NIS2 ja pk-yritys: mitä sinun tarvitsee tietää
EU:n NIS2-direktiivi (2022/2555) tuo riskienhallinnan, raportointivelvoitteet ja johdon vastuun keskikokoisten yritysten arkeen. Käymme läpi kuka kuuluu soveltamisalaan, mitä konkreettisesti vaaditaan ja millä askelilla pk-yritys valmistautuu.
NIS2-direktiivi astui voimaan 16. tammikuuta 2023, ja jäsenvaltioiden tuli saattaa se osaksi kansallista lainsäädäntöä 17. lokakuuta 2024 mennessä. Suomessa direktiivi on toimeenpantu kyberturvallisuuslailla ja sektorikohtaisilla säädöksillä. Käytännössä tämä tarkoittaa, että aiempi NIS1-direktiivin suppea soveltamisala on laajentunut merkittävästi: se kattaa nyt 18 toimialaa, joista 11 on kriittisiä ja 7 muita keskeisiä.
Pk-yrityksen näkökulmasta tämä ei ole pelkkä compliance-harjoitus. Direktiivi rinnastaa tietoturvariskit muihin liiketoimintariskeihin ja siirtää johtoryhmän vastuulle huolehtia siitä, että riskienhallinta, häiriötilanneprosessit ja toimitusketjun turvallisuus ovat kunnossa.
Kuuluuko yrityksesi soveltamisalaan?
NIS2 koskee lähtökohtaisesti keskikokoisia ja suuria yrityksiä (vähintään 50 työntekijää tai yli 10 milj. € liikevaihto) tietyillä toimialoilla. Soveltamisala on jaettu kahteen luokkaan: 'olennaiset' (essential) ja 'tärkeät' (important) toimijat. Olennaisia ovat mm. energia, liikenne, pankki, terveydenhuolto, julkishallinto ja digitaalinen infrastruktuuri. Tärkeitä ovat mm. posti- ja kuriiripalvelut, jätehuolto, kemianteollisuus, elintarviketeollisuus ja digitaaliset palveluntarjoajat.
Pienemmätkin yritykset voivat kuulua soveltamisalaan, jos niillä on kriittinen rooli toimialallaan tai ne tarjoavat välttämättömiä palveluita (esim. ainoa palveluntarjoaja, julkisen viestintäverkon tarjoaja, luotettavuuspalvelujen tarjoaja). ENISAn ohjeistuksen mukaan myös toimitusketjun kautta NIS2-vaatimukset valuvat alihankkijoille, vaikka nämä eivät itse kuuluisi suoraan soveltamisalaan.
- Vähintään 50 työntekijää tai 10 milj. € liikevaihto + kriittinen tai tärkeä toimiala
- Pienempi yritys, joka on ainoa palveluntarjoaja toimialalla tai jolla on kriittinen rooli
- Toimittaja, joka palvelee NIS2-velvoitteen alaisia asiakkaita (epäsuora vaikutus)
Mitä NIS2 konkreettisesti vaatii
Direktiivi listaa 10 vähimmäistoimenpidettä, jotka kaikkien soveltamisalaan kuuluvien organisaatioiden on toteutettava. Nämä eivät ole abstrakteja periaatteita vaan käytännön kontrolleja, joiden olemassaolo tulee voida osoittaa.
Vaatimusten taso skaalautuu yrityksen koon ja riskin mukaan: olennaisilta toimijoilta odotetaan järjestelmällisempää ja dokumentoitua hallintamallia, kun taas tärkeillä toimijoilla painopiste on perustason hallinnassa ja häiriötilanneprosessissa.
- Riskienhallintapolitiikka ja tietojärjestelmien turvallisuusarviointi
- Häiriötilanteiden käsittely ja ilmoitusprosessi (varhaisilmoitus 24 h, päivitys 72 h, loppuraportti 1 kk)
- Liiketoiminnan jatkuvuus ja kriisinhallinta — varmuuskopiointi, palautussuunnitelma
- Toimitusketjun turvallisuus — alihankkijoiden ja palveluntarjoajien arviointi
- Hankintojen, kehityksen ja ylläpidon turvallisuusvaatimukset
- Vaikuttavuuden mittaaminen ja kyberturvallisuuskäytäntöjen arviointi
- Peruskyberhygienia ja koulutus — kaikki työntekijät säännöllisen koulutuksen piirissä
- Salausmenetelmät ja tarvittaessa vahva pääsynhallinta
- Henkilöstöturvallisuus ja pääsynhallintapolitiikka
- Monivaiheinen tunnistautuminen, suojattu viestintä ja hätätilanneviestintäkanavat
Johdon vastuu — uusi merkittävä muutos
NIS2 nostaa kyberturvallisuuden johtoryhmän pöydälle. Direktiivin 20 artikla edellyttää, että johdon jäsenet hyväksyvät riskienhallintatoimenpiteet, valvovat niiden toimeenpanoa ja osallistuvat säännöllisiin koulutuksiin. Henkilökohtainen vastuu on todellinen: vakavissa laiminlyöntitapauksissa johtajille voidaan asettaa väliaikainen toimintakielto vastuullisessa asemassa.
Hallinnollisten sanktioiden taso on huomattava. Olennaisille toimijoille seuraamusmaksu voi olla enintään 10 milj. € tai 2 % maailmanlaajuisesta liikevaihdosta — sen mukaan kumpi on suurempi. Tärkeille toimijoille raja on 7 milj. € tai 1,4 %.
Mistä pk-yritys aloittaa?
Käytännön valmistautuminen kannattaa aloittaa nykytilan arvioinnista. Tämä ei vaadi raskasta auditointia: usein riittää, että käydään läpi 10 vaatimustenmukaisuuskontrollia ja merkitään mikä on kunnossa, mikä puolitiessä ja mikä puuttuu kokonaan. ENISAn julkaisemat ohjeet (ENISA, 'NIS2 Implementation Guidelines', 2024) sekä Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskuksen materiaalit antavat hyvän pohjan tähän.
Tyypillisesti pk-yrityksessä keskeisimmät kuilut löytyvät häiriötilanneprosessista ja toimitusketjun arvioinnista. Häiriönhallinnan dokumentointi — kuka tekee mitä, ketä ilmoitetaan, missä järjestyksessä — on usein hyvin epämuodollinen ja siksi haavoittuva painetilanteessa. Toimitusketjun turvallisuusarviointi taas on monilta uupunut kokonaan, vaikka pilvipalvelut, ulkoistukset ja API-integraatiot muodostaisivat valtaosan teknisestä riskeistä.
Tutustu myös
Tietoturvapalvelut
Antesto Tietoturva — toimistoverkon, työn ja jatkuvuuden suojaus pk-yrityksille.
Lue lisääLiiketoiminnan jatkuvuus
Tietojen suojaus, varmuuskopiointi ja kriisitilanteen palautussuunnitelma.
Lue lisääTietojenkalastelu
Miten tunnistat ja torjut tietojenkalasteluyritykset organisaatiossasi.
Lue lisääUsein kysyttyä
Tarvitsetko apua NIS2-valmistautumiseen?
Autamme pk-yrityksiä kartoittamaan nykytilan, tunnistamaan kuilut ja rakentamaan kevyen mutta dokumentoidun riskienhallinta- ja häiriötilanneprosessin. Aloitus pienin askelin, ei raskaalla projektilla.
Ota yhteyttä