Valmistaudu NIS2:een

No, niin, näin siinä kävi...

Kävi ilmi, että 17. lokakuuta oli määräpäivä, johon mennessä maiden piti saattaa EU-asetus osaksi kansallista lainsäädäntöään. En löydä viitteitä siitä, että Suomi olisi vielä saanut tämän valmiiksi. Itse asiassa tämän kätevän lähteen mukaan Suomi on vaiheessa 3. Toisin sanoen lakiesitys on annettu, mutta sitä ei ole vielä hyväksytty. Ei se mitään, Suomi – olin itsekin aina myöhässä läksyjeni kanssa!

Kyse ei suinkaan ole vain Suomen ongelmasta. Vain neljä maata – Belgia, Unkari, Kroatia ja Latvia – ovat vaiheessa 4 ja ottaneet nämä vaatimukset käyttöön etuajassa. Näille maille kultatähti!

Vaiheeseen 2 (alkuvaiheen valmistelu) kuuluvat Tanska, Ranska, Irlanti ja Romania, kun taas Bulgaria, Viro, Malta, Portugali ja Espanja ovat vaiheessa 1 (vähäinen edistyminen tai tiedot).

Kuten EU-lainsäädännöltä voi odottaa, kivi vierii hitaasti mäkeä alas. On kuitenkin tulkinnanvaraista, tarkoittaako tämä sitä, että organisaatiot, jotka eivät vielä noudata NIS2-vaatimuksia, ovat saaneet jonkinlaisen armonajan. Koska selkeää määräaikaa ei ole, NIS2 voidaan saattaa osaksi Suomen lainsäädäntöä milloin tahansa.

NIS2:n historia

Euroopan unionin vuonna 2016 alun perin hyväksymän verkko- ja tietoturvadirektiivin (NIS) tavoitteena oli vahvistaa kyberturvallisuutta jäsenvaltioissa. Digitaalisen toimintaympäristön kehittyessä kävi selväksi, että alkuperäinen NIS-direktiivi kaipasi kipeästi päivitystä. Tämä johti NIS2-direktiivin luomiseen.

• 2016 – Alkuperäinen NIS-direktiivi hyväksyttiin parantamaan kyberturvallisuutta EU:ssa.

• Joulukuu 2020 – Euroopan komissio ehdotti NIS2-direktiiviä.

• Toukokuu 2022 – EU:n toimielimet pääsivät poliittiseen yhteisymmärrykseen NIS2:sta.

• Marraskuu 2022 – Euroopan parlamentti hyväksyi NIS2-direktiivin virallisesti.

• Tammikuu 2023 – NIS2 tulee voimaan.

• Lokakuu 2024 – EU:n jäsenvaltioiden on saatettava NIS2 osaksi kansallista lainsäädäntöään.

• Lokakuu 2024 – Outo välitila, jossa on epäselvää, onko laki voimassa vai ei (olet täällä).

• Huhtikuu 2025 – EU:n jäsenvaltioiden on toimitettava Euroopan komissiolle luettelo tunnistetuista keskeisistä ja tärkeistä toimijoista kuuden kuukauden kuluessa siitä, kun NIS2 on saatettu osaksi kansallista lainsäädäntöä.

NIS2 tuo mukanaan laajemmat vaatimukset, laajentuneen soveltamisalan ja ehkä kaikkein merkittävimpänä tiukemmat seuraamukset.

Laajempi soveltamisala

NIS2-direktiivi laajentaa merkittävästi NIS-direktiivin soveltamisalaa. NIS-direktiivin vaatimukset koskivat vain keskeisten palvelujen tarjoajia ja digitaalisia palveluntarjoajia. NIS2 laajentaa soveltamisalaa kattamaan useampia kriittisiä sektoreita, kuten:

• Energia (mukaan lukien sähkö-, kaasu- ja öljysektorit).

• Liikenne (ilma-, rautatie-, vesi- ja maantieliikenne).

• Pankki- ja rahoituspalvelut.

• Terveydenhuolto (sairaalat, laboratoriot, lääkkeiden tuotanto).

• Julkishallinto (kansalliset ja alueelliset toimielimet).

• Avaruus (satelliittipalvelut ja maa-asemat).

Näiden toimialojen keskisuurten ja suurten yritysten on nyt noudatettava vaatimuksia. Tämä tarkoittaa, että direktiivin soveltamisalaan kuuluvat nyt myös yritykset, joita ei aiemmin ehkä pidetty kriittisinä, mutta joilla on rooli keskeisissä toimitusketjuissa.

Keskeiset hallintakeinot

Tiukemmat vaatimukset poikkeamien raportointiin

Organisaatioiden on toteutettava ”asianmukaiset ja oikeasuhteiset” turvatoimet järjestelmiinsä kohdistuvien riskien hallitsemiseksi.

Näihin kuuluvat:

• Poikkeamien ehkäisy: Järjestelmien ja datan suojaaminen mahdollisilta tietoturvaloukkauksilta.

• Liiketoiminnan jatkuvuus: Resilienssin varmistaminen kyberpoikkeamien aikana ja niiden jälkeen.

• Poikkeamien havaitseminen: Monitoroinnin toteuttaminen loukkausten tunnistamiseksi varhaisessa vaiheessa.

• Reagointi ja palautuminen: Toimintatapojen kehittäminen poikkeamiin reagoimiseksi tehokkaasti ja toiminnan palauttamiseksi nopeasti.

Myös raportointiaikataulua on tiukennettu. Yritysten on ilmoitettava merkittävistä kyberturvallisuuspoikkeamista asiaankuuluville viranomaisille 24 tunnin kuluessa niiden havaitsemisesta, ja loppuraportti on toimitettava kuukauden kuluessa. Jos poikkeamaa ei ilmoiteta tässä ajassa, seurauksena voi olla sanktioita.

Mitä tämä tarkoittaa DevOpsin ja Platform Engineeringin kannalta

Havainnoitavuus on avainasemassa. On ensiarvoisen tärkeää ymmärtää, mitä järjestelmissänne tapahtuu, ja pystyä raportoimaan siitä. 24 tuntia on erittäin lyhyt aika havainnosta raportointiin, ja lokitusjärjestelmien kanssa kamppailu poikkeaman vaikutusten selvittämiseksi voi viedä paljon aikaa.

Jos haluat kuulla lisää havainnoitavuudesta, suosittelen DevOps Sauna -podcast-jaksoamme, jossa vierailee Charity Majors.

Toimitusketjujen ja kolmansien osapuolten riskienhallinta

NIS2-direktiivin tervetullut lisäys on toimitusketjujen ja kolmansien osapuolten toimittajien tietoturvan painottaminen. Direktiivi edellyttää yrityksiä varmistamaan, että kolmannen osapuolen toimittajat, alihankkijat ja palveluntarjoajat noudattavat NIS2:n standardeja. Tämä koskee erityisesti yrityksiä, jotka tukeutuvat vahvasti ulkoisiin IT-palveluihin, pilvipalveluntarjoajiin tai muihin infrastruktuurikumppaneihin.

Tehokas toimitusketjun tietoturvan hallinta sisältää:

• Kolmannen osapuolen toimittajien perusteelliset riskiarvioinnit.

• Sopimusvelvoitteiden määrittämisen kyberturvallisuuden parhaiden käytäntöjen noudattamiseksi.

• Kolmansien osapuolten vaatimustenmukaisuuden jatkuvan seurannan.

Mitä tämä tarkoittaa DevOpsin ja Platform Engineeringin kannalta

Kolme sanaa: ohjelmistojen toimitusketju. Buildisi sisältävät todennäköisesti kolmansien osapuolten riippuvuuksia. Tällä hetkellä ei ole täysin selvää, kenelle vastuu tällaisten riippuvuuksien tietoturvan hallinnasta lopulta kuuluu. Free Software Foundation Europe on kommentoinut NIS2-direktiivin liiketoimintasuhteisiin keskittyvää näkökulmaa ja sitä, miten se saattaa vaikuttaa FOSSin tarjoajiin.

Tässä vaiheessa järkevintä on varmistaa toimitusketjun jokainen rakennuspalikka ottamalla SBOM ja open source -arviointiryhmät käyttöön jo nyt.

Riskiperusteiset lähestymistavat

Toisin kuin määräävät standardit, NIS2 edellyttää riskiperusteista lähestymistapaa kyberturvallisuuteen. Tämä tarkoittaa, että organisaatioiden on arvioitava kohtaamansa riskit, kuten toimintaansa, toimittajiinsa ja asiakkaisiinsa kohdistuvat mahdolliset uhat, ja mukautettava turvatoimensa niiden mukaisesti.

Mitä tämä tarkoittaa DevOpsin ja Platform Engineeringin kannalta

Jos et ole aiemmin osallistunut uhkamallinnukseen, siihen kannattaa varautua. Aloita kartoittamalla koko dataflow ja mieti, miten luottamus toimii kehityksestä käyttöönottoon. Hyvä lähtökohta on ymmärtää yritykseenne kohdistuvat riskit, kartoittaa ne ja laatia kaikille korjausstrategia. Sen jälkeen kyse on kehittämisestä ja iteroinnista.

Vastuu, yhteistyö ja seuraamukset

NIS2-direktiivissä on kolme DevOpsin ja Platform Engineeringin kannalta vähemmän suoraan olennaista osa-aluetta, joista kannattaa silti keskustella. Niiden tunteminen auttaa ymmärtämään tarkasti, mitä tulemme käsittelemään.

Vastuun osalta NIS2 korostaa johdon ja hallinnon roolia kyberturvallisuudessa. Direktiivi edellyttää, että ylin johto ottaa vastuun kyberturvallisuustoimista. Organisaatioiden on nimettävä CISO (Chief Information Security Officer) tai vastaava henkilö vastaamaan kyberturvallisuudesta, ja hallitukselle on tiedotettava kyberturvallisuusriskeistä ja -strategioista.

Yhteistyön osalta NIS2 edistää EU:n jäsenvaltioiden tiiviimpää yhteistyötä luomalla jäsennellyn verkoston tiedonvaihtoa ja yhteisiä kyberresilienssitoimia varten. Jäsenvaltioita kannustetaan perustamaan tietoturvapoikkeamiin reagoivia ryhmiä (CSIRT, Computer Security Incident Response Team) vastaamaan kyberturvallisuusuhkiin ja toimimaan yhdessä laajamittaisten poikkeamien yhteydessä.

Rajojen yli ulottuva yhteistyö sisältää myös European Cyber Crises Liaison Organisation Networkin (ECLON) perustamisen. Sen tarkoituksena on hallita laajamittaisia kyberturvallisuuskriisejä EU-tasolla.

Lopuksi tiukemmat seuraamukset: NIS2 tuo kovemmat rangaistukset organisaatioille, jotka eivät noudata asetettuja vaatimuksia. Direktiivin merkittävistä rikkomuksista voi seurata jopa 10 miljoonan euron tai 2 prosentin suuruinen sakko maailmanlaajuisesta vuotuisesta liikevaihdosta sen mukaan, kumpi on suurempi. Tämä tekee NIS2-direktiivin seuraamuksista GDPR:n seuraamuksiin verrattavia.

Valmistaudu täyttämään NIS2-vaatimukset

Eficodella olemme aktiivisesti auttaneet asiakkaitamme valmistelemaan DevOps- ja Platform Engineering -järjestelmiään NIS2-direktiivin tiukkojen vaatimusten täyttämiseen.

Olemme kartoittaneet CI/CD-järjestelmien uhkamalleja, rakentaneet työkaluketjuja Software BOMien ja pipeline-tietoturvan ympärille sekä laajentaneet raportointikyvykkyyksiä edistyneellä havainnoitavuudella. Yhteistyössä kanssamme organisaatiot voivat varmistaa, että niiden infrastruktuurit ovat turvallisia, vaatimustenmukaisia ja valmiita tuleviin sääntelymuutoksiin.