NIS2-poikkeamien ilmoittaminen 24 ja 72 tunnissa: menettely, vastuut ja valmiusharjoitus

Poikkeamien 24 ja 72 tunnin ilmoitusmenettely ei voi alkaa lomakkeen täyttämisestä eikä päättyä IT-osaston vastuuseen. Menettelyn toimivuus riippuu siitä, milloin organisaation katsotaan saaneen tiedon poikkeamasta, kuka arvioi sen vaikutukset, kuka tekee ilmoituspäätöksen ja pystytäänkö ilmoitus laatimaan ja lähettämään myös puutteellisten tietojen, avainhenkilöiden poissaolon tai keskeisten järjestelmien häiriön aikana. Ilmoitusvalmius on siksi rakennettava organisaation rajat ylittäväksi prosessiksi ja testattava aikapaineessa toteutettavalla harjoituksella.

Miksi määräajan laskenta alkaa usein johdon oletusta aikaisemmin

Määräajan alkamista ei pidä sitoa vasta täydelliseen tekniseen vahvistukseen tai siihen, että asia on siirretty ilmoittamiseen valtuutetulle henkilölle. Organisaation on erotettava toisistaan tapahtuma eli havaittu poikkeama tai varoitus, turvallisuuspoikkeama, joka vaikuttaa resurssien tai palvelujen luottamuksellisuuteen, eheyteen, saatavuuteen tai aitouteen, sekä lakisääteiset ilmoituskriteerit täyttävä poikkeama. Jokainen hälytys ei siis käynnistä 24 ja 72 tunnin ilmoitusmenettelyä, mutta jokainen signaali on luokiteltava ennalta määritettyjen sääntöjen mukaisesti.

Merkittävin viivästysriski syntyy, jos menettelyssä ei ole määritetty, milloin organisaation katsotaan saaneen tiedon poikkeamasta. Ensimmäisen tiedon voi saada huolto, tuotantolinjan käyttäjä, järjestelmänvalvoja, palveluntarjoaja tai asiakaspalvelu. Jos määräaikaa ryhdytään laskemaan vasta hallituksen jäsenen tai tietoturvakoordinaattorin saatua ilmoituksen, todellisen häiriöhavainnon ja muodollisen reagoinnin väliin jää keinotekoinen katkos. Menettelyssä on siksi määritettävä sisäiset ja ulkoiset ilmoituslähteet, eskalointikriteerit sekä se rooli, joka ratkaisee, onko häiriö ylittänyt tavanomaisen vian tai käyttökatkon kynnyksen.

Jos tuotantojärjestelmää ylläpitävä toimittaja ilmoittaa huollolle saatavuuden menetyksestä ja epäilee ulkopuolista toimintaa, syy, kokonaislaajuus ja arvioitu palautumisaika voivat olla vielä tuntemattomia. Tämä ei oikeuta odottamaan lopullista teknistä raporttia. Eskalointiin riittävät tiedot signaalin havaitsemisajasta, vaikutuksen kohteena olevista palveluista ja toimipaikoista, havaituista vaikutuksista, mahdollisista seurauksista sekä jo toteutetuista rajoittamistoimista. Valtuutettu henkilö tekee näiden tietojen perusteella alustavan arvion ja dokumentoi päätöksen ilmoituspolun käynnistämisestä tai käynnistämättä jättämisestä.

24 ja 72 tunnin vaiheita on käsiteltävä samaa poikkeamaa koskevan tiedon asteittaisena täydentymisenä. Ensin toimitetaan käytettävissä oleviin tietoihin perustuva varhaisvaroitus, minkä jälkeen arviota täydennetään tarkemmilla havainnoilla. Kyse ei ole kahdesta toisistaan irrallisesta hallinnollisesta velvoitteesta. Tarkat määräajat, luokittelukynnykset ja ilmoituskanavat on aina varmistettava ajantasaisesta NIS2-direktiivin kansallisesta täytäntöönpanolainsäädännöstä sekä toimivaltaisen viranomaisen vaatimuksista. Menettelyä ei pidä rakentaa yksinomaan direktiivin tekstin varaan. Valittujen ratkaisujen toimivuus voidaan arvioida osana palvelua NIS2-auditointi tuotantoyrityksessä – miten organisaation valmius uusiin velvoitteisiin arvioidaan.

Mihin organisaation ensimmäiset tunnit kuluvat

Ensimmäiset tunnit kuluvat usein odottamiseen teknisen analyysin sijasta. Ilmoitus jää palvelunhallintajärjestelmään, työajan ulkopuolinen yhteydenottopolku ei toimi, toimittaja valmistelee arviotaan, yksiköt kiistelevät vaikutusten laajuudesta tai päätösvaltainen henkilö ei ole tavoitettavissa. Viivettä kasvattaa tietojen manuaalinen kokoaminen useista lähteistä. Ongelmat syntyvät ennen kaikkea tietotekniikan, operatiivisen teknologian, tuotannon, laadunhallinnan, lakiasioiden, viestinnän, tietosuojan, hankinnan ja johdon rajapinnoissa, koska kullakin toiminnolla on käytettävissään vain osa kokonaiskuvasta.

Tuotantoyrityksessä suunnittelujärjestelmän käytettävyyden menetys yhdistettynä joidenkin laitteiden epävakauteen ei anna heti täydellistä kuvaa tilanteesta. Kyse voi olla toisistaan riippuvaisten järjestelmien viasta, operatiivisen teknologian häiriöstä tai laajemmasta turvallisuuspoikkeamasta. Organisaation on samanaikaisesti turvattava toiminta ja tuotannon jatkuvuus, tunnistettava vaikutuksen kohteena olevat resurssit ja toimipaikat sekä vietävä eskalointia eteenpäin. Teknisiä rajoittamistoimia ei saa lykätä muodollista päätöstä odotettaessa, mutta myöskään ilmoituspäätöstä ei pidä siirtää siihen asti, että syy on selvitetty tai häiriö kokonaan poistettu.

Pullonkaulat paljastuvat parhaiten skenaarioharjoituksessa, johon sisältyvät myös yöaikainen tapahtuma ja avainhenkilön poissaolo. Harjoituksessa mitataan aika ensimmäisestä signaalista eskalointiin, luokitteluun, yhteyteen päätöksentekijän kanssa ja vähimmäistietojen kokoamiseen. Samalla on tarkastettava tieto- ja viestintäteknisten palvelujen toimittajasopimusten ehdot. Toimittaja voi tukea tietojen kokoamista, mutta ilmoittaminen organisaation puolesta edellyttää nimenomaista perustetta, asianmukaista valtuutusta ja yhteensopivuutta voimassa olevan menettelyn kanssa. Pelkkä järjestelmän ylläpitovastuu ei siirrä organisaation vastuuta toimittajalle.

Valmiusarvioinnin on katettava koko organisaatio, ei ainoastaan IT-toiminto. Arvioinnissa tarkastellaan rooleja, tiedonkulkua, toimittajia, operatiivista teknologiaa ja kriisinhallintaa. Näiden mekanismien toiminnasta saatavan näytön on oltava yhdenmukaista materiaalissa NIS2- ja KSC-dokumentaatio ennen tarkastusta: mitä politiikkoja, rekistereitä ja näyttöä todella tarvitaan kuvatun laajuuden kanssa.

Menettely ensimmäisestä signaalista ilmoitukseen

Menettelyn on vietävä ensimmäisestä signaalista dokumentoituun lähetykseen ilman, että päätös sidotaan teknisen analyysin valmistumiseen. Prosessi sisältää signaalin vastaanoton, ajan ja lähteen kirjaamisen, alustavan luokittelun, todistusaineiston turvaamisen sekä palveluvaikutuksen arvioinnin. Tämän jälkeen käynnistetään eskalointi, tehdään päätös, laaditaan ilmoitus, lähetetään se asianmukaisen kanavan kautta ja säilytetään lähetysvahvistus. Jokaiselle vaiheelle tarvitaan omistaja, varahenkilö, sisäinen määräaika ja määritetty tallenne. Sisäisten määräaikojen on jätettävä aikaa hyväksynnälle ja lähetysongelmien käsittelylle sen sijaan, että ne päättyisivät vasta lakisääteisen määräajan rajalla.

Ensimmäisessä, enintään 24 tunnin vaiheessa tarvitaan vahvistettujen vähimmäistietojen kokonaisuus: toimijan tunnistetiedot, havaitsemisaika, vaikutuksen kohteena oleva palvelu, havaitut seuraukset, tiedossa oleva laajuus ja toteutetut toimet. Epävarmat tiedot on merkittävä alustaviksi ja niiden lähde sekä todentamistapa on ilmoitettava. Syyn, koko laajuuden tai tapahtuman päättymisajan puuttuminen ei saa johtaa näennäisen täydellisen kuvauksen laatimiseen eikä automaattisesti estää ilmoituksen lähettämistä. Menettelyssä on määritettävä ilmoituksen hyväksyjä, hänen varahenkilönsä ja tapa, jolla jo toimitettuja tietoja päivitetään.

Kun tuotantolaitos menettää pääsyn tilausten toteutusta ohjaavaan järjestelmään, koordinaattori kirjaa hälytyksen, havaitsemisajan ja käyttäjien havainnot. Tekninen tiimi turvaa samanaikaisesti tapahtumalokit ja rajoittaa vaikutuksia. Palvelun omistaja arvioi vaikutukset tuotantoon, logistiikkaan ja asiakkaisiin, kun taas päätösvaltainen henkilö ratkaisee käytettävissä olevien tietojen perusteella, syntyykö ilmoitusvelvollisuus. Jos poikkeama jatkuu, rekisteröintijärjestelmä ei ole käytettävissä tai tapahtuma on peräisin toimittajalta, on käytettävä ennalta valmisteltua varakanavaa lopullista raporttia odottamatta. Useita yhtiöitä käsittävässä konsernissa on määritettävä erikseen vaikutuksen kohteena olevat palvelut, kunkin oikeushenkilön asema sekä valtuudet toimia eri yhtiöiden puolesta.

72 tunnin vaiheeseen mennessä organisaatio täydentää arviota poikkeaman luonteesta ja vakavuudesta, vaikutuksista, käytettävissä olevista vaarantumisindikaattoreista sekä vaikutuksia rajoittavista toimenpiteistä siinä laajuudessa kuin kulloinkin voimassa olevat säännökset ja lomakkeet edellyttävät. Jos myöhemmät havainnot muuttavat tapahtuman laajuutta, syytä tai luokittelua, aikaisempaa ilmoitusta on korjattava hallitusti eikä korvattava ilman jäljitettävää muutoshistoriaa. Ennen menettelyn käyttöönottoa on siksi varmistettava kyseiselle toimijaryhmälle toimivaltainen viranomainen tai reagointiryhmä, ilmoituskanava, määräaikojen laskentasäännöt sekä päivityksiä ja myöhempää raportointia koskevat vaatimukset. Soveltamisalaa käsitellään laajemmin materiaalissa NIS2 tuotantoyrityksille: ketä vaatimukset koskevat, mitä velvoitteita ne tuovat ja miten organisaatio valmistellaan rajaamatta asiaa vain IT:hen.

Tiedonkulun perustana on oltava yksi poikkeamarekisteri, johon sisältyvät aikajana, havaintojen peräkkäiset versiot, tietolähteet, päätökset perusteluineen, ilmoitusten sisältö ja lähetysvahvistukset. Sähköpostia ja pikaviestimiä voidaan käyttää hälyttämiseen, mutta niihin ei pidä muodostaa rinnakkaisia versioita tapahtumakuvauksesta. Prosessin valmiutta mitataan ajalla signaalista rekisteröintiin, eskalointiin, päätökseen ja lähetykseen, lähdetiedoilla varustettujen merkintöjen osuudella sekä sillä, voidaanko jälkikäteen osoittaa, kuka muutti poikkeaman arviota ja millä perusteella.

Roolit, varahenkilöt ja päätöksentekokynnys

Ilmoitusprosessi edellyttää tehtävien, vastuiden ja toimivaltuuksien selkeää erottamista. Tapahtuman havainnut henkilö rekisteröi sen ja käynnistää eskaloinnin. Poikkeamakoordinaattori ylläpitää aikajanaa ja tiedonkulkua, kun taas tekninen asiantuntija arvioi tapahtuman luonteen ja turvaa tiedot. Palvelun tai prosessin omistaja määrittää operatiivisen vaikutuksen, oikeudellista osaamista omaava henkilö arvioi ilmoitusvelvollisuuden, hyväksyjä tekee ilmoituspäätöksen ja valtuutettu työntekijä lähettää ilmoituksen sekä säilyttää lähetysnäytön. Sama henkilö voi hoitaa useita rooleja, jos päätösvalta säilyy selkeänä eikä järjestelystä synny yhtä kriittistä riippuvuuspistettä.

Vastuumatriisi on käyttökelpoinen vasta, kun tehtävänimikkeen lisäksi siinä määritetään tehtävän laajuus, vaadittu reagointiaika, päätösvalta, varahenkilö ja odotettu näyttö tehtävän suorittamisesta. Siinä on myös määritettävä, kuka voi tehdä päätöksen puutteellisten tietojen perusteella ja miten tuotannon jatkuvuuden, turvallisuuden ja ilmoitusvelvollisuuden välinen ristiriita ratkaistaan. Johto hyväksyy reagointimallin, eskalointikynnykset ja käytettävissä olevat resurssit. Se ei voi siirtää kaikkea päätösriskiä järjestelmänvalvojalle tai laatuvastaavalle, joilla ei yleensä ole toimivaltaa ratkaista liiketoiminnallisia ja oikeudellisia vaikutuksia.

Jokaisen ilmoituksen hyväksyjän ei tarvitse olla hallituksen jäsen, jos organisaation sisäinen toimivaltamalli sisältää asianmukaisen valtakirjan tai valtuutuksen, joka vastaa kyseistä toimijaa ja ilmoituskanavaa koskevia vaatimuksia. Varahenkilöjärjestelyssä on nimettävä seuraava päätösvaltainen henkilö, määritettävä ympärivuorokautiset yhteystiedot sekä sääntö asian siirtämisestä eteenpäin, jos yhteyttä ei saada sovitussa ajassa. Varahenkilöllä on oltava tosiasiallinen pääsy rekisteriin, lomakkeeseen, postilaatikkoon, tarvittaviin sähköisiin allekirjoituksiin ja varakanavaan. Pelkkä maininta menettelyohjeessa ei turvaa toiminnan jatkuvuutta, jos käyttöoikeuksia ei ole myönnetty.

Jos poikkeama tapahtuu yöllä, koordinaattori ei saa odottaa hyväksyjän vastausta määrittämättömän ajan. Sisäisen yhteydenottoajan päätyttyä hänen on otettava yhteys hyväksyjän varahenkilöön ja sen jälkeen hätätilanteessa päätösvaltaiseen henkilöön. Sisäiset määräajat on asetettava selvästi ulkoisia määräaikoja lyhyemmiksi. Näin jää aikaa tietojen tarkastamiseen, oikeudelliseen luokitteluun, hyväksyntään, teknisten ongelmien ratkaisuun ja lähetyksen dokumentointiin. Harjoituksissa on mitattava ajat havainnosta eskalointiin, päätökseen ja ilmoituksen toimittamiseen.

Malli edellyttää päivystyksen, käyttöoikeuksien, koulutuksen ja työkalujen rahoittamista. Nämä tarpeet on siksi sisällytettävä materiaalissa Mitä NIS2:n ja uKSC:n käyttöönotto maksaa – miten auditointien, dokumentaation, koulutuksen ja suojaustoimien budjetti rakennetaan ilman kalliita virheitä kuvattuun suunnitteluun. Yhden päätöksentekijän tai käyttöoikeuksien haltijan varaan jääminen on näennäistä säästöä: poikkeamatilanteessa organisatorinen poissaolo muuttuu muodollisen viivästyksen syyksi.

Harjoitus, joka osoittaa todellisen valmiuden

Poikkeamien ilmoitusvalmiutta ei osoita menettelyohjeen tunteminen vaan kyky toteuttaa se aikapaineessa ja puutteellisten tietojen perusteella. Harjoitusskenaarion tulee perustua tietojen vaiheittaiseen paljastamiseen. Ensimmäinen signaali voi olla epäselvä, osa järjestelmistä ja dokumentaatiosta poissa käytöstä, toimittajan vastaus viivästynyt ja operatiivinen vaikutus kasvava. Tällainen rakenne osoittaa, kykeneekö organisaatio käynnistämään eskaloinnin odottamatta täydellistä teknistä analyysia.

Harjoitus toteutetaan realistisella aikajanalla. Siinä kirjataan signaalin vastaanotto- ja tallennushetki, tiedon välittäminen koordinaattorille, tiimin koollekutsuminen, alustava luokittelu, ilmoitustekstin valmistelu, hyväksyntä ja lähetysyritys. Harjoituksen ei pidä johtaa todelliseen ilmoitukseen, ellei turvallisesta testiympäristöstä ja testitietojen merkinnästä ole sovittu etukäteen. Ulkopuolisten toimijoiden osallistumisesta tehdään erillinen päätös. Toimittaja kannattaa ottaa mukaan, jos sen tieto, käyttöoikeus tai toimenpide on välttämätön poikkeaman luokittelulle. Johdon on osallistuttava vähintään sellaiseen harjoitusvaihtoehtoon, joka edellyttää liiketoimintapäätöstä, riskin hyväksymistä tai varahenkilöjärjestelyn käynnistämistä.

Esimerkkiskenaario voi alkaa tuotantojärjestelmän hidastumisesta. Seuraavaksi harjoituksen vetäjä kertoo, ettei tapahtumarekisteriin päästä, hyväksyjä ei ole tavoitettavissa, vaikutuksen kohteena olevien prosessien määrästä on ristiriitaisia tietoja eikä toimittaja vastaa. Tarkkailijat eivät neuvo ryhmää, vaan kirjaavat toteutuneet ajat ja näytöt. He arvioivat signaalin kulkuajan koordinaattorille, varahenkilöiden tavoitettavuuden, epäselvien vastuiden määrän, aikajanan kattavuuden, lähteiden väliset ristiriidat ja varakanavan käyttömahdollisuuden. Lisäksi kirjataan roolit, joilta puuttuu varahenkilö, puuttuvat käyttöoikeudet ja vanhentuneet yhteystiedot.

Arviointia ei saa rajata siihen, laadittiinko harjoitusilmoitus ennen sisäistä määräaikaa. Lisäksi on tarkastettava, erottivatko osallistujat:

• vahvistetut tosiseikat oletuksista,
• tietolähteet toisistaan,
• luokittelupäätöksen dokumentoidut perusteet,
• myöhemmin täydennettävät tiedot,
• varahenkilöjärjestelyn käynnistämisen sovittujen sääntöjen mukaisesti,
• varailmoituskanavan asianmukaisen käytön.

Keskeinen tulos on myös ryhmän toimintatapa epävarmuudessa. Ryhmän ei pidä automaattisesti luokitella jokaista häiriötä ilmoitettavaksi poikkeamaksi, mutta se ei myöskään saa keskeyttää eskalointia täydellisen teknisen analyysin valmistumiseen asti.

Harjoitus päättyy korjaavien toimenpiteiden suunnitelmaan, ei pelkkään pöytäkirjaan. Jokaiselle puutteelle määritetään omistaja, korjausaika, mitattava vaikuttavuuskriteeri ja uudelleen testattava osa-alue. Organisaation on seurattava sovitussa määräajassa päätettyjen ja vaikuttaviksi todennettujen toimenpiteiden osuutta. Seuraavien harjoitusten tiheys ja skenaarion vaihtaminen määritetään riskien, edellisen harjoituksen tulosten ja organisaatiomuutosten perusteella. Uusi harjoitus on erityisen perusteltu, jos roolit, toimittajat, järjestelmät tai ilmoituskanavat muuttuvat tai jos havaitaan olennaisia puutteita. Tulosten on oltava yhdenmukaisia materiaalissa NIS2:n käyttöönotto KSC-luetteloon merkitsemisen jälkeen – toimintasuunnitelma 3.4.2027 asti kuvatun aikataulun kanssa.

Johtamisen vähimmäistaso ilmoitusvalmiudelle

Johto voi katsoa poikkeamien ilmoitusprosessin toimivaksi vasta hyväksyttyään sen koko organisatorisen rakenteen. Kokonaisuus sisältää menettelyn, eskalointikriteerit, ajantasaisen yhteystietoluettelon, nimetyt roolit ja varahenkilöt, pääsyn varsinaiseen ja vaihtoehtoiseen ilmoituskanavaan, ilmoitusmallit, yhden poikkeamarekisterin, näytön turvaamis- ja säilyttämisperiaatteet sekä toteutetun harjoituksen. Minkä tahansa näistä osista puuttuminen on arvioitava operatiiviseksi riskiksi, ei dokumentin toimitukselliseksi puutteeksi.

Valmiutta ei osoita hyväksyttyjen dokumenttien määrä vaan yhtenäinen ja jäljitettävä toimintaketju tapahtuman havaitsemisesta luokittelun ja päätöksen kautta ilmoituksen laatimiseen ja lähettämiseen. Jäljen on osoitettava ajankohdat, tietolähteet, päätöksentekijät, luokittelun perusteet ja toimivaltaiselle taholle toimitettu sisältö. Organisaation on myös pystyttävä osoittamaan toimintakykynsä avainhenkilöiden poissaolon, keskeisten järjestelmien häiriön ja rajoitetun tietojen saatavuuden aikana.

Harjoituksen jälkeen tarvitaan johdon katselmus, jossa havainnot muutetaan päätöksiksi ennen auditointia tai viranomaisvalvontaa. Prosessin omistaja voi toimivaltansa rajoissa korjata ohjetta, rekisteriä tai yhteystietoluetteloa. Johdon on puolestaan ratkaistava puutteet, jotka edellyttävät jäännösriskin hyväksymistä, muutosten rahoittamista, lisäresursseja tai vastuiden muuttamista. Jokaiselle toimenpiteelle tarvitaan omistaja, määräaika ja vaikuttavuuden uudelleenarvioinnin päivämäärä.

Poikkeamien ilmoittaminen on liitettävä osaksi laajempaa käyttöönottosuunnitelmaa, ja määräaikojen sekä vaatimusten ajantasaisuus on aina tarkistettava. Kypsyystason arvioinnissa kannattaa huomioida myös materiaali NIS2 ja SFS-EN ISO 27001: mitä sertifikaatti osoittaa ja mitä KSC-vaatimusten täyttämisestä voi edelleen puuttua. Organisaatio on valmis vasta, kun se pystyy tekemään oikean päätöksen, toteuttamaan sen ja osoittamaan päätöksenteon perusteet rajallisessa ajassa ja puutteellisten tietojen varassa.