Network and Information Security eli NIS2-direktiivi on tärkeä Euroopan unionin lainsäädäntöpaketti. Sen tavoitteena on suojata verkko- ja tietojärjestelmiä kaikissa jäsenmaissa. Direktiivillä luodaan yhtenäinen strategia kyberturvallisuuden parantamiseksi ja digitaalisten uhkien kestävyyden parantamiseksi. Sen sijaan, että siinä vain ehdotetaan suuntaviivoja, sillä varmistetaan, että kaikilla jäsenvaltioilla on käytössä vahvat turvatoimet.

Tutustutaan nyt NIS2-direktiiviin, sen valvontaan EU:n jäsenmaissa ja siihen, mitä valvotaan. Tutustumme myös NIS2-direktiivin noudattamatta jättämisestä määrättäviin seuraamuksiin ja siihen, miten voit pysyä vaatimustenmukaisena (välttääksesi seuraamukset).

Mikä on NIS2?

NIS2-direktiivi on päivitetty EU:n kyberturvallisuuslaki, joka korvaa alkuperäisen NIS-direktiivin. NIS2-direktiivillä pyritään parantamaan tietoturvan yleistä tasoa koko EU:ssa asettamalla tiukempia riskinhallinta- ja raportointivelvoitteita useammille julkisille ja yksityisille tahoille.

NIS2 on merkittävä edistysaskel EU:n pyrkimyksissä parantaa kyberturvallisuuden resilienssiä. Edeltäjänsä pohjalta tämä direktiivi keskittyy tarkemmin, kattaa useampia aloja ja asettaa selkeämmät ja vahvemmat lainsäädännölliset edellytykset. Tärkeää on, että NIS2:ssa korostetaan, että Euroopan elintärkeitä infrastruktuureja on suojattava entistä kiireellisemmin kehittyviltä kyberuhilta, ja varmistetaan, että organisaatioilla on paremmat valmiudet ehkäistä, havaita ja reagoida häiriöihin.

NIS2 vaikuttaa moniin yksityisiin ja julkisiin tahoihin eri puolilla EU:ta, jotka tarjoavat olennaisia tai tärkeitä palveluja. Sen soveltamisala laajenee merkittävästi alkuperäiseen verkko- ja tietoturvadirektiiviin verrattuna. Useimmat organisaatiot, joilla on yli 250 työntekijää tai yli 50 miljoonan euron liikevaihto, kuuluvat NIS2-direktiivin soveltamisalaan. Myös pienemmät organisaatiot voivat kuitenkin kuulua direktiivin soveltamisalaan, jos ne ovat korkean riskin organisaatioita tai yhteiskunnan kannalta kriittisiä.

Lisätietoja NIS2:sta saat blogistamme: ketä NIS2 koskee? Soveltamisala ja tärkeimmät tietoturvavaatimukset.

NIS2 valvonta

NIS2-direktiivin mukaan kunkin maan on nimettävä toimivaltainen viranomainen , joka valvoo ja varmistaa direktiivin säännösten noudattamisen. Tällä viranomaisella on ratkaiseva rooli sekä valvonnassa että organisaatioiden tukemisessa niiden selviytyessä tietoturvasäännösten monimutkaisissa kysymyksissä. Viranomaisen tehtävät voivat vaihdella auditoinnista ja riskinarvioinnista aina parhaita käytäntöjä koskevien ohjeiden antamiseen.

Kuka vastaa NIS2 valvonnasta?

Euroopan tasolla NIS2-direktiivin valvonnasta ja koordinoinnista vastaavat pääasiassa seuraavat tahot:

1. Euroopan unionin verkko- ja tietoturvavirasto (ENISA): Enisa toimii EU:n keskeisenä virastona, joka tukee NIS2:n täytäntöönpanoa.
   
2. EU:n jäsenten välinen yhteistyöryhmä: Strateginen elin, joka koostuu kaikkien EU:n jäsenvaltioiden , Euroopan komission ja ENISAn edustajista.
   
3. CSIRT-verkosto: Kansallisten tietoturvahäiriöihin reagoivien kansallisten ryhmien verkosto . Koordinoi häiriöiden käsittelyä yli kansallisten rajojen.
   

Kukin EU:n jäsenvaltio nimittää myös oman kansallisen toimivaltaisen viranomaisensa valvomaan ja panemaan täytäntöön NIS2:ta paikallisesti, mutta kyseiset tahot tekevät yhteistyötä myös EU:n tasolla edellä mainittujen rakenteiden välityksellä.

Miten valvonta toimii:

NIS2-direktiivillä pyritään vahvistamaan EU:n yleistä tietoturvan häiriönsietokykyä yhdistämällä tasapainoisesti ennakoivia ja reaktiivisia valvontatoimia. Toisin kuin edeltäjänsä, NIS2-direktiivissä painotetaan enemmän sekä häiriöiden ehkäisemistä ennen niiden tapahtumista että tehokasta reagointia niiden tapahtuessa.

Proaktiiviset valvontakeinot:

NIS2-valvontaan kuuluu ennakoivaa seurantaa, auditointeja, häiriöraportoinnin arviointia ja valvontatoimia.  Tavoitteena on varmistaa, että organisaatiot noudattavat tietoturvariskien hallintaa ja häiriöiden raportointia koskevia vaatimuksia.

• Organisaatioiden kyberturvakäytäntöjen säännölliset auditoinnit ja arvioinnit.
  
• vaatimustenmukaisuuden seuranta seuraamalla reaaliaikaisesti kyberturvallisuuteen liittyviä häiriöitä.
  
• Yhteistyö organisaatioiden kanssa ohjeiden ja palautteen antamiseksi tietoturvan parantamisesta.
  
• Työpajojen ja koulutustilaisuuksien järjestäminen tietoisuuden ja ymmärryksen lisäämiseksi NIS2-vaatimuksista.
  
• raportointiprotokollien laatiminen, jotta varmistetaan häiriöiden raportointien oikea-aikainen toimittaminen.
  
• Häiriöiden analysointi mahdollisten haavoittuvuuksien tunnistamiseksi ja ennakoivien toimenpiteiden suosittelemiseksi.
  

Ennakoivalla lähestymistavalla pyritään ehkäisemään häiriöitä ja vähentämään haavoittuvuuksia ennen niiden hyödyntämistä.

Reaktiiviset valvontakeinot

Reaktiivisessa valvonnassa keskitytään häiriöiden raportointiin, tutkimiseen ja täytäntöönpanotoimiin, kun tällaisia tapauksia ilmenee. Näitä voivat olla:

• Häiriön jälkeinen analyysi syiden ymmärtämiseksi ja toistumisen estämiseksi.
  
• Sanktioiden ja seuraamusten määrääminen sen jälkeen, kun sääntöjen noudattamatta jättäminen on havaittu.
  
• Seuraamusten ja arviointien tekeminen turvamurtojen tai häiriöiden jälkeen.
  
• Määräaikaisten toimintakieltojen määrääminen johdolle sääntöjen noudattamatta jättämisen vuoksi.
  
• Turvaprotokollien tarkistaminen ja muuttaminen sääntelyn rikkomisen johdosta.
  
• velvoittaa valvontaviranomaiset raportoimaan häiriöistä ja laatimaan toimintasuunnitelmia niiden jälkeen.
  

Reaktiivisella lähestymistavalla varmistetaan, että kun häiriöitä tapahtuu, ne käsitellään tehokkaasti, dokumentoidaan perusteellisesti ja ne johtavat parannuksiin.

Lisäksi organisaation on pystyttävä osoittamaan vaatimustenmukaisuus kansalliselle valvontaviranomaiselle pyynnöstä - tai auditointien, tarkastusten aikana tai häiriön jälkeen. Kyse ei ole vain vaatimustenmukaisuuden väittämisestä, vaan sen osoittamisesta todisteilla. Yhdessä nämä kaksi lähestymistapaa muodostavat vankan vaatimuskokonaisuuden, jonka tarkoituksena on pienentää riskejä, parantaa häiriönhallintaa ja edistää jatkuvaa parantamista.

Seuraamukset NIS2:n noudattamatta jättämisestä

NIS2 antaa 10 miljoonaa syytä noudattaa vaatimuksia.

Valvontaviranomaiset voivat toteuttaa erilaisia täytäntöönpanotoimia, joita ne voivat kohdistaa organisaatioihin, jotka eivät noudata vaatimuksia. Näiden seuraamusten tarkoituksena on varmistaa, että organisaatiot ovat asianmukaisesti vastuussa ja noudattavat tietoturvadirektiiviä. Tarkastellaan seuraavaksi näitä seuraamustoimenpiteiden muotoja.

NIS2 seuraamuksien muotoja

Sitovat määräykset

Toimenpiteisiin voi sisältyä määräyksiä toiminnan saattamisesta vaatimusten mukaiseksi, mikä voi edellyttää erityisten turvatoimenpiteiden toteuttamista tai säännöllisten auditointien tekemistä. Tällaisilla korjaavilla toimilla pyritään korjaamaan puutteet ja estämään tulevat laiminlyönnit. Näitä voivat olla:

• Turvallisuuspäivitykset: Varmistetaan, että käytössä on oikeat tekniset ja organisatoriset toimenpiteet, kuten paremmat pääsynhallintakeinot, salaus ja järjestelmät uhkien havaitsemiseksi.
  
• Käytäntöjen tarkistukset: Pyritään päivittämään tai parantamaan tietoturvakäytäntöjä ja -protokollia.
  
• Raportoinnin parantaminen: Varmistetaan, että häiriöiden havaitsemis- ja raportointijärjestelmät toimivat hyvin ja nopeasti.
  
• Kolmannen osapuolen hallinnointi: Korjataan ongelmat siinä, miten organisaatiot käsittelevät toimitusketjun riskejä.
  

Sitovat määräykset ovat valvontaviranomaisten suoria käskyjä, joissa vaaditaan erityistoimia vaatimustenmukaisuuden puutteiden korjaamiseksi. Määräysten laiminlyönti voi johtaa suurempiin sakkoihin tai jopa ankarampiin rangaistuksiin, kuten Organisaation toimintojen rajoittamiseen tai toimitakieltoihin.

Viranomaisten määräämät sakot

Yleisin seuraamustyyppi, joka seuraa sääntöjen noudattamatta jättämisestä, ovat sakkomaksut.

• Turvatoimenpiteiden laiminlyönnit: Oikeiden teknisten ja organisatoristen toimenpiteiden toteuttamatta jättäminen tietoturvan suojaamiseksi.
  
• Laiminlyödyt häiriöt: Merkittävistä häiriöistä ei raportoida nopeasti, ( 24 tunnin kuluessa, jonka jälkeen tulee laatia yksityiskohtainen raportti 72 tunnin kuluessa.)
  
• Puutteelliset riskintarkastukset: Tietoturvariskien säännöllisen arvioinnin ja dokumentoinnin laiminlyönti.
  
• Toimitusketjun valvonnan laiminlyönnit: Ei varmisteta, että toimittajat täyttävät vaaditut vaatimukset.
  

Sakot vaatimusten noudattamatta jättämisestä voivat olla huomattavat: jopa 10 miljoonaa euroa tai 2 % vuotuisesta liikevaihdosta sen mukaan, kumpi näistä on suurempi.

Vastuuhenkilöiden väliaikaiset toimintakiellot

Kyllä, NIS2 voi tehdä asioista henkilökohtaista. Aiemmista direktiiveistä poiketen NIS2:ssa tunnustetaan henkilökohtaisen vastuun merkitys, sillä siinä annetaan viranomaisille mahdollisuus määrätä väliaikaisia kieltoja johtohenkilöille tai muille vastuuhenkilöille. Viranomaiset voivat määrätä tietyille henkilö ille tilapäisiä kieltoja hoitaa johto- tai operatiivisia tehtäviä organisaatiossaan. Nämä kiellot eivät kuitenkaan tule kevyesti, sillä kiellot vaativat suhteellisen suurta huolimattomuutta:

• Törkeää huolimattomuutta tai huonoa hallintoa: Kun ylimmän johdon toimet (tai toimimattomuus) johtavat suoraan tietoturvarikkomuksiin tai vaatimusten noudattamatta jättämiseen.
  
• Korjaavien toimenpiteiden toteuttamatta jättäminen: Kun johtajat jättävät huomiotta tiedossa olevat riskit tai eivät noudata määräyksiä niiden korjaamiseksi.
  
• Riittämätön valvonta häiriöihin: Kun johtajat eivät varmista, että häiriöistä raportoidaan asianmukaisesti ja että korjaustoimet toteutetaan.

Miten pysyä vaatimustenmukaisena (ja välttää seuraamukset)?

Nyt kun olemme käyneet läpi, miten NIS2-valvonta toimii ja millaisia seuraamuksia noudattamatta jättämisestä voi seurata, olisi varmasti mukavaa kuulla vinkkejä siitä, miten nämä seuraamukset voidaan välttää. Seuraavassa on muutama keskeinen vinkki, joiden avulla voit saavuttaa vaatimustenmukaisuuden ja ylläpitää sitä pidemmällä aikavälillä.

Riskinarvioinnit ja gap-analyysi

NIS2-vaatimusten noudattaminen aloitetaan tekemällä täydellinen riskinarviointi mahdollisten tietoturvauhkien ja -heikkouksien löytämiseksi. Tämä tarkoittaa nykyisen tietoturvan tarkistamista ja sen selvittämistä, missä on parannettavaa NIS2-standardien täyttämiseksi. Gap-analyysi voi antaa tietoa siitä, mitä toimenpiteitä teet nyt ja mitä on vielä tehtävä vaatimustenmukaisuuden saavuttamiseksi.

Digiturvamallin tarjoaa ilmaisen 15 minuutin arviointityökalun, jolla voit arvioida NIS2-valmiutesi. Jos olet uusi Digiturvamalliin, arvioi NIS2 compliance-tasosi ja aloita pidennetty kokeilujakso, käyttäen arvioinnin tuloksia heti tuotteessa. Jos sinulla on jo tili, voit tehdä arvioinnin tuotteen sisällä.

Henkilöstön tietoisuus

Työntekijöiden koulutukseen ja valistusohjelmiin panostaminen on vaatimustenmukaisuuden kannalta ratkaisevan tärkeää. Organisaatioiden olisi koulutettava henkilöstöään parhaista tietoturvan käytännöistä ja NIS2:n asettamista erityisvaatimuksista. Säännölliset koulutustilaisuudet voivat auttaa työntekijöitä tunnistamaan mahdolliset tietoturva- ja häiriötilanteet ja reagoimaan niihin tehokkaasti.

Yksi tapa jakaa tietoturvaohjeita työntekijöille on Digiturvamallin kaltainen ISMS-järjestelmä, jossa ohjeet voidaan laatia tapausesimerkkien ja taitotestien avulla ja jakaa työntekijän henkilökohtaiseen ohjekirjaan, jopa suoraan Teamsin sisällä.

‍

Pysy ajan tasalla dokumenttien ja auditointien avulla

Dokumentointi auttaa osoittamaan, että täytät lainsäädännön vaatimukset. Dokumentoimalla prosessit, menettelyt ja vaatimustenmukaisuutta koskevat toimet perusteellisesti luot selkeän dokumentoinnin, jonka voit esittää auditointien tai katselmusten aikana. On tärkeää pitää dokumentaatio ajan tasalla, jotta se vastaa nykyisiä vaatimuksia ja organisaatiosi toimia. Näillä asiakirjoilla voit myös todistaa vaatimustenmukaisuutesi pyydettäessä.

Säännölliset auditoinnit, kuten sisäiset tai ulkoiset auditoinnit, auttavat sinua pysymään valmiina vaatimustenmukaisuuden noudattamiseen ja vähentävät vaatimustenvastaisuudesta aiheutuvien seuraamusten riskiä. Teidän tulisi tehdä sisäisiä auditointeja, jotta näette, miten tietoturvanne toimii, ja voitte havaita kaikki alueet, jotka eivät ole vaatimusten mukaisia. Ulkopuolisten asiantuntijoiden käyttäminen auditointiin lisää varmuutta.

Kun NIS2-direktiiviä käsitellään Digiturvamallin kaltaisessa joustavassa ISMS-järjestelmässä, saat vaatimustenmukaisuuden asiakirjat napin painalluksella, helposti ja ajantasaisilla tiedoilla. Sisäiset ja ulkoiset auditoinnit helpottuvat myös ISMS:n avulla, koska kaikki tiedot ovat saatavilla yhdessä paikassa.

Parhaiden käytäntöjen soveltaminen (esimerkkinä ISO 27001)

Vankan tietoturvastrategian kehittäminen on olennaisen tärkeää. Strategian olisi sisällettävä selkeät toimintaperiaatteet ja menettelyt häiriöiden havaitsemista, niihin reagoimista ja niistä toipumista varten. Organisaatioiden olisi varmistettava, että nämä käytännöt ovat NIS2-vaatimusten mukaisia ja että niitä päivitetään säännöllisesti uusien uhkien huomioon ottamiseksi.

Vaikeaa on kuitenkin se, että NIS2:n kaltaiset säädökset eivät tarjoa suoria täytäntöönpanotoimia. Siksi suositellaan ISO 27001:n kaltaisia vapaaehtoisia standardeja, jotka tarjoavat toimenpiteitä vaatimustenmukaisuuden saavuttamiseksi ja jotka kulkevat käsi kädessä NIS2-vaatimusten kanssa. ISO 27001 -standardi voi myös tarjota parempia dokumentointimahdollisuuksia, joiden avulla vaatimustenmukaisuus voidaan todistaa, ja ISO 27001 -sertifioinnin avulla voit myös todistaa, että olet noudattanut NIS2-vaatimuksia. Loimme myös oppaan sitä varten - ja voit ladata NIS2 haltuun ISO 27001 parhaiden käytäntöjen avulla e-kirjan ilmaiseksi.

Loppuajatuksia

NIS2 ei ole vain suuntaviiva, se on lainsäädäntö. Ennakoiva vaatimusten noudattaminen on halvempaa (ja helpompaa) kuin seuraamusten kohtaaminen. Mutta jos olemme onnistuneet pelottelemaan sinua seuraamuksilla, haluan vain lisätä tämän: NIS2-direktiivi on suunniteltu tiukaksi mutta oikeudenmukaiseksi, ja se tarjoaa organisaatioille mahdollisuuden korjata ongelmat ennen toimenpiteiden soveltamista.