asiakas kysyy, kuinka reagoimme kyberpoikkeamaan, mitä vastaan

Poikkeamahallinnan suunnitelma: prosessi, ei pelkkä asiakirja

Poikkeamahallintasuunnitelmaa koskeva kysymys käsittelee sitä, miten organisaatio reagoi, kun tietoturvapoikkeama havaitaan: ketä varoitetaan, kuka päättää eskaloinnista, miten palautus käynnistetään ja miten ilmoitetaan asiakkaille tai valvontaviranomaisille. Muoto pyytää usein itse asiakirjaa — poikkeamahallintasuunnitelmaa tai proseduurin kuvausta — mutta useimmat ostajat arvioivat implisiittisesti myös sitä, onko suunnitelma koskaan otettu käyttöön tai testattu. Vastaus "kyllä, suunnitelma on olemassa" ilman, että harjoitusta tai todellista tapahtumaa olisi koskaan tapahtunut, on faktisesti oikea mutta heikko; mainitse, että menettely on olemassa ja mitä siitä voit osoittaa, kuten testiraportti tai arviointi edellisestä tapahtumasta.

Jos virallisesti testattua suunnitelmaa ei ole, "ei" lyhyellä perustelulla on parempi kuin täytetty "kyllä" ilman taustalla olevaa asiakirjaa. Jotkut asiakkaat kysyvät erityisesti ilmoitusaikarajoja heille toimittajana — se on sopimuksellinen sopimus, ei automaattisesti sama aikaraja kuin lakisääteinen ilmoitusvelvollisuus. Älä sekoita näitä kahta vastaussasi: mitä lupaat asiakkaallesi SLA-sopimuksessa, on erillään siitä, mitä mahdollisesti valvontaviranomaiselle on ilmoitettava. Tämä kysymys liittyy usein turvallisuuspoikkeamien käsittelystä johtuvaan menettelyynja kysymykseen siitä, ovatko palautus ja poikkeamien hallinta hyvin järjestetty varmuuskopioiden ja hätäpalvelun kautta — muoto jakaa tämän joskus useille kysymyksille, jotka kuuluvat yhteen dossieissa.

Perusta: NIS2-direktiivin 21 artiklan 2 kohta ja liite A

Poikkeamahallinnan ilmoittaminen on mainittu erillisenä toimenpiteenä NIS2-direktiivin 21 artiklan 2 kohdassa riskianalyysin ja liiketoiminnan jatkuvuuden rinnalla — se on yksi kymmenestä toimenpiteestä, jotka direktiivi erottaa. ISO/IEC 27001 kehittelee tätä hallintakeinoissa, joissa poikkeamanhallinta muodostaa oman kategorian, jossa on vaatimuksia havaitsemiseen, vastaukseen ja arviointiin. Cybersecurity Act toteuttaa tämän velvoitteen Alankomaiden lainsäädäntöön ja tulee voimaan oletettavasti 15. elokuuta 2026; siihen asti direktiiviin suoraan liittyminen on lähtökohta vastauksen perustelussa.