mitä eroa on kriittisellä ja tärkeällä yhteisöllä

Tiukempi valvonta oleellisille, kevyempi tärkeille

Ero ei ole itse velvoitteissa, vaan niiden valvonnassa. Oleelliset ja tärkeät yhteisöt saavat saman huolenpitovelvoitteen, saman rekisteröintivelvoitteen ja saman ilmoitusvelvoitteen poikkeamien yhteydessä. Ero syntyy siitä, millä toimialalla organisaatio toimii ja organisaation koosta — yhdessä nämä määrittävät, luokitellaanko organisaatio oleelliseksi vai tärkeäksi. Oleelliset yhteisöt tulevat tyypillisesti toimialoilta, joita pidetään haavoittuvampina tai yhteiskunnallisesti kriittisempinä, kuten energia, juomavesi tai digitaalinen infrastruktuuri, ja ne ovat usein näiden toimialojen suurempia organisaatioita. Tärkeät yhteisöt sijaitsevat toimialoilla, joita painotetaan hieman kevyemmin, tai ovat pienempiä organisaatioita raskaammalla sektorilla.

Käytännön seuraus näkyy erityisesti valvonnassa: oleelliset yhteisöt voivat kohdata aktiivista, jatkuvaa valvontaa, kun taas tärkeillä yhteisöillä valvonta on pikemminkin reaktiivista — eli ilmentymisen jälkeen tai osoituksesta, että jotain ei ole kunnossa. Yrittäjälle, joka miettii, mihin kategoriaan oman organisaation kuuluu, on ensin erillinen kysymys selvittää, kuuluuko organisaatio lain soveltamisalaan; joka ei vielä tiedä, voi aloittaa kohdasta kuinka tiedän, vaatiiko yritykselleni NIS2:n. Toimiala, jolla organisaatio toimii, on yksi tärkeimmistä lähtökohdista, ja nämä toimialat on lueteltu sivulla, joka käsittelee mitkä sektorit kuuluvat NIS2-direktiivin piiriin.

Mistä tämä ero tulee

Ero oleellisen ja tärkeän välillä tulee NIS2-direktiivin toimialajaosta ja kokokriteereistä, ja sitä on Suomessa kehitetty edelleen Kyberturvallisuuslailla, kyseisen direktiivin kansallisella täytäntöönpanolla. Molempiin kategorioihin soveltuvaa huolenpitovelvoitetta säännellään direktiivin 21 artiklan 2 kohdassa, jonka mukaisesti sovelletaan kymmenen toimenpidettä. NCSC tarjoaa ohjeita siitä, miten huolenpitovelvoite ja ilmoitusvelvoite toimivat käytännössä.