Ovatko johtajat henkilökohtaisesti vastuussa NIS2:n mukaan?
NIS2-direktiivi ei sääntele vain sitä, mitä organisaation on teknisesti ja organisatorisesti tehtävä, vaan se puhuttelee myös johtoa itseään. Direktiivi edellyttää johtajilta, että he hyväksyvät riskienhallintamenettelyt, valvovat niiden täytäntöönpanoa ja osallistuvat niihin liittyvään koulutukseen. Tämä on eri rooli kuin IT-osastolla tai ulkoisella toimittajalla on, eikä tätä roolia voi siirtää eteenpäin.
Se, johtaako tämä yksittäisen johtajan henkilökohtaiseen vastuuseen, riippuu direktiivin täytäntöönpanevasta kansallisesta laista ja maan laajemmasta yhtiöoikeudesta, jossa organisaatio sijaitsee. Alankomaihin tämä liittyy kyberturvallisuuslakiin ja olemassa oleviin sääntöihin johtajien vastuusta huolimattomasta johtamisesta. Jos haluat tietää, mitkä kohdat ovat tarkkaan säädettyjä ja mitkä vielä kehittyvät, on parasta kääntyä lakimiehen puoleen; tämä artikkeli kuvailee päälinjan, ei sinun henkilökohtaista tilannettasi.
Mitä direktiivi johdolta vaatii
NIS2:sta johtuva huolellisuusvelvoite koostuu kahdesta toisiaan täydentävästä kerroksesta. Ensimmäinen kerros on organisaatio: kymmenen menettelyä, jotka muodostavat kyberturvallisuuskansiosi, pääsynhallinnasta vaaratapahtumien käsittelyyn. Toinen kerros on johto: sen on tunnettava nämä menettelyt, hyväksyttävä ne ja seurattava niitä. Tämä ei tarkoita, että johtajien on ymmärrettävä tekniikkaa yksityiskohtaisesti, mutta sen on tiedettävä, millaisia riskejä organisaatio kohtaa, mitä valintoja on tehty ja noudatetaanko näitä valintoja. Jos haluat tietää tarkkaan, mitkä menettelyt ovat kyseessä, löydät yleiskatsauksen osoitteesta yleiskatsaus kaikista NIS2-aiheista.
Miksi tätä ei voi ulkoistaa
On täysin tavallista, että organisaatio siirtää turvatoimien täytäntöönpanon IT-toimittajalle, hallinnoiduille palvelun tarjoajille tai sisäiselle turvallisuuspäällikölle. Se on sallittua, ja monille pienille ja keskisuurille yrityksille se on myös ainoa realistinen tapa. Mutta direktiivi tekee eron täytäntöönpanon ja vastuun välille. Toimittaja voi hallita palomuuria, asettaa salasanakäytäntöä tai ajaa varmuuskopiota; johto on se, jonka on pystyttävä osoittamaan tietävänsä, mitä tapahtuu, ja että on tehnyt siihen liittyen tietoisen valinnan. Toimittajan kanssa tehty sopimus sääntää täytäntöönpanoa, ei johtoon liittyvää osallistumista, jota direktiivi vaatii.
Tämä liittyy myös toimitusketjun aiheeseen. Organisaation, joka itse kuuluu NIS2:n soveltamisalaan, on valvottava riskejä, joita toimittajat tuovat mukanaan — näinpä pienet ja keskisuuret yritykset saavat turvallisuuskyselylomakkeita tilaajilta. Sama logiikka koskee sisäisesti: johto valvoo, mitä oma organisaatio tekee, myös silloin kun työ tehdään muualla.
Mitä valvonta käytännössä tarkoittaa
Valvonta ei ole kysymys yksittäisen asiakirjan allekirjoittamisesta. Direktiivi puhuu menettelyjen hyväksymisestä ja koulutuksesta, mikä viittaa siihen, että tämä on toistuva prosessi: tarkastellaan säännöllisesti, ovatko menettelyt edelleen järkeviä, ovatko ne toteutettu, ja onko tapahtunut muutoksia, jotka edellyttävät säätöjä. Johtajalle, jolla ei ole teknistä taustaa, käytetyimmin työkelpoinen muoto on yleensä kiinteä yleiskatsaus: mitkä menettelyt ovat, mikä on niiden status, kuka omistaa, ja mitkä todisteet liittyvät niihin. Ilman tällaista rekisteriä valvonnan osoittaminen on vaikeaa, vaikka se olisikin käytännössä tapahtunut.
Mitä tiedämme varmasti ja mitä ei
Direktiivi itse kuvaa johtorooleja Euroopan tasolla; miten tämä osuu vastuullisuusoikeuteen, vaihtelee maittain, eikä kansallinen lainsäädäntö ole kaikkialla tullut voimaan samaan aikaan. Valvontaviranomaiset julkaisevat asiasta omia tulkintojaan, ja nämä tulkinnat voivat muuttua. Seuraamme tätä maakohtaisesti ja lähdekohtaisesti päivämäärän kanssa, jolloin näimme julkaisun; miten tämä lähdekartoitus tarkkaan ottaen toimii, selitetään osoitteessa sivu siitä, miten seuraamme lähteitä. Jotta saataisiin arvio tietyn johtajan henkilökohtaisesta vastuusta tietyssä organisaatiossa, oikea yhteyspiste on lakimies tai toimivaltainen valvontaviranomainen.
Mitä voit dokumentoida
Vaikka henkilökohtaisesta vastuusta ei olisikaan täydellistä oikeudellista varmuutta, on paljon käytännöllistä työtä tehtävää: dokumentoi mitkä toimenpiteet on otettu, kuka niitä hallinnoi ja milloin johto niistä viimeksi keskusteli. Juuri siihen tarkoitukseen cyber-dossier on tarkoitettu — elävä rekisteri kertakertaisen raportin sijasta. Haluat ensin tietää, kuuluuko organisaatiosi suoraan velvollisuuden piiriin vai kosketaanko sitä toimitusketjun kautta, niin ilmainen NIS2-tarkistus antaa muutamassa kysymyksessä ensimmäisen viitteen sekä selityksen siitä, miksi.
Aloita siitä, missä olet nyt: tutustu ilmaiseen NIS2-tarkistukseen tai selaa tietovarastoa nähdäksesi, mitkä aiheet ovat organisaatiollesi merkityksellisiä.