ISO 27001 -sertifikaatti auttaa osoitettavasti Direktiivin (EU) 2022/2555 riskienhallinnan velvoitteen täyttämisessä, mutta ei kata sitä täysin. Normi kuvaa, kuinka organisaatio lähestyy tietoturvan hallintaa systemaattisesti hallintajärjestelmän kautta; direktiivi (EU) 2022/2555 (erityisesti 21. artikla) määrittelee, mitkä konkreettiset toimenpiteet kriittisen tai tärkeän yksikön on toteutettava, ja 23. artikla velvoittaa ilmoittamaan poikkeamista kansalliselle valvontaviranomaiselle. Jälkimmäistä ei mikään ISO-normi säännöstä, olipa sertifikaatti muutoin kuinka hyvä tahansa.
Ero ei siis perustu laatuun vaan tarkoitukseen. ISO 27001 on vapaaehtoinen normi, jonka organisaatio voi sertifioida osoittaakseen, että sen tietoturva on kunnossa. Direktiivi (EU) 2022/2555 on lainsäädäntö, johon liittyy laillinen riskienhallinnan velvoite, rekisteröintivelvoite ja ilmoitusvelvoite, jotka kukin maa on soveltanut omaksi lainsäädännöksi — Suomessa lain tietoturvallisuudesta (2024:1038). Yritys voi siis olla sertifioitu ISO 27001 -standardin mukaan ja silti joutua ryhtyä lisätoimenpiteisiin laillisten velvoitteiden täyttämiseksi, ja päinvastoin yritys voi työskennellä riskienhallinnan velvoitteen parissa hakematta koskaan sertifikaattia.
Missä päällekkäisyys on
ISO 27001 toimii riskiarvioinnin ja valvontatoimenpiteiden luettelon perusteella (ns. liite A), jotka muistuttavat vahvasti direktiivin (EU) 2022/2555 riskienhallinnan velvoitteessa mainittuja kymmeniä toimenpiteitä: pääsynvalvonta, salaus, varmuuskopiot, toimitatjien arviointi, poikkeamatilanteiden käsittely ja muut esiintyvät molemmissa. Organisaatio, joka ylläpitää ISO-järjestelmäänsä vakavasti, on jo kerännyt monista näistä toimenpiteistä todisteen ja vastuuhenkilön. Tämä säästää huomattavan määrän työtä velvoitedossieria rakennettaessa, ja se on myös täsmälleen se syy, miksi ostajat, jotka lähettävät tietoturvakyselyä, pitävät ISO 27001 -sertifikaattia usein vahvana signaalina.
Soveltamisala on kuitenkin hieman eri. ISO 27001 antaa organisaatiolle mahdollisuuden määrittää hallintajärjestelmän soveltamisalaa itse — esimerkiksi vain IT-osasto tai vain yksi toimipaikka. Direktiivin (EU) 2022/2555 riskienhallinnan velvoite koskee koko yksikköä, joka lain soveltamisalaan kuuluu, sellaisena kuin lainsäätäjä ja sektori sen on määritelleet. Rajoitetun soveltamisalan sertifikaatti ei siis automaattisesti kerro mitään organisaation muusta osasta. Niille, jotka haluavat selvittää, kuinka tämä rajaus omalla sektorillaan toimii, se on saatavilla selkeämmin seuraavasti: etsi aiheet tilanteen mukaan kuin normissa itsessään.
Missä ISO 27001 ei säännöstä
Kahdella laillisella velvoitteella ei ole vastaavaa normissa. Ensimmäinen on rekisteröintivelvoite: kriittiset ja tärkeät yksiköt on rekisteröitävä kansallisen valvontaviranomaisen luona ja ilmoitettava organisaatiota ja sen yhteyshenkilöitä koskevat tiedot. ISO 27001 ei vaadi tätä — se on sertifiointistandardi, ei laillinen ilmoituskanava.
Toinen on poikkeamatilanteiden ilmoitusvelvoite. Direktiivin 23. artikla kuvaa porrastettua prosessia, jossa ilmoitetaan pätevällä valvontaviranomaiselle, aluksi pian havainnon jälkeen ja myöhemmin muissa vaiheissa. ISO 27001 edellyttää poikkeamatilanteiden käsittelyprosessia, mutta se prosessi on organisaation sisäinen: se kuvaa, kuinka organisaatio itse käsittelee poikkeaman, ei kenelle ja milloin sen on ilmoitettava siitä ulkoisesti. Jotta tämä ero saadaan teräviksi, on mahdollista tarkistaa näiden aikarajojen rakenne tämän sivuston aikaisemmassa artikkelissa ilmoitusvelvoitteesta.
Myös tapa, jolla toimittajia arvioidaan, poikkeaa painoarvoltaan. ISO 27001 kiinnittää huomiota toimittajasuhteihin osana laajempaa riskiarvioinnin kokonaisuutta. Direktiivin (EU) 2022/2555 riskienhallinnan velvoite tekee toimitajaketjun arvioinnista 21. artiklan nimenomaisen osan, mikä selittää, miksi velvoitteihin sitoutuneet organisaatiot palauttavat tämän aiheen niin painokkaasti pienille ja keskisuurille yritysasiakkailleen kyselyiden ja sopimusehtojen kautta.
Mitä tämä tarkoittaa käytännössä
Organisaatiolle, joka on jo ISO 27001 -sertifioitu, tämä tarkoittaa yleensä sitä, että suuri osa todisteista on jo olemassa, mutta ne on järjestettävä uudelleen: jokaista riskienhallintamukaatetta kohti status, todiste ja vastuuhenkilö, sekä rekisteröinti- ja ilmoitustekstit, joita normi ei määrää. Organisaatiolle, jolla ei ole sertifikaattia, tämä tarkoittaa, että se ei välttämättä tarvitse aloittaa ISO-prosessia vaatimuksiin noudattamisen toteutamiseksi — laki edellyttää toimenpiteitä, ei sertifikaattia sinänsä.
Se, miten tämä tarkalleen ottaen toteutuu tietyssä organisaatiossa, riippuu sektorista, koon luokasta ja asemasta toimitusketjussa, ja sen arvioi lopulta toimivaltainen valvontaviranomainen tai lakimies, ei tämä artikkeli. Alustavaa käsitystä saat vastaamalla muutamaan kysymykseen saadaksesi selville tilanteesi, ja joka haluaa tietää, miten tämän sivuston tiedot on koottu ja mistä lähteet peräisin ovat, lukee sen siitä, kuinka secria.eu kokoaa tiedot.
Jos sinulla on lukemisen jälkeen konkreettinen kysymys omasta tilanteestasi, esimerkiksi siitä, mitä sertifikaatti todistaa ja mitä ei ostajalle suuntautuen? Tutustu usein kysyttyihin kysymyksiin ja vastauksiin, tai aloita ilmainen tarkistus nähdäksesi, mikä seuraava vaihe sopii organisaatiollesi.