mitä tapahtuu, jos en noudata NIS2-velvoitteita

Valvonta, korjaus ja lopulta rangaistus

Kun NIS2-velvoitteita ei noudatetaan, käytännössä seuraa ensin valvonta ja mahdollisuus korjata tilanne, vasta sitten — jos sitä ei tapahdukaan — rangaistus valvontaviranomaiselta. Kyberturvallisuuslaki, NIS2:n kansallinen täytäntöönpano, antaa valvontaviranomaiselle keinot tarkistaa, noudattaako organisaatio huolenpitovelvoitettaan ja ilmoitusvelvoitettaan. Se, mikä valvontaviranomainen on täsmälleen, vaihtelee sektoreittain; se on selitetty sivulla mikä valvontaviranomainen valvoo sektoriani NIS2:n alaisena. Puutteellisuuksien ilmetessä valvontaviranomainen voi antaa ohjeita, sitovia määräyksiä tai myöhemmässä vaiheessa siirtyä täytäntöönpanoon.

Se, mitä se konkreettisesti tarkoittaa, riippuu siitä, mitä menee pieleen: huolenpitovelvoitteen kymmenen pakollisen toimenpiteen puuttuminen, ilmoitus, joka tulee liian myöhään tai ei tule lainkaan, tai toimittajaketju, jota ei ole arvioitu. Ilmoitusvelvoitteen osalta on erityisiä perusteita, joiden perusteella ilmoitus on tehtävä; se on selitetty sivulla milloin minun on ilmoitettava kyberuhasta valvontaviranomaiselle. Huolenpitovelvoitteen osalta on kyse joukosta toimenpiteitä, joiden on oltava kokonaisuutena kunnossa; ne on kuvattu sivulla mitkä kymmenen toimenpidettä minun on toteutettava NIS2:n mukaan. Lisäksi on erillinen kysymys siitä, voidaanko johto ottaa henkilökohtaisesti vastuuseen rikkomuksesta, jota käsitellään erikseen sivulla johdon henkilökohtainen vastuu NIS2-rikkomuksesta.

Oikeusperusta direktiivissä ja kansallisessa laissa

Velvoitteet, joihin valvontaa sovelletaan, tulevat NIS2-direktiivin 21 artiklasta, joka vahvistaa huolenpitovelvoitteen kymmenen toimenpiteen kanssa, ja erillään olevasta ilmoitusvelvoitteesta; Kyberturvallisuuslaki muuttaa nämä velvoitteet Suomen oikeudeksi ja sääntelee samalla valvontaviranomaisen valtuuksia. Valvonnan ja rangaistusten tarkempi sisältö seuraa kyseisestä kansallisesta laista ja valvontaviranomaisten itsensä julkaisuista, mukaan lukien NCSC:n julkaisut.