EU:n kyberturvallisuusdirektiivi (NIS2) astuu voimaan 2024: “Yrityksissä ei olla vielä ymmärretty direktiivin vaikuttavuutta”

• NIS2-direktiivin vaatimukset saavat GDPR:n kuulostamaan lastenleikiltä. Silti yrityksissä ei olla herätty valmistelutyöhön eikä valtakunnan media ole huomioinut aihetta mielestäni riittävästi. Seuraamukset kyberturvallisuusdirektiivin rikkomuksista voivat olla vakavat ja etenkin ylimmän johdon on syytä ymmärtää vastuunsa, Elmon toimitusjohtaja Janne Aaltonen painottaa.

Sanktioita jopa 10 miljoonan euron edestä

Kyberturvallisuusdirektiivi edellyttää, että suurissa ja keskisuurissa yrityksissä on lokakuusta 2024 lähtien käytössä tietoturvan hallintajärjestelmä ja todennetut tietoturvakäytänteet. Velvoitteita on niin riskienhallinnalle, raportoinnille kuin tietoturvapoikkeamista tiedottamiselle.

Suurten yritysten kohdalla valvontaa tullaan tekemään ilman ennakkovaroitusta. Keskisuurten kohdalla valvontaa tehdään vain, jos on syytä epäillä tietoturvarikkomusta. Suurimmillaan sanktio voi olla jopa 10 miljoonaa euroa.

• Jo GDPR:n kohdalla sanktioita jaettiin reilulla kädellä, joten organisaatiot ovat vaarallisilla vesillä, jos pää laitetaan matalaksi ja toivotaan, ettei seula osu omaan organisaatioon.

• Teema on myös moraalinen: tässä maailmantilanteessa jokainen yritys on velvollinen huolehtimaan, ettei verkkorikollisuus pääse leviämään, Aaltonen sanoo.

Tietoturvakartoitus on vasta alkua – tarvitaan ratkaisuun eteneviä toimintamalleja

Aaltosen luotsaama Elmo pitää kotipesän kunnossa: ICT-talo läpäisi heinäkuussa auditoinnin, jossa talolle myönnettiin ensimmäisenä Suomessa maailman tunnetuimman tietoturvastandardin uudistettu sertifikaattiversio, ISO 27001:2022.

NIS2-vaatimuksiin nähden ISO 27001-standardi antaa oivat lähtökohdat: standardin mukaisesti tehty tietoturvan hallintajärjestelmä kattaa kaikki uuden direktiivin vaatimukset. Siksi Elmon tarjoama ratkaisu nojaa ISO-standardiin.

• Moni tarjoaa nyt konsultointia tietoturvaympäristön arviointiin, mutta analyysi nykytilasta ei vielä poista ongelmaa. Siksi tarjoamme mallin, jossa organisaatio talutetaan loppuun asti, NIS2-yhteensopivaksi. Parhaimmillaan pystymme tekemään tämän kolmessa kuukaudessa, Aaltonen kertoo.