Mikä on NIS2?
NIS2 on Euroopan unionin kyberturvallisuusdirektiivi, joka velvoittaa tietynlaisten määritellyillä toimialoilla toimivien yritysten sekä mahdollisesti heidän toimitusketjunsa varmistamaan toimintansa tietoturvan ja häiriönsietokyvyn. Direktiivi toi yrityksille velvollisuuden tunnistaa ja hallita kyberriskejä, ottaa käyttöön perustason suojaustoimet sekä raportoida merkittävistä tietoturvaloukkauksista viranomaisille.
Sen tavoitteena on vahvistaa koko EU:n digitaalisen yhteiskunnan luotettavuutta ja yhtenäistää jäsenmaiden kyberturvavaatimuksia.
NIS2 - keskeiset velvoitteet pähkinänkuoressa
Toimintariskien kartoitus:
yrityksen on tunnistettava toimintaansa kohdistuvat kyber- ja tietoturvariskit.
Dokumentointi ja jatkuva seuranta:
tunnistetut riskit sekä niihin liittyvät hallintakeinot on kirjattava ja pidettävä ajan tasalla.
Sidosryhmien vaatimusten huomiointi:
myös asiakkaisiin, toimittajiin ja muihin kumppaneihin liittyvät riskit on arvioitava.
Perustason suojauskäytännöt:
esimerkiksi vahvat salasanakäytännöt, käyttöoikeuksien hallinta ja ohjelmistojen päivittäminen.
Nopea häiriöilmoittaminen:
merkittävistä kyberturvapoikkeamista on ilmoitettava viranomaisille ja niille sidosryhmille, joita asia koskee, määräajassa.
Palautuminen:
organisaatiolla on oltava selkeät askelmerkit poikkeamasta palautumiselle.
Onko NIS2 yhtä kuin ISO 27001?
NIS2 ja ISO/IEC 27001 mainitaan usein samassa yhteydessä, vaikka ne eivät ole sama asia.
NIS2 on EU:n antama sääntelydirektiivi, joka asettaa velvoitteet tietyille toimialoille kyberturvallisuuden varmistamiseksi.
ISO/IEC 27001 puolestaan on kansainvälisen standardointijärjestön julkaisema viitekehys tietoturvan hallintajärjestelmälle.
Näitä kahta tarkastellaan usein rinnakkain, koska ISO 27001:n mukainen hallintajärjestelmä kattaa pitkälti myös NIS2:n vaatimukset. Sertifioitu ISO 27001 -järjestelmä voi siis helpottaa organisaatiota osoittamaan NIS2-yhteensopivuutensa ulkopuolisille.
On kuitenkin tärkeää huomata, ettei NIS2 edellytä ISO 27001 -sertifiointia. Direktiivi ei viittaa standardiin, vaan sen vaatimukset voi täyttää myös ilman erillistä sertifikaattia. Sertifiointi voi silti olla hyödyllinen tapa todentaa noudattaminen ulkopuolisille tahoille.
Tietoturvatason tarkistus eli ”NIS2 -testi”
Tämä tarkistuspalvelu auttaa yritystä hahmottamaan oman sen hetkisen tietoturvatason NIS2 -vaatimuskehikon mukaisesti. Se tuo esiin kehityskohteet sekä toimenpiteet tietoturvan, sen osoitusvelvollisuuden ja NIS2 -vaatimusten toteuttamiseksi.
