NIS2-direktiivi: Uudet vaatimukset kyberturvallisuudelle

Mikä on NIS2 ja milloin se astuu voimaan?

NIS2 (Network and Information Security Directive) on EU:n direktiivi, joka pyrkii parantamaan kriittisen infrastruktuurin kyberturvallisuutta ja lisää valmiutta sekä nykyisiin että tuleviin kyberuhkiin. NIS2-direktiivin tavoitteena on parantaa EU:n yleistä kyberturvallisuutta ja varmistaa, että eri toimijat noudattavat tietoturvavaatimuksia ja suojelevat digitaalista infrastruktuuria. Se toimii osana laajempaa pyrkimystä vahvistaa EU:n kyberturvallisuutta. 

Direktiivi antaa kansallisille viranomaisille enemmän valtuuksia valvoa tietoturvatoimenpiteiden noudattamista ja tarvittaessa määrätä seuraamuksia. Näin pyritään varmistamaan, että direktiivin vaatimuksia noudatetaan yhtenäisesti kaikissa jäsenvaltioissa​

Suomen osalta NIS2-direktiivin kansallinen toimeenpano on käynnissä ja se on saatettava voimaan 17. lokakuuta 2024 mennessä. NIS2-direktiivin soveltaminen alkaa siis näillä näkymin 18.10.2024. Se sisältää uuden lainsäädännön, joka korvaa vanhan NIS-direktiivin mukaiset säännökset ja asettaa uudet vaatimukset kyberturvallisuudelle​. Täältä löytyy hallituksen esitys uudesta laista.

Ketä NIS2-direktiivi koskee ja mitä vaatimuksia se sisältää?

NIS2-direktiivi kattaa aiempaa laajemman joukon sektoreita ja toimijoita, mukaan lukien energia, terveydenhuolto, finanssiala, liikenne, vesihuolto, digitaalinen infrastruktuuri, ja digitaaliset palvelut. Myös keskisuuret toimijat, jotka työllistävät vähintään 250 henkilöä tai joiden liikevaihto ylittää 50 miljoonaa euroa, kuuluvat direktiivin piiriin​. 

NIS2 sisältää useita vaatimuksia, joista tärkeimpiä ovat:

• Riskienhallinta: Organisaatioiden on tunnistettava ja arvioitava kyberturvallisuusriskinsä ja toteutettava asianmukaisia toimenpiteitä riskien minimoimiseksi.
  
  
• Tietoturvatoimenpiteet: Organisaatioiden on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet tietojärjestelmiensä ja tietojen suojaamiseksi.
  
  
• Poikkeamahallinta: Organisaatioiden on oltava valmiita havaitsemaan, tutkimaan ja reagoimaan kyberturvallisuuspoikkeamiin.
  
  
• Raportointi: Organisaatioiden on raportoitava merkittävistä kyberturvallisuuspoikkeamista viranomaisille. Tietosuojaloukkauksesta tai muusta merkittävästä poikkeamasta on annettava ennakkovaroitus jo 24 tunnin sisällä.
  
  
• Henkilöstön koulutus: Organisaatioiden on koulutettava työntekijänsä kyberturvallisuusriskeistä ja -käytännöistä.

NIS2:ssa vaatimukset suunnataan vahvasti yritysten ja organisaatioiden johtoportaisiin. Johdon on tärkeää perehtyä uusiin vaatimuksiin pian, jotta organisaation prosessit ovat kunnossa, kun direktiivi tulee voimaan. Direktiivin mukaan heidän tulee johtaa tietoturvatyötä ja varmistaa, että määrätyt tietoturvamenettelyt toteutuvat. Velvoitteiden rikkominen voi aiheuttaa organisaatiolle pahimmassa tapauksessa merkittäviä sakkorangaistuksia.

Organisaatioilla ja yrityksillä on velvollisuus suojata ja valvoa koko toimitusverkostoaan tietoturvauhilta. Vastuu ei siis rajoitu ainoastaan omaan yritykseen. NIS2-direktiivi edellyttää, että yrityksillä on kattava näkyvyys koko organisaation tietoturvatilanteeseen. Tämä mahdollistaa nopean reagoinnin poikkeustilanteissa.

NIS2-direktiivin vaatimusten täyttäminen henkilöstön koulutuksella

NIS2-direktiivin vaatimukset täytetään tehokkaasti panostamalla henkilöstön koulutukseen ja ohjeistamiseen. Henkilöstön säännöllinen koulutus on olennainen osa vaatimuskokonaisuuden toteuttamista.

Nykymaailman digitaalisessa ympäristössä tietoturvan ja tietosuojan ymmärtäminen on entistä tärkeämpää. NIS2-direktiivi tarjoaa kehyksen organisaatioiden kyberturvallisuuden parantamiseksi, ja tietosuoja on tässä kehyksessä keskeisessä roolissa. Lue lisää kyberturvallisuuden perusteista ja merkityksestä yrityksille täältä.

Organisaatioiden on varmistettava, että heidän työntekijänsä saavat asianmukaista koulutusta sekä tietoturvasta että tietosuojasta. Tämän avulla työntekijät voivat osaltaan suojata organisaation arkaluontoisia tietoja. Henkilöstölle tarjottava koulutus ja tietoisuuden lisääminen ovat keskeisiä toimenpiteitä, joilla varmistetaan, että työntekijät ovat tietoisia organisaation tietosuoja- ja tietoturvamenettelyistä.

Nämä asiat tulee huomioida tietosuoja- ja tietoturvakouluttamisessa:

• Koulutusmateriaalia tulee päivittää säännöllisesti, jotta siinä on aina huomioitu ajantasainen lainsäädäntö ja uusimmat tietoturva- ja tietosuoja-uhkat. Päivittyvä koulutusmateriaali takaa myös sen, että ihmiset jaksavat suorittaa koulutuksia vuodesta toiseen, kun niissä on aina jotain uutta ja mielenkiintoista.
  
  
• Koulutuksen tulee olla monipuolista ja siinä tulee huomioida kaikkien henkilöstöryhmien ja yrityksen toimialan tarpeet ja vaatimukset. Työntekijöiden osaamistasossa on todennäköisesti eroja, joten on tärkeää, että koulutuksessa lähdetään liikkeelle perusteista ja sen jälkeen osaamista syvennetään rooli- ja toimialakohtaisilla koulutuksilla. Yksi yleiskoulutus koko henkilöstölle ei ole riittävä.
  
  
• Osaamisen varmistaminen on myös tärkeä osa koulutusta. Opiskelun lisäksi tulee varmistaa testaamalla, että asiat on opittu ja osaaminen on vaatimusten mukaisella tasolla. Näin pystytään tarvittaessa myös osoittamaan, että henkilöstö on suorittanut tarvittavat koulutukset ja nähdään millä tasolla osaaminen on.

Navisec-palvelun avulla täytetään helposti NIS2-direktiivin koulutusvaatimukset ja varmistetaan, että henkilöstön tietoturva- ja tietosuojaosaaminen on aina huippuluokkaa. Varaa etätapaaminen Navisec-asiantuntijan kanssa, niin keskustellaan teidän organisaationne koulutustarpeista ja käydään läpi Navisec-palvelun sisältö.

‍Varaa etätapaaminen