Mitä kyberturvallisuuslaki konkreettisesti vaatii – yksittäisistä toimista todennettavaan johtamiseen

Kyberturvallisuuslain ydin tiivistettynä 

Kyberturvallisuuslaki asettaa lain piiriin kuuluville organisaatioille velvoitteita erityisesti kuudella osa-alueella: 

1. Ilmoittautumisvelvoite – toimijan on tunnistettava kuuluvansa lain piiriin ja ilmoittauduttava valvovalle viranomaiselle.  
2. Riskienhallintavelvoite – kyberturvallisuuteen liittyvän riskienhallinnan on oltava jatkuvaa, ei kertaluonteista. Riskit on tunnistettava, arvioitava ja hallittava.  
3. Johdon vastuu – johto vastaa riskienhallinnan järjestämisestä, riittävästä resursoinnista ja toiminnan valvonnasta.  
4. Poikkeamien ilmoittaminen – merkittävistä kyberturvallisuuspoikkeamista on ilmoitettava viranomaiselle viipymättä.  
5. Dokumentointivelvoite – pelkkä tekeminen ei riitä, vaan toiminta on pystyttävä osoittamaan jälkikäteen. Dokumentaatiosta tulee ilmetä ainakin riskienhallinnan toimintamalli, valvonnan ja johdon vastuiden määrittely, poikkeamien käsittely ja toimittajahallinnan menettelyt.  
6. Valvonnan ja viranomaisyhteistyön velvoite – organisaation on kyettävä toimittamaan viranomaisille pyydetyt tiedot lain vaatimusten toteutumisesta. 

Näitä velvoitteita yhdistää yksi keskeinen tekijä: todennettavuus. Ilman rakennettua toimintamallia vaatimusten täyttäminen jää sattumanvaraiseksi, eikä sitä pystytä luotettavasti todentamaan. 

12 riskienhallintavelvoitetta – käytännössä hallintajärjestelmä  

Kun kyberturvallisuuslain 12 riskienhallintavelvoitetta puretaan auki, ne ulottuvat koko organisaation toimintaan: 

1. kyberturvallisuutta koskevat riskienhallinnan toimintaperiaatteet ja hallintatoimenpiteiden vaikuttavuuden arviointi 
2. viestintäverkkojen ja tietojärjestelmien turvallisuutta koskevat toimintaperiaatteet   
3. viestintäverkkojen ja tietojärjestelmien hankinnan, kehittämisen ja ylläpidon turvallisuus sekä menettelyt haavoittuvuuksien käsittelemiseksi ja julkistamiseksi   
4. toimitusketjun suorien toimittajien tuotteiden ja palveluntarjoajien palvelujen laatu ja häiriönsietokyky, niihin sisällytetyt hallintatoimenpiteet sekä kyberturvallisuuskäytännöt  
5. omaisuudenhallinta ja sen turvallisuuden kannalta tärkeiden toimintojen tunnistaminen   
6. henkilöstöturvallisuus ja kyberturvallisuuskoulutus   
7. pääsynhallinnan ja todentamisen menettelyt   
8. salausmenetelmiä koskevat toimintaperiaatteet ja tarvittaessa suojatun viestinnän ratkaisut 
9. poikkeamien havainnointi ja käsittely turvallisuuden ja toimintavarmuuden palauttamiseksi ja ylläpitämiseksi   
10. varmuuskopiointi, palautumissuunnittelu, kriisinhallinta ja muu toiminnan jatkuvuuden hallinta 
11. perustason tietoturvakäytännöt toiminnan, tiedon, laitteiden ja ohjelmistojen suojaamiseksi 
12. fyysiseen ympäristöön, tilaturvallisuuteen ja välttämättömien resurssien varmistamiseen liittyvät toimenpiteet 

Lain piiriin kuuluvan toimijan näkökulmasta keskeinen havainto on tämä: edellä olevat riskienhallintavelvoitteet eivät ole irrallisia yksittäisvaatimuksia, vaan ne muodostavat kokonaisen tietoturvallisuuden hallintajärjestelmän, halusi organisaatio sitä tai ei.  

Miksi moni kokee olevansa valmis – vaikka kokonaisuus ei ole vielä hallussa 

Monessa organisaatiossa yksittäiset osa‑alueet voivat olla jo hyvällä tasolla. Teknisiä kontrolleja on toteutettu, prosesseja on kuvattu ja auditointeja on tehty. Haaste syntyy siitä, että kokonaisuutta ei ole koottu yhdeksi johdetuksi ja todennettavaksi malliksi, jota myös johto systemaattisesti ohjaa ja valvoo. 

Kyberturvallisuuslaki ei edellytä sertifioitumista. Käytännössä moni organisaatio kuitenkin huomaa nopeasti, että:  

• lakivaatimukset vastaavat pitkälti ISO/IEC 27001 -standardin rakennetta  
• standardi tarjoaa valmiin ja testatun mallin riskiperusteiseen johtamiseen  
• dokumentaatio, roolit ja vastuut tulevat yhdenmukaisesti hallintaan  
• viitekehys mahdollistaa kolmannen osapuolen tekemän todennuksen, mikä lisää luottamusta sekä organisaation sisällä että sidosryhmissä 

Sertifiointilaitoksen näkökulmasta näemme päivittäin, että organisaatiot, jotka lähestyvät NIS2-vaatimuksia hallintajärjestelmän kautta, selviävät velvoitteista hallitummin ja usein samalla parantavat liiketoimintansa resilienssiä.  

Blogin kirjoittaja:

Johannes Lindell

Turvallisuuden liiketoimintapäällikkö, Kiwa Suomi