kuinka rekisteröin organisaationi NIS2-velvoitteisena yhteisönä

Rekisteröinti tapahtuu kansallisen valvontaviranomaisen kautta, ei tämän alustan kautta

Rekisteröinti on oma, muodollinen vaihe: entiteetti, jonka kansallinen kyberturvallisuuslaki on määrittänyt olennaiseksi tai tärkeäksi, ilmoittautuu itse asianomaisen valvontaviranomaisen rekisteriin sen portaalin kautta, joka on siihen tarkoitettu. Tämä tapahtuu erillisenä politiikka-asiakirjojen täyttämisestä ja toimenpiteiden toteuttamisesta — se on hallinnollinen vaihe, jossa organisaatio tulee valvontaviranomaisen tietoisuuteen velvoitetussa entiteettinä. Tarkka menettelytapa, aika, jolloin tämä on tehtävä, ja siihen liittyvät tiedot kuvataan valvontaviranomaisen omilla kanavilla ja kansallisessa kyberturvallisuuslaissa.

Ennen kuin rekisteröinti on ajankohtaista, on hyödyllistä selvittää, kuuluuko organisaatio ylipäätään kyseiseen luokkaan; kuinka tiedän, vaatiiko yritykselleni NIS2:n antaa siitä ensimmäisen kuvan, ja kahden luokan välistä eroa, jotka on rekisteröitävä, käsitellään mitä eroa on kriittisellä ja tärkeällä yhteisöllä. Jolle organisaatioille, jotka tietävät jo, että rekisteröinti on tarpeellista, seuraava kysymys on yleensä käytännöllinen: mitä kaikkea on oltava valmiina ennen rekisteröinnin jättämistä, ja kuka organisaatiossa sen tekee. Se päällekkäin hoitovelvollisen arkiston perustamisen kanssa, jossa kunkin toimenpiteen status ja omistaja määritetään — katso kenen tulee organisaatiossani olla vastuussa toimenpiteestä. Tämä alusta valmistelee rekisteröinnin tekstit ja tiedot, mutta ei koskaan jätä niitä valvontaviranomaisen portaaliin asiakkaan puolesta; se jää aina organisaation itsensä omaksi vaiheeksi.

Miksi rekisteröintivelvoite eroaa hoitovelvollisesta

Rekisteröintivelvoite ja hoitovelvollinen ovat kaksi eri velvoitetta, jotka NIS2-direktiivi asettaa olennaisille ja tärkeille entiteeteille: direktiivin (EU) 2022/2555 21 artiklan 2 kohta kuvaa kymmenen toimenpidettä, jotka yhdessä muodostavat hoitovelvoitteen, kun taas ilmoitusvelvoite ja rekisteröinti on säädetty erikseen ja otettu käyttöön Suomessa kansallisessa kyberturvallisuuslaissa. Kansallinen kyberturvayksikkö antaa ohjausta siitä, miten hoitovelvollinen ja ilmoitusvelvoite käytännössä liittyvät toisiinsa, ja se valvontaviranomainen, joka on vastuussa asianomaisen sektorin valvonnasta, on se, jossa rekisteröinti itsessään tapahtuu.