EU:n kyberturvallisuusdirektiivi NIS2 – 10 vähimmäisvaadetta ja neuvot käytäntöön

Yrityksen johto, kuten toimitusjohtajat ja tietoturvasta vastaavat johtajat, CISO:t, koska NIS2 direktiivin mukaan vastuu tietoturvasta, tietosuojasta ja kyberturvasta kuuluvat organisaation ylimmälle johdolle. Johdon velvollisuus on johtaa tietoturvatyötä.

Lisäksi NIS2 vaikuttaa merkittävästi yrityksen toimintaan, maineeseen ja kilpailukykyyn erityisesti silloin, kun yritys on osa isompaa toimitusketjua, jossa NIS2 direktiiviin vastaamisen vaade syntyy toimitusketjussa. NIS2 direktiivi voi siten välillisesti koskea paljon laajempaakin määrää yrityksiä.

Direktiivi edellyttää, että organisaatiot noudattavat standardeja ja velvoitteita, kuten poikkeamista ilmoittamista, riskinarviointien tekemistä ja turvatoimien toteuttamista. NIS2 koskee organisaatioita joko suoraan, jos ne toimivat direktiivin määrittämällä alalla, tai epäsuorasti, jos niiden asiakkaat kuuluvat direktiivin piiriin. Toimitusketjun turvallisuus ja sen toimijoiden väliset suhteet ovat myös osa direktiiviä.

Direktiivin noudattamatta jättämisestä voi seurata sakkoja, jotka voivat olla jopa 10 prosenttia vuotuisesta liikevaihdosta, maineen vahingoittumista ja asiakkaiden luottamuksen menettämistä. Toisaalta NIS2:n noudattaminen voi tuoda etuja, kuten parempaa resilienssiä, innovaatioita ja markkinamahdollisuuksia.

NIS2-direktiivin käyttöönottoon liittyvät esitietovaatimukset ovat monipuolisia ja riippuvat organisaation nykyisestä tietoturvatilanteesta ja valmiudesta. Kurssin osallistujalla olisi hyvä olla perustiedot riskienarvioinnista ja yleisistä tietoturvaprosesseista esim. ISO/IEC 27001.

• Mikä NIS2 on (vs. NIS)
• Keitä NIS2 koskee ja miten
• Muut standardit vs NIS2 (Dora, ISO27, etc…)
• 10 isoa huomioitavaa asiaa: Kyberturvallisuusriskien hallintatoimenpiteet
• Läpikäynti ja ohjeet: Vaaratilanteista ilmoittamista koskevat velvoitteet
• Yhteenveto ja lista toimenpiteistä yrityksille