Milloin poikkeamasta pitää ilmoittaa?
Kyberturvallisuuslain ilmoitusvelvollisuus koskee lain piiriin kuuluvia toimijoita ja merkittäviä poikkeamia. Merkittävyyttä arvioidaan muun muassa vakavan palveluhäiriön, huomattavan taloudellisen tappion tai muille aiheutuvan huomattavan vahingon perusteella. Myös mahdolliset vaikutukset voivat täyttää kriteerin.
Kaikki verkkosivun virheet eivät siksi ole NIS2-ilmoituksen aiheita. Toisaalta tietovuotoa ei tarvitse odottaa, jos poikkeama jo vaarantaa palvelun vakavasti. Toimialan tarkemmat määräykset ja tiettyjä digitaalisia toimijoita koskeva EU:n täytäntöönpanoasetus voivat täsmentää arviointia.
Lähde: Kyberturvallisuuslaki, 11 §.
Ensi-ilmoitus: 24 tuntia havaitsemisesta
Ensi-ilmoitus kertoo, että merkittävä poikkeama on havaittu. Siinä ilmoitetaan myös, epäilläänkö rikosta tai muuta vihamielistä tekoa ja voiko tapauksella olla rajat ylittäviä vaikutuksia. Ensimmäinen ilmoitus ei edellytä valmista juurisyyanalyysiä.
Kirjaa havaitsemisaika ja tuolloin käytettävissä olleet tiedot. Nimeä ilmoituksesta vastaava henkilö ja varahenkilö. Viikonloppu ei siirrä määräaikaa seuraavaan arkipäivään.
Jatkoilmoitus: 72 tuntia samasta havaitsemisesta
Jatkoilmoitus täydentää tietoja poikkeaman laadusta, vakavuudesta ja vaikutuksista. Siihen lisätään saatavilla olevat tekniset vaarantumisindikaattorit sekä ensi-ilmoituksen tietojen päivitykset.
72 tuntia lasketaan merkittävän poikkeaman havaitsemisesta, ei ensi-ilmoituksen lähettämisestä. Luottamuspalvelun tarjoajalla on poikkeus: jos tapahtuma vaikuttaa luottamuspalvelujen tarjontaan, myös jatkoilmoitus tehdään 24 tunnissa.
Loppuraportti ja pitkäkestoinen poikkeama
Tavallisesti loppuraportti annetaan kuukauden kuluessa jatkoilmoituksen toimittamisesta. Siinä kuvataan poikkeama ja vaikutukset, todennäköinen uhka tai juurisyy, lieventävät toimet sekä mahdolliset rajat ylittävät vaikutukset.
Jos poikkeama on pitkäkestoinen, väliraportti annetaan viimeistään kuukauden kuluttua jatkoilmoituksesta. Tällöin loppuraportti annetaan kuukauden kuluessa poikkeaman käsittelyn päättymisestä. Viranomainen voi myös pyytää lisätietoja tai väliraportin.
Lähde: Kyberturvallisuuslaki, 12–13 §.
Esimerkki aikarajojen laskemisesta
Havaitseminen: maanantai klo 10.
Ensi-ilmoituksen takaraja: tiistai klo 10.
Jatkoilmoituksen takaraja: torstai klo 10 yleissäännön mukaan.
Loppuraportti: kuukauden kuluessa jatkoilmoituksen toimittamisesta, ellei pitkäkestoisen poikkeaman menettelyä sovelleta.
Esimerkki näyttää enimmäisajat. Laki edellyttää ilmoittamista viipymättä, joten ilmoitusta ei tarkoituksella jätetä takarajaan.
Kenelle ilmoitus lähetetään?
Ilmoitus tehdään oman toimialan valvovalle viranomaiselle. Traficomin NIS2-poikkeamailmoituspalvelu välittää ilmoituksen valitulle valvojalle ja tiedoksi Kyberturvallisuuskeskuksen CSIRT-yksikölle. Varmista oikea valvoja ja asiointioikeudet jo ennen häiriötä.
Viranomaisilmoituksen lisäksi voi syntyä velvollisuus ilmoittaa palvelun vastaanottajille. Henkilötietojen tietoturvaloukkauksen GDPR-velvoitteet arvioidaan erikseen; NIS2-menettely ei yksin korvaa niitä.
Mitä pitää sopia ylläpitäjän kanssa?
Sovi etukäteen, kuka havaitsee häiriön, miten tieto välitetään ja kuka kokoaa lokit sekä tapahtumien aikajanan. Ylläpitäjän pitää tuntea sovitut ilmoitusajat. Tavallinen tukivaste ja NIS2:n ilmoitusaika ovat eri asioita.
ResaHostin ylläpidosta saatavat tiedot tukevat oman verkkopalvelusi tapahtumien selvittämistä. Premiumin neljännesvuosiraportti ei korvaa poikkeamailmoitusta. Jos toiminta edellyttää jatkuvaa päivystystä tai tiukkaa palautumisaikaa, sopivuus pitää selvittää ennen palvelun valintaa.
Kirjaa menettely riskienhallinnan toimintamalliin ja sovi tiedonkulku myös alihankkijoiden kanssa. Infrarakentajan tilaajasopimus voi edellyttää tiedon toimittamista nopeammin kuin lain viranomaisilmoituksen takaraja.
Usein kysyttyä
Alkaako 72 tunnin aika ensi-ilmoituksesta?
Ei. Yleissäännön mukaan sekä 24 että 72 tunnin aika lasketaan merkittävän poikkeaman havaitsemisesta.
Lasketaanko loppuraportin kuukausi aina häiriön päättymisestä?
Ei. Yleensä aika lasketaan jatkoilmoituksen toimittamisesta. Pitkäkestoisessa poikkeamassa loppuraportti annetaan kuukauden kuluessa poikkeaman käsittelyn päättymisestä.
Onko ylläpitäjän 24 tunnin tukivaste riittävä NIS2-menettelyksi?
Tukivaste ei yksin osoita sitä. Havainnointi, tiedonkulku ja viranomaisilmoituksen valmistelu on järjestettävä niin, että toimija pystyy noudattamaan omaa ilmoitusvelvollisuuttaan.