NIS2-direktiivin poikkeamailmoitus: turvalliset kanavat kyberturvallisuudelle.

NIS2 edellyttää poikkeamien ilmoitusmekanismeja, mutta ei käytä suoraan termiä ”whistleblowing”. Kun NIS2 yhdistetään EU:n ilmoittajansuojeludirektiiviin, soveltamisalaan kuuluvilla organisaatioilla on oltava luottamukselliset ja kostotoimilta suojaavat kanavat kyberturvallisuusilmoituksille.

NIS2 kattaa 18 sektoria, muun muassa energian, liikenteen, pankkitoiminnan, digitaalisen infrastruktuurin, julkishallinnon, terveydenhuollon, elintarvikkeet, jätehuollon ja valmistavan teollisuuden — selvästi laajemmin kuin alkuperäinen NIS-direktiivi.

Jäsenvaltioiden oli saatettava NIS2 osaksi kansallista lainsäädäntöään lokakuuhun 2024 mennessä. Organisaatioiden pitäisi olla jo vaatimustenmukaisia tai työskennellä aktiivisesti sen eteen.

Kyllä. Yhtenäinen alusta kuten Ashio voi toimia sisäisenä ilmoituskanavananne sekä kyberturvallisuuspoikkeamille (NIS2) että yleiselle whistleblowing-ilmoittamiselle (EU-direktiivi 2019/1937). Se on tehokkain ja selkein tapa työntekijöillesi.

Kyllä. NIS2:n 13 artikla vaatii nimenomaisesti ilmoituskanavan, joka täyttää samat standardit kuin EU:n whistleblowing-direktiivi – luottamuksellisuus, vastaanottoilmoitus 7 päivän kuluessa, palaute 3 kuukauden kuluessa ja suoja kostotoimilta. Yksi Ashio-kanava voi kattaa sekä NIS2-poikkeamat että whistleblowingin rinnakkain.

Kun työntekijä ilmoittaa epäillystä kyberpoikkeamasta Ashion kautta, turvallisuustiimi saa ilmoituksen täydellä kontekstilla, voi luokitella sen (kriittinen, korkea, keskitaso, matala), suorittaa tutkinnan ja vastata ilmoittajalle 3 kuukauden kuluessa. ENISA ja kansalliset CSIRT:t odottavat yleensä ilmoitusta 24 tunnin kuluessa varhaisvaroituksena, sitten 72 tuntia täydelle poikkeamailmoitukselle – Ashio dokumentoi sisäisen aikajanan.

Ei. NIS2 kattaa 18 sektoria – energia, liikenne, pankit, terveys, juomavesi, digitaalinen infrastruktuuri, julkishallinto ja muita – ja sitä sovelletaan 'olennaisiin' ja 'tärkeisiin' yksiköihin kaikenkokoisina näillä sektoreilla, tietyin kokorajoituksin. Monet perinteiset valmistus-, logistiikka- ja terveydenhuoltoyritykset kuuluvat nyt piiriin.

NIS2-poikkeamailmoituslomake sisältää tyypillisesti: poikkeaman tunnisteen, havaitsemisajan ja -päivän, kuvauksen poikkeamasta, epäillyn syyn, vaikutuksen kohteena olevat järjestelmät ja palvelut, arvioidun vaikutuksen (vakavuus, maantieteellinen laajuus) ja tiedon siitä, liittyykö poikkeamaan henkilötietoja. Ensimmäinen ilmoitus (varhaisvaroitus 24 tunnin sisällä) on tarkoituksella kevyt — riittävä, jotta CSIRT tietää poikkeamasta ja voi priorisoida vasteen. Täydellinen ilmoitus 72 tunnin sisällä lisää vakavuusarvioinnin, perussyyn ja käytössä olevat tai käynnissä olevat lieventämistoimet. Ashio kerää kaiken tämän jäsennetyssä lomakkeessa, joka vastaa CSIRT:n lomakepohjaa, joten ilmoitukset siirtyvät lomakkeesta CSIRT-työnkulkuun ilman manuaalista uudelleenmuotoilua.

NIS2-poikkeamailmoitus on sääntelyvelvoite ilmoittaa toimivaltaiselle viranomaiselle (kansalliselle CSIRT:lle ja tarvittaessa ENISA:lle) kyberpoikkeamasta säädetyssä määräajassa. NIS2-poikkeamien vaste on sisäinen tekninen toiminta poikkeaman rajaamiseksi, poistamiseksi ja siitä toipumiseksi. Nämä kaksi etenevät peräkkäin: havaitset poikkeaman, aloitat vasteen, ilmoitat poikkeamasta 24/72 tunnissa valvontaviranomaiselle ja toimitat loppuraportin kuukauden sisällä. Ashio tukee ilmoituspuolta (ilmoitukset, auditointijälki ja jäsennetty lomake) ja integroituu webhookin kautta työkaluihin, joilla hoidat poikkeamien vasteita.

NIS-poikkeamailmoitus on velvoite alkuperäisen NIS-direktiivin (direktiivi (EU) 2016/1148) — NIS2:n edeltäjä — mukaan keskeisten palveluiden ylläpitäjille ja digitaalisten palveluiden tarjoajille ilmoittaa kansalliselle CSIRT:lleen poikkeamista, jotka vaikuttavat keskeisten palveluiden jatkuvuuteen. Alkuperäinen NIS-ilmoitusvelvoite oli kevyempi: ilmoituksilla ei tyypillisesti ollut kiinteää määräaikaa, vain vaatimus ilmoittaa ilman aiheetonta viivytystä. NIS2 (direktiivi (EU) 2022/2555) korvaa NIS:n ja lisää tiukat määräajat (24 tunnin aikainen varoitus / 72 tunnin ilmoitus / kuukauden loppuraportti), joita sovelletaan laajempaan 'keskeisten' ja 'tärkeiden' yksiköiden joukkoon. Suurin osa organisaatioista, jotka kuuluivat NIS:n piiriin, kuuluvat myös NIS2:n piiriin.

Direktiivin (EU) 2022/2555 23 artikla on incidenttien ilmoittamista koskeva artikla. Se velvoittaa olennaiset ja tärkeät toimijat lähettämään kansalliselle CSIRT-yksikölle tai toimivaltaiselle viranomaiselle varoituksen 24 tunnin kuluessa merkittävästä incidentistä tiedon saatuaan, ilmoituksen 72 tunnin kuluessa (alustava vakavuusarvio ja tarvittaessa tiedot kompromettoitumisesta) sekä loppuraportin kuukauden kuluessa (juurisyy, lieventävät toimenpiteet, rajatylittävät vaikutukset). Ilmoitusvelvollisuus koskee vain merkittäviä incidenttejä, ja määräaika alkaa tiedon saamisesta — ei tutkinnan päättymisestä. 23 artikla velvoittaa lisäksi toimijat ilmoittamaan viipymättä palveluidensa vastaanottajille toimenpiteistä tai keinoista, joilla he voivat vastata merkittävään kyberuhkaan. Ashio kattaa sisäisen osuuden: salatun ja aikaleimatun vastaanoton, jotta määräajan käynnistävä ilmoitus tallennetaan saapumispäivänä ja se on vietävissä todisteeksi CSIRT-ilmoitukseen.