kyselylomake kysyy, ovatko johtajat mukana kyberturvallisuudessa

Johdon osallistuminen on erillinen NIS2-velvoite, erillään kymmenestä toimenpiteestä

Tämä kysymys ei käsittele tekniikkaa vaan hallintoa: onko johto itse kytkeytynyt kyberturvaan vai onko se kokonaan delegoitu IT:lle. NIS2:n 21 artiklan 2 kohdassa on kymmenen toimenpidettä itsessään, mutta direktiivin 20 artikla velvoittaa lisäksi hallintoelimiä hyväksymään riskienhallintotoimenpiteet ja valvomaan niiden täytäntöönpanoa, ja hallituksen jäsenten on osallistuttava koulutukseen kyberriskeistä arvioimiseksi. Tämä on siis erillinen kysymysluettelon kohta: ei "mitä toimenpiteitä teillä on", vaan "tietääkö ja hyväksyykö johto tämän".

Todisteeksi kelpaa tavallisesti pöytäkirjankatkelma, josta ilmenee, että johto on vahvistanut tai arvioinut tietoturvaperiaatteita, organisaatiokaavio, josta käy ilmi raportointisuhteet johtoon, tai esityslistan kohta säännöllisestä johtoryhmän kokouksesta kyberriskeistä. Jos tätä ei ole olemassa, "ei" on tässä rehellinen vastaus — toimittaja, joka täyttää tämän ilman dokumenttia, ottaa riskin, että asiakas palaa asiaan myöhemmin. Tämä kysymys liittyy usein kysymykseen tehdään turvatoimenpiteiden tehokkuudesta säännöllisesti testit, sillä testaaminen ilman johtamisen seurantaa on asiakkaalle puolittainen vastaus. Relevantti on myös, kuuluuko yrityksenne NIS2-direktiivin soveltamisalaan, sillä tällöin tämä ei ole vain asiakkaan kysymys vaan oma laillinen velvollisuus 15. elokuuta 2026 alkaen, kun kyberturvallisuuslaki tulee voimaan.

Mistä tämä tulee: 20 artikla rinnalla 21 artiklan kanssa NIS2:ssa

Direktiivin (EU) 2022/2555 20 artikla sääntelee hallintoelinten vastuuta ja osallistumista erillään kymmenestä sisällöllisestä toimenpiteestä 21 artiklan 2 kohdassa; ISO/IEC 27001:ssa ei ole Liitteessä A kirjaimellista vastiketta, mutta normin ydinvaatimuksissa (kohta 5, johtajuus) vaaditaan kyllä johdon osallistumisen osoitettavuutta, joka toimitetaan usein erillisenä todisteena Liitteen A -toimenpiteiden rinnalla.