NIS2 KÄYTÄNNÖSSÄ
Onko johdolla NIS2-työ hallinnassa?
Olette todennäköisesti jo tehneet kartoituksen, laatineet toimintaperiaatteita ja käynnistäneet erilaisia turvallisuustoimenpiteitä. Kysymys on, onko johdolla nyt yhteinen käsitys riskeistä, vastuista ja siitä, mitä on vielä tekemättä.
Autan johtoryhmiä arvioimaan nykytilannetta, varmistamaan että turvallisuustyö on säännöllistä, sekä luomaan selkeät prosessit niin johdolle kuin koko organisaatiolle.
NIS2 on jo voimassa
Suomen NIS2-velvoitteet ja niitä koskeva lainsäädäntö tulivat voimaan 8. huhtikuuta 2025. Soveltamisalaan kuuluvilla organisaatioilla tulee olla muun muassa toimintamallit kyberturvallisuusriskien hallintaan sekä menettelyt merkittävien tietoturvapoikkeamien ilmoittamiseen.
Tämä ei tarkoita että johdon pitäisi hallita kaikki tekniset yksityiskohdat. Johdon on kuitenkin ymmärrettävä riskikuva, on tiedettävä kuka vastaa mistäkin, ja seurattava, että säännöllinen kyberturvallisuustyö toimii käytännössä.
NIS2 PALVELUPAKETIT
Kaksi palvelupakettia, valitkaa organisaatiollenne sopivin vaihtoehto.
Styra tarjoaa kaksi toisiaan täydentävää palvelua, joiden avulla voitte edetä NIS2-työssä riippumatta siitä, missä vaiheessa olette tällä hetkellä.
NIS2: Johdon katselmus
Sopii organisaatiollenne jos:
- Olette tehneet gap-analyysin, mutta sen tuloksia ei ole vielä käsitelty tai viety käytäntöön
- IT:llä on paljon vastuuta ja haluatte selkeyttää johdon roolia
- Tarvitsette tavan seurata NIS2-vaatimusten toteutumista ilman että joudutte syventymään teknisiin yksityiskohtiin
- Haluatte tietää, millaisia kysymyksiä hallitus ja johto voivat odottaa viranomaisilta
Tässä käymme läpi:
Omistajuus ja vastuut
Kuka vastaa NIS2-työstä? Mistä johtoryhmä vastaa yhdessä? Mitkä päätökset on delegoitu ja milloin asia tulee viedä johdon käsiteltäväksi?
Riskikuva
Mitkä kyberriskit voivat vaikuttaa eniten toimintaan? Mitkä prosessit, palvelut ja riippuvuudet ovat kriittisiä? Ymmärtääkö johto riskit riittävän hyvin voidakseen tehdä perusteltuja päätöksiä?
Toteutus
Mitä on jo tehty, mitä on käynnissä ja mikä on vasta suunnitelmien tai dokumentaation varassa? Missä on epäselvyyksiä, viivästyksiä tai näennäisen turvallisuuden riski?
Seuranta
Mitä johdolle raportoidaan ja kuinka usein? Näkeekö johto riskit, tilanteen ja toimenpiteiden vaikutukset, vai lähinnä luettelon toteutetuista tehtävistä?
Varautuminen
Tietääkö johto miten toimia vakavan tietoturvapoikkeaman sattuessa? Ovatko päätöksentekopolut, viestintäkäytännöt ja kriittisiin toimittajiin liittyvät riippuvuudet riittävän selkeitä?
Tulos:
- mitkä NIS2:een liittyvät riskit ovat toiminnan kannalta merkittävimpiä
- kuka vastaa mistäkin
- mitkä asiat ovat jo kunnossa
- mitkä asiat ovat edelleen epäselviä
- mitä päätöksiä on tehtävä
- mitkä toimenpiteet kannattaa toteuttaa ensimmäisenä
NIS2-ohjauksen ja kypsyystason arviointi
Sopii organisaatiollenne jos:
- olette toteuttaneet NIS2-projektin ja haluatte varmistaa sen tulosten luotettavuuden
- teillä on dokumentoidut prosessit mutta ette ole varmoja, kuinka vakiintuneita ne ovat käytännössä
- johto, liiketoiminta ja IT antavat keskenään ristiriitaisia näkemyksiä nykytilanteesta
- haluatte valmistella organisaationne viranomaisvalvontaa tai muodollisempaa auditointia varten
Mitä analyysi kattaa?
Analyysi tarkastelee kahdeksaa aluetta:
- Johtaminen, vastuut ja päätösvalta
- Kyberriskien hallinta
- Poikkeamien hallinta ja raportointi
- Toiminnan jatkuvuus ja palautuminen
- Toimittaja- ja kolmansien osapuolten riskit
- Tietojen, järjestelmien ja käyttöoikeuksien turvallisuus
- Osaaminen, koulutus ja turvallisuuskulttuuri
- Mittaaminen, johdon raportointi ja jatkuva parantaminen
Painopiste ei ole pelkästään siinä onko tarvittavat dokumentit olemassa. Arvioimme myös, onko organisaatiolla selkeä ja toimiva toimintamalli, ovatko vastuut ymmärrettyjä ja pystyykö organisaatio osoittamaan, miten työtä seurataan ja kehitetään käytännössä.
Näin prosessi etenee:
Analyysi toteutetaan viidessä vaiheessa:
- toiminnan rajauksen ja lähtöaineiston määrittely
- keskeisten dokumenttien läpikäynti
- neljästä kuuteen avainhenkilöhaastattelua
- nykytilan ja kypsyystason arviointi
- workshop johdon kanssa
Työpajan aikana validoimme nykytilannekuvan, selkeytämme mahdolliset eriävät näkemykset ja priorisoimme tarvittavat toimenpiteet, vastuut sekä resurssitarpeet.
Te saatte:
Johdon yhteenvedon
Koostetun näkymän vahvuuksista, merkittävistä puutteista, liiketoimintavaikutuksista sekä suositelluista päätöksistä.
Visuaalisen kypsyystasoarvion
Arvion kahdeksasta osa-alueesta, mukaan lukien dokumentoitujen toimintatapojen ja käytännössä toteutuvien toimintamallien väliset erot.
Priorisoidun toimenpidesuunnitelman
En konkret plan med prioritet, önskat resultat, föreslagen ägare och rekommenderad tidshorisont:
- heti
- 0-3 kuukauden kuluessa
- 3-6 kuukauden kuluessa
- 6-12 kuukauden kuluessa
Tulos:
Analyysin jälkeen johdolla on paremmat valmiudet:
- ymmärtää, mitkä asiat toimivat hyvin
- erottaa merkittävät riskit vähäisemmistä kehitystarpeista
- priorisoida oikeat toimenpiteet
- jakaa vastuut selkeästi
- arvioida resurssi- ja budjettitarpeita
- seurata kehitystä ja edistymistä pitkällä aikavälillä
Tavoitteena ei ole mahdollisimman pitkä raportti. Tavoitteena on luotettava tilannekuva nykytilasta sekä käytännöllinen suunnitelma, jota voidaan aidosti hyödyntää päätöksenteossa ja toiminnan kehittämisessä.
VERTAILE NIS2 PAKETTEJA
Mikä paketti sopii teille?
Molemmat paketit rakennetaan organisaationne tarpeiden pohjalta mutta ne soveltuvat eri tilanteisiin riippuen siitä, missä vaiheessa NIS2-työtänne olette. Tällä sivulla voitte helposti vertailla pakettien sisältöä, toteutustapaa ja niistä saatavia hyötyjä.
Saatte aina ennen työn aloittamista selkeästi rajatun tarjouksen, jossa määritellään työn sisältö. Ohjaus- ja kypsyysanalyysin hinta määräytyy ensisijaisesti toiminnan laajuuden, dokumentaation määrän sekä organisaation rakenteellisen monimutkaisuuden perusteella.
| NIS2: Johdon katselmus | NIS2-ohjauksen ja kypsyystason arviointi | |
| Sopii organisaatiollenne jos | Tarvitsette yhteisen näkemyksen, selkeämmät vastuut ja oikeat kysymykset johdon agendalle | Haluatte varmistaa, miten NIS2-työ tosiasiallisesti toimii organisaatiossa |
| Keskeinen kysymys | Mitä johdon tulee ymmärtää, päättää ja seurata? | Mikä toimii käytännössä, mikä ei toimi ja mitä tulee tehdä seuraavaksi? |
| Lähtöaineisto | Olemassa olevan gap-analyysin ja keskeisen materiaalin yleiskatsaus | Keskeisten ohjaavien dokumenttien ja toimintatapojen syvällinen tarkastelu |
| Haastattelut ja workshop | Valmisteleva keskustelu (45 min) ja työpaja johdon kanssa (3 h) | 4–6 avainhenkilöhaastattelua ja työpaja johdon kanssa (4 h) |
| Analyysin syvyys | Johdon vastuut, riskikuva, toteutus, seuranta ja varautuminen | Ohjauksen ja kypsyystason arviointi kahdeksalla osa-alueella |
| Saatte | Yhteenvedon nykytilasta, tunnistetuista epäselvyyksistä ja priorisoiduista seuraavista askelista | Johdon yhteenvedon, visuaalisen kypsyystasoarvion ja priorisoidun toimenpidesuunnitelman |
| Toimenpidesuunnitelma | Priorisoidut seuraavat askeleet | Suunnitelma joka sisältää prioriteetit, tavoitellut tulokset, vastuut ja aikataulun |
| Toteutus | Tyypillisesti 2–4 viikkoa | Tyypillisesti 4-8 viikkoa |
Johdon katselmus
Kun tarvitsette selkeän käsityksen nykytilasta ja siitä, mihin toimenpiteisiin kannattaa keskittyä ensimmäisenä.
Ohjauksen ja kypsyystason arviointi
Kun tarvitsette syvällisemmän analyysin ja konkreettisen suunnitelman jatkoa varten.