kyselylomake kysyy, onko meillä tapahtumien hallinnan suunnitelma

Poikkeamien hallintasuunnitelma on yksi kymmenestä toimenpiteestä artiklan 21 mukaisesti

Kyllä, tämä on tunnistettava osa-alue: direktiivin NIS2 21 artiklan 2 kappaleen b alakohdan "incident handling" on yksi kymmenestä pakollisesta toimenpiteestä. Asiakas ei tässä kysy epämääräistä valmiudesta tehdä jotain hakkeroinnin sattuessa, vaan kirjallisesti dokumentoidusta menettelystä: kuka ilmoittaa poikkeamasta, kuka arvioi vaikutukset, kuka päättää eskalaatiosta ja viestinnästä, ja missä aikarajassa. Jos tämä menettely on olemassa ja kirjallisesti dokumentoitu, tämä on myöntävä vastaus dokumentin kanssa todisteena. Jos sitä ei ole olemassa tai se on vain ihmisten päissä, niin "ei" on rehellinen vastaus — puolivillainen "kyllä" ilman taustalla olevaa dokumenttia aiheuttaa auditoinnissa suurempaa vahinkoa kuin ei-vastaus yhdessä selvityksen kanssa siitä, että se on kehitysvaiheessa.

Huomio ero kysymykseen havainnointiin ja tunnistamiseen: poikkeamien hallintasuunnitelma koskee sitä, mitä tapahtuu sen jälkeen, kun jokin on havaittu, ei sitä, miten haavoittuvuudet löydetään — jälkimmäinen kuuluu haavoittuvuuksien havaitsemista ja korjaamista koskevan prosessin kanssaJoillakin kyselylomakkeilla tämä on erillinen kysymys, toisilla se on yhdistetty jatkuvuuteen ("miten palautatte palvelun"), mikä on eri aihe ja johon vastataan varmuuskopiointia ja hätäpalveluja koskevan kysymyksen kautta. Siksi on tärkeää säilyttää ketjudossiossa poikkeamien hallinta ja jatkuvuus erillisinä todisteina, vaikka ne käytännössä olisivatkin samassa dokumentissa.

Missä se on ohjausasiakirjassa ja standardissa

Direktiivin (EU) 2022/2555 21 artiklan 2 kappaleen b alakohta mainitsee "incident handling" kirjaimellisesti pakollisena toimenpiteenä kyseisen kappaleen muiden yhdeksän toimenpiteen rinnalla. ISO/IEC 27001 -standardissa tämä näkyy liitteessä A hallinnon- ja tietoturvapoikkeamien hallinnon hallintakeinoissa — jolla on jo toinen tarkoitus varten ISO 27001 -sertifioitu todennäköisesti on tämä todiste jo olemassa. Kyberturvallisuuslaki toteuttaa artiklan 21 Suomen säädöksiin, mutta tulee voimaan vasta 15. elokuuta 2026; siihen asti direktiivi itse on se kehys, jonka mukaan todetaan, onko asia jo kunnossa.