Asiantuntija: ”NIS2-direktiivi on hyvä mittatikku jokaisen teollisuusyrityksen kyberturvalle”

Euroopan unionin kyberturvallisuusdirektiivi NIS2 on merkittävä askel kohti parempaa ja yhdenmukaisempaa kyberturvallisuuden tasoa koko EU-alueella. Direktiivin tavoitteena on vastata nykyiseen, nopeasti kehittyvään kybertoimintaympäristöön. Uudet ohjeet koskevat suoraan vain osaa teollisuuden toimijoista, mutta myös direktiivin ulkopuolelle jäävät yritykset saavat sen vaatimuksista selkeät suuntaviivat kyberturvallisuutensa kehittämiseen.

Vuoden 2025 huhtikuussa voimaan tullut NIS2-direktiivi velvoittaa kriittisten alojen toimijat pitämään toimintamallinsa päivitettyinä, jotta ne ovat paremmin varautuneita kyberriskeihin. Organisaatiolta vaaditaan lisäksi nopeaa raportointia merkittävistä kyberturvan poikkeamista.

Aiemman NIS1-direktiivin piiriin kuuluivat muun muassa energiahuolto, vesihuolto, digitaalinen infrastruktuuri ja digitaaliset palveluntarjoajat. Uuden version velvollisuudet koskevat lisäksi keskisuuria ja suuria yrityksiä kemikaali- ja elintarviketeollisuudessa ja joissain valmistavan teollisuuden osissa.

– NIS2-direktiivi ei koske läheskään kaikkia teollisuuden aloja, mutta se on kaikille yrityksille hyvä mittatikku kyberturvan parantamiseen. Direktiivin vaatimukset kattavat laajasti riskienhallinnan eri osa-alueet ja auttavat hahmottamaan mahdollisia vaaran paikkoja, neuvoo myyntijohtaja Jussi Eho Schneider Electriciltä.

Teollisuudelle kehittymisen paikka

Teollisuuden digitaalinen kehitys on mullistanut nopeasti aiemmat toimintamallit. Uuden teknologian avulla teollisuuslaitoksista saadaan kerättyä dataa, jota voidaan käyttää esimerkiksi pilvilaskentaan ja mallintamiseen. Älykkäät ja verkottuneet tuotteet tuovat lisäarvoa, mutta ovat myös alttiimpia kyberhyökkäyksille.

Eho kuitenkin muistuttaa, että vanhentuneet järjestelmät ja ohjelmistot ovat vähintään yhtä suuri riski tuotannon häiriintymiselle. Vanhentuneisiin ratkaisuihin ei aina ole saatavilla päivityksiä ja teknistä tukea, ne eivät välttämättä ole yhteensopivia uusien turvatekniikoiden kanssa tai niihin ei ole alun perinkään suunniteltu riittäviä kybersuojauksia.

Uudistuksissa kannattaa pitää NIS2-direktiivi mielessä, vaikka oma teollisuusyritys ei kuuluisikaan sen suoraan soveltamisalaan.

– Muun muassa komponentteja ja järjestelmiä toimittavat teollisuusyritykset joutuvat nyt suurennuslasin alle, sillä asiakkaat ja kumppanit voivat vaatia toimittajilta NIS2-tason riskienhallintaa ja tietoturvakäytäntöjä.

Eho neuvoo huomioimaan vähintään nämä seikat teollisuusyrityksen kyberturvallisuuden parantamisessa:

• Vanhojen järjestelmien vaihtaminen uusiin. Kyberturvallisuus paranee ja samalla modernit ratkaisut vahvistavat yrityksen kilpailukykyä pitkälle tulevaan. Nykyaikaisiin teollisiin automaatiojärjestelmiin voi yhdistää runsaasti ohjelmistoja, jotka auttavat tehostamaan tuotantoa ja säästämään energiaa.
• Ajantasaiset toimintamallit. Viestintäverkkojen ja tietojärjestelmien kyberturvan riskienhallintaan tehdyt toimintamallit auttavat reagoimaan nopeasti yllättäviin tilanteisiin.
• Toimitusketjun huomioiminen. Direktiivin vaikutukset ulottuvat laajasti eri toimialoille, sillä direktiivin piirissä olevien yritysten on huolehdittava myös siitä, että toimitusketjussa olevien välittömien toimittajien tuotteet ja palveluntarjoajat ovat tietoturvaltaan korkealla tasolla.
• Fyysisten ympäristöjen suojaaminen. Digitaaliset ympäristöt ovat alttiita kyberriskeille, mutta myös fyysiset ympäristöt tulee suojata häiriöiden ja hyökkäysten varalta.
• Henkilöstön kouluttaminen. Heikosti tietoturvaan perehtyneet käyttäjät ovat merkittävä riski kyberturvalle, joten tiedottamisella ja kouluttamisella on merkittävä rooli.

Lisätietoja:

Jussi Eho, myyntijohtaja, Schneider Electric 

jussi.eho@se.com