Kuinka NIS2-vaatimuksiin vastataan MKB-yrityksessä ilman vuoden mittaista projektia?
Lyhin reitti ei ole laajan suunnitelman kirjoittaminen, vaan aloittaminen siitä, mitä on jo olemassa. Useimmissa MKB-yrityksissä on jo salasananhallinnan periaatteet, varmuuskopioinnin aikataulu, luettelo siitä, kenellä on pääsy mihin järjestelmiin, ja IT-vastuuhenkilö. Se ei ole täydellinen kyberturvallisuusperiaate, mutta se on asiakirja-aineiston lähtökohta: kunkin toimenpiteen osalta dokumentoidaan, mikä on sen tila, kuka on siitä vastuussa ja mikä todiste osoittaa, että se todella toteutetaan.
Asiakirja-aineiston rakentaminen tällä tavalla ei ole kuukausia kestävä projekti. Se on luettelo, jonka avaat tänään ja joka kasvaa työn kuluessa: yksi toimenpide on jo kirjalla, seuraava lisätään tänä kuussa. Ei ole hetkeä, jolloin se olisi "valmis", eikä sitä olekkaan tarkoitus. NIS2-direktiivin ja sen kansallisten täytäntöönpanolakien edellyttämä huolellisuusvelvollisuus ei ole kertaluonteinen toiminto vaan jatkuva käytäntö. Elävä asiakirja-aineisto sopii siihen paremmin kuin paksua asiakirjaa, joka katoaa mappiin sen jälkeen kun se on toimitettu.
Aloita siitä, mitä on jo olemassa, älä tyhjältä sivulta
Monet yritykset luulevat, että heti kun NIS2-sana kuuluu, alusta alkaen aloitetaan. Näin harvoin on. Asennusyrityksen asiakkaiden järjestelmiin pääsyllä on jo tavallisesti sovitut säännöt, henkilöstöosastolla on prosessi pääsyn peruuttamiseksi työsuhteen päättyessä, ja lähes jokaisella yrityksellä on jokin varmuuskopioinnin muoto, vaikka se ei olekaan dokumentoitu "varmuuskopioinnin periaatteena". Ensimmäinen vaihe ei siis ole kirjoittaminen, vaan selvitys: mitä teemme jo, missä se on dokumentoitu ja kuka voi sen osoittaa.
Vasta sitten tulee kysymys siitä, mitä osia puuttuu. Se säästää paitsi aikaa myös ehkäisee kaksinkertaisen työn tai periaatteiden laatimisen asiasta, joka käytännössä jo toimii kunnolla, vaikkakin ei ole vielä näkyvää. Jos haluatte ensin tietää, kuuluuko organisaationne lainkaan tämän piiriin tai tavoittaako teidät vaatimus toimitusketjun kautta, sen näkee muutamalla kysymyksellä, missä noin olette, ilman että joudutatte hankkimaan mitään.
Yksi toimenpide, yksi tila, yksi vastuuhenkilö, yksi todiste
Toimivan asiakirja-aineiston ydin on yksinkertainen: kunkin toimenpiteen kohdalla neljä kiinteää kenttää. Tila kertoo, onko jokin järjestetty, järjestetty osittain vai vielä tehtävä. Vastuuhenkilö on henkilö, joka siitä vastaa, ei välttämättä johtaja itse. Todiste on se, joka osoittaa toimenpiteen olemassaolon: aikataulu, järjestelmän vienti, allekirjoitettu asiakirja. Ilman näitä neljää kenttää asiakirja-aineisto jää hyviä aikeita kokoelmaksi; niiden kanssa se muuttuu asiaksi, jolla voit vastata asiakkaan turvallisuuskysymyslistaan, koska sinun ei tarvitse improvisaattaa vaan voit viitata siihen, mitä on jo dokumentoitu.
Tämä rakenne toimii hyvin myös siksi, että sinun ei tarvitse hoitaa kaikkea kerralla. Voit aloittaa toimenpiteistä, joiden osalta sinulla on jo eniten, jotka on nopeaa hoitaa kuntoon, ja ottaa loput asteittain käsittelyyn. Yhteenvedon siitä, mitä toimenpiteitä huolellisuusvelvollisuus tarkkaan ottaen edellyttää ja mitä niihin sisältyy, löydät kunkin tilanteen yksityiskohtaisista aiheista.
Miksi tämä etenee nopeammin kuin kuulostaa
Käsitys siitä, että NIS2 on vuoden mittainen projekti, syntyy usein siksi, että ihmiset ajattelevat täydellistä periaateasiakirjaa, joka täytyy valmistaa kerralla. Elävä asiakirja-aineisto toimii päinvastoin: se alkaa pienestä ja epätäydellisestä, ja päivitetään automaattisesti aina, kun organisaatiossanne tapahtuu muutoksia, koska kuitenkin teette sitä työtä. Uusi toimittaja, eri pääsyjärjestelmä, uusi työntekijä valtuuksineen — jokainen hetki on luonnollinen paikka päivittää asiakirja-aineistoa sen sijaan, että tehtäisiin kaikki uudelleen kerran vuodessa.
Mitä asiakirja-aineisto tuottaa ja mitä ei
Ylläpidetystä asiakirjakokoelmasta saadaan tarvitsemanne asiakirjat: itse laatimasi politiikka, vastaukset hankkijoiden kyselyihin ja valmiit tekstit rekisteröintiä tai ilmoitusta varten valvontaviranomaiselle. Kyseisen ilmoituksen tai rekisteröinnin toimittaminen valvontaviranomaisen portaaliin on kuitenkin tehtävä itse; asiakirjakokoelma valmistelee sen, mutta ei hoida lähettämistä. Asiakirjakokoelma ei myöskään korvaa auditointia, penetraatiotestausta tai sertifiointia — nämä jäävät erityisosaamista omaavien osapuolten tehtäviksi, samoin kuten poikkeaman hallinta, jos todella tapahtuu jotain odottamatonta.
Joka haluaa tietää tarkasti, miten tällainen asiakirjakokoelma laaditaan ja mitä lähteitä käytetään, lukee sen sivulta mistä alustan tiedot tulevat. Oman organisaation tilanteen ja siihen liittyvien oikeudellisten seuraamusten osalta asianajaja tai toimivaltainen valvontaviranomainen on aina oikea yhteyshenkilö.
Haluatteko nähdä, missä tilanteessa organisaationne tällä hetkellä on, suorittakaa ilmainen NIS2-tarkistus tai selatkaako aiheiden joukossa niitä, jotka sopivat parhaiten tilanteeseen.