Onko yrityksellä politiikka riskianalyyseille ja tietojärjestelmien turvaamiselle?

Riskianalyysipolitiikka on perusta yhdeksälle muulle toimenpiteelle

Kyllä, useimmissa tapauksissa on tähän asiaan jotain sanottavaa, sillä riskianalyysi mainitaan ensimmäisenä toimenpiteenä artiklan 21 kohdan 2 NIS2:ssa ja on siten pohja, jolle loput politiikasta rakentuu. Kysymys testaa paitsi sitä, onko olemassa "riskipolitiikka"-asiakirja, myös sitä, tarkastelee yritys systemaattisesti, mitkä tietojärjestelmät ja prosessit ovat haavoittuvia ja mitä vastakeinoja sille on. Asiakas, joka esittää tämän kysymyksen, haluaa siis itse asiassa tietää, onko turvallisuus järjestetty riskinarvioinnin perusteella vai ad hoc -periaatteella.

Käytännössä tämä kenttä on usein vaikea vastata yksinkertaisella kyllä, koska riskianalyysi on yleensä erillisenä asiakirjana eikä sisälly muihin osiin: on pääsynhallintopolitiikka dokumentoitu, mukaan lukien liiketoimintavarojen hallinta, onko prosessi haavoittuvuuksien tunnistamiselle ja korjaamiselle, ja onko turvatoimien tehokkuutta testattu säännöllisesti. Ilman asiakirjaa, joka kuvaa riskinarvioinnin — vaikka se olisikin yksinkertainen sisäinen yhteenveto — "kyllä" ei ole perusteltavissa tässä. Jos tämä osa puuttuu, "ei" tai "osittain" on rehellinen vastaus, mahdollisesti liitettävällä selityksellä siitä, mitkä osat ovat jo valmiina.

Mistä tämä tarkalleen ottaen johtuu artiklan 21 kohdasta 2

Direktiivin (EU) 2022/2555 artiklan 21 kohdan 2 alakohta a mainitsee "riskianalyysi- ja tietojärjestelmien turvapolitiikan" ensimmäisenä kymmenestä pakollisesta toimenpiteestä, ja se on siten kaikkein suorin viite tähän kysymykseen. Direktiivi itse ei täsmentää, miten riskianalyysi on asetettava — tämä yksityiskohta jätetään kansallisille täytäntöönpanosäännöille tai normeille, kuten ISO 27001, joka on muuten poikkeava tästä politiikkakysymyksestä: katso onko yritys ISO 27001 -sertifioitu. Joka haluaa tarkistaa, kuuluuko yritys itse direktiviilin piiriin, löytää sen kohdasta kuuluuko yritys itse NIS2-direktiivin tai sen kansallisen täytäntöönpanon soveltamisalaan.