mitä vastuukäytäntöjä minulla on oltava NIS2:ta varten

Käytäntöasiakirjat johtuvat kymmenestä toimenpiteestä, ei kiinteästä luettelosta

NIS2:n mukaista virallista tarkistuslistaa asiakirjojen nimistä, jotka ovat pakollisia, ei ole olemassa. Olemassa on kuitenkin kymmenen toimenpidekategoriaa, joiden osalta organisaation on pystyttävä osoittamaan, miten niihin liitytään, ja käytännössä se kääntyy joukoksi käytäntöasiakirjoja, joita useimmat organisaatiot laativat. Ajattele kattavaa tietoturvapoliittista asiakirjaa, riskipoliittista asiakirjaa, poikkeamien käsittely- ja ilmoituspoliittista asiakirjaa, liiketoiminnan jatkuvuus- ja kriisinhallintapoliittista asiakirjaa, toimittajapoliittista asiakirjaa, jossa on vaatimukset toimitusketjulle, pääsynvalvontapoliittista asiakirjaa ja salausta käsittelevää asiakirjaa. Jotkut organisaatiot lisäävät siihen erillisen henkilöstöturvallisuus- ja tietoisuuspoliittisen asiakirjan, joka liittyy koulutukseen, jossa on osallistumistodistus — jälkimmäinen on oleellista, koska miksi tarvitsen todistuksen osallistumisesta kyberturvallisuuskoulutukseen selitä, mitä tuo todiste tarkalleen osoittaa.

Tärkeämpää kuin jokaisen asiakirjan tarkka otsikko on, että kukin asiakirja vastaa toimenpiteittäin siihen, mitä käytännössä tapahtuu, mukana todisteella ja vastuullisella henkilöllä. Käytäntöasiakirja, joka makaa hyllyllä ilman yhteyttä päivittäiseen operatiiviseen toimintaan, on toistaiseksi hyödytöntä valvontakäyntien aikana. Jotakin, joka vielä tutkii, mikä todiste soveltuu mihinkin toimenpiteeseen, löytää sen takaisin mikä todiste on toimitettava jokaista turvatoimenpidettä kohti:stä, ja kysymys siitä, kenen organisaation sisällä tulee hallita tätä politiikkaa, käsitellään kenen tulee organisaatiossani olla vastuussa toimenpiteestä.

Perusta: NIS2-direktiivin 21 artiklan 2 kohta

Kymmenen toimenpidettä, jotka muodostavat perustan käytäntöasiakirjoille, on lueteltu NIS2-direktiivin 21 artiklan 2 kohdassa, ja Cybersecurity Act on sen Suomen soveltaminen. Monet organisaatiot käyttävät lisäksi ISO/IEC 27001:n liitettä A käytännöllisenä jaotteluna näiden toimenpiteiden konkreettiseksi tekemiseksi, ja NCSC julkaisee ohjeita siitä, miten huolellisuusvelvoitetta käytännössä täytetään.