuuden hallinta ja tarvittaessa suojattujen varaviestintäjärjestelmien käyttö toimijan toiminnassa
14. Viestintäverkkojen ja tietojärjestelmien hankinnan, kehittämisen ja ylläpidon turvallisuus sekä tarvittavat menettelyt haavoittuvuuksien käsittelyyn ja julkistamiseen
15. Viestintäverkkojen ja tietojärjestelmien turvallisuutta koskevat toimintaperiaatteet

NIS2:n noudattamatta jättäminen voi johtaa sanktioihin, jotka voivat olla keskeisillä toimijoilla jopa 10 miljoonaa euroa tai 2% globaalista liikevaihdosta ja tärkeillä toimijoilla 7 miljoonaa euroa tai 1,4% globaalista liikevaihdosta. Valvova viranomainen voi suorittaa keskeisille toimijoille tarkastuksen NIS2 noudattamisesta, vaikka toimijan ei epäiltäisi jättäneen noudattamatta NIS2-vaatimuksia.

Direktiivin kohteena olevat organisaatiot ovat joko keskeisiä toimijoita tai tärkeitä toimijoita riippuen niiden koosta, toimialasta ja kriittisyydestä. Alla olevasta taulukosta näkee suuntaa antavasti luokittelua keskeisistä ja tärkeistä toimijoista. On tärkeää huomata, että NIS2 saattaa koskettaa näin ollen myös hyvin pieniä organisaatioita, jotka toimivat NIS2-tulkinnan mukaisesti erittäin kriittisellä toimialalla. Tätä varten on hyvä löytää ymmärrys siitä, että täyttääkö oma organisaatio keskeisen tai tärkeän toimijan kriteerit.

On tärkeää huomata, että lainsäädänön vaikutus yltää myös yhteistyökumppaneihin. Näin direktiivi vaikuttaa välillisesti myös sellaiseen organisaatioon, joka kuuluu keskeisen tai tärkeän toimijan toimitusketjuun, vaikka organisaatiota ei itse luokiteltaisi tärkeäksi tai keskeiseksi toimijaksi. Toimijoilla on syytä varmistaa riippuvuussuhteessa olevien sidosryhmien NIS2-kelpoisuus ja vastaavasti ei soveltamisalaan kuuluvien organisaatioiden on hyvä varmistaa, että ovat NIS2-kelpoisia, mikäli toimivat tärkeän tai keskeisen toimijan sidosryhmässä.

NIS2-vaatimukset pohjautuvat vahvasti jo yleisesti ottaen käytössä olevien standardien vaatimuksiin ja näin esimerkiksi on ISO/IEC 27001 standardin osalta. ISO/IEC 27001 on puolestaan kansainvälisesti hyväksytty standardi tietoturvallisuuden hallintajärjestelmien vaatimuksille. Wapice on vuodesta 2007 asti ollut ISO/IEC 27001 sertifioitu yritys ja meillä on vuosien kokemus asiakastyöstä eri toimialoilla ja teollisuudessa. Laatuvaatimuksemme ja omaamamme sertifikaatit tekevät Wapicesta valmiin yhteistyökumppanin toimimaan myös NIS2 voimaantulon jälkeen. Olemme valmiita avustamaan NIS2 liittyvissä asioissa, sekä yhteistyössä varmistamaan, miten NIS2 vaikuttaa juuri teihin. Mikäli olette NIS2-alainen toimija, pystymme yhdessä huolehtimaan siitä, että direktiivin vaatimuksiin pystytään vastaamaan luomalla tarvittavat prosessit näiden täyttämiseksi.