Asiantuntija varoittaa: Yritysten tieto- ja kyberturvan aukot uhkaavat Suomen kokonaisturvallisuutta – ”nyt on viimeinen hetki herätä”

Keskeiset suomalaiset tietoturva-alan yhtiöt aloittavat uudenlaisen yhteistyön, jonka tavoitteena on auttaa suomalaisia yrityksiä varautumaan lisääntyvään vihamieliseen häirintään ja kyberrikollisuuteen sekä helpottaa yritysten valmistautumista kiristyviin tieto- ja kyberturvavaatimuksiin.

Moni suomalaisyritys joutuu lisäämään merkittävästi investointejaan tieto- ja kyberturvaan kiristyvän EU-sääntelyn vuoksi seuraavan kahden vuoden aikana.

Uuden yhteistyöryhmän perustajat ovat: Netox, Nixu, GoFore, Insta, Wärtsilä, WithSecure, TietoEvry, SSH, Loihde, Cyberwatch Finland, Vectra, Mideye ja Teknologiateollisuus.

Yritysryhmä jakaa tietoa ja parhaita käytänteitä sekä kansantajuistaa uusien sääntelykokonaisuuksien vaatimuksia.

Candelin on huolestunut vallitsevasta tavasta poteroitua ja tehdä vain se, mikä on vähimmäisvaatimuksena

”Tarvitsemme tieto- ja kyberturvan tasonnoston, joka ei saa perustua juristivetoiseen sääntelyvaatimusten tulkitsemiseen. Suomalaisten yritysten rooli kokonaisturvallisuudessa on huomattava. Meillä on edessä rajusti töitä, että Suomessa pysyy valot päällä tulevaisuudessakin”, Finnish Information Security Clusterin (FISC) hallituksen puheenjohtaja ja Netox Oy:n tutkimusjohtaja Niko Candelin sanoo.

FISC edustaa suomalaisia tietoturva-alan yhtiöitä Teknologiateollisuus ry:ssä.

Yrityksille uudet vaatimukset

NIS2-sääntely laajentaa huomattavasti kriittisten toimijoiden määritelmää.

Jatkossa esimerkiksi yhteiskunnan kannalta kriittisiä palveluita ja teknologiaa toimittavan yhtiön alihankintaketjussa olevat yhtiöt kuuluvat kriittisten toimijoiden määritelmän piiriin. 

NIS2-direktiivi astuu voimaan lokakuussa 2024.

Vuonna 2025 voimaan astuva CRA-direktiivi puolestaan vaikuttaa kaikkiin yrityksiin, jotka valmistavat tai tuovat markkinoille tietoverkkoon kytkettäviä laitteita tai ohjelmistoja. Tämä koskee esimerkiksi laajasti valmistavaa teollisuutta Suomessa.

Yritysten vastuulla on selvittää, kuuluuko yritys NIS2:n kriittisen toimijan määritelmän tai CRA-asetuksen piiriin.

Mikäli direktiivin ja tulevan kansallisen lainsäädännön vaatimukset eivät täyty, yritykselle voidaan langettaa sakko, tai toiminta voidaan keskeyttää turvallisuuspuutteiden vuoksi.

Candelin painottaa, että tieto- ja kyberturvassa ei ole kyse vain siitä, että yritykset osaavat tulkita lakipykälien vähimmäistason.

”Pelkona on, että toistamme jälleen GDPR:n virheet. Silloin yritykset tekivät omia ratkaisujaan pitkälti juristivetoisesti, eikä sääntelystä, sen vaikutuksista tai parhaista käytänteistä syntynyt yhteisymmärrystä yritysten välille. Nyt uhkatekijät ovat niin vakavia, että tätä virhettä emme halua toistaa”, Candelin sanoo.

Candelin peräänkuuluttaa laajaa keskustelua yritysten tieto- ja kyberturvan merkityksestä osana Suomen kokonaisturvallisuutta.

Merkittävä osa Suomen kriittisestä infrasta on yksityisessä omistuksessa.

”Nyt viimeistään on yritysten herättävä uusiin uhkiin. Kyse ei ole vain suoraan huoltovarmuuskriittisestä toiminnasta vastaavista yhtiöistä, vaan jatkossa esimerkiksi valmistavassa teollisuudessa alihankintaketjun yritykset ovat uuden sääntelyn piirissä: jos toimitat alihankkijana komponentin huoltovarmuuskriittiselle asiakkaalle, olet osa kriittisten toimijoiden verkostoa, kokonaisturvallisuutta ja uuden lainsäädännön vaatimusten piirissä”, Candelin kertoo.

”Huoltovarmuuskriittistä infraa ylläpitää kymmenkertainen määrä organisaatioita ja satakertainen määrä työntekijöitä julkiseen sektoriin verrattuna. 80 prosenttia Suomen huoltovarmuuskriittisestä infrastruktuurista on yksityisessä omistuksessa”, Candelin sanoo.

Suomalaisten tietoturva-alan yritysten yhteistyössä kehittämät toimintamallit ja parhaat käytänteet yritysten kyber- ja tietoturvan tason parantamiseksi julkaistaan vuoden 2024 ensimmäisellä neljänneksellä.