Viitekehykset organisaatiollenne.
20 tietoturvan, tietosuojan, häiriönsietokyvyn, laadun ja tekoälyn viitekehystä: tarkoitus, soveltamisala, toteutus ja vaatimustenmukaisuuden osoittaminen.
- Lait · Standardit · Menetelmät · Tarkastusmallit
- Kirjoittaja: Derya Altinay
- Tilanne: 22.10.2026
- Lukuaika: 2 min.
EU-lainsäädäntö.
- BSIG · Direktiivi (EU) 2022/2555
NIS2
Riskienhallinta, ilmoitukset ja johdon vastuu soveltamisalaan kuuluvissa toimijoissa Saksassa.
- Asetus (EU) 2022/2554
DORA
Digitaalinen häiriönsietokyky soveltamisalaan kuuluville finanssiyhteisöille ja tieto- ja viestintäteknisten palvelujen hallinta.
- Asetus (EU) 2024/2847
Kyberkestävyyssäädös
Digitaalisia elementtejä sisältävien tuotteiden kyberturvallisuus ja haavoittuvuuksien hallinta koko elinkaaren ajan.
- Asetus (EU) 2024/1689 muutoksineen
EU:n tekoälysäädös
Roolit, riskiluokitus ja velvoitteet tekoälyn tarjoamisessa ja käytössä.
- Asetus (EU) 2016/679
GDPR
Henkilötietojen lainmukainen käsittely, oikeudet, suojatoimet ja osoitusvelvollisuus.
Saksalaiset standardit.
- BSI-standardit ja kompendium
IT-Grundschutz
BSI:n menetelmä tietoturvan hallintaan määritellyssä tietojenkäsittelykokonaisuudessa.
- Cloud Computing Compliance Criteria Catalogue
BSI C5
Pilvipalvelun turvallisuuden tarkastus ja raportti tietystä ajankohdasta tai tarkastusjaksosta.
ISO-standardit.
- Tietoturvan hallinta
ISO 27001
Tietoturvan hallintajärjestelmän vaatimukset ja sen määritellyn soveltamisalan riippumaton sertifiointi.
- Tietoturvatoimenpiteet
ISO 27002
Ohjeita turvallisuustoimenpiteiden valintaan ja toteuttamiseen käytännön toiminnassa.
- Liiketoiminnan jatkuvuuden hallinta
ISO 22301
Hallintajärjestelmä priorisoitujen palvelujen jatkamiseksi ja palauttamiseksi.
- Tekoälyn hallintajärjestelmä
ISO 42001
Tekoälyn, sen riskien, vaikutusten ja vastuiden organisatorinen ohjaus.
- Laadunhallinta
ISO 9001
Hallintajärjestelmä luotettaville palveluille, asiakasvaatimuksille ja jatkuvalle parantamiselle.
Toimialat ja tarkastusmallit.
- ENX · VDA ISA
TISAX
Tietoturvan arviointi- ja tiedonvaihtomenettely autoteollisuuden toimitusketjussa.
- AICPA · Trust Services Criteria
SOC 2
Riippumaton raportti kuvatusta palvelujärjestelmästä ja valituista luokista.
- PCI Security Standards Council
PCI DSS
Maksukorttitietojen käsittelyn turvallisuusstandardi ja siihen liittyvät vaatimustenmukaisuuden osoittamismenettelyt.
Yhdysvaltalaiset viitekehykset ja hallintakeinoluettelot.
- Cybersecurity Framework 2.0
NIST CSF
Yhteinen kieli kyberriskeille, tavoitelluille tuloksille ja organisaatioprofiileille.
- Center for Internet Security
CIS Controls
Priorisoidut turvallisuustoimenpiteet ja eri käyttöympäristöihin tarkoitetut Implementation Group -ryhmät.
- Security and Privacy Controls
NIST SP 800-53
Hallintakeinoluettelo turvallisuus- ja tietosuojatoimenpiteiden valintaan toimintaympäristön mukaan.
- Controlled Unclassified Information
NIST SP 800-171
Tietyn valvotun mutta turvallisuusluokittelemattoman tiedon (CUI) suojausvaatimukset liittovaltion ulkopuolisissa järjestelmissä ja organisaatioissa.
- AI Risk Management Framework
NIST AI RMF
Vapaaehtoinen viitekehys tekoälyriskien hallintaan toimintaympäristön mukaan koko elinkaaren ajan.
Tarkistukset ja mallit.
- Tarkistus
NIS2:n soveltuminen
Valmistelkaa toimijanne luokittelu BSIG-lain 28 §:n mukaisesti.
- Tarkistus
NIS2:n toteutusaste
Kartoittakaa tilanteenne BSIG-lain 30 §:n kymmenen toimenpiteen osalta.
- Mallit
NIS2-mallit
Arvioikaa olemassa olevat toimintaperiaatteet, rekisterit ja todisteet oman ympäristönne kannalta.
Usein kysytyt kysymykset.
Aloittakaa sovellettavista laki- ja sopimusvaatimuksista sekä organisaationne konkreettisesta toiminnasta. Vapaaehtoinen hallintajärjestelmä tai toteutusohje voi jäsentää tätä työtä, mutta kunkin viitekehyksen soveltamisala on silti arvioitava.
Kyllä. Vastuita, prosesseja ja todisteita voidaan hyödyntää useissa aiheissa. Tavoitteiden, soveltamisalojen ja todentamista koskevien päätösten on silti oltava jäljitettävissä erikseen kunkin viitekehyksen osalta.
Eivät. Sertifikaatti koskee määritellyn hallintajärjestelmän vaatimustenmukaisuutta, tarkastusraportti kuvaa omaa tarkastuskohdettaan ja ajankohtaa tai jaksoa, ja TISAX-label kuuluu ENX-menettelyyn. Tarkistakaa aina todisteen laajuus, antaja ja johtopäätösten rajat.
Rajatkaa ensin konkreettinen palvelu, käsittelytoimi tai tuote ja nimetkää vastuuhenkilö. Määrittäkää sitten sovellettavat vaatimukset, nykyiset toimenpiteet ja tarvittavat todisteet. Kunkin viitekehyksen sivulla kuvataan sopiva aloitustapa.
Käsitelkää vaatimuksia jäljitettävästi.
Secanissa yhdistätte vastuut, toimenpiteet ja todisteet viitekehysten mukaiseen työhön.
Nämä sivut tiivistävät standardeja, menetelmiä ja oikeustilaa. Alkuperäiset asiakirjat ja konkreettinen soveltamistilanne ovat ratkaisevia. Sisältö ei korvaa oikeudellista neuvontaa tai riippumatonta tarkastusta.