kuinka vastaan henkilötietojen minimoinnista kysymykseen

Tietojen minimointi liittyy pääsynhallintakäytäntöön, ei salaukseen

Tietojen minimointi sinänsä ei ole erillinen toimenpide artiklan 21 kohdan 2 NIS2-direktiivissä — nämä kymmenen toimenpidettä käsittelevät riskinenhallintaa, poikkeamien käsittelyä, liiketoiminnan jatkuvuutta ja pääsynvalvontaa, eivätkä GDPR:n periaatteita tietojen keräämisestä. Silti kysymys usein päätyy samaan kyselylomakkeeseen, koska asiakkaat yhdistävät NIS2- ja tietosuojaarvioinnit. Tähän sopiva todiste ei ole GDPR:n käsittelyrekisteri vaan pääsynhallintakäytäntö: keillä on oikeus mihin tietoihin, ja onko pääsy rajoitettu siihen, mikä on välttämätöntä toiminnolle. Se sopii yhteen pääsynhallintakäytäntöön sisältäen omaisuudenhallinnan — jos siinä on roolipohjainen pääsy ja "need to know" -periaate, se on usein riittävä perusteltu "kyllä".

Jos sinulla ei ole erillistä GDPR-minimointikäytäntöä mutta sinulla on ISO 27001 -sertifikaatti, Liite A on vahvempi kortti kuin luulet: pääsynrajoituksen ja tietojen luokittelun hallintakeinot kattavat tietojen minimoinnin implisiittisesti, ilman että sinun tarvitsee käyttää sanaa itse. Viittaa tässä tapauksessa yrityksen ISO 27001-sertifikaatti ja anna järjestelmän yhdistää vastaus siihen. Jos sinulla ei ole kumpaaankaan, älä vastaa automaattisesti "kyllä" — täytä, mikä on todellisuudessa oikein, vaikka se olisi "ei, vielä suunnitteilla".

Missä tämä tulee: artikla 21 luku 2 ja Liite A

Artiklan 21 kohdan 2 NIS2-direktiivi mainitsee pääsynvalvontakäytännön ja omaisuudenhallinnon kahdeksi kymmenestä pakollisesta toimenpiteestä ilman, että se käyttää termiä tietojen minimointi; ISO/IEC 27001 Liite A kehittää sitä edelleen pääsynrajoituksen ja tietojen luokittelun hallintakeinoin, ja Kyberturvallisuuslaki ottaa NIS2-tekstin sellaisenaan, kun se astuu voimaan 15. elokuuta 2026.