1. Tunnista yrityksen oma toiminta
Vertaa yrityksen tarjoamia palveluja kyberturvallisuuslain liitteiden I ja II toimijatyyppeihin. Jos toimintasi ei vastaa niitä, pelkkä yrityksen kasvu ei tee siitä NIS2-toimijaa. Jos yrityksellä on useita liiketoimintoja, arvio ei saa perustua vain markkinoinnissa käytettyyn päätoimialaan.
Esimerkiksi oma verkkokauppa ja muiden myyjien kuluttajakaupan mahdollistava markkinapaikka ovat eri asioita. Myös liikenne ja valmistus on rajattu tiettyihin toimijatyyppeihin. NIS2-direktiivin yleiskuvaus antaa taustan ennen yksityiskohtaista arviota.
2. Selvitä kokoluokka oikein
Lain pääsääntö koskee toimijoita, jotka täyttävät tai ylittävät EU:n keskisuuria yrityksiä koskevat edellytykset. Arvioinnissa tarkastellaan henkilöstömäärää, liikevaihtoa ja taseen loppusummaa. Myös kumppani- ja sidosyritysten tiedoilla voi olla merkitystä.
Älä päättele asemaa vain yhdestä luvusta, kuten ”alle 50 työntekijää” tai ”liikevaihto yli 10 miljoonaa”. Taloudellisten rajojen yhdistelmä ja omistusrakenne pitää arvioida EU:n yrityskokomääritelmän mukaisesti. Kokoa viimeisimmät tilinpäätös- ja henkilöstötiedot sekä omistussuhteet arviointia varten.
3. Käy läpi kokorajasta riippumattomat poikkeukset
DNS-palveluntarjoajat, aluetunnusrekisterin ylläpitäjät, luottamuspalveluntarjoajat sekä yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat kuuluvat lain piiriin koosta riippumatta. Määritelmän täyttyminen pitää kuitenkin todeta yrityksen todellisesta palvelusta.
Lain 3 § sisältää myös palvelun kriittisyyteen liittyviä perusteita, joiden vuoksi soveltuminen voi olla koosta riippumatonta. Lisäksi 4 §:ssä on soveltamisalan rajauksia. Epäselvä tapaus selvitetään oman toimialan valvojan kanssa.
4. Erota asiakkaan tietoturvavaatimus omasta lakiasemasta
Lain piiriin kuuluva asiakas voi pyytää toimittajaltaan näyttöä tietoturvakäytännöistä. Tämä on toimitusketjun arviointia. Asiakkaan asema ei sellaisenaan siirry alihankkijalle, eivätkä lain kaikki viranomaisvelvoitteet kopioidu sopimukseen automaattisesti.
Pyydä asiakkaalta tarkka vaatimus ja vertaa sitä omaan palveluusi. Kirjaa, mitä toteutat, mitä näyttöä saat omilta toimittajiltasi ja mitkä asiat edellyttävät lisätyötä. Alihankkijan NIS2-opas auttaa vastauksen kokoamisessa.
Kolme käytännön esimerkkiä
Rakennusliike: talonrakentaminen ei yksin ratkaise NIS2-asemaa. Rakennusliikkeen verkkopalvelut voidaan ylläpitää turvallisesti myös ilman suoraa NIS2-velvollisuutta.
Infrarakentaja: energiayhtiön urakka voi sisältää tietoturvavaatimuksia, mutta yrityksen oma toiminta ja lain kriteerit ratkaisevat suoran soveltumisen. Infrarakentajan ylläpidossa erotetaan verkkopalvelut työmaan muista järjestelmistä.
Verkkokauppa: pelkkä tuotteiden myynti omassa verkkokaupassa ei ole sama asia kuin laissa määritelty markkinapaikka. Yrityksen muu liiketoiminta voi kuitenkin kuulua soveltamisalaan. Verkkokaupan ylläpidon tarpeet arvioidaan myös myynnin jatkuvuuden perusteella.
Mitä tehdään, jos yritys kuuluu lain piiriin?
Selvitä oma valvova viranomainen, toimijaluetteloon ilmoittautuminen sekä yritystäsi koskevat riskienhallinta- ja ilmoitusvelvoitteet. Johdon pitää järjestää vastuut, hyväksyä toimintamalli ja seurata sen toteutumista. Traficomin viranomaiskooste ohjaa oikeaan toimialaohjeeseen.
Riskienhallinnan toimintamalli kuvaa, mitä pitää suojata ja miten. Poikkeamailmoituksen menettely varmistetaan ennen häiriötä. Tekniset käytännöt, sopimukset ja henkilöstön toiminta muodostavat kokonaisuuden.
Mikä on hosting-kumppanin osuus?
Hosting-kumppani kuvaa oman palvelunsa ja toteuttaa sovitut ylläpitotehtävät. ResaHostin palveluun kuuluvat paketin mukaiset päivitykset, varmuuskopiot ja valvonta. Premiumin tietoturvaraportti täydentää ylläpidon dokumentointia.
Kumppanin selvitys ei ratkaise koko yrityksen lakiasemaa. Kun soveltuminen on selvillä, käydään verkkopalvelujen vaatimukset läpi ja sovitaan, mikä kuuluu ylläpitoon ja mitä pitää järjestää erikseen.
Usein kysyttyä
Jääkö alle 50 työntekijän yritys aina lain ulkopuolelle?
Ei. Taloustiedot ja omistussuhteet voivat vaikuttaa kokoluokkaan, ja osa toimijoista kuuluu lakiin koosta riippumatta.
Kuuluuko yritykseni NIS2:n piiriin asiakkaan kautta?
Asiakkaan asema ei yksin tuo yritystä lain suoraan soveltamisalaan. Asiakas voi silti edellyttää tietoturvakäytäntöjä ja dokumentointia sopimuksessa.
Kuka ratkaisee epäselvän soveltamistilanteen?
Yritys kokoaa tiedot toiminnastaan, koostaan ja omistussuhteistaan. Epäselvä tilanne selvitetään kyseisen toimialan valvovan viranomaisen kanssa.