NIS2-valmius: soveltamisala, johdon velvollisuudet ja näyttö

NIS2-valmius alkaa dokumentoidusta päätöksestä siitä, soveltuuko sääntely organisaatioon. Toimiala, palvelu, koko, sijoittautuminen ja erityiset soveltamissäännöt voivat kaikki vaikuttaa asiaan. Asiakkaan kyselylomake antaa hyödyllistä taustaa, mutta se ei määritä oikeudellista asemaanne. Eikä tietoturvasertifikaatti osoita, että jokainen asiaankuuluva yhteisö, palvelu ja raportointivelvoite on huomioitu.

Toimitusjohtajalle valmius tarkoittaa kykyä selittää, mitä johto on hyväksynyt, miksi toimenpiteet ovat asianmukaisia, kuka ne toteuttaa ja miten niiden vaikuttavuutta arvioidaan. Se tarkoittaa myös sen varmistamista, että organisaatio pystyy ilmoittamaan merkittävästä poikkeamasta silloinkin, kun tiedot ovat puutteellisia ja normaali toiminta on häiriintynyt.

Käytännön tehtävä on yhdistää oikeudellinen soveltamisala, palveluihin kohdistuvat riskit, toteutuksen prioriteetit ja tarkastettu näyttö. Tämä yhteys antaa johdolle perustan päätöksille investoinneista, toiminnan häiriöistä, toimittajista ja ratkaisemattomista riskeistä.

Selvitä, mitkä yhteisöt ja palvelut kuuluvat soveltamisalaan

NIS2-direktiivi luo EU:n kyberturvallisuuden perustason määritellyille toiminnoille. Sen 2 ja 3 artikla sekä liitteet määrittävät soveltamisalan ja luokittelurakenteen. Kansallinen täytäntöönpanolainsäädäntö määrittää sovellettavat paikalliset velvoitteet ja menettelyt.

Arvioi jokainen asiaankuuluva oikeushenkilö sen sijaan, että pitäisit konsernin nimeä sääntelyn rajana. Tytäryhtiön toiminnot, omistussuhteet ja sijoittautumispaikat voivat muuttaa vastausta. Johdon tulisi edellyttää kirjattua johtopäätöstä, sitä tukevia tosiseikkoja ja vastuuhenkilöä avoimille kysymyksille.

Vertaa toimintoja lueteltuihin toimijatyyppeihin

Liitteessä I on muun muassa energia, liikenne, terveys, vesi, rahoituspalvelut, digitaalinen infrastruktuuri, tieto- ja viestintäteknisten palvelujen hallinta, julkishallinto ja avaruus. Liite II laajentaa soveltamisalaa esimerkiksi posti- ja kuriiripalveluihin, jätehuoltoon, kemikaaleihin, elintarvikkeisiin, tiettyihin valmistustoimintoihin, digitaalisten palvelujen tarjoajiin ja tutkimukseen.

Toimialan otsikko on vasta lähtökohta. Lue asianomaisen kohdan toimijatyypit ja toiminnot. Valmistus ei ole yleinen soveltamisalaan kuuluva luokka, eikä ohjelmistojen myynti tee yrityksestä automaattisesti pilvipalvelujen tarjoajaa tai hallinnoitujen palvelujen tarjoajaa.

Kuvaa, mitä yhteisö todellisuudessa tuottaa: palvelu, sen vastaanottajat, sen toimintatapa ja se, hallinnoiko se asiakkaiden järjestelmiä. Kaupparekisterin toimialakoodit ja verkkosivujen kuvaukset voivat tukea analyysia, mutta ne eivät saa korvata sitä.

Esimerkiksi lisensoidun sovelluksen myynti ja asiakkaan tietojärjestelmien operointi ovat eri toimintoja. Konsulttiyritykseksi kuvattu yritys voi silti tarjota jatkuvaa ylläpitoa, joka on arvioitava hallinnoitujen palvelujen määritelmiä vasten. Ratkaise tällaiset kysymykset ennen vaatimustenmukaisuuden rajan suunnittelua.

Laske koko sovellettavien sääntöjen mukaan

Artiklassa 2 käytetään EU:n yrityskokomääritelmää. Alustavassa seulonnassa yleinen soveltamiskynnys on vähintään 50 työntekijää tai se, että sekä liikevaihto että taseen loppusumma ylittävät 10 miljoonaa euroa. Karkeasti sanottuna keskisuuren yrityksen enimmäisrajojen ylittäminen tarkoittaa vähintään 250:tä työntekijää tai yli 50 miljoonan euron liikevaihtoa yhdessä yli 43 miljoonan euron taseen loppusumman kanssa.

Nämä luvut eivät korvaa täydellistä laskelmaa. Asiaankuuluvat tilikaudet, henkilöstömäärän laskentatapa sekä kumppani- tai sidosyritykset voivat vaikuttaa tulokseen. Paikallisesti pieni tytäryhtiö voi ylittää kynnyksen, kun asianmukaiset omistussuhteet otetaan huomioon.

Säilytä laskelma, sen pohjana olevat luvut ja konsernisuhteita koskeva päättely. Vältä kirjaamasta pelkästään ”keskisuuri” selittämättä, miten johtopäätökseen päädyttiin. Pelkkä liikevaihto ei ole täydellinen taloudellinen vaihtoehto henkilöstömäärälle.

Jos koko on lähellä rajaa tai omistusrakenne on monimutkainen, teetä erillinen oikeudellinen arvio. Epävarmuuden ratkaisemisen kustannukset tulee käsitellä osana toimintavaatimusten määrittämistä, eikä niitä pidä lykätä siihen asti, kunnes viranomainen tai asiakas kyseenalaistaa johtopäätöksen.

Tarkastele erityisiä soveltamis- ja luokittelusääntöjä

Jotkin palveluluokat voivat kuulua soveltamisalaan koosta riippumatta. Artikla 2 koskee tiettyjä viestintä-, luottamus-, DNS- ja aluetunnustoimintoja, tiettyjä julkishallinnon elimiä sekä yhteisöjä, jotka on tunnistettu kriittisiksi asiaankuuluvan EU-kehyksen nojalla. Myös kansallinen tunnistaminen voi tuoda yhteisöjä soveltamisalaan niiden yhteiskunnallisen merkityksen tai häiriön seurausten vuoksi.

Artikla 3 määrittää sen jälkeen, onko soveltamisalaan kuuluva yhteisö keskeinen vai tärkeä toimija. Liitteen I suuret yhteisöt muodostavat yhden merkittävän keskeisten toimijoiden ryhmän, mutta artiklassa on lisäksi palvelukohtaisia ja nimeämistä koskevia sääntöjä. Liitteen I keskisuuri yritys ei ole automaattisesti keskeinen toimija; liitteet eivät ole pelkästään kaksi valvontatasojen luetteloa.

Molempiin luokkiin liittyvät keskeiset kyberturvallisuusriskien hallintaa ja merkittävistä poikkeamista ilmoittamista koskevat velvollisuudet. Tärkeän toimijan asema muuttaa valvontamallia; se ei poista tarvetta tehokkaille toimenpiteille.

Suora oikeudellinen soveltaminen ja asiakkaiden vaatimukset tulee kirjata erikseen. Pienempi toimittaja voi olla suoran soveltamisalan ulkopuolella ja silti joutua merkittävien sopimusperusteisten tietoturvavelvoitteiden piiriin. Toisaalta asiakkaan kyselylomake, jossa todetaan ”NIS2 soveltuu”, ei ole sitova luokittelupäätös.

Perusteltavissa olevaan soveltamisalakirjaukseen tulisi sisältyä:

• Oikeushenkilö ja sen todelliset palvelut.
• Asiaankuuluvat liitteiden kohdat tai erityiset soveltamisperusteet.
• Kokolaskelma ja asiaankuuluvat omistussuhteet.
• Luokitus keskeiseksi tai tärkeäksi toimijaksi perusteluineen.
• Sijoittautumispaikat ja lainkäyttövalta-analyysi.
• Sovellettavat kansalliset säännöt, tarkastaja, hyväksymispäivä ja avoimet kysymykset.

Uudelleenarvioinnin laukaisijoiksi tulisi määrittää yritysostot, uudet palvelut, olennaiset kokomuutokset ja lainsäädännön kehitys. Soveltamisalan ulkopuolelle rajaava päätös voi olla perusteltu tehdessään ja vanhentua myöhemmin.

Muunna EU:n perustaso kansallisiksi velvoitteiksi

NIS2 on direktiivi, joka pannaan täytäntöön kansallisella lainsäädännöllä. Jäsenvaltioiden EU:n määräaika saattaa direktiivi osaksi kansallista lainsäädäntöä oli 17. lokakuuta 2024, ja täytäntöönpanotoimenpiteitä oli tarkoitus soveltaa 18. lokakuuta 2024 alkaen. Nämä päivämäärät eivät kerro yksittäiselle yritykselle sen nykyistä kansallista rekisteröitymismääräaikaa tai menettelyä, jota sen on käytettävä.

Laadi velvoiterekisteri jokaiselle asiaankuuluvalle yhteisölle ja maalle. Yksilöi sovellettava lainsäädäntö, viranomainen, rekisteröitymismenettely, ilmoituskanava, toimialakohtaiset säännökset ja vastuullinen sisäinen omistaja. Erota lakisääteinen vaatimus viranomaisohjeesta tai sisäisestä toteutussuosituksesta.

Selvitä lainkäyttövalta ennen ilmoituskanavan valintaa

Artikla 26 sitoo lainkäyttövallan yleensä sijoittautumiseen, mutta tiettyihin palveluihin sovelletaan eri sääntöjä. Yleisten sähköisten viestintäpalvelujen tarjoajia säännellään siellä, missä ne tarjoavat kyseisiä palveluja. Tietyt digitaalisten palvelujen tarjoajat noudattavat päätoimipaikkaan perustuvaa lähestymistapaa, mukaan lukien pilvipalvelut, datakeskukset, sisällönjakeluverkot, hallinnoidut palvelut, hallinnoidut tietoturvapalvelut sekä tietyt verkkoalusta- ja verkkotunnusliiketoiminnat.

Päätoimipaikan arvioinnissa tarkastellaan, missä unionissa pääasiallisesti tehdään kyberturvallisuusriskien hallintaa koskevat päätökset. Jos tätä paikkaa ei voida määrittää tai päätöksiä ei tehdä unionissa, arvioidaan, missä unionissa kyberturvallisuustoimintoja toteutetaan; jos sitäkään ei voida määrittää, käytetään unionissa sijaitsevaa toimipaikkaa, jossa on eniten työntekijöitä. Holdingyhtiön rekisteröity osoite ei siksi välttämättä riitä.

Tiettyjen palveluntarjoajien, jotka tarjoavat palveluja unionissa ilman EU:ssa sijaitsevaa toimipaikkaa, on nimettävä edustaja EU:hun. Ulkomainen pääkonttori ei ole automaattinen vapautus, mutta eurooppalaiset asiakkaat eivät myöskään automaattisesti tuo jokaista EU:n ulkopuolista yritystä soveltamisalaan. Palvelutyypillä ja muilla soveltamisedellytyksillä on edelleen merkitystä.

Kirjaa rekisteröitymiseen ja yhteisön tietojen ilmoittamiseen liittyvät velvollisuudet erillään tietoturvaohjelmasta. Säilytä lähetyskuittaukset, ajantasaiset yhteystiedot ja vastuu päivityksistä. Jos rekisteröityminen on myöhässä, tarkista viranomaisen nykyinen menettely ja toimi viipymättä. Rekisteröitymisen loppuun saattaminen ei todista tietoturvatoimenpiteiden toteuttamista.

Pidä KRITIS- ja toimialakohtaiset velvoitteet erillään

Saksan toimintojen osalta tarkista KRITIS-vaatimukset sovellettavien NIS2-täytäntöönpanosääntöjen rinnalla. Nämä kaksi sääntelyjärjestelmää ovat osittain päällekkäisiä mutta eivät identtisiä. NIS2:n soveltaminen ei automaattisesti tee jokaisesta laitoksesta kriittistä laitosta, eikä vakiintunut KRITIS-ohjelma automaattisesti täytä jokaista NIS2-velvoitetta.

Ylläpidä erillisiä kirjauksia yhteisön luokittelusta, kriittisistä laitoksista ja lisävelvoitteista. Tarkista ajantasainen kansallinen menettely BSI:n NIS2-tiedoista sen sijaan, että luottaisit vanhoihin määräaikailmoituksiin.

Artikla 4 käsittelee myös vastaavia toimialakohtaisia EU-vaatimuksia. Soveltamisalaan kuuluvien rahoitusalan yhteisöjen osalta digitaalista operatiivista häiriönsietokykyä koskeva asetus (DORA) voi säännellä asiaankuuluvia osa-alueita. Selvitä, mitkä velvollisuudet koskevat kyseistä yhteisöä ja palvelua, sen sijaan että ylläpitäisit oletusarvoisesti päällekkäisiä ilmoitusreittejä.

Rakenna johdon omistama suunnitelma

Artikla 20 antaa keskeisten ja tärkeiden toimijoiden hallintoelimille tehtäväksi hyväksyä toimenpiteet ja valvoa niiden toteuttamista. Siinä säädetään myös vastuusta artiklan 21 rikkomisesta; oikeudelliset seuraukset riippuvat kansallisesta lainsäädännöstä ja yhteisön oikeudellisesta muodosta.

Toteutus voidaan delegoida tietoturva-, IT-, operatiivisille, hankinta- ja muille tiimeille. Delegoinnin tulee säilyttää näkyvä johdon valvonta. Toimitusjohtajan tehtävä ei ole konfiguroida järjestelmiä, vaan varmistaa, että merkittävät palveluriskit saavat tietoon perustuvat päätökset, resurssit ja seurannan.

Hyväksy päätöksiä, älä pelkkiä asiakirjoja

Hyväksyntäpaketin tulee yhdistää riskiarvio toteutettavissa olevaan suunnitelmaan. Sisällytä siihen soveltamisalaan kuuluvat palvelut, keskeiset häiriöskenaariot, ehdotetut toimenpiteet, vaihtoehdot, toteutuksen riippuvuudet, henkilöstötarpeet, välitavoitteet ja odotettu näyttö.

Kirjaa jokaisen velvoitteen osalta toteutus, omistaja, näyttö, puute ja seuraava päätös. Näin hyväksytty aikomus voidaan erottaa valmiista kyvykkyydestä. Samalla paljastuvat toimenpiteet, joilla ei ole vastuullista omistajaa tai jotka riippuvat resursseista, joita ei koskaan osoitettu.

Johdon pöytäkirjoissa tulee selittää päätös ja sen perusteet. Esimerkiksi palautumisinvestoinnin hyväksymisen yhteydessä tulee kirjata, mihin palvelukatkokseen se vastaa, mikä on odotettu palautumistulos ja mitkä ovat toiminnalliset rajoitteet. Allekirjoitus politiikassa ei kerro, onko johto käsitellyt sen taustalla olevaa toteutusongelmaa.

Budjettikeskusteluissa tulee huomioida sisäinen kapasiteetti ja liiketoiminnan keskeytykset, ei pelkästään ohjelmistokuluja. Verkkomuutos voi edellyttää tuotantokatkoa, toimittajan arviointi voi vaatia oikeudellisia neuvotteluja ja palautustesti voi tarvita eristetyn ympäristön ja käyttöhenkilöstöä.

Riskin hyväksymiseen on suhtauduttava erityisellä huolellisuudella. Sillä voidaan dokumentoida käsittelypäätös riskienhallintaprosessin sisällä, mutta sillä ei voida luopua lakisääteisestä vaatimuksesta. Jos poikkeus voi olla ristiriidassa velvoitteen kanssa, hanki oikeudellinen tulkinta, määritä väliaikainen suojaus ja pidä ratkaisematon asia näkyvissä.

Erota toteutuksen eteneminen kontrollien vaikuttavuudesta

Projekti voi saada toimenpiteen käyttöönoton valmiiksi saavuttamatta tavoiteltua suojaa. Johdon raportoinnin tulee vastata sekä siihen, onko hyväksytty työ valmis, että siihen, toimiiko se koko asiaankuuluvan palvelun laajuudessa.

Määritä ohjelmaan suhteutettu katselmointitahti. Neljännesvuosittaiset johdon katselmoinnit voivat olla käytännöllisiä vakiintuneessa toiminnassa, ja toteutusvaiheessa katselmointeja voidaan pitää tiheämmin. Tämä on suositus, ei artiklan 20 määräämä yleinen tiheys.

Määritä eskalointi kokousten välillä. Epäonnistunut palautustesti, vaarantunut etuoikeutettu tili tai uusi tunnistettu kriittinen riippuvuus ei saa odottaa seuraavaa aikataulutettua esitystä.

Tee johdon koulutuksesta päätöksenteon kannalta merkityksellistä

Artikla 20 edellyttää hallintoelinten jäseniltä koulutusta, joka riittää auttamaan heitä tunnistamaan riskejä, arvioimaan riskienhallintakäytäntöjä ja ymmärtämään vaikutuksia palveluihin. Siinä ei määritellä yhtä yleistä kurssin kestoa tai uusimisväliä.

Koulutuksen tulee kattaa poikkeamien merkittävyys, palautumiseen liittyvät kompromissit, toimittajakeskittymät, näytön rajoitukset ja päätöksenteko epävarmuuden vallitessa. Sisällytä skenaario, jossa johdon on valtuutettava ilmoitus, rajoitettava toimintaa tai rahoitettava kiireellinen käsittely.

Säilytä päivämäärät, osallistujat, sisältö ja jatkotoimenpiteet. Henkilöstön koulutusta käsitellään myös artiklassa 21, mutta henkilöstön tietoisuustilaisuudet eivät korvaa johdon omaa koulutusta. Johdon tulee pystyä kyseenalaistamaan varmuutta koskevia väitteitä ilman, että sen jäsenistä on tultava teknisiä asiantuntijoita.

Muunna artikla 21 palvelutason toimenpiteiksi

Artikla 21 edellyttää oikeasuhteista teknistä, operatiivista ja organisatorista suojausta. Oikeasuhteisuuden arvioinnissa otetaan huomioon riskialttius, organisaation koko, toteutuskustannukset sekä poikkeamien todennäköisyys ja vakavuus, mukaan lukien laajemmat yhteiskunnalliset ja taloudelliset vaikutukset.

Edellytetty lähestymistapa kattaa vaarat, jotka ulottuvat pahantahtoista kybertoimintaa laajemmalle. Sähkökatkos, tulva, fyysinen tunkeutuminen, henkilöstön poissaolo ja tietoliikenteen häiriöt voivat kaikki uhata samaa palvelua.

Seuraavat toteutusesimerkit ovat käytännön suosituksia. Ne selittävät kymmenen aihealuetta määräämättä samaa teknistä ratkaisua jokaiselle yhteisölle. Tiettyihin digitaalisiin palveluihin sovelletaan lisäksi yksityiskohtaisempia EU:n täytäntöönpanovaatimuksia; tarkista soveltuvuus ennen kuin luotat pelkkään yleisen tason tarkistuslistaan.

Riskianalyysi ja tietojärjestelmien turvallisuuspolitiikat

Aloita palvelusta: minkä on jatkuttava, kuka siitä on riippuvainen ja mitä häiriö tarkoittaisi. Kartoita tukevat järjestelmät, tilat, ihmiset ja ulkoiset palveluntarjoajat ennen riskiluokitusten antamista.

Käytä vaikutuskriteerejä, jotka erottavat taloudellisen menetyksen turvallisuudesta, palvelun vastaanottajille aiheutuvasta haitasta ja laajemmasta häiriöstä. Kirjaa skenaariot, olemassa oleva suojaus, ehdotetut käsittelytoimet, jäännösriski ja uudelleenarvioinnin laukaisijat. Yleinen luettelo kyberuhkista on vähemmän hyödyllinen kuin selitys siitä, miten tietty riippuvuus voi keskeyttää palvelun.

Tuotoksena on päätöksentekoa tukeva riskiarvio sekä politiikat, jotka kuvaavat, miten päätöksistä tulee toimintavaatimuksia.

Poikkeamien käsittely

Määrittele havaitseminen, luokittelu, eskalointi, rajaaminen, tutkinta, palautumisen koordinointi ja päättäminen. Nimeä koordinaattori ja varahenkilöt ja anna vastaajille käyttökelpoiset menettelyt todennäköisiä poikkeamia varten.

Operatiivinen vakavuus ja lakisääteinen merkittävyys liittyvät toisiinsa mutta ovat eri asioita. Kiireellinen tekninen poikkeama voi vaatia rajaamista ennen kuin ilmoitusvelvollisuus on ratkaistu. Prosessin on tuettava molempia toimintoja niin, ettei toinen estä toista.

Säilytä poikkeamien aikajanat, päätökset, asiaankuuluva näyttö ja korjaavat toimenpiteet. Tarkista, toteutettiinko sovitut parannukset; opittujen asioiden dokumentti ilman jatkotoimia antaa heikon varmuuden.

Toiminnan jatkuvuus, varmuuskopiointi, palautuminen ja kriisinhallinta

Käytä liiketoimintavaikutusten analyysia keskeisten toimintojen ja hyväksyttävän häiriön tunnistamiseen. Sovi palautumisaikatavoitteista (RTO) ja palautumispistetavoitteista (RPO) palvelujen omistajien kanssa. Ensin mainittu koskee palautumiseen kuluvaa aikaa, jälkimmäinen siedettävää tietojen menetystä.

Tiedot onnistuneista varmuuskopioinneista ovat hyödyllisiä, mutta ne eivät osoita, että palvelu voidaan palauttaa. Testaa palautus, tukevat identiteetit, avaimet, rajapinnat ja käyttökelpoinen data. Tarkista, pystyvätkö palautetut järjestelmät tukemaan todellista liiketoimintaprosessia.

Kriisijärjestelyjen tulee kattaa operatiiviset päätökset ja viestintä teknisen palautumisen lisäksi. Kirjaa testien tulokset, saavuttamatta jääneet tavoitteet, toimenpiteet ja johdon päätökset jäljelle jäävästä riskistä.

Toimittajasuhteet

Tunnista suorat toimittajat, joiden toimintahäiriö tai vaarantuminen voisi vaikuttaa olennaisesti palveluun. Ota huomioon hallinnolliset käyttöoikeudet, arkaluonteiset tiedot, ohjelmistoriippuvuudet ja saatavuus.

Arvioi todellisen suhteen tietoturvamerkitys, mukaan lukien toimittajakohtaiset haavoittuvuudet sekä tuote- tai kehityskäytännöt. Yhdistä havainnot pääsynhallintaan, sopimusjärjestelyihin, varautumissuunnitelmiin ja katselmoinnin laukaisijoihin.

Toimittajan sertifikaatti voi tukea arviointia. Se ei automaattisesti kata ostamaanne palvelua, sen konfiguraatiota tai teidän integraatiovastuitanne.

Hankinta, kehittäminen, ylläpito ja haavoittuvuudet

Määritä tietoturvan hyväksymiskriteerit hankinnoille ja uusille järjestelmille. Määrittele vastuut turvallisesta kehittämisestä, konfiguroinnista, muutoksista, ylläpidosta, päivityksistä ja saapuvista haavoittuvuusilmoituksista.

Seuraa merkittäviä haavoittuvuuksia arvioinnin, käsittelyn, poikkeusten hallinnan ja todentamisen läpi. Korjausprioriteettien tulee heijastaa hyväksikäytön mahdollisuutta ja vaikutuksia palveluun, ei pelkkää numeerista vakavuusluokitusta.

Operatiivinen teknologia voi vaatia toimittajan validoinnin ja suunnitellut katkot ennen päivittämistä. Dokumentoi väliaikaiset suojatoimet ja käsittelyaikataulu. ”Ei voida päivittää” on hallittava rajoite, ei valmis riskipäätös.

Vaikuttavuuden arviointi

Määritä tärkeiden toimenpiteiden osalta kysymys, johon testin on vastattava. Käyttöoikeuksien katselmointi tarkistaa valtuutuksen, palautusharjoitus palautumisen ja poikkeamasimulaatio koordinoinnin ja päätöksenteon.

Kirjaa testattu laajuus, odotettu tulos, menetelmä, tarkastaja, havainnot ja reagointi epäonnistumiseen. Käytä riippumatonta varmennusta silloin, kun se tuo lisäarvoa tai sovellettavat säännöt sitä edellyttävät.

Artikla 21 edellyttää vaikuttavuuden arviointia, mutta se ei määrää yhtä tunkeutumistestauksen tiheyttä jokaiselle soveltamisalaan kuuluvalle organisaatiolle. Testauksen tulee vastata varmuustarvetta ja mahdollisia asiaankuuluvia yksityiskohtaisia vaatimuksia.

Kyberhygienia ja henkilöstön koulutus

Anna henkilöstölle käytännön ohjeet epäilyttävästä toiminnasta ilmoittamiseen, tunnistetietojen suojaamiseen, tietojen käsittelyyn ja turvalliseen työskentelyyn. Lisää roolikohtaista sisältöä kehittäjille, ylläpitäjille, hankintahenkilöstölle ja poikkeamiin reagoiville.

Koulutukseen osallistuminen osoittaa osallistumisen, ei välttämättä kykyä toimia. Harjoitukset ja havainnoitu suoriutuminen voivat paljastaa epäselviä ohjeita tai heikkoja eskalointipolkuja.

Käytä havaintoja menettelyjen parantamiseen. Jos työntekijät ilmoittavat epäilyttävistä viesteistä oikein mutta vastaanottava tiimi reagoi hitaasti, saman tietoisuuskurssin toistaminen ei ratkaise taustalla olevaa ongelmaa.

Kryptografia

Määrittele, mitkä tiedot ja työnkulut tarvitsevat kryptografista suojausta, mukaan lukien asiaankuuluvat siirrettävät ja tallennetut tiedot. Yksilöi avainten ja varmenteiden omistajuus, uusiminen, mitätöinti, käyttöoikeudet ja palautus.

Näytön tulee sisältää konfiguraatiopäätökset ja avaintenhallintajärjestelyt, ei pelkkää väitettä salauksen olemassaolosta. Suojaus voi pettää, jos salatut varmuuskopiot riippuvat avaimista, jotka eivät ole saatavilla, tai jos avainten käyttöä ei ole rajoitettu asianmukaisesti.

Ylläpidä perusteltuja poikkeuksia ja katselmoi ne, kun järjestelmät tai riskit muuttuvat. Älä pidä laajaa väitettä, kuten ”kaikki on salattu”, riittävänä varmuutena.

Henkilöt, käyttöoikeudet ja omaisuus

Yhdistä rekrytoinnit, roolimuutokset ja lähtemiset käyttöoikeuspäätöksiin. Tunnista liiketoiminnan omistajat, ylläpitäjät, ulkoiset tilit, palveluidentiteetit ja asiaankuuluva omaisuus.

Katselmoi etuoikeutetut käyttöoikeudet ja poista oikeudet, jotka eivät ole enää perusteltuja. Sisällytä arviointiin jaetut ja muut kuin henkilötilit sen sijaan, että rajaisit sen työntekijöiden käyttäjäluetteloihin.

Näyttönä voivat olla hyväksytyt pyynnöt, otannalla tarkastetut poistumiskirjaukset, valmiit käyttöoikeuskatselmoinnit ja ratkaistut poikkeukset. Omaisuusluettelon tulee selittää omistajuus ja palveluriippuvuus, ei pelkästään laskea laitteita.

Todentaminen ja suojattu viestintä

Artikla 21 käsittelee vahvempaa todentamista ja suojattua viestintää, mukaan lukien hätäjärjestelyt, tarkoituksenmukaisuuden varauksella.

Käytännön prioriteettina tarkastele kriittisten palvelujen etuoikeutettua käyttöä ja etäkäyttöä. Tunnista vanhojen järjestelmien rajoitukset ja arvioi suojaavia vaihtoehtoja sen sijaan, että olettaisit jokaisen järjestelmän tukevan samaa mekanismia.

Testaa myös kriisiviestintää tilanteessa, jossa tavanomainen sähköposti, yhteistyötyökalut tai identiteettipalvelut eivät ole käytettävissä. Hätämenettely, joka on täysin riippuvainen vikaantuneesta alustasta, voi olla käyttökelvoton juuri silloin, kun sitä tarvitaan.

Tee kriittisiä toimittajia koskevat päätökset näkyviksi

Toimitusketjun turvallisuudesta tulee usein johdon asia, koska hankinta ei pysty poistamaan jokaista riippuvuutta kyselylomakkeella. Aloita toimintahäiriön seurauksista: voiko tämä toimittaja keskeyttää toimitukset, tuoda luvattomia muutoksia, paljastaa tietoja tai estää palautumisen?

Kirjaa kriittisten suorien toimittajien osalta tuettu palvelu, myönnetyt käyttöoikeudet, arvioinnin omistaja, tarkastettu varmennus, avoimet havainnot ja käsittelypäätökset. Tarkista varmennusasiakirjojen kattavuus ja ajanjakso. Raportti, joka kattaa toisen palvelun tai aiemman toimintamallin, ei välttämättä vastaa nykyiseen kysymykseen.

Sopimusneuvotteluissa tulee käsitellä suhteen riskejä. Käytännön aiheita ovat tietoturvavastuut, poikkeamaviestintä, yhteistyö tutkinnassa, haavoittuvuuksien käsittely, käyttöoikeusrajoitukset, näytön saatavuus, jatkuvuus ja tuki sopimuksen päättyessä. Nämä ovat suositeltuja neuvotteluaiheita, eivät samoja lakisääteisiä ehtoja jokaiseen sopimukseen.

Toimittajien ilmoitusjärjestelyjen tulee tukea omaa ilmoitusaikatauluanne. Varmista operatiiviset yhteyshenkilöt ja varahenkilöt; asiakkuuspäällikön tavallinen virka-aikana luettava postilaatikko voi olla riittämätön vakavassa poikkeamassa.

Artikla 21 koskee nimenomaisesti suoria suhteita. Ylävirran riippuvuuksilla voi silti olla merkitystä, jos ne luovat keskittymäriskiä tai heikentävät palautumista. Selvitä syvemmälle silloin, kun se muuttaa päätöstä, sen sijaan että yrittäisit laatia rajattoman luettelon jokaisen toimittajan toimittajista.

Jos varmuus jää riittämättömäksi, johto voi rajoittaa käyttöoikeuksia, lisätä valvontaa, neuvotella parannuksista, ottaa käyttöön vaihtoehtoja, suunnitella riippuvuuden uudelleen tai vaihtaa palveluntarjoajaa. Kirjaa perustelut ja väliaikaiset toimenpiteet. Palvelutuotannon ulkoistaminen ei poista vastuuta yhteisön omasta riskienhallintaohjelmasta.

Harjoittele merkittävistä poikkeamista ilmoittamista

Artikla 23 säätää merkittävistä poikkeamista ilmoittamisesta. Poikkeama on merkittävä, jos se aiheuttaa tai voi aiheuttaa vakavaa häiriötä palvelujen toiminnalle tai taloudellista menetystä yhteisölle taikka huomattavaa aineellista tai aineetonta vahinkoa muille luonnollisille tai oikeushenkilöille. Varmista sovellettavat kansalliset ja toimialakohtaiset merkittävyyssäännöt ennen päätöksentekoprosessin suunnittelua.

Määräaika lasketaan siitä, kun merkittävä poikkeama on tullut tietoon, ei teknisen tutkinnan valmistumisesta. Kirjaa, milloin asiaankuuluvat tiedot tulivat saataville, merkittävyyden arviointi ja kuka päätöksen teki. Älä luo keinotekoisesti myöhäisempää tietoon tulemisen ajankohtaa viivyttämällä sisäistä eskalointia.

Luottamuspalvelujen tarjoajia koskee erityinen 24 tunnin ilmoitussäännös merkittävistä poikkeamista, jotka vaikuttavat niiden luottamuspalveluihin. Sekä keskeisillä että tärkeillä toimijoilla on vaiheittaiset ilmoitusvelvollisuudet; tärkeän toimijan luokitus ei poista varhaisvaroitusta.

Suunnittele valtuudet ja pääsy virka-ajan ulkopuolista käyttöä varten

Nimeä arvioinnista vastaava, valtuutettu ilmoituksen lähettäjä, varahenkilö, oikeudellinen yhteyshenkilö ja johdon eskalointireitti. Sovi, miten alustavat tiedot hyväksytään. Johto tarvitsee näkyvyyden ilman, että siitä tulee väistämätön pullonkaula jokaiselle ilmoitukselle.

Valmistele pohjat, joissa vahvistetut tosiseikat, alustavat arviot, tuntemattomat asiat ja suunnitellut päivitykset on erotettu toisistaan. Vältä perusteettomia tekijäarvioita tai palautumislupauksia. Varhaisen ilmoituksen tulee kuvata epävarmuus tarkasti eikä olla keinotekoisesti täydellinen.

Testaa pääsy ilmoituskanavaan, tunnistetiedot, yhteystiedot ja varajärjestelyt. Jos lähettäjä on riippuvainen vaarantuneesta yrityksen identiteettipalvelusta, prosessi tarvitsee vaihtoehdon.

Harjoittele ilta- tai viikonloppuskenaariota. Mittaa, kuinka kauan kestää tunnistaa mahdollinen merkittävyys, koota tarvittavat ihmiset, valmistella varoitus, valtuuttaa se ja tavoittaa kanava. Pidä tämä toiminta yhteydessä rajaamiseen ja palautumiseen, mutta osoita riittävästi ihmisiä, jotta ilmoittaminen ei sido koko reagointitiimiä.

Artikla 23 käsittelee myös tarvittaessa viestintää palvelujen vastaanottajille. Sopimukset ja muut lait voivat edellyttää lisäilmoituksia. Henkilötietojen tietoturvaloukkaus edellyttää oman yleisen tietosuoja-asetuksen (GDPR) mukaisen arvioinnin; NIS2-ilmoitus ei automaattisesti täytä sitä. Yhteensovita tosiseikat, mutta pidä päätökset ja määräajat erillään.

Ylläpidä näyttöä, joka kertoo, mikä todella toimii

Politiikat, sertifioinnit, toimittajasopimukset ja rekisteröitymiskuittaukset voivat tukea valmiutta. Näytön on silti osoitettava, mikä toimii sovellettavan soveltamisalan sisällä.

Erota toisistaan suunnittelu, toteutus ja toiminta. Pääsynhallintapolitiikka kuvaa tavoiteltua toimintaa. Konfiguraationäyttö osoittaa käyttöönoton. Valmis käyttöoikeuskatselmointi, josta näkyvät poistetut oikeudet ja ratkaistut poikkeukset, osoittaa toiminnan. Nämä kirjaukset vastaavat eri kysymyksiin, eikä niitä pidä käsitellä keskenään vaihdettavina.

Säilytä jokaisen näyttökohteen lähde, kattavuus, päivämäärä tai ajanjakso, omistaja, tarkastaja, johtopäätös ja rajoitukset. Yhden sovelluksen onnistunut palautustesti ei todista koko ympäristön palautumista. Kuvakaappaus voi näyttää yhden konfiguraation yhdellä hetkellä, ei jatkuvaa toimintaa.

Suojaa arkaluonteinen näyttö. Poikkeamalokit, arkkitehtuurikaaviot ja käyttöoikeusviennit voivat paljastaa operatiivisia tai henkilötietoja. Määritä asianmukaiset käyttöoikeudet, säilytysajat ja ulkoisen jakamisen järjestelyt.

Näytön puutteista tulee tehdä työtehtäviä. ”Ei tuoretta testiä”, ”epäselvä toimittajan kattavuus” ja ”omistaja ei ole tarkastanut vientiä” ovat eri ongelmia, jotka vaativat eri toimenpiteitä. Asiakirjojen määrä ei paljasta niitä.

Hyödynnä olemassa olevaa ISMS- ja KRITIS-työtä

ISO 27001 -standardin mukainen tietoturvallisuuden hallintajärjestelmä (ISMS) voi tuottaa riskiarvioinnin, riskien käsittelyn, politiikat, auditoinnit, johdon katselmoinnit ja toimintakirjaukset. Vertaa sen sertifioitua rajausta niihin yhteisöihin ja palveluihin, joita kansalliset NIS2-säännöt koskevat.

Yrityksen IT-ympäristön sertifiointi voi jättää ulkopuolelle tuotantojärjestelmät, hallinnoidun palvelun tai ostetun liiketoiminnan. Hyödynnä asiaankuuluvia kontrolleja ja näyttöä ja käsittele sitten luokittelu, rekisteröityminen, lakisääteinen ilmoittaminen ja johdon koulutus erikseen. NIS2- ja ISO 27001 -oppaamme selittää, miten olemassa oleva ISMS-työ voi tukea tätä prosessia.

NIS2 ei luo yleistä EU:n vaatimustenmukaisuussertifikaattia. Sertifiointi tukee varmuutta omalla kattavuusalueellaan; se ei ratkaise jokaista lakisääteistä velvollisuutta. Sovella samoja merkityksellisyystarkistuksia olemassa olevaan KRITIS-näyttöön sen sijaan, että olettaisit aiemman hyväksynnän kattavan nykyiset velvoitteet.

Esimerkki: etähuolto ja tuotannon palautuminen

Tarkastellaan kuvitteellista saksalaista valmistajaa, jolla on 180 työntekijää ja joka valmistaa laitteita liitteen II luetellussa valmistustoiminnossa. Oletetaan, että tarkastettu laskelma osoittaa yrityksen olevan keskisuuri, kansallinen analyysi vahvistaa sen tärkeäksi toimijaksi ja erillinen arvio toteaa, ettei sillä ole KRITIS-säännösten mukaista kriittisen laitoksen nimitystä. Nämä oletukset koskevat vain tätä esimerkkiä, eivät jokaista samankokoista valmistajaa.

Toteutuksen ensimmäinen painopiste on yhden tehtaan tuotannonsuunnittelu. Riippuvuuksia ovat ERP-sovellus, teollisuusohjaimet, identiteettipalvelut, varmuuskopiot ja etäkäyttöoikeudet omaava huoltotoimittaja. Oikeudellinen soveltamisala-arvio kattaa silti yhteisön asiaankuuluvat velvoitteet myös tämän ensimmäisen palvelun ulkopuolella.

Katselmoinnissa havaitaan kolme toisiinsa liittyvää heikkoutta. Toimittajan teknikot käyttävät yhteistä etuoikeutettua tiliä. Varmuuskopiointiajot valmistuvat, mutta mikään tuore palautustesti ei kata tuotannonsuunnittelusovelluksen identiteettiriippuvuutta. Poikkeamamenettelyssä nimetään ilmoituksen omistaja, mutta ei varahenkilöä, jolla olisi valtuudet tehdä ilmoitus.

Johto pyytää vaihtoehtoja sen sijaan, että hyväksyisi kolme erillistä politiikkapäivitystä. Operatiivinen toiminto ehdottaa nimettyä, aikarajattua toimittajapääsyä hallitun etäkäyttöyhteyden kautta. IT ehdottaa palvelun palautusharjoitusta liiketoiminnan hyväksymiä tavoitteita vasten. Tietoturva ja lakiasiat ehdottavat varahenkilön ilmoitusvaltuuksia ja virka-ajan ulkopuolista harjoitusta.

Pelkästään suunnittelua varten oletetaan kuuden viikon aikataulu ja suunniteltu huoltoikkuna. Johto hyväksyy henkilöstökapasiteetin, katkojärjestelyt ja väliaikaiset toimittajapääsyn rajoitukset. Päätöskirjauksessa selitetään vaikutukset palveluun, miksi käsittelytoimet valittiin ja mikä näyttö osoittaa niiden valmistumisen.

Käyttöoikeustyö tuottaa konfiguraatiokirjaukset, toimittajan kuittauksen ja katselmoinnin, joka vahvistaa yhteisen tilin poistamisen. Palautusharjoituksessa data saadaan palautettua, mutta sovittu palvelun palautumisaika ylittyy, koska todentamista ei saada palautettua ajoissa. Havainto jää avoimeksi: onnistuneet varmuuskopiointiajot eivät kumoa epäonnistunutta palvelutulosta.

Johto päättää sen jälkeen, parannetaanko identiteetin palautusjärjestelyä, muutetaanko arkkitehtuuria vai otetaanko käyttöön toinen operatiivinen varautumisratkaisu. Jokainen muutettu palautumistavoite tarvitsee liiketoiminnallisen perustelun, ja sen on pysyttävä yhdenmukaisena sovellettavien velvoitteiden kanssa.

Ilmoitusharjoituksessa havaitaan, ettei varahenkilö pääse ilmoituskanavaan itsenäisesti. Tiimi korjaa pääsyriippuvuuden ja testaa sen uudelleen. Valmius paranee todennettujen muutosten ja katselmoitujen päätösten kautta, ei julistamalla muutetut menettelyt valmiiksi.

Ymmärrä valvonta ja seuraamukset oikein

Artiklat 32 ja 33 erottavat valvontatavat toisistaan. Keskeisiin toimijoihin voidaan kohdistaa ennakoivia tarkastus- ja auditointivaltuuksia. Tärkeät toimijat ovat jälkikäteisen valvonnan piirissä, kun tiedot viittaavat mahdolliseen vaatimustenvastaisuuteen. Kummankaan ei pidä tulkita poikkeamien tai viranomaistiedustelujen puuttumista osoitukseksi valmiudesta.

Artiklojen 21 tai 23 rikkomisesta artikla 34 edellyttää, että kansallisten seuraamusten enimmäismäärät ovat vähintään seuraavat: keskeisten toimijoiden osalta 10 miljoonaa euroa tai 2 prosenttia asianomaisen yrityksen maailmanlaajuisesta vuotuisesta liikevaihdosta sen mukaan, kumpi on suurempi; tärkeiden toimijoiden osalta 7 miljoonaa euroa tai 1,4 prosenttia sen mukaan, kumpi on suurempi. Nämä ovat kansallisten enimmäismäärien alarajoja, eivät vakiomääräisiä sakkoja tai yleisiä kiinteitä enimmäismääriä.

Viranomaisilla on myös korjaavia valtuuksia. Artiklassa 32 säädetään keskeisiä toimijoita koskevista ehdollisista mekanismeista, jotka liittyvät asiaankuuluvaan sertifiointiin tai lupaan sekä tiettyjen johtotehtävien väliaikaisiin rajoituksiin säädettyjen täytäntöönpanovaiheiden jälkeen. Nämä eivät ole jokaisen poikkeaman automaattisia seurauksia, eikä säännöstä sovelleta julkishallinnon yhteisöihin.

Johdon vastuu ja vakuutuskysymykset edellyttävät lainkäyttöaluekohtaista neuvontaa. Johdon tulee keskittyä totuudenmukaisiin kirjauksiin, oikea-aikaiseen käsittelyyn ja tietoon perustuvaan valvontaan sen sijaan, että mahdolliset seuraamukset korvaisivat vaadittujen toimenpiteiden toteuttamisen.

Määritä johdon seuraava päätös

Aloita toteutus suurimman vaikutuksen palvelusta ja sen riippuvuuksista, mutta pidä oikeudellinen arvio täydellisenä jokaisen asiaankuuluvan yhteisön osalta. Priorisoi lakisääteinen kiireellisyys, vaikutukset palveluihin ja tehtävät, jotka mahdollistavat myöhemmän työn. Rajattu toteutusalue auttaa vakiinnuttamaan työnkulun; se ei supista yhteisön lakisääteisiä velvoitteita koskemaan vain pilottia.

Seuraavassa johdon katselmoinnissa tulee hyväksyä tai ratkaista soveltamisalapäätös, vahvistaa rekisteröitymis- ja ilmoitusjärjestelyt, rahoittaa ensisijaiset käsittelytoimet, nimetä vastuulliset omistajat ja aikatauluttaa palautumis- ja ilmoitusharjoitukset. Siinä tulee myös sopia, milloin johto tarkastelee toimintanäyttöä ja mitkä havainnot edellyttävät aiempaa eskalointia.

Secanissa tiimit voivat mallintaa valitun palvelun, sitä tukevat järjestelmät ja ulkoisten palveluntarjoajien riippuvuudet ja yhdistää niihin vaatimukset, kontrollit, omistajat ja tarkastetun näytön. Puuttuvasta näytöstä ja ratkaisemattomista johtopäätöksistä voi tehdä tehtäviä. Ihmistarkastajien tulee hyväksyä vastaavuudet ja näyttöä koskevat johtopäätökset niin, että lähdelinkit, kommentit, hyväksynnät ja aikaleimat säilyvät ja päättely pysyy tarkastettavana.

Tuo kokoukseen yksi palvelukartta, yksi velvoiterekisteri ja merkittävimmät puutteet. Lähde sieltä rahoitettujen toimenpiteiden, käyttökelpoisten ilmoitusvaltuuksien ja tulosten tarkastelupäivän kanssa, ei pelkän lupauksen kanssa tuottaa lisää dokumentaatiota.