NIS2-noudattamiselle ei ole kiinteää hintaa
Konkreettista summaa "NIS2-noudattamiselle" ei ole olemassa, eikä kukaan voi antaa sitä sinulle etukäteen varmuudella. Direktiivi määrää kymmenen toimenpideluokkaa, mutta tapa, jolla yritys toteuttaa ne, ja siten mitä ne maksavat, vaihtelee suuresti tilanteen mukaan. Asennusyrityksellä, jolla on pari kannettavaa tietokonetta ja pilvipalvelussa olevaa kirjanpitopakettia, on erilainen lähtökohta kuin yrityksellä, jolla on oma serverhuone ja useita IT-toimittajia.
Kustannuksia määrää kuitenkin rajallinen määrä tekijöitä: IT-ympäristösi laajuus ja monimutkaisuus, kuinka moni pyydetyistä toimenpiteistä sinulla on jo käytössä, ulkoistajako työtä ulkopuoliselle osapuolelle, ja mitä työkaluja tai ohjelmistoja hankit. Tämä vaikeuttaa summan nimeämistä, mutta mahdollistaa sen, että ymmärrät, mihin raha menee.
Mitkä tekijät määrittävät omaa tilannettasi
Ensimmäinen kuluerä ei usein näy laskulla: sisäisesti tarvittava aika kartoittaa, mitä sinulla on jo olemassa. Kellä on oltava pääsy mihin järjestelmiin, millä toimittajilla on pääsy verkkoonsa, ja miten tapaus on nyt järjestetty. Yritykset, joilla on tämä perusta jo kunnossa esimerkiksi siksi, että ne ovat aiemmin aloittaneet ISO 27001 -prosessin, tekevät vähemmän työtä kuin yritykset, jotka aloittavat nollasta.
Toinen tekijä on valinta omaksi tekemisen ja ulkoistamisen välillä. Jotkin toimenpiteet, kuten pääsynhallintakäytäntö tai tapahtumien ilmoittamisprosessi, ovat pääasiassa dokumentaation ja sopimusten asia. Muut toimenpiteet, kuten tietojen salaus tai verkkoliikenteen seuranta, vaativat enemmän tekniikkaa ja siten ohjelmistoa tai ulkoista toimittajaa. Kuinka paljon sitä tarvitaan, riippuu siitä, mitä on jo käytössä.
Kolmas tekijä on kysymys siitä, palkkaaako neuvontayrityksen koko prosessille vai vain osille. Täydellinen ohjaus maksaa enemmän kuin kohdistettu apu tietyissä kohdissa, mutta säästää sisäistä aikaa. Mikä valinta on kannattavampaa, vaihtelee yrityksen mukaan eikä se ole kysymys, johon voidaan vastata yleisesti. Jos haluat ensin nähdä, mitkä osat ovat omalle yrityksellesi relevantit, voit tarkistaa sen muutamalla lyhyellä kysymyksellä itse.
Kustannukset, jotka usein unohtuvat
Suoran toimenpide- ja neuvontakustannusten ulkopuolella on kustannuksia, jotka tulevat näkyviin vasta myöhemmin. Todisteet, kuten riskianalyysi tai yhteenveto pääsyoikeuksista, ovat usein määräaikaisia ja ne on päivitettävä säännöllisesti. Tämä ei ole kertaluonteinen meno vaan toistuva tehtävä, ja sen tekemiseen kuluva aika lasketaan kokonaiskuvaan.
Lisäksi ostajat lähettävät yhä useammin kyselylomakkeita kyberturvallisuudesta, ja jokaisella ostajalla on oma muotonsa ja portaalinsa. Lähes saman tiedon täyttäminen kerta toisensa jälkeen vie aikaa, jota on helppo aliarvioida. Yhteenveto siitä, mitkä aiheet toistuvat, on selvitetty kunkin tilanteen perusteella tietokannassa.
Mitä supplia tekee ja mitä ei tee tässä prosessissa
Supplia.eu ei rakenna sertifiointia eikä anna arviota turvallisuustasostasi; se jää sinulle, neuvonantajallesi ja asianomaiselle valvontaviranomaiselle. Se, mitä alusta tekee, on auttaa siten, että jo kirjaamiasi vastauksia voidaan palauttaa johdonmukaisesti niihin kyselylomakkeisiin, jotka asiakkaasi sinulle lähettävät. Tämä ei säästä euroa pohjana olevista toimenpiteistä, mutta säästää aikaa, joka kuluu niiden dokumentointiin ja toimittamiseen kerta toisensa jälkeen.
Perustieto NIS2:sta ja muista käsitteistä, jotka toistuvat kyselylomakkeissa, on saatavilla ilmaiseksi, mukaan lukien viittaus viralliseen tekstiin. Mitä tilaus lisää, on kunkin velvoitteen laatiminen asiaa koskevine määräajoineen ja mallineilla, sekä ilmoitus, kun jokin muuttuu, joka koskee tilannettasi. Erot ilmaisen ja maksullisen välillä näkyvät selkeästi kohdassa hinnasivu.
Kuinka pääset realistiseen arvioon
Koska summa riippuu omasta lähtötilanteestasi, hyödyllisin ensimmäinen askel ei ole keskimääräisen hinnan etsiminen, vaan sen selvittäminen, missä olet nyt. Vasta sen jälkeen on hyödyllistä keskustella IT-toimittajan, neuvontayrityksen tai toimivaltaisen valvontaviranomaisen kanssa, sillä he voivat kertoa kustannuksista vain, jos tiedetään, mitä on jo olemassa ja mitä vielä puuttuu. Kysymyksissä, jotka koskevat erityisesti yritystäsi, asianajaja tai erikoistunut neuvontayritys on soveltuva yhteyshenkilö; tämä artikkeli kuvaa yleisen linjauksen, ei neuvontaa yksittäiselle tilanteelle.
Haluatko ensin nähdä, mitkä osat ovat relevantteja yrityksellesi ennen kuin alat vertailla kustannuksia? Tee ilmainen quick-scan tai selaa tietokannan aiheita nähdäksesi, missä seisot.