NIS2-direktiivi on EU:n uusi tietoturvalainsäädäntö
NIS2-direktiivin (The Network and Information Systems Directive) tavoitteena on vahvistaa ja yhdenmukaistaa kyberturvallisuuden tasoa EU:n jäsenvaltioissa. Direktiivillä pyritään luomaan yhtenäisempiä toimintatapoja ja vaatimuksia tietoturvan ja kyberturvallisuuden parantamiseksi.
Vuonna 2016 voimaan tullut alkuperäinen NIS-direktiivi oli EU:n ensimmäinen laaja tietoturvaa koskeva lainsäädäntö. Sen käytännön toteutuksessa havaittiin kuitenkin haasteita. Valvonnan taso, määritelmät, soveltamisala ja raportointivaatimukset vaihtelivat jäsenvaltioiden välillä, minkä lisäksi maiden lähtötaso tietoturvan osalta oli erilainen.
NIS2-direktiivillä pyritään vastaamaan näihin haasteisiin ja luomaan EU:n alueelle aiempaa yhtenäisempi ja vahvempi pohja kyberturvallisuudelle.
NIS2 tiivistettynä
NIS2-direktiivi asettaa sen piiriin kuuluville organisaatioille uusia vaatimuksia kyberturvallisuuden ja riskienhallinnan toteuttamiseen. Kyberturvallisuus ei ole enää vain IT:n vastuulla, vaan direktiivi korostaa myös organisaation ylimmän johdon vastuuta riskienhallintavelvoitteiden toteutumisesta.
Direktiivin piiriin kuuluvat toimialat jaetaan keskeisiin ja tärkeisiin toimialoihin. Keskeisiin toimialoihin kuuluvat muun muassa energia, liikenne, pankkiala, terveydenhuolto, vesi, digitaalinen infrastruktuuri, ICT-palvelut, julkishallinto ja avaruus. Tärkeisiin toimialoihin lukeutuvat muun muassa posti- ja kuriiripalvelut, jätehuolto, kemianteollisuus, elintarvikkeet, tietyt valmistavan teollisuuden alat, digitaaliset palvelut ja tutkimus.
Organisaation kuulumiseen NIS2:n soveltamisalaan vaikuttavat toimialan lisäksi muun muassa organisaation koko. Yleisenä lähtökohtana direktiivi koskee määritellyillä toimialoilla vähintään 50 henkilöä työllistäviä tai vähintään 10 miljoonan euron vuotuisen liikevaihdon tai taseen omaavia organisaatioita. Soveltamisalaan liittyy kuitenkin myös poikkeuksia, joissa organisaation koolla ei ole merkitystä.
Vaikka yritys ei itse kuuluisi suoraan NIS2-direktiivin soveltamisalaan, direktiivin vaikutukset voivat näkyä myös toimitusketjun kautta. Direktiivi edellyttää sen piiriin kuuluvilta organisaatioilta toimitusketjun turvallisuuden huomioimista, mikä voi heijastua myös niiden toimittajille ja palveluntarjoajille asetettaviin vaatimuksiin.
Mitä NIS2 käytännössä edellyttää?
NIS2 tuo organisaatioille aiempaa tarkempia velvoitteita kyberturvallisuusriskien hallintaan.
Keskeisiä kokonaisuuksia ovat esimerkiksi:
- Riskienhallinta: Organisaation on tunnistettava kyberturvallisuuteen liittyviä riskejä ja huolehdittava asianmukaisista suojaustoimenpiteistä.
- Poikkeamien hallinta ja raportointi: Merkittävistä kyberpoikkeamista on ilmoitettava määrätyssä aikataulussa. Ensivaroitus tehdään 24 tunnin kuluessa ja varsinainen poikkeamailmoitus 72 tunnin kuluessa.
- Toiminnan jatkuvuus: Organisaation on varauduttava häiriötilanteisiin esimerkiksi varmuuskopioinnin, palautumisen ja kriisinhallinnan avulla.
- Toimitusketjun turvallisuus: Myös toimittajiin ja palveluntarjoajiin liittyvät tietoturvariskit tulee huomioida.
- Haavoittuvuuksien hallinta: Järjestelmien turvallisuuteen ja haavoittuvuuksien käsittelyyn on kiinnitettävä järjestelmällisesti huomiota.
- Johdon vastuu: Yrityksen johdolla on keskeinen rooli kyberturvallisuuden riskienhallinnassa ja vaatimusten täyttämisessä.
NIS2-direktiivin keskeisiä velvoitteita
Direktiivin vaatimukset ulottuvat laajasti organisaation toimintaan. Kyse ei ole vain yksittäisten tietoturvaratkaisujen hankkimisesta, vaan kokonaisvaltaisesta tavasta hallita kyberturvallisuutta.
Huomiota tulee kiinnittää muun muassa:
- riskianalyyseihin ja tietojärjestelmien turvallisuutta koskeviin toimintaperiaatteisiin
- tietoturvapoikkeamien käsittelyyn
- toiminnan jatkuvuuteen, varmuuskopiointiin, palautumiseen ja kriisinhallintaan
- toimitusketjun turvallisuuteen
- verkko- ja tietojärjestelmien hankinnan, kehittämisen ja ylläpidon turvallisuuteen
- haavoittuvuuksien hallintaan
- kyberturvallisuustoimenpiteiden tehokkuuden arviointiin
- henkilöstön kyberturvallisuusosaamiseen ja koulutukseen
- salauksen ja kryptografian käyttöön
- henkilöstöturvallisuuteen, käyttöoikeuksiin ja omaisuudenhallintaan
- tarvittaessa monivaiheiseen tunnistautumiseen sekä suojattujen viestintäratkaisujen käyttöön.
NIS2-direktiivi tulee osaksi kansallista lainsäädäntöä 10/2024
EU:n jäsenvaltioiden tulee saattaa NIS2-direktiivin edellyttämät kansalliset säädökset voimaan 17.10.2024 mennessä.
Valmistautuminen kannattaa aloittaa selvittämällä, millä tasolla organisaation tietoturva ja kyberturvallisuuden hallinta ovat tällä hetkellä. Jo olemassa olevat käytännöt, dokumentaatio ja tekniset ratkaisut on hyvä käydä läpi ja tunnistaa mahdolliset kehityskohteet.
Hyvä lähtökohta on pohtia esimerkiksi seuraavia kysymyksiä:
- Miten käyttäjätunnusten hallinta on toteutettu?
- Miten käyttöoikeuksia myönnetään, muutetaan ja poistetaan?
- Miten yrityksen tieto on luokiteltu ja suojattu?
- Miten lokitus ja valvonta on järjestetty?
- Miten häiriö- ja poikkeamatilanteissa toimitaan?
- Miten kyberhyökkäyksiin on varauduttu?
- Miten toimitaan, jos hyökkäys toteutuu?
- Onko yrityksen laitteet ja muu IT-omaisuus dokumentoitu?
- Onko tunnistettu liiketoiminnan kannalta kriittisimmät järjestelmät ja tiedot?
- Onko tietoturvapolitiikka dokumentoitu ja ohjeistus ajan tasalla?
- Miten henkilöstön tietoturvakoulutus on järjestetty?
Lähteet: Valtioneuvosto, Kyberturvallisuusdirektiivin (NIS2-direktiivi) kansallista toimeenpanoa tukeva työryhmä (hanke) https://valtioneuvosto.fi/hanke?tunnus=LVM044%3A00/2022 ja Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555 https://eur-lex.europa.eu/legal-content/FI/TXT/?uri=uriserv%3AOJ.L_.2022.333.01.0080.01.FIN&toc=OJ%3AL%3A2022%3A333%3AFULL
Voimmeko olla avuksi?
Ota meihin yhteyttä jo tänään.