NIS2 tuli todennäköisesti sinullekin vastaan jossain, seminaarin diassa, ison asiakkaan sopimusliitteessä tai sähköpostissa, jonka otsikko sai vatsan vääntymään. Ja jos pyörität pientä tai keskisuurta yritystä, ensireaktio on yleensä sama: taasko joku EU-direktiivi, joka vaatii minulta paperia ja rahaa, joita ei ole…

Ymmärrän reaktion hyvin. Mutta NIS2 ei ole aivan se hirviö miltä se kuulostaa, eikä myöskään mitään, minkä voi lakaista maton alle ja toivoa parasta. Puretaan se auki ilman juristin sanastoa: mistä on kyse, koskeeko se sinua, ja mistä konkreettisesti kannattaa lähteä liikkeelle.

Mikä NIS2 oikeastaan on

NIS2 on EU:n kyberturvallisuusdirektiivi, joka on Suomessa viety kansalliseen lakiin ja jota valvoo Kyberturvallisuuskeskus. Nimen takana ei ole mitään taikuutta: se velvoittaa tietyt organisaatiot pitämään kyberturvallisuutensa kunnossa ja, tämä on se olennainen osa, myös osoittamaan sen. Ei riitä että asiat ovat suunnilleen kunnossa; pitää pystyä näyttämään, että niistä on huolehdittu.

Suomeksi sanottuna: perusasiat kuntoon, vastuut selviksi, ja paperia sen verran että homman pystyy todistamaan. Ei enempää mystiikkaa.

Koskeeko tämä minua?

Tässä kohtaa moni huokaisee helpotuksesta liian aikaisin. Direktiivi kohdistuu ns. keskeisiin ja tärkeisiin toimijoihin tietyillä aloilla, energia, vesi, terveydenhuolto, digitaalinen infrastruktuuri, valmistava teollisuus, elintarvikkeet ja niin edelleen, ja pääsääntöisesti keskikokoisiin ja isompiin yrityksiin. Jos olet kolmen hengen putkiliike, et todennäköisesti ole suoraan lain piirissä.

Mutta älä sulje välilehteä vielä. Tässä on se kohta, joka yllättää pienemmätkin: toimitusketju. Vaikka NIS2 ei suoraan koskisi sinua, se koskee isoja asiakkaitasi, ja he ovat velvollisia arvioimaan omat toimittajansa. Käytännössä se tarkoittaa, että ennen pitkää sinulta kysytään sopimusneuvottelussa, miten sinä hoidat tietoturvasi. Ja jos et osaa vastata, se on kilpailijallesi hyvä uutinen. Olen nähnyt tämän toistuvan: se pieni toimittaja, joka osaa vastata kysymykseen ryhdikkäästi, voittaa kaupan yhtä usein hyvällä tietoturvalla kuin hinnalla. Toisin päin yksikin ympäripyöreä vastaus tietoturvakyselyyn riittää nostamaan epäilyksen, vaikka muuten olisit paras vaihtoehto.

Eli kysymys ei oikeastaan ole ”koskeeko NIS2 minua”, vaan ”kuinka pian joku minulle tärkeä vaatii minulta NIS2-tason asioita”. Vastaus on useimmiten: pian.

Se ei ole IT-projekti, se on johtamiskysymys

Yleisin väärinkäsitys on, että NIS2 hoidetaan ostamalla joku laite tai ohjelma ja rastittamalla ruutu. Ei hoideta. Direktiivin ydin on riskienhallinta, ja vastuu on nimenomaan johdolla, ei ”sillä IT-tyypillä” tai ulkoistetulla kumppanilla. Johto voi delegoida tekemisen, mutta ei vastuuta.

Tämä kuulostaa ikävältä, mutta on itse asiassa terveellinen ajatus. Kyberturvallisuus ei ole tekninen nurkka jonnekin palvelinhuoneeseen, vaan osa liiketoiminnan jatkuvuutta, samaa lajia kuin se, että sinulla on vakuutukset kunnossa ja tiedät mitä teet jos tehdas palaa. NIS2 vain pakottaa katsomaan sitä samalla vakavuudella.

Viisi ensimmäistä askelta

Jos päätät aloittaa, ja suosittelen että aloitat ennen kuin joku pakottaa, tässä on järkevä järjestys. Nämä eivät vaadi konsulttiarmeijaa eivätkä kuusinumeroista budjettia.

1. Tiedä mitä sinulla on. Et voi suojata sitä, mitä et tiedä omistavasi. Tee lista: mitä järjestelmiä, mitä dataa, missä se on, kuka siihen pääsee. Tämä on tylsin vaihe ja lähes aina se, joka paljastaa yllätyksiä, vanhoja tilejä, avoimia jakoja, tietoa paikoissa joita kukaan ei muistanut.
2. Laita perushygienia kuntoon. Monivaiheinen tunnistautuminen (MFA) kaikkialle minne saa. Päivitykset ajan tasalle. Varmuuskopiot, jotka ovat oikeasti muualla kuin samalla koneella ja jotka on joskus myös testattu palautumaan. Nämä kolme torjuvat jo valtaosan siitä, mikä pk-yrityksiä oikeasti kaataa.
3. Nimeä vastuu. Kirjoita paperille kuka vastaa tietoturvasta. Ei tarvitse olla oma tietoturvapäällikkö, riittää että joku on nimetty, tietää sen, ja johto seisoo sen takana. Vastuu joka on kaikkien, on käytännössä ei kenenkään.
4. Katso toimitusketjuasi. Ketkä sinun toimittajistasi pääsevät käsiksi järjestelmiisi tai dataasi? Mitä tapahtuu jos joku heistä kaatuu tai vuotaa? Sama kysymys, jonka isot asiakkaasi kohta esittävät sinulle, kysy se nyt itse omilta kumppaneiltasi.
5. Varaudu poikkeamiin. Mieti etukäteen: jos tänään huomataan tietomurto, kuka soittaa kenelle ja missä järjestyksessä? NIS2 edellyttää poikkeamien ilmoittamista viranomaiselle nopeasti, ja se on paljon helpompaa, jos suunnitelma on tehty ennen kuin talo on tulessa, ei sen aikana.

Yleisimmät virheet, jotka näen

Muutama sudenkuoppa toistuu niin usein, että ne kannattaa mainita erikseen. Ensimmäinen: ostetaan työkalu ennen kuin tiedetään mitä oikeastaan suojataan, kallis järjestelmä väärään ongelmaan on vain kallis. Toinen: MFA laitetaan päälle ”kohta”, ja se kohta ei tule koskaan; se on kuitenkin se yksittäinen asia, joka torjuu eniten. Kolmas: varmuuskopiot otetaan, mutta niiden palautumista ei testata koskaan, testaamaton varmuuskopio on toive, ei suunnitelma. Ja neljäs: vastuu jää roikkumaan ”jonnekin johdolle” ilman että kukaan oikeasti tarttuu siihen. Nämä neljä eivät maksa mitään korjata, ne vaativat vain päätöksen.

Mitä NIS2 ei vaadi

Tässä hieman rauhoittelua, koska pelko on huono neuvonantaja. NIS2 ei vaadi sinua rakentamaan omaa valvomoa, palkkaamaan tietoturvatiimiä tai kaatamaan tolkuttomia summia teknologiaan päivä yksi. Se vaatii, että perusasiat on tehty, vastuut ovat selvät ja pystyt osoittamaan sen. Suurin osa siitä on järjestämistä ja kirjaamista, ei kalliita hankintoja.

Moni pieni yritys huomaa aloittaessaan, että he tekevät jo puolet oikein, vain dokumentointi ja järjestys puuttuvat. Se on hyvä uutinen: matka on lyhyempi kuin pelko antaa ymmärtää.

Entä paljonko tämä maksaa?

Tämä on se kysymys, joka pk-yrittäjää oikeasti painaa, joten vastataan siihen suoraan. Perusaskeleet ovat enimmäkseen aikaa ja järjestämistä, eivät rahaa. MFA on käytännössä ilmainen, päivitykset ovat ilmaisia ja varmuuskopiointi maksaa vähän. Suurin kustannus ei ole raha vaan huomio: jonkun on istuttava alas, tehtävä se inventaario ja päätettävä asioista. Se aika on kuitenkin investointi, joka maksaa itsensä takaisin ensimmäisellä kerralla kun jokin menee pieleen, ja jotain menee aina joskus pieleen. Kalliiksi NIS2 tulee vain, jos sen jättää viime tippaan ja joutuu ostamaan kiireellä sen, minkä olisi voinut rakentaa rauhassa.

Miksi kannattaa aloittaa nyt

Kaksi syytä. Ensimmäinen on käytännöllinen: se toimitusketjun paine tulee joka tapauksessa, ja on paljon mukavampaa vastata ”kyllä, meillä on asiat kunnossa, tässä paperit” kuin aloittaa nollasta silloin kun iso kauppa on vaakalaudalla.

Toinen on tärkeämpi. Kaikki nämä askeleet ovat asioita, jotka tekevät yrityksestäsi kestävämmän riippumatta mistään direktiivistä. Varmuuskopiot, joita ei ole testattu, ovat toiveita. Tili ilman MFA:ta on avoin ovi. Nämä eivät ole NIS2-asioita, ne ovat hyvän liiketoiminnan asioita, joita NIS2 sattuu vaatimaan. Teet ne, ja nukut paremmin, oli valvojaa tai ei.

NIS2 ei ole rangaistus. Se on tönäisy tekemään se, mikä olisi joka tapauksessa pitänyt tehdä. Ja mistä lähteä liikkeelle? Tuosta listan ykkösestä, tee se tällä viikolla.

Jos haluat mennä syvemmälle konkreettisiin toimenpiteisiin, kirjoitin aiheesta tarkemmin täällä: NIS2 pk-teollisuudessa, mitä oikeasti pitää tehdä.