EU:n NIS2-direktiivi toi kyberturvallisuusvelvoitteet isolle joukolle yrityksiä, jotka eivät koskaan ajatelleet olevansa ”kriittistä infrastruktuuria”. Konsulttiesitykset maalaavat uhkakuvia ja sakkokattoja. Vedetään henkeä: NIS2 ei vaadi taikuutta. Se vaatii järjestelmällisyyttä — samaa, jota laatujärjestelmät ovat vaatineet vuosikymmeniä.

Työskentelen arjessani sekä laatu- että tietoturva-asioiden parissa teollisuudessa, ja väitän: yritys, joka osaa ISO-maailman, osaa jo NIS2:n perusotteen. Kyse on riskien tunnistamisesta, hallintakeinojen valinnasta, dokumentoinnista ja johdon vastuusta. Uutta on lähinnä se, että nyt siitä ei voi kieltäytyä.

Kyberturva ei ala hankinnalla vaan inventaariolla.

Mistä aloittaa — käytännön järjestys

Ensimmäiseksi: selvitä koskeeko NIS2 sinua — toimiala ja koko ratkaisevat, ja moni pk-teollisuusyritys kuuluu piiriin joko suoraan tai asiakkaidensa toimitusketjun kautta. Toiseksi: inventaario. Et voi suojata sitä, mitä et tiedä omistavasi. Listaa järjestelmät, tilit, laitteet ja tietovirrat — tylsää työtä, joka paljastaa aina yllätyksiä.

Kolmanneksi perusasiat kuntoon, ja tässä järjestyksessä: monivaiheinen tunnistautuminen kaikkialle, varmuuskopiot joiden palautusta on oikeasti testattu, käyttöoikeuksien siivous, päivityskäytäntö ja henkilöstön koulutus. Nämä viisi torjuvat valtaosan todellisista hyökkäyksistä — ja jokainen niistä on halvempi kuin yksikään laitehankinta.

Neljänneksi: harjoittele poikkeamaa. NIS2:n raportointivelvoite on tiukka, eikä ilmoitusketjua kannata opetella ensimmäisen oikean tapauksen aikana. Yksi pöytäharjoitus vuodessa — ”sähköpostit ovat salattuina, mitä teemme seuraavaksi tunnissa?” — opettaa enemmän kuin sata sivua politiikkadokumentteja.

Johdon vastuu on ominaisuus, ei uhka

NIS2 nostaa kyberriskin johdon pöydälle henkilökohtaisine vastuineen. Tämä kannattaa nähdä lahjana: vihdoin on peruste, jolla tietoturva saa saman painoarvon kuin talous ja työturvallisuus. Hyvin hoidettu tietoturva on myös myyntiargumentti — isot asiakkaat kysyvät toimittajiltaan näitä asioita jo nyt, ja kyselyt tihenevät vuosi vuodelta.

Ensi keskiviikkona jatkan toimitusketjuteemalla: huoltovarmuus alkaa hankintaketjusta — ja halvin toimittaja on kallis, jos se on ainoa.

Aiheeseen liittyen palveluna: jatkuvuudenhallinta ja varautuminen.