Mitä NIS2 vaatii yrityksiltä?

NIS2-direktiivi edellyttää yrityksiltä toimenpiteitä, jotka voidaan jakaa neljään kategoriaan:

1. Johdon vastuu: Organisaation johdolla on henkilökohtainen vastuu kyberturvallisuusriskien hallintatoimenpiteiden hyväksymisestä ja valvonnasta. Johdon tulee myös sitoutua osallistumaan koulutukseen, joka koskee kyberturvallisuusriskejä ja niiden hallintaa.

2. Riskienhallinta: Organisaation on otettava käyttöön uhkiin nähden riittävät toimenpiteet, joiden avulla ehkäistään kyberuhkia ja minimoidaan niiden vaikutuksia. Direktiivissä määritellään tarkemmin hallintatoimenpiteiden vaatimukset, jotka sisältävät ainakin seuraavat:

• Riskianalyysit

• Tietojärjestelmien turvallisuuspolitiikat

• Liiketoiminnan jatkuvuuden ja kriisien hallinta

• Toimitusketjujen ja toimittajien turvallisuuden varmistaminen

• Kyberhygieniakäytännöt ja kyberturvatietoisuus

• Tietoturvahäiriöiden käsittely ja raportointivelvoitteet

• Verkko- ja tietojärjestelmien hankinnan, kehittämisen ja ylläpidon turvallisuus

• Pääsynhallintaperiaatteet

• Omaisuudenhallinta

• Haavoittuvuuksien hallinnan periaatteet

• Henkilöstöturvallisuus

• Tiedon salauksen ja kryptografian periaatteet

3. Raportointi: Organisaatioiden on ilmoitettava valvovalle viranomaiselle merkittävistä poikkeamista 24 tunnin sisällä siitä, kun tilanne on tullut niiden tietoon. Lisäksi yksityiskohtaisempi raportti on toimitettava viranomaiselle 72 tunnin kuluessa. Lisäraportti on annettava viimeistään kuukauden kuluttua alkuperäisestä poikkeamailmoituksesta. Tarvittaessa häiriöstä tai sen uhasta on myös ilmoitettava palvelujen vastaanottajille.

4. Toiminnan jatkuvuus: Organisaatioiden on suunniteltava, miten ne aikovat varmistaa liiketoiminnan jatkuvuuden kyberhyökkäysten tapauksessa. Tämä suunnitelma tulisi sisältää harkintoja järjestelmän palauttamisesta, hätätilanteiden toimenpiteistä ja kriisinhallintaryhmän perustamisesta.

NIS2 ja tekoäly

Vaikka tekoälyä ei mainita suoraan NIS2-direktiivissä, se voi silti vaikuttaa NIS2:n soveltamiseen. Tekoälyllä on potentiaalia auttaa organisaatioita tunnistamaan ja torjumaan kyberhyökkäyksiä tehokkaammin. Tekoäly voi myös auttaa organisaatioita havaitsemaan tietoturvariskit ja ennakoimaan mahdollisia uhkia paremmin.

Tietoturvakartoitus

Tietoturvakartoituksessamme käydään läpi kaikki tietoturvan osa-alueet:

- Hallinnollinen tietoturva – Tietoturvan johtaminen ja hallinnointi
- Henkilöstön tietoturva – Henkilöstön vastuut, roolit ja ohjeistus
- Toimitilojen tietoturva – Toimitilojen ja laitteiden fyysinen suojaaminen
- Laitteiden tietoturva – Käytettävien laitteiden yleinen suojaaminen
- Ohjelmistojen tietoturva – Käytettävien ohjelmistojen tietoturva
- Tietoliikenteen turvallisuus – Tiedon siirtoon liittyvä turvallisuus
- Tietoaineiston turvallisuus – Tietoa sisältävien dokumenttien käsittely

Saat kartoituksen pohjalta raportin yrityksesi tietoturvan nykytilanteesta sekä ehdotukset toimenpiteistä, joiden avulla yrityksesi tietoturva saadaan halutulle tasolle ja täyttää NIS2:n vaatimukset.