NIS2-vaatimukset: toimenpiteet, ilmoitusvelvollisuudet, tarkistuslista

Keitä NIS2 koskee

NIS2 jakaa toimijat keskeisiin ja tärkeisiin toimijoihin lukuisilla sektoreilla, kuten energia, liikenne, terveydenhuolto, digitaalinen infrastruktuuri, jätevesi, julkishallinto, posti, jätehuolto, kemikaalit, elintarvikkeet ja valmistava teollisuus. Ratkaisevia ovat yleensä koko (vähintään 50 työntekijää tai yli 10 milj. euron vuosiliikevaihto ja taseen loppusumma) ja sektori; osaan toimijoista NIS2 sovelletaan koosta riippumatta. Saksassa soveltamisalaan kuuluvien yritysten on rekisteröidyttävä liittovaltion tietoturvavirastolle BSI:lle.

Riskienhallintatoimenpiteet 21 artiklan mukaan

NIS2:n 21 artikla edellyttää asianmukaisia teknisiä, operatiivisia ja organisatorisia toimenpiteitä, muun muassa:

• riskianalyysin ja tietojärjestelmien turvallisuuden toimintaperiaatteet
• poikkeamien käsittely
• toiminnan jatkuvuus, varmuuskopioinnin hallinta, kriisinhallinta
• toimitusketjun turvallisuus
• turvallisuus hankinnoissa, kehityksessä ja ylläpidossa, mukaan lukien haavoittuvuuksien käsittely
• toimenpiteiden vaikuttavuuden arviointi
• kyberhygienia ja koulutus, salaus, pääsynhallinta, monivaiheinen tunnistautuminen

Ilmoitusvelvollisuudet: 24 tuntia, 72 tuntia, kuukausi

Merkittävistä poikkeamista on ilmoitettava vaiheittain: varhainen varoitus 24 tunnin kuluessa, ilmoitus 72 tunnin kuluessa ensimmäisine arvioineen ja loppuraportti kuukauden kuluessa. Se onnistuu vain, jos poikkeamat havaitaan nopeasti ja dokumentoidaan huolellisesti – juuri tätä varten on XMfortress Detect.

Johdon vastuu

Johdon on hyväksyttävä toimenpiteet, valvottava niiden toteutusta ja osallistuttava säännöllisesti koulutukseen. Se voi joutua vastuuseen velvollisuuksien laiminlyönnistä. Rikkomuksista voi seurata enintään 10 milj. euron tai 2 %:n maailmanlaajuisesta vuosiliikevaihdosta (keskeiset toimijat) tai 7 milj. euron tai 1,4 %:n (tärkeät toimijat) seuraamusmaksu.

NIS2-tarkistuslista: ensimmäiset askeleet

• Selvitä, kuuluuko organisaatio soveltamisalaan, ja rekisteröidy viranomaiselle (Saksassa BSI)
• Nimeä vastuuhenkilöt, kouluta johto
• Rakenna omaisuusluettelo ja pidä se ajan tasalla
• Tee riskianalyysi, määritä haavoittuvuusprosessi määräaikoineen
• Perusta poikkeamien havaitseminen ja ilmoituskanavat ja harjoittele niitä
• Arvioi ja dokumentoi toimenpiteiden vaikuttavuus säännöllisesti
• Ota toimittajat ja palveluntarjoajat mukaan arviointiin

XMfortress tukee teknistä toteutusta ja tuottaa näyttöä. Vastuu vaatimusten noudattamisesta säilyy yrityksellä; alusta ei korvaa oikeudellista arviota.