NIS2-direktiivin poikkeamailmoitus: turvalliset kanavat kyberturvallisuudelle.

NIS2 edellyttää ilmoitusmekanismeja. Yhdistettynä EU-direktiiviin tarvitaan luottamuksellisia kanavia.

18 sektoria mukaan lukien energia, liikenne, pankit, digitaalinen infra.

Jäsenvaltioiden oli saatettava NIS2 osaksi kansallista lakia lokakuuhun 2024 mennessä.

Kyllä. Yhtenäinen alusta kuten Ashio voi toimia sisäisenä ilmoituskanavananne sekä kyberturvallisuuspoikkeamille (NIS2) että yleiselle whistleblowing-ilmoittamiselle (EU-direktiivi 2019/1937). Se on tehokkain ja selkein tapa työntekijöillesi.

Kyllä. NIS2:n 13 artikla vaatii nimenomaisesti ilmoituskanavan, joka täyttää samat standardit kuin EU:n whistleblowing-direktiivi – luottamuksellisuus, vastaanottoilmoitus 7 päivän kuluessa, palaute 3 kuukauden kuluessa ja suoja kostotoimilta. Yksi Ashio-kanava voi kattaa sekä NIS2-poikkeamat että whistleblowingin rinnakkain.

Kun työntekijä ilmoittaa epäillystä kyberpoikkeamasta Ashion kautta, turvallisuustiimi saa ilmoituksen täydellä kontekstilla, voi luokitella sen (kriittinen, korkea, keskitaso, matala), suorittaa tutkinnan ja vastata ilmoittajalle 3 kuukauden kuluessa. ENISA ja kansalliset CSIRT:t odottavat yleensä ilmoitusta 24 tunnin kuluessa varhaisvaroituksena, sitten 72 tuntia täydelle poikkeamailmoitukselle – Ashio dokumentoi sisäisen aikajanan.

Ei. NIS2 kattaa 18 sektoria – energia, liikenne, pankit, terveys, juomavesi, digitaalinen infrastruktuuri, julkishallinto ja muita – ja sitä sovelletaan 'olennaisiin' ja 'tärkeisiin' yksiköihin kaikenkokoisina näillä sektoreilla, tietyin kokorajoituksin. Monet perinteiset valmistus-, logistiikka- ja terveydenhuoltoyritykset kuuluvat nyt piiriin.

NIS2-poikkeamailmoituslomake sisältää tyypillisesti: poikkeaman tunnisteen, havaitsemisajan ja -päivän, kuvauksen poikkeamasta, epäillyn syyn, vaikutuksen kohteena olevat järjestelmät ja palvelut, arvioidun vaikutuksen (vakavuus, maantieteellinen laajuus) ja tiedon siitä, koskevatko poikkeamat henkilötietoja. Ensimmäinen ilmoitus (aikainen varoitus 24 tunnin sisällä) on tarkoituksella kevyt — riittävä, jotta CSIRT tietää poikkeamasta ja voi priorisoida vasteen. Täydellinen ilmoitus 72 tunnin sisällä lisää vakavuusarvioinnin, perussyyn ja käytössä olevat/käynnissä olevat lieventämistoimet. Ashio kerää kaiken tämän jäsennetyssä lomakkeessa, joka vastaa CSIRT:n lomakepohjaa, joten ilmoitukset siirtyvät lomakkeesta CSIRT-työnkulkuun ilman manuaalista uudelleenmuotoilua.

NIS2-poikkeamailmoitus on sääntelyvelvoite ilmoittaa toimivaltaiselle viranomaiselle (kansalliselle CSIRT:lle ja tarvittaessa ENISA:lle) kyberpoikkeamasta säädetyssä määräajassa. NIS2-poikkeamavaste on sisäinen tekninen toiminta poikkeaman rajaamiseksi, poistamiseksi ja toipumiseksi. Nämä kaksi etenevät peräkkäin: havaitset poikkeaman, aloitat vasteen, ilmoitat poikkeamasta 24/72 tunnissa sääntelijälle ja toimitat loppuraportin kuukauden sisällä. Ashio tukee ilmoituspuolta (ilmoitukset + audit-jälki + jäsennetty lomake) ja integroituu webhookin kautta vasteentyökaluihisi.

NIS-poikkeamailmoitus on velvoite alkuperäisen NIS-direktiivin (direktiivi (EU) 2016/1148) — NIS2:n edeltäjä — mukaan keskeisten palveluiden ylläpitäjille ja digitaalisten palveluiden tarjoajille ilmoittaa kansalliselle CSIRT:lleen poikkeamista, jotka vaikuttavat keskeisten palveluiden jatkuvuuteen. Alkuperäinen NIS-ilmoitusvelvoite oli kevyempi: ilmoituksilla ei tyypillisesti ollut kiinteää määräaikaa, vain vaatimus ilmoittaa ilman aiheetonta viivytystä. NIS2 (direktiivi (EU) 2022/2555) korvaa NIS:n ja lisää tiukat määräajat (24 tunnin aikainen varoitus / 72 tunnin ilmoitus / kuukauden loppuraportti), joita sovelletaan laajempaan 'keskeisten' ja 'tärkeiden' yksiköiden joukkoon. Suurin osa organisaatioista, jotka kuuluivat NIS:n piiriin, kuuluvat myös NIS2:n piiriin.

Direktiivin (EU) 2022/2555 23 artikla on incidenttien ilmoittamista koskeva artikla. Se velvoittaa olennaiset ja tärkeät toimijat lähettämään kansalliselle CSIRT-yksikölle tai toimivaltaiselle viranomaiselle varoituksen 24 tunnin kuluessa merkittävästä incidentistä tiedon saatuaan, ilmoituksen 72 tunnin kuluessa (alustava vakavuusarvio ja tarvittaessa tiedot kompromettoitumisesta) sekä loppuraportin kuukauden kuluessa (juurisyy, lieventävät toimenpiteet, rajatylittävät vaikutukset). Ilmoitusvelvollisuus koskee vain merkittäviä incidenttejä, ja määräaika alkaa tiedon saamisesta — ei tutkinnan päättymisestä. 23 artikla velvoittaa lisäksi toimijat ilmoittamaan viipymättä palveluidensa vastaanottajille toimenpiteistä tai keinoista, joilla he voivat vastata merkittävään kyberuhkaan. Ashio kattaa sisäisen osuuden: salatun ja aikaleimatun vastaanoton, jotta määräajan käynnistävä ilmoitus tallennetaan saapumispäivänä ja se on vietävissä todisteeksi CSIRT-ilmoitukseen.