kyselylomakkeessa kysytään, olemme joutuneet kyberturvallisuuspoikkeamaan viime vuosina

Poikkeamakysymys koskee faktoja, ei imagoa

Kysymys siitä, oliko sinulla viime vuosina kyberturvallisuuspincident, vaatii tosiasioihin perustuvan vastauksen: kyllä tai ei, ja myöntävän vastauksen yhteydessä yleensä lyhyen selityksen tapahtuman luonteesta, vaikutuksista ja käsittelystä. Ei ole oikeaa tai väärää vastausta — "kyllä"-vastaus, johon liittyy asianmukainen käsittely, on monille asiakkaille uskottavampi kuin perustelematon "ei" sellaiselta toimittajalta, joka ei pysty osoittamaan muuta tietturvallisuudestaan. Keskeistä on: pystytkö perustelemaan vastauksen?

Jos poikkeama oli olemassa, todistusaineisto ei ole itse poikkeama vaan sen käsittely: ilmoitettiinko siitä, tutkittiinko se ja seurattiinko sitä kiinteän menettelyn mukaisesti? Juuri tämä on se, mitä turvallisuuspoikkeamien käsittelystä johtuvaan menettelyyn kysyy, ja asiakkaat usein yhdistävät tämän kysymyksen kahteen muuhun. Jos poikkeamaa ei ollut, vastaus on "ei", mahdollisesti viittauksella havaitsemistoimenpiteisiin, jotka osoittavat tämän — katso haavoittuvuuksien havaitsemista ja korjaamista koskevan prosessin kanssa. Ilman poikkeamarekisteriä tai poikkeamakirjaa "ei" on silti pätevä vastaus, mutta se on vastaus ilman taustalla olevaa todistusaineistoa; voit mainita tämän selityksessä sen sijaan, että keksit todistusaineiston, jota ei ole.

Miksi tämä sisältyy kymmeneen toimenpiteeseen

Poikkeamien käsittely ("incident handling") on yksi kymmenestä konkreettisesta toimenpiteestä, jotka NIS2-direktiivin artiklan 21 kohta 2 (Direktiivi (EU) 2022/2555) luettelee entiteetin turvallisuuspolitiikan osana. Hollanninkielisen täytäntöönpanon kautta verkon ja tietoturvallisuuden lain kautta — joka tulee voimaan 15. elokuuta 2026 — sama vaatimus on voimassa entiteetille, jotka kuuluvat tämän lain piiriin. Näin ollen kysymys aikaisemmista poikkeamista on käytännössä usein epäsuora testi siitä, onko organisaatiolla poikkeamaprosessi, ei pelkästään itse poikkeamasta. Joka käyttää ISO/IEC 27001:tä, tunnistaa saman teeman Liitteessä A "information security incident management" -hallintotoimenpiteissä.