NIS2- ja KSC-vaatimustenmukaisuuden valvonta: yhtenäinen näyttö asiakirjoista, rekistereistä ja testeistä

NIS2- ja KSC-vaatimustenmukaisuuden valvonnassa pelkkä politiikkojen ja menettelyohjeiden esittäminen ei riitä. Valvontaviranomainen voi arvioida, onko organisaatio määrittänyt velvoitteidensa soveltamisalan oikein, osoittanut vastuut, ottanut turvatoimet käyttöön ja pystyykö se todentamaan niiden toimivuuden ajantasaisilla rekistereillä, testituloksilla ja johdon päätöksillä. Valmistautumisen tulee perustua katkeamattomaan näyttöketjuun: velvoitteesta ja riskistä käytettyyn hallintakeinoon, toteutustallenteeseen, vaikuttavuuden arviointiin ja poikkeamaan reagointiin.

Valvonnassa arvioidaan järjestelmää, ei asiakirjakansiota

Lähtökohtana ei ole politiikkojen ja menettelyohjeiden määrä, vaan velvoitteiden soveltamisalan oikea määrittely. Organisaation tulee pystyä osoittamaan, mitkä palvelut, prosessit, tietojärjestelmät, toimipaikat ja toimittajariippuvuudet kuuluvat KSC-vaatimusten piiriin ja millä perusteella ratkaisu on tehty. Ennen dokumentaation järjestämistä johdon tulee siksi vahvistaa toimijan asema ja tarjottavien palvelujen soveltamisala sekä nimetä valvontaan valmistautumisesta vastaava henkilö.

Suurin näyttöön liittyvä riski syntyy silloin, kun dokumentaatiossa kuvataan ratkaisuja, joita organisaatio ei tosiasiassa noudata tai joiden toteutusta se ei pysty vahvistamaan tallenteilla. Tämä koskee erityisesti käyttöoikeuksien katselmointeja, riskinarviointeja, varmuuskopiointia, toimittajien valvontaa ja jatkuvuusjärjestelyjen testausta. Näytön tulee muodostaa yhtenäinen ketju: vaatimus tai riski, päätös, käyttöön otettu turvatoimi, vastuu, toteutustallenne, vaikuttavuuden arvioinnin tulos ja havaittuun poikkeamaan reagointi.

Viranomainen voi aloittaa ylätason asiakirjasta ja siirtyä sen jälkeen operatiiviseen otantaan. Jos poikkeamien hallintamenettelyssä määritellään tapahtumien luokittelu ja eskalointi, organisaation on varauduttava siihen, että ilmoitukset, reagointiajat, tehdyt päätökset, viestintä, tapausten sulkeminen ja poikkeamien jälkeiset johtopäätökset tarkastetaan. Järjestelmän soveltamisalaa ei osoiteta vain kuvauksella, vaan myös palvelu- ja riippuvuuskartalla, omaisuusluettelolla, omistajuuksilla sekä näiden tietojen yhdenmukaisuudella operatiivisten rekisterien kanssa.

NIS2- ja KSC-dokumentaation ennen valvontaa: mitä politiikkoja, rekistereitä ja näyttöä todella tarvitaan tulee kuvata toimivaa johtamismekanismia, ei malliasiakirjojen kokoelmaa. Valvontaviranomaisen tarkastus on samalla erotettava johtamisjärjestelmän auditoinnista. Molemmissa voidaan käyttää samanlaista näyttöä, mutta viranomaisvalvonnassa arvioidaan sovellettavista säännöksistä ja valvonnan laajuudesta johtuvien velvoitteiden täyttämistä. Auditoinnissa puolestaan arvioidaan järjestelmän vaatimustenmukaisuutta ja vaikuttavuutta määriteltyjen auditointikriteerien perusteella. Toisen myönteinen tulos ei korvaa toista.

Soveltamisala ja vastuut tarkassa arvioinnissa

Ensimmäisen näyttökokonaisuuden tulee selventää, miksi organisaatio kuuluu tiettyjen velvoitteiden piiriin ja mihin valvottavan ympäristön rajat on asetettu. Viranomainen voi odottaa perusteluja toimijan luokittelulle, sääntelyn piiriin kuuluvien palvelujen tunnistamista sekä niihin liittyvien prosessien, tietovarojen, järjestelmien, toimipaikkojen ja toimittajien yksilöintiä. Soveltamisalaa ei pidä kuvata pelkällä toimialan nimellä. Kuvauksen on mahdollistettava palvelutuotannon jäljittäminen liiketoimintaprosessista sitä tukeviin omaisuuseriin ja ulkoisiin riippuvuuksiin asti.

Valmistautumisen perustana on ajantasainen, johdon hyväksymä soveltamisalan kuvaus. Sitä täydentävät palvelu- ja prosessikartta, kriittisten omaisuuserien luettelo sekä vastuurakenne. Rooleja määrittävissä asiakirjoissa ei pidä kuvata vain tehtävänimikkeitä, vaan myös valtuudet riskien hyväksymiseen, varajärjestelyjen käynnistämiseen, poikkeamien eskalointiin ja toimittajia koskevaan päätöksentekoon. Palvelujen, omaisuuserien ja riskien omistajat on nimettävä todellisen toimivallan mukaisesti.

Tyypillinen ristiriita syntyy, kun rekisterissä nimetään riskille muodollinen omistaja, mutta riskin hyväksymisestä päättää toinen henkilö ilman asianmukaista valtuutusta tai tallennettua päätöstä. Sama ongelma koskee turvatoimia koskevia poikkeuksia, toiminnan jatkuvuutta ja toimittajien hyväksyntää. Kokouspöytäkirjojen, päätösten, riskinarviointien hyväksyntöjen, budjettiratkaisujen ja johdon katselmusten tulee osoittaa, että johto tuntee olennaiset riskit, ratkaisee operatiivisen toimivallan ylittävät asiat ja valvoo päätösten toimeenpanoa.

Luokittelutapa, merkitseminen asianmukaiseen luetteloon ja viranomaisen toimivalta on aina määritettävä voimassa olevan oikeustilan ja toimijan tilanteen perusteella. Aihetta käsitellään käytännönläheisesti aineistossa NIS2: itsearviointi ja merkitseminen KSC-luetteloon – mitä tuotantoyrityksen tulee tehdä? Jos organisaatiolla on keskeisen toimijan asema, soveltamisalan arviointi tulee yhdistää myös aineistoon Pakollinen KSC-auditointi: minkä keskeisten toimijoiden tulee valmistautua ensimmäiseen vaatimustenmukaisuuden arviointiin. Pelkkä asema ei kuitenkaan osoita, että johto on hyväksynyt vastuurajat ja varmistanut niiden määräaikaisen katselmoinnin.

Rekisterit osoittavat käytännön toteutuksen

Rekisteri on näyttöä jatkuvasta hallinnasta vain, jos se kuvastaa prosesseissa tehtäviä päätöksiä ja toimenpiteitä eikä ole menettelyohjeen liite, jota täydennetään vain määräajoin. Ennen työkalun valintaa on määritettävä vaaditut tietokentät, tietolähteet, tallenteiden omistajat ja muutosten hyväksymissäännöt. Taulukkolaskenta voi olla riittävä ratkaisu, jos sillä varmistetaan käyttöoikeuksien hallinta, muutoshistoria, yksiselitteinen vastuu ja suoja luvattomilta muutoksilta. Laajakaan järjestelmä ei takaa tietojen luotettavuutta, jos ei ole määritelty, kuka päivittää rekisteriä, milloin päivitys tehdään ja mihin tapahtumaan se perustuu.

Riskirekisterin tulee yhdistää uhkaskenaariot palveluihin ja omaisuuseriin sekä osoittaa riskin omistaja, nykyiset hallintakeinot, arvioinnin tulos, riskinkäsittelypäätös ja toimenpiteiden toteutustilanne. Viranomainen voi tarkastaa, onko pienennettäväksi merkitylle riskille osoitettu tehtävä, määräaika ja toteutusnäyttö sekä onko hyväksytty riski hyväksytty asianmukaisen valtuuden omaavan henkilön toimesta. Hyödyllisiä johdon mittareita ovat avointen riskien, keskeneräisten toimenpiteiden ja uutta katselmointia odottavien päätösten määrät. Ne ovat organisaation omia mittareita, eivät lakisääteisiä raja-arvoja.

Poikkeama- ja tapahtumarekisterin tulee mahdollistaa koko käsittelyketjun jäljittäminen: havaitseminen, poikkeaman luokittelu, eskalointi, ilmoittamista koskeva päätös, viestintä, toiminnan palauttaminen ja muodollinen sulkeminen johtopäätöksineen. Liittyvään näyttöön kuuluvat haavoittuvuuksia, korjauspäivityksiä ja hyväksyttyjä poikkeuksia, käyttöoikeuksien katselmointeja, varmuuskopiointia ja palautuksia, konfiguraatiomuutoksia, ylläpitäjien toimia, koulutuksia ja harjoituksia koskevat rekisterit.

Korjauspäivityksen lykkäämisen tulee muodostaa jäljitettävä ketju tunnistetusta haavoittuvuudesta vaikutusten arviointiin ja poikkeuspäätökseen sekä edelleen korvaaviin turvatoimiin, uudelleenarvioinnin määräaikaan ja sulkemisen vahvistamiseen. Pelkkä luettelo viivästyneistä päivityksistä ei osoita, että viive on hallinnassa.

Toimitusketjun valvonnalta edellytetään samaa johdonmukaisuutta. Sopimusluettelo ei korvaa toimittajien luokittelua, ulkoisiin osapuoliin liittyvien palvelu- ja omaisuusriippuvuuksien arviointia, turvallisuusvaatimusten määrittelyä, katselmointitallenteita tai hyväksymättömiä puutteita koskevia päätöksiä. Rekisteristä tulee käydä ilmi, kuka on hyväksynyt toimittajan, mitä poikkeamia on hyväksytty ja milloin toimittaja arvioidaan uudelleen. Erityisesti on seurattava toimittajia, joilla ei ole ajantasaista arviointia, sekä katselmusten jälkeen avoimiksi jääneitä toimenpiteitä. Tämä on olennaista myös toteutettaessa ohjelmaa NIS2:n käyttöönotto KSC-luetteloon merkitsemisen jälkeen – toimintasuunnitelma 3.4.2027 asti.

Säilyttämistä, käyttöoikeuksia ja muutosten hyväksymistä koskevat säännöt tulee määrittää tallennetyypin, sen näyttöarvon, oikeudellisten ja sopimusperusteisten vaatimusten sekä poikkeamien analysointitarpeiden mukaan. Kaikille rekistereille ei pidä asettaa yhtä säilytysaikaa ilman tällaista analyysia. Poikkeamien ilmoittamisen määräajat ja todistusaineiston suojaamistapa on aina varmistettava voimassa olevista säännöksistä ja toimivaltaisen viranomaisen ohjeista. Laajempi aineistoluettelo on esitetty artikkelissa NIS2- ja KSC-dokumentaatio ennen valvontaa: mitä politiikkoja, rekistereitä ja näyttöä todella tarvitaan. Operatiivinen kypsyys osoitetaan kuitenkin päivittäisessä työssä syntyvillä tallenteilla sekä näkyvällä ketjulla vaatimuksesta valvontatulokseen ja korjaavaan toimenpiteeseen.

Testin on johdettava päätökseen

Valvontaviranomainen voi pyytää muutakin kuin jatkuvuussuunnitelman, poikkeamiin reagoinnin menettelyohjeen tai vahvistuksen varmuuskopioiden tekemisestä. Olennaista on myös näyttö siitä, että ratkaisuja on testattu todellisia palveluja, teknologioita ja toimittajariippuvuuksia vastaavissa olosuhteissa. Testausohjelman tulee perustua riskinarviointiin, palvelun kriittisyyteen, toimintaympäristön muutoksiin sekä oikeudellisiin ja sopimusperusteisiin vaatimuksiin. Kaikille turvatoimille ei ole yhtä oikeaa testaustiheyttä. Tiheämmin tulee testata alueita, joiden vaikutus on suuri, jotka muuttuvat nopeasti tai joissa aiemmat testit ovat paljastaneet olennaisia poikkeamia.

Ennen jokaista testiä on määritettävä sen kohde ja hyväksymiskriteerit. Tallenteeseen tulee sisällyttää soveltamisala, skenaario, osallistujat, ympäristö, hyväksymiskriteerit ja sallitut toleranssit sekä testin jälkeen tulos, poikkeamat ja todellinen tai mahdollinen vaikutus palveluun. Jos puutteita havaitaan, näyttöaineistossa tulee osoittaa korjaavat toimenpiteet, niiden omistajat, määräajat ja uusintatarkastuksen ajankohta.

Hyödyllisiä mittareita ovat toteutunut palautumisaika, saavutettu palautuspiste, eskalointiaika ja testin jälkeisten toimenpiteiden sulkemisaste. Vakava organisatorinen virhe on testata säännöllisesti ilman onnistumiskriteereitä tai jättää havaitut poikkeamat sulkematta.

Keskeisiä testejä ovat tietojen palauttaminen varmuuskopioista, siirtyminen varajärjestelyihin, poikkeamien hallintaharjoitukset, kriisiviestinnän testaus, käyttöoikeuksien katselmoinnit, konfiguraatioiden palauttaminen sekä haavoittuvuuksien tekninen arviointi, mukaan lukien skannaukset ja riskin perusteella penetraatiotestit. Toimittajan tulokset voivat olla osa näyttöä, mutta ne eivät korvaa organisaation omaa testiä, jos arviointi ei kata organisaation prosesseja, integraatioita, vastuita ja operatiivisia olosuhteita.

Jokaisen testin jälkeen palvelun omistajan tulee tehdä dokumentoitu päätös: hyväksyä tulos, toteuttaa korjaus, ottaa käyttöön korvaava turvatoimi, uusia testi tai hyväksyä riski myönnettyjen valtuuksien mukaisesti.

Tietokannan onnistunut varmuuskopiointi ei vielä osoita kykyä palauttaa palvelua. Testissä voi käydä ilmi, että sovellus edellyttää dokumentoimatonta konfiguraatioversiota, identiteetinhallinta ei toimi varaympäristössä, avaimia ei ole saatavilla tai ainoa komponenttien käynnistysjärjestyksen tunteva henkilö ei osallistu palautukseen. Vasta koko riippuvuusketjun testaaminen mahdollistaa toteutuneen palautumisajan ja palautuspisteen vertaamisen hyväksyttyihin kriteereihin, palveluvaikutuksen arvioinnin sekä päätöksen valmiudesta tai parannustarpeesta.

Tällainen testien dokumentointi on merkityksellistä toimialasta riippumatta, myös arvioitaessa aihetta NIS2 tuotantoyrityksille: keitä se koskee, mitä velvoitteita se tuo ja miten organisaatio valmistellaan rajaamatta asiaa vain IT:hen. Odotettavan näytön laajuus tulee suhteuttaa organisaatiota koskeviin velvoitteisiin, sen palveluihin ja voimassa olevaan oikeustilaan. Olennaisin on yhtenäinen ketju: tunnistettu riski, suunniteltu testi, mitattava kriteeri, dokumentoitu tulos, omistajan päätös ja vahvistus toimenpiteiden vaikuttavasta sulkemisesta.

Ristiriidat kasvattavat valvonnan kustannuksia

Muodollisesti kattavakin dokumentaatio menettää arvonsa, jos se ei vastaa todellista toimintaa. Viranomainen voi verrata politiikoissa esitettyjä kuvauksia järjestelmäkonfiguraatioihin, tukipyyntöihin, sopimuksiin, käyttöoikeusluetteloihin, skannaustuloksiin, testipöytäkirjoihin ja prosessinomistajien selvityksiin. Kyse ei ole sanamuotojen yhdenmukaisuudesta, vaan siitä, voidaanko päätös jäljittää tunnistetusta velvoitteesta ja riskistä käyttöönotettuun turvatoimeen, sen toimintaa koskevaan tallenteeseen ja poikkeamaan reagointiin.

Ennen viranomaisvalvontaa tehtävän sisäisen tarkastusharjoituksen tulee perustua tarkoituksenmukaiseen palvelu-, poikkeama-, toimittaja- ja käyttöoikeusotantaan. Otantaa seurataan dokumentaatiosta lähdetietoihin. Näin voidaan tunnistaa vanhentunut omaisuusluettelo, saman palvelun eri nimet eri asiakirjoissa, omistajattomat riskit, rekisteristä puuttuvat poikkeamat, arvioimattomat toimittajat sekä korjaavat toimenpiteet, jotka on suljettu ilman vaikuttavuuden tarkastamista. Ristiriidat on ratkaistava määrittämällä tosiasiallinen tilanne ja tallenteen omistaja, ei yhdenmukaistamalla asiakirjoja kiireellisesti juuri ennen valvontaa.

Tuotantoyrityksessä katselmointi ei saa päättyä toimiston tietotekniseen ympäristöön. Valitun palvelun osalta tarkasteluun voivat kuulua kunnossapito, automaatio, huollon etäyhteydet, konfiguraationhallinta ja tuotantojärjestelmien väliset riippuvuudet. Käyttöoikeusluettelosta voi esimerkiksi puuttua huoltohenkilön käyttämä tili, vaikka sopimus, yhteysloki ja laitteen konfiguraatio vahvistavat sen olemassaolon. Tällaisten riippuvuuksien merkitystä käsitellään laajemmin aineistossa NIS2 tuotantoyrityksille: keitä se koskee, mitä velvoitteita se tuo ja miten organisaatio valmistellaan rajaamatta asiaa vain IT:hen.

Johtamisjärjestelmän sertifiointi voi jäsentää riskienhallintaa, dokumentaation ohjausta, auditointeja ja korjaavia toimenpiteitä. Se ei kuitenkaan korvaa oikeudellisen soveltamisalan analyysia eikä näyttöä KSC:n mukaisten velvoitteiden toteuttamisesta. Tätä rajaa käsitellään artikkelissa NIS2 ja SFS-EN ISO 27001: mitä sertifikaatti osoittaa ja mitä KSC-vaatimustenmukaisuudesta vielä puuttuu. Yksittäisen tallenteen puuttuminen ei välttämättä automaattisesti merkitse vaatimustenvastaisuutta, mutta puutteen syy ja merkitys on arvioitava sekä selvitettävä, voidaanko hallintakeinon toiminta osoittaa muulla luotettavalla näytöllä.

Valvonnan kustannukset kasvavat erityisesti silloin, kun näyttö on hajallaan, valtuudet ovat epäselvät eikä kukaan koordinoi vastauksia ja luovutettavan aineiston hyväksymistä. Tällöin tiimit joutuvat sovittamaan ristiriitaisia tietoja yhteen käsin jo valvonnan aikana. Kun koordinaattori, eri näyttökokonaisuuksien omistajat ja ristiriitojen ratkaisuperiaatteet nimetään etukäteen, työmäärä vähenee ja riski epäjohdonmukaisten selvitysten toimittamisesta viranomaiselle pienenee.

Valmius rakennetaan sisäisellä valvontaharjoituksella

Sisäinen valvontaharjoitus tulee aloittaa vahvistamalla toimijan asema, velvoitteiden piiriin kuuluvien palvelujen soveltamisala sekä johdon ja prosessinomistajien vastuut. Tämän jälkeen viranomaisyhteyksistä vastaavan koordinaattorin tulee laatia vaatimustenmukaisuusmatriisi, joka yhdistää jokaisen velvoitteen omistajaan ja näyttöön. Vasta tämän pohjalta tarkastetaan tallenneotoksia, haastatellaan vastuuhenkilöitä ja käydään valittu poikkeama tai testi vaihe vaiheelta läpi. Koordinaattoriksi kannattaa nimetä henkilö, jolla on yhteys johtoon ja valtuus ratkaista ristiriitoja mutta joka ei korvaa näytön sisällöllisiä omistajia.

Jokaisen velvoitteen omistajan tulee pystyä osoittamaan:

• toimintatavan määrittävä ylätason asiakirja,
• velvoitteen toteuttamisen vahvistava tallenne,
• käytetyn hallintakeinon vaikuttavuusmittari,
• viimeisin katselmoinnin perusteella tehty päätös.

Yhdenkin osan puuttuminen katkaisee näyttöketjun. Poikkeamiin reagoinnin menettelyohje ei riitä, jos organisaatio ei pysty esittämään tapahtumarekisteriä, reagointiaikaa, vaikutusten arviointia, juurisyyanalyysin tulosta ja päätöstä turvatoimien muuttamisesta. Tapauskohtainen läpikäynti osoittaa myös, vastaavatko henkilöstön kuvaukset tallenteita ja toiminnan todellista kulkua.

Harjoituksen tulee kattaa myös valvonnan käytännön järjestelyt: pyynnön vastaanotto ja rekisteröinti, vastauksen määräajan ja omistajan määrittäminen, aineiston hyväksyminen, arkaluonteisten tietojen suojaaminen, luovutettavien versioiden merkitseminen sekä viranomaisen kanssa tehtyjen sopimusten ja havaintojen dokumentointi. On hyödyllistä harjoitella tilanne, jossa pyydetty tallenne sisältää valvonnan kohteen ulkopuolisia tietoja tai edellyttää taustatietojen selittämistä. Näin voidaan määrittää, kuka päättää luovutuksen laajuudesta ja miten aineiston toimittamisesta säilytetään jälki.

Korjaussuunnitelmassa puutteet tulee priorisoida palveluvaikutuksen, oikeudellisen altistuksen, havaituksi tulemisen todennäköisyyden ja luotettavan vaikuttavuusnäytön saavuttamiseen tarvittavan ajan perusteella – ei sen mukaan, kuinka helppoa on laatia uusi menettelyohje. Johto hyväksyy prioriteetit, resurssit ja hyväksyttävän riskitason. Toimenpide voidaan sulkea vasta hallintakeinon uudelleentarkastuksen jälkeen.

Aikataulu tulee johtaa toimijan todellisesta asemasta, viranomaiskirjeenvaihdosta ja voimassa olevista säännöksistä. Aseman määrittämisen jälkeen analyysia voidaan täydentää aineistoilla NIS2: itsearviointi ja merkitseminen KSC-luetteloon – mitä tuotantoyrityksen tulee tehdä? sekä NIS2:n käyttöönotto KSC-luetteloon merkitsemisen jälkeen – toimintasuunnitelma 3.4.2027 asti. Näissä aineistoissa esitetyt päivämäärät ja velvoitteet on aina vahvistettava ajantasaisen oikeustilan perusteella.