NIS2 on Euroopan direktiivi, joka asettaa vaatimuksia kyberturvallisuudelle organisaatioille tietyissä sektoreissa. Se, koskeeko direktiivi suoraan yritystäsi, riippuu kahdesta asiasta: siitä, millä sektorilla toimitte, ja yrityksesi koosta. Jos ette kuulu tuohon yhdistelmään, ette todennäköisesti ole itse direktiivin suoraa kohderyhmää, mutta se ei tarkoita, että NIS2 ei koskaan tavoittaisi teitä.
Monet yritykset, jotka eivät itse kuulu direktiivin piiriin, saavat kuitenkin kysymyksiä kyberturvallisuudesta asiakkaalta, jolle NIS2 koskee. Tämän asiakkaan on todistettava, että hänen koko ketjunsa on riittävän suojattu, joten hän lähettää kysymysluettelon toimittajille. Tässä tapauksessa direktiivi ei koske teitä, mutta sopimuksellinen ehto, johon asiakkaanne sen sitoo, kyllä.
Sektori ja koko määräävät suoran velvoitteen
Direktiivi kohdistuu siihen, mitä se kutsuu "olennaisiksi" ja "tärkeiksi" yhteisöiksi: organisaatioiksi sektoreilla kuten energia, liikenne, juomavesi, digitaalinen infrastruktuuri, pankkitoiminta ja terveydenhuolto, täydennettynä useilla muilla direktiivissä luetelluilla sektoreilla. Lisäksi sovelletaan kokokriteereita, jotka voivat vaihdella sektoreittain ja kategorioittain. Pieni asennusyritys, jolla ei ole roolia missään näistä sektoreista, ei yleensä kuulu NIS2:n suoraan soveltamisalaan. Tarkka sektoriluettelo ja se, miten jäsenvaltiot ovat siirtäneet sen kansalliseen lainsäädäntöön, löytyy virallisesta tekstistä ja siinä maassa nimetystä valvontaviranomaisesta; Suomessa se on Kyberturvallisuuskeskus.
Myös sektorin ulkopuolella: asiakkaasi kysymys
Yrityksen, jota NIS2 koskee, on muun muassa arvioitava, kuinka turvallisia sen yhteistyöorganisaatiot ovat. Tätä kutsutaan ketjurisiksi tai toimittajarisiksi, ja direktiivi mainitsee tämän nimenomaisen huomionkohteena. Käytännössä tämä johtaa kysymysluetteloon tai sopimukselliseen määräykseen asiakkaan puolelta: onko teillä yhteyshenkilö poikkeamille, ilmoitatteko tietovuoto määräajassa, onko pääsynhallinta järjestetty. Nämä ovat usein samantyyppisiä toimenpiteitä kuin kymmenen, joita direktiivi itse mainitsee yrityksille, joita se suoraan koskee. Lisätietoa siitä, mitä nämä kysymykset tarkalleen tarkoittavat ja miten ne liittyvät olemassa oleviin velvoitteisiin kuten GDPR:ään, löydät aihekohtaisista selityksistä tietopankista.
Kuinka tarkistat oman tilanteesi
Se, koskeeko NIS2 sinua suoraan, on tosiseikka, jonka voit parhaiten vastata virallisen sektorijaottelun ja kokokriterien perusteella sellaisina kuin ne on omassa maassasi toteutettu. Jos olet epävarma, asiaankuuluva valvontaviranomainen tai juristti on oikea taho tekemään tämän arvion; tämä artikkeli ei voi korvata sitä. Mitä voit itse nopeasti tarkistaa, on se, saatko signaaleja, jotka viittaavat epäsuoraan osallisuuteen: asiakasta, joka lähetti juuri kyberturvallisuuskysymysluettelon, sopimusta, joka viittaa ilmoitusvelvoitteisiin, tai kilpailutusta, jossa kyberturvallisuustoimenpiteitä pyydetään. Nämä ovat käytännöllisiä viitteitä, ei oikeudellista arviota.
Entä jos saat kysymyksiä riippumatta suorasta velvoitteesta
Riippumatta siitä, koskeeko NIS2 sinua suoraan vai olet tekemisissä sen seurauksien kanssa vain asiakkaan kautta, kysymysluettelon sisältö ei muutu paljoakaan: sinua pyydetään kuvaamaan, mitä toimenpiteitä olet toteuttanut, ja perustelemaan se. Tämä usein päällekkäin sen kanssa, mitä olet jo dokumentoinut muihin tarkoituksiin, kuten pääsynhallintaa GDPR:ää varten tai hätämenettely liiketoiminnan jatkuvuudelle. Juuri tämä päällekkäisyys on syy siihen, että yritykset joutuvat toimittamaan kerta toisensa jälkeen samantyyppisiä asiakirjoja, joka kerta hieman eri muodossa. Vastauksia usein kysyttyihin kysymyksiin siitä, miten nämä luettelot tarkalleen toimivat, löydät usein kysytyt kysymykset kyselyistä, ja tiedon lähteistä tällä sivustolla löydät tietoa sivulla siitä, kuinka se toimii.
Mikään viranomainen ei tee päätöstä siitä, koskeeko NIS2-direktiiviä yritystäsi; se on arvio, joka kuuluu sinulle, oikeudenneuvojallesi tai valvontaviranomaiselle. Mitä voit kuitenkin nopeasti tehdä, on tarkistaa, vastaavaako tunnistamasi signaalit suoraa tai epäsuoraa osallisuutta. Haluatko nähdä sen selkeästi rinnakkain, voit muutaman kysymyksen avulla saada käsityksen tilanteestasi, tai voit rauhassa käydä läpi aiheet, jotka voivat koskea tilannettasi.