miksi tarvitsen todistuksen osallistumisesta kyberturvallisuuskoulutukseen

Todiste siitä, että kybernetiikan perushygienia ja koulutus on järjestetty

Osallistumistodistus toimii todisteena siitä, että henkilöstön koulutus on todella toteutettu, ja se on juuri se, mitä sekä oman hallinnon että asiakkaan kyberturvallisuuskysely vaatii. Kyberturvallisuus ei perustu pelkästään tekniikkaan, vaan myös ihmisiin, jotka tietävät, kuinka tunnistaa phishing-yritykset, hallita salasanoja ja ilmoittaa poikkeamista. Koulutus on siksi yksi toistuvista osista vaatimustenmukaisuusvelvoitteen sisällä, ja osallistumistodistus on konkreettinen tulos, jolla koulutus voidaan osoittaa — paitsi valvontaviranomaisen edessä, myös toimeksiantajan edessä, joka pyytää perusteluja.

Asianomaisille organisaatioille osallistumistodistus kuuluu todisteeseen, joka on toimitettava jokaista turvatoimenpidettä kohti: ei itse toimenpidettä ("me koulutamme henkilöstöä") vaan konkreettista todistetta siitä, että se on toteutettu, mukaan lukien nimi, päivämäärä ja aihe. Toimitusketjuun kuuluville pienille ja keskisuurille yrityksille, jotka eivät itse ole lainsäädännön alaisia, se on yhtä tärkeää: kenen, joka joutuu täyttämään asiakkaansa tekemää tietoturvakyselylomaketta saa usein juuri tämän kysymyksen esille, koska tilaajalla on oltava kyky osoittaa, että myös toimitusketju on riittävän kestävä. Ilman osallistumistodistusta "koulutamme henkilöstöämme" jää väitteeksi ilman perusteluja, ja se ei yleensä ole riittävää.

Mistä tämä huolenpitovelvoitteesta johtuu

Neuvoston direktiivin (EU) 2022/2555 (NIS2) 21 artiklan 2 kohdassa luetellaan kymmenen pakollisen toimenpiteen joukossa nimenomaisen perushygieniaa ja kyberturvallisuuskoulutusta huolellisuusvelvollisuuden osana, jonka Suomessa siirtää kansalliseen lainsäädäntöön vastaava kybertutkalaki. ISO/IEC 27001 kehittää tätä edelleen liitteessään A hallintotoimenpiteenä, joka koskee työntekijöiden tietoisuutta ja koulutusta, jossa todennettavuus — eli rekisteri siitä, kuka on saanut koulutuksen milloin — on toistuvasti mainittu elementti. NCSC korostaa ohjeistuksessaan huolellisuusvelvollisuudesta, että toimenpiteitä ei vain toteuteta, vaan niiden on myös oltava osoitettavissa.