Euroopan unionin päivitetty NIS-direktiivi tiukentaa tietoturvakäytäntöjä EU-alueella. Direktiivissä määritellään kyberturvallisuuteen sekä siihen liittyvien häiriöiden raportointia koskevia velvollisuuksia. Uusi NIS2-direktiivi astuu voimaan lokakuussa 2024.
NIS2-direktiivi määrittelee yhteiskunnallisesti kriittiset toimialat, joiden piirissä olevien yritysten on huomioitava uudet vaatimukset. Se kattaa suuren määrän toimijoita, mukaan lukien kriittisen infrastruktuurin tarjoajat ja toimijat esimerkiksi energia- ja terveysaloilla, liikenteessä, julkishallinnossa sekä valmistavassa teollisuudessa.
Kaikkien kriittisten toimialojen piirissä olevien keskisuurten ja suurten yritysten on siis huomioitava sääntely – myös pienempien toimijoiden, kun ne toimivat esimerkiksi osana NIS2-sääntelyn alaista arvoketjua. Vaikka direktiivin tuomat käytännön ohjeistukset tarkentuvat työn edetessä, organisaatioiden tulisi jo nyt edistää tehokkaita tietoturvakäytäntöjä.
Velvollisuudet koskettavat kyberturvallisuutta yrityksen koko arvoketjussa, mukaan lukien alihankkijat ja toimittajat myös EU:n ulkopuolella. Direktiivin vaikutuspiirissä voivat siis olla myös sellaiset organisaatiot, joita sen vaatimukset eivät kosketa suoraan.
Huomionarvoista on se, että uudessa direktiivissä vastuu tarvittavista kyberturvallisuusrakenteista on henkilökohtaisesti ylimmällä johdolla, ja mahdolliset sanktiot velvollisuuksien laiminlyönnistä voivat olla jopa 2 % liikevaihdosta. Vaikka direktiivi ei määrittele sitovia vaatimuksia käytännön tasolla, yritysten on jatkossa toteutettava tietoturvaa tiettyjen toimintamallien mukaisesti ja omaan ympäristöönsä soveltaen. ISO 27001 -sertifiointi takaa yrityksille vaatimusten noudattamisen, mutta myös kevyemmällä tietoturvanhallintajärjestelmällä voi luoda kattavan pohjan riittävän tietoturvaympäristön luomiseen, jos sertikaattia ei yritykseltä löydy.
Uusiin vaatimuksiin vastaaminen on hyvä aloittaa tarkastelemalla kriittisesti organisaation olemassa olevia käytäntöjä: mitä vaaditaan, jotta tietoturva saadaan kestävälle ja direktiivinmukaiselle tolalle? DevSecOpsin mukaisesti turvallisuusnäkökulma tulisi ottaa mukaan alusta alkaen osaksi ohjelmistokehitystä ja teknisten ratkaisujen soveltamista.
Teknologisten ratkaisujen valinnassa on tehokasta soveltaa ekosysteemiajattelua: esimerkiksi Microsoft-ympäristössä toimivalle organisaatiolle voidaan luoda Microsoft Defender XDR -tuoteperheen avulla monitasoinen valvontajärjestelmä kaikille laitteille ja IT-järjestelmille. Defender XDR on perusteltu ratkaisu, jos yrityksessä on käytössä esimerkiksi Windows-työasemia tai M365, vaikkei organisaatio olisikaan sitoutunut Microsoft Azuren käyttöön pilvipalveluissa.
Microsoft Defender XDR:ssä voidaan toteuttaa muun muassa seuraavaa:
Defender XDR:n avulla kyberturvallisuutta tukevia käytäntöjä ja tietoja voidaan keskittää helposti pilveen. Prosessien automatisoiminen Defender XDR -tuoteperheen avulla myös minimoi manuaaliseen työhön liittyvät riskit ja mahdollistaa nopean reagoinnin mahdollisen hyökkäyksen kriittisten ensimmäisten minuuttien aikana.
Jos aiemmin on painotettu sisäverkon, palomuurien ja VPN:n merkitystä kyberriskien hallinnassa, nyt panostetaan toimintaympäristön arkkitehtuuriin, jossa riskit minimoidaan monitasoisesti. NIS2-direktiivissä määritellään, että organisaatioiden on perustettava ja dokumentoitava kyberturvallisuuden toimintamalli, jossa huomioidaan kaikki vaaratekijät.
Esimerkiksi Zero Trust -suojausmallissa keskitytään organisaation kyberturvallisuuden monitasoiseen suojaamiseen sekä ennakoiviin rakenteisiin. Zero Trust -suojausmallissa – jonka nimi jo kertoo ajattelutavasta olennaisen – toimitaan sillä oletuksella, että tietomurrot ovat aina mahdollisia, ja niihin täytyy varautua jokaisen järjestelmän osalta. Työntekijöiden näkökulmasta suojausmalli tuo mukanaan arkea helpottavia muutoksia: käytät yrityksen järjestelmiä juuri samalla tavalla toimistolta, kotikonttorilta tai vaikka kahvilasta käsin. Zero Trust noudattaa kolmea ohjaavaa periaatetta:
Luotettava kumppani on usein hyvä ratkaisu alkukartoitukseen ja toteutukseen, jos vaadittavaa osaamista ei löydy talon sisältä. Pinja toteuttaa monipuolisesti tietoturvapalveluita penetraatiotestauksesta aina eri ratkaisujen, kuten Microsoft Defender XDR:n tuotteiden, käyttöönottoon yrityksissä – myös muissa kuin Microsoftin ympäristössä toimivissa organisaatioissa. Raportoimme havainnoistamme ja annamme suosituksia kyberturvallisuuden parantamiseksi organisaation sisällä.
Mietityttävätkö NIS2-direktiivin merkitys ja oman organisaatiosi kyberturvallisuuden taso? Ota yhteyttä, niin pohditaan tilannetta yhdessä ja etsitään parhaat ratkaisut.
Microsoftin tuoteperhe, jolla voi luoda kokonaisen ympäristön tietoturvatoiminnoille.
Sen avulla voi mm.
Tietoturvaa ohjaava ajattelumalli, jonka avulla voidaan vastata nykyaikaisen toimintaympäristön haasteisiin. Sillä pureudutaan laitteiden suojaamiseen, kyberuhkien vähentämiseen ja ennakoivaan toimintaan hyökkäyksien ehkäisemisessä.
Mitä valmistavassa teollisuudessa pitää tietää DevSecOps-toimintamallista? Poimi neljä tärppiä omaan organisaatioon
Ohjelmistokehitys ja kumppanuus palvelusivusto
Finnish Information Security Cluster (FISC) – Kyberala ry:n EU:n verkko- ja tietoturvallisuusdirektiivi NIS2:n kansallisen soveltamisopas
Tietoturvapalveluiden asiantuntijapalvelut - varmista liiketoimintasi jatkuvuus