Miten NIS2 näkyy meillä Roivolla ja asiakkaidemme arjessa?
NIS2 on EU:n tietoturvadirektiivi, joka määrittää aiempaa huomattavasti tarkemmin ne toimialat, joiden on pakko laittaa tietoturvansa kuntoon. Lista on pitkä: mukana ovat energian, logistiikan ja terveydenhuollon lisäksi muun muassa valmistava teollisuus, elintarvikeala ja digitaaliset palvelut.
Aiheesta puhutaan paljon, mutta monelle yritykselle se on edelleen todella vieras.
Miksi näin on? Suurin syy on se, että NIS2 tuo mukanaan vaatimuksia, joita ei aiemmin ole monessakaan yrityksessä otettu riittävän vakavasti – tai asioiden kanssa ei vain ole jouduttu olemaan tekemisissä.
Nyt tilanne muuttuu, ja se koskee myös yrityksiä, jotka luulevat olevansa turvassa:
1. NIS2 valuu alihankintaketjuihin: Vaikka yrityksesi ei kokonsa puolesta kuuluisi suoraan lain piiriin, isommat asiakkaasi todennäköisesti kuuluvat. He alkavat pian vaatia samaa tietoturvatasoa myös teiltä tai sopimukset katkeavat.
2. Johdon henkilökohtainen vastuu: NIS2 velvoittaa yhtiön johdon ja hallituksen suoraan vastuuseen, jos jotain sattuu. Laiminlyönneistä viranomainen voi pahimmillaan määrätä johdolle jopa määräaikaisia toimintakieltoja. Johto on myös velvollinen varmistamaan etukäteen, että asiat ovat kunnossa, jotta mahdolliset häiriöt ja kalliit tuotantokatkokset pystytään ennaltaehkäisemään.
Miten johto voi olla mukana IT-kehityksessä? Olemme olleet ja olemme mukana monissa yrityksissä, joissa IT-asiat eivät välttämättä ole olleet mitenkään ”salonkikelpoisia”. Todellisuus on usein se, että asiat ovat levällään: sopimukset ja SLA-tasot ovat epämääräisiä, eikä kukaan oikein tiedä, mitä IT-toimittaja todellisuudessa valvoo ja mistä kukakin vastaa.
Tässä kohtaa on hyvä nostaa käsi pystyyn ja todeta tilanne realistisesti: omalla henkilökunnalla on päästy tähän asti hienosti, mutta tietyssä muutosvaiheessa tarvitaan ulkopuolinen henkilö selvittämään tilanne ja ottamaan johtajuus haltuun.
Me Roivolla laitamme yrityksen infran ja tietohallinnon prosessit kuntoon. Käymme vastuut läpi koko ketjussa: IT-toimittajan pöydältä aina yrityksen omaan johtoon asti. Työ ei tapahdu hetkessä, riippuen lähtötilanteen laajuudesta ja käytettävästä IT-budjetista se voi viedä muutamasta kuukaudesta vuosiin.
Yrityksen johdon vastuulla on tiedostaa nykytilanne. Siitä pitää tehdä selkeä kirjallinen tilannekuva ja IT:n kehityssuunnitelma. Me teemme yritykselle esityksen niin IT-budjetista kuin IT-strategiastakin ja linkitämme sen suoraan yhtiön omaan liiketoimintastrategiaan. Näin saamme yhdessä aikaan selkeän, eteenpäin vievän kokonaissuunnitelman.
Mistä tiedät, onko yhtiösi NIS2-velvollinen? NIS2-työ kannattaa aina aloittaa ulkopuolisen, puolueettoman kumppanin kanssa. Olen itsekin kuullut tilanteesta, jossa IT-toimittaja oli kertonut asiakkaalleen, ettei yhtiö kuulu NIS2-piiriin, mutta Traficom linjasi virallisesti asian suoraan toisinpäin. Tämän vuoksi asiat on syytä selvittää kunnolla ja hyvissä ajoin.
Entä ne sanktiot? Totta se on: jos asiat on laiminlyöty tai jätetty kokonaan tekemättä, sanktiot ovat todella kovat. Direktiivin mukaiset sakot voivat nousta jopa 7–10 miljoonaan euroon tai 1,4–2 prosenttiin koko konsernin liikevaihdosta, puhumattakaan siitä mainehaitasta ja asiakaskadosta, jos järjestelmät kaatuvat tai tiedot vuotavat.
Suomessa ei tietääkseni ole vielä sanktioitu ketään, sillä NIS2 hakee meillä vasta paikkaansa ja sitä ajetaan parhaillaan käytäntöön yhdessä Traficomin virkamiesten kanssa.
Odottelemaan ei silti kannata jäädä. Jos haluat varmistaa, missä kunnossa yrityksesi IT-johtaminen ja vastuut oikeasti ovat, aloita helpoimmasta: Roivon palveluissa voit kartoittaa oman IT-ympäristösi IT365-palvelussa, voit kilpailuttaa IT-toimittajasi tai ostaa palveluna IT-johtamista Interim CIO-palvelun kautta. Me autamme sinua ja olemme varmasti puolellasi!
Tee nopea pikatesti: Testaa organisaatiosi IT-tila (3 min)
Ota suoraan yhteyttä: Voit soittaa tai varaa 30 min sparraus kanssani
Kommentit