NIS2 omin voimin vai ulkopuolisen asiantuntijan tuella? Kustannusten, ajan ja riskien vertailu

Päätöstä NIS2-vaatimusten toteuttamisesta omin voimin tai ulkopuolisen asiantuntijan tuella ei pidä tehdä vertaamalla vain konsulttipalkkiota oman henkilöstön työpanokseen. Hankkeen onnistumiseen vaikuttavat velvoitteiden laajuus, päätöksentekijöiden saatavuus, prosesseja ja omaisuutta koskevien tietojen laatu sekä organisaation kyky ylläpitää käyttöönotettuja ratkaisuja. Näennäisesti edullisin vaihtoehto voi osoittautua kalleimmaksi, jos seurauksena on virheellinen soveltamisalan arviointi, analyysien uusiminen tai dokumentaatio, joka ei vastaa organisaation todellista toimintaa. Siksi ensin on määritettävä soveltamisala ja tunnistettava puutteet. Vasta sen jälkeen voidaan vertailla kolmen toteutusmallin kokonaiskustannuksia, aikataulua ja riskejä sekä valita toteutustapa ja mahdollinen palveluntarjoaja.

Älä valitse toteuttajaa ennen velvoitteiden selvittämistä

Oman toteutuksen ja ulkopuolisen tuen vertailu on mielekästä vasta, kun on selvitetty, kuuluuko organisaatio NIS2-direktiivistä ja sen kansallisesta täytäntöönpanosta johtuvien velvoitteiden piiriin. Jos kuuluu, on määritettävä, mitä palveluja, yksiköitä, toimipaikkoja ja omaisuuseriä tarkastelu koskee. Ilman tätä rajausta työn laajuutta, toteutusaikaa tai kustannuksia ei voida arvioida luotettavasti. Johdon on lisäksi nimettävä hankkeelle omistaja, jolla on valtuudet yhteensovittaa liiketoiminnan, lakitoiminnon ja tietohallinnon päätökset.

Lähtökohtana ei ole dokumenttipaketin tai tietoteknisen työkalun hankinta, vaan organisaation toimintamallin kuvaaminen. Ensin on tunnistettava tuotettavat palvelut, niitä tukevat prosessit, järjestelmät ja tiedot sekä toimittajat ja muut jatkuvuuden kannalta olennaiset riippuvuudet. Vasta tällaisen kokonaiskuvan perusteella voidaan ratkaista, koskeeko arviointi koko yhtiötä vai vain tiettyjä palveluja ja toimipaikkoja. Ensimmäisen vaiheen tuloksina tulisi olla dokumentoitu arvio organisaation asemasta, määritetyt soveltamisalan rajat sekä luettelo arviointia ja korjaavia toimia edellyttävistä osa-alueista.

Lakisääteinen soveltamisala on erotettava liiketoiminnan tarpeesta vahvistaa häiriönsietokykyä. Organisaatio voi jäädä lakisääteisten velvoitteiden ulkopuolelle mutta joutua silti täyttämään asiakkaiden, konsernin, vakuuttajan tai toimitusketjun muiden osapuolten vaatimuksia. Tällaista hanketta ei pidä esittää lakisääteisen velvoitteen täyttämisenä, vaan vastauksena yksilöityihin sopimusvaatimuksiin ja operatiivisiin riskeihin.

Esimerkkinä voidaan tarkastella tuotantoyritystä, jolla on palomuurit, varmuuskopiot ja päätelaitteiden suojaus mutta joka ei osaa nimetä poikkeamien käsittelyprosessin omistajaa. Yritys ei myöskään ole arvioinut, miten tuotannonsuunnittelujärjestelmän häiriö vaikuttaisi työmääräysten aikatauluihin, materiaalien saatavuuteen ja toimitusvarmuuteen. Ongelma ei tällöin rajoitu teknisten suojausten tasoon. Puutteita on myös vastuiden määrittelyssä sekä tietojärjestelmän ja palvelutuotannon välisten riippuvuuksien analysoinnissa.

Toiminnan kuvaamisen jälkeen on tehtävä oikeudellinen arvio julkaisuajankohtana voimassa olevien toimiala-, organisaatio- ja kokokriteerien perusteella. Organisaation edustamiseen oikeutetun toimielimen tai henkilön tulee hyväksyä virallinen kanta. Arviointiin on osallistettava lakitoiminto sekä palvelujen ja prosessien omistajat. Tietohallinto tuottaa järjestelmiä koskevat lähtötiedot, mutta sen ei pidä yksin ratkaista organisaation oikeudellista asemaa. Aihetta käsitellään tarkemmin artikkelissa ”NIS2-direktiivi – keitä se koskee ja minkä yritysten on täytettävä uudet vaatimukset?”.

Toteutuksen kokonaiskustannus ei rajoitu konsultin laskuun

Omatoiminen toteutus ei ole maksuton, eikä toteutuskumppanin palkkio ole ulkoisen tuen koko kustannus. Laskelmassa on huomioitava johdon, prosessinomistajien, tietohallinnon, hankinnan, henkilöstöhallinnon, lakitoiminnon ja johtamisjärjestelmästä vastaavien henkilöiden työ. Työpanos on arvotettava sisäisten kustannusten ja todellisten työtuntien mukaan. Samalla on huomioitava ne operatiiviset tehtävät, jotka jäävät hankkeen aikana tekemättä. Työmäärään vaikuttavat ennen kaikkea soveltamisalaan kuuluvien toimipaikkojen, prosessien, järjestelmien, toimittajien ja yhtiöiden määrä.

Useimmin aliarvioidaan tietojen keräämiseen, vastuiden sopimiseen, omaisuus- ja toimittajaluetteloiden laatimiseen, näyttöaineiston kokoamiseen, testaukseen ja koulutukseen sekä ristiriitaisten ohjeiden korjaamiseen tarvittava työ. Ulkopuolinen asiantuntija voi lyhentää näihin kuluvaa aikaa vain, jos hän osaa liittää vaatimukset organisaation nykyisiin prosesseihin, rooleihin ja työkaluihin. Mallipolitiikkojen toimittaminen ilman toiminnan ymmärtämistä ei poista kustannuksia, vaan siirtää ne yhteensovittamiseen, käyttöönottoon ja myöhempiin päivityksiin.

Poikkeamien käsittelyä koskeva dokumentaatio voidaan laatia nopeasti, mutta se jää näennäiseksi, jos päivystysjärjestelyistä, eskalointipolusta, todistusaineiston turvaamisesta ja sijaisjärjestelyistä ei ole sovittu. Todelliset kustannukset tulevat esiin harjoituksessa tai tositilanteessa, kun menettely on rakennettava uudelleen. Budjetissa on siksi erotettava kertaluonteiset ja jatkuvat kustannukset. Mukaan on laskettava asiantuntijapalkkiot, tekniset investoinnit, hankkeen aiheuttamat resurssikatkokset, korjaustyö ja vuosittainen ylläpito: katselmukset, testit, koulutus, dokumentaation päivittäminen, toimittaja-arvioinnit ja poikkeamien käsittely.

Toimiva tietoturvallisuuden hallintajärjestelmä tai sertifikaatti voi vähentää inventointeihin, riskien arviointiin, dokumenttien hallintaan ja auditointeihin tarvittavaa työtä, jos käytännöt todella toimivat tarkasteltavalla alueella. Se ei kuitenkaan korvaa sovellettavista säädöksistä johtuvien velvoitteiden arviointia eikä sen todentamista, että olemassa olevat hallintakeinot vastaavat soveltamisalaan kuuluvien palvelujen riskeihin. Yhteyttä käsitellään artikkelissa NIS2 ja SFS-EN ISO 27001: mitä sertifikaatti osoittaa ja mitä KSC-vaatimustenmukaisuudesta voi vielä puuttua.

Aikataulu riippuu organisaation päätöksentekokyvystä

NIS2-vaatimuksiin valmistautumisen kesto määräytyy harvoin sen perusteella, kuinka nopeasti menettelyohjeita kirjoitetaan. Tavallisimpia pullonkauloja ovat luotettavien tietojen, prosessinomistajien ja muutosten hyväksymiseen valtuutettujen henkilöiden saatavuus. Aikataulussa on huomioitava näiden henkilöiden todellinen käytettävyys, ohjausryhmän kokoustiheys sekä toimintojen välisten ratkaisujen vaatima aika. Dokumentaation luvattu toimituspäivä ei ole edistymisen mittari, ellei organisaatio ole hyväksynyt soveltamisalaa, vastuita ja prioriteetteja.

Työvaiheet on järjestettävä niiden keskinäisten riippuvuuksien mukaan. Ensin määritetään soveltamisala, roolit, prosessit ja omaisuuserät. Sen jälkeen tehdään riskien arviointi, hyväksytään riskien käsittelysuunnitelma, toteutetaan hallintakeinot, suoritetaan testit ja kootaan näyttö toiminnasta. Rinnakkain voidaan tehdä tehtäviä, jotka perustuvat samoihin hyväksyttyihin lähtöoletuksiin, kuten sopimusten inventointi ja nykyisten suojausten katselmointi. Yksityiskohtaista riskien arviointia ei kuitenkaan pidä aloittaa ennen kuin arvioinnin piiriin kuuluvat palvelut, prosessit, järjestelmät, tiedot ja toimittajariippuvuudet on määritetty.

Toimenpiteitä priorisoitaessa on erotettava toisistaan puutteet, jotka edellyttävät hankintoja, sopimusmuutoksia, teknisiä integraatioita tai testausta. Jokaisella ryhmällä on oma hyväksymispolkunsa ja toteutusaikansa. Ulkopuolinen tuki voi nopeuttaa nykytila-arviota, tehostaa työpajoja ja jäsentää niiden tuloksia. Asiantuntija ei kuitenkaan voi päättää johdon puolesta riskin hyväksymisestä, investointien järjestyksestä tai palvelukatkon hyväksyttävästä kestosta. Jos nämä ratkaisut siirretään hankkeen loppuun, dokumentaatio etenee operatiivisia ratkaisuja nopeammin ja osa analyyseistä joudutaan tekemään uudelleen.

Edistymistä on siksi mitattava hyväksyttyjen päätösten, ratkaistujen riippuvuuksien ja testattujen hallintakeinojen perusteella, ei laadittujen dokumenttien määrällä. Muutaman viikon aikataulu ei ole realistinen, jos organisaatiolta puuttuvat ajantasainen järjestelmäluettelo, toimittajasopimusten rekisteri tai sovitut prosessinomistajat. Tällöin tiimi voi kuvata ilmoitetun nykytilan, mutta ei määrittää vastuuta toiminnan jatkuvuudesta, palvelujen palauttamisesta tai toimittajien valvonnasta.

Prosessien mallintamisen tulee tukea juuri näitä päätöksiä, ei kasvattaa dokumentaation määrää. Sopivan kuvaustason valintaa helpottaa vertailu ”BPMN vai vuokaavio – kumpi työkalu soveltuu paremmin laatuprosessien mallintamiseen?”. Tässä käyttötarkoituksessa oikea väline osoittaa yksiselitteisesti roolit, vastuun siirtymiskohdat, tiedolliset riippuvuudet sekä suojausta tai varajärjestelyjä edellyttävät alueet.

Suurimmat riskit syntyvät virheellisistä lähtöoletuksista

NIS2-vaatimuksiin valmistautumisen onnistumiseen vaikuttaa usein enemmän lähtöoletusten oikeellisuus kuin suoritettujen tehtävien määrä. Omatoimisessa mallissa suurimmat riskit liittyvät soveltamisalan virheelliseen tulkintaan, liiketoimintariippuvuuksien sivuuttamiseen ja kyberturvallisuuden rajaamiseen tietohallinnon vastuuksi. Tällöin organisaatio voi jättää huomioimatta tuotantoprosessit, logistiikan, kunnossapidon, toimitusten jatkuvuuden tai asiakasvelvoitteet. Myös riippumaton arvio organisaation vakiintuneista toimintatavoista puuttuu. Käytäntöä voidaan pitää riittävänä vain siksi, ettei se ole tähän mennessä aiheuttanut näkyvää häiriötä.

Ulkopuolinen tuki ei poista näitä riskejä automaattisesti. Riskiä kasvattaa palveluntarjoaja, joka toimittaa yhdenmukaisen dokumenttipaketin perehtymättä organisaation palveluihin, prosesseihin ja riippuvuuksiin, jättää prosessinomistajat osallistamatta tai ei siirrä ratkaisujen ylläpitoon tarvittavaa osaamista. Tuloksena on järjestelmä, joka on riippuvainen dokumentaation laatijasta eikä päivittäisestä toiminnasta vastaavista henkilöistä.

Toteutustyö ja riippumaton loppuarviointi kannattaa siksi erottaa toisistaan etenkin silloin, kun sama toimija on määrittänyt soveltamisalan, arvioinut riskit ja valinnut hallintakeinot. Jäännösriskin hyväksymistä koskevan päätöksen on jäätävä toimivaltaiselle johdolle.

Näennäinen vaatimustenmukaisuus näkyy dokumentoitujen menettelyjen ja käytännön välisenä ristiriitana: politiikassa kuvataan eri toimintatapa kuin mitä organisaatio tosiasiassa noudattaa, riskirekisteri ei ohjaa prioriteetteja ja investointeja tai poikkeamien käsittelymenettelyä ei ole harjoiteltu. Dokumentaatiopuute tarkoittaa tarvittavan tallenteen tai ohjeen puuttumista tai ristiriitaisuutta. Operatiivinen puute on kyseessä silloin, kun organisaatio ei pysty toteuttamaan toimintoa, osoittamaan vastuuhenkilöä tai esittämään näyttöä toiminnan vaikuttavuudesta. Lomakkeen täydentäminen voi korjata dokumentaatiopuutteen, mutta se ei korvaa testiä, päätöstä tai toimintatavan muutosta.

Esimerkkinä on tehdas, jolla on hyväksytty poikkeamien ilmoitusmenettely mutta jonka tuotantohenkilöstö ei tiedä, miten ohjaus- tai suunnittelujärjestelmän käyttökatko ilmoitetaan. Palveluntoimittajan kanssa ei ole myöskään sovittu eskalointipolusta, yhteyshenkilöistä tai toiminnasta työajan ulkopuolella. Dokumentti on olemassa, mutta häiriötilanteen ensimmäiset minuutit kuluvat vastuiden selvittämiseen. Tällainen puute voidaan havaita vasta harjoituksessa, johon osallistuvat käyttäjä, prosessinomistaja, tietohallinto, johto ja palveluntoimittaja.

Valmiusarvioinnissa tulee tarkastaa organisaation toimintakyky ja kyky esittää luotettavaa näyttöä, ei pelkästään dokumentaation kattavuutta. Hyödyllisiä mittareita ovat aiempien auditointien ja testien jälkeen avoimeksi jääneiden toimenpiteiden määrä, palautustestien tulokset, poikkeama- ja häiriökatselmusten havainnot sekä arvioinnin ja sovittujen vaatimusten piiriin kuuluvien kriittisten toimittajien osuus. Mittareiden on aina perustuttava organisaation omiin tietoihin. Tällaisen arvioinnin toteuttamista käsitellään artikkelissa ”NIS2-auditointi tuotantoyrityksessä – näin arvioit organisaation valmiuden uusiin velvoitteisiin”.

Yhdistelmämalli tarjoaa yleensä parhaan hallinnan

Toteutusmalli on valittava organisaation todellisen toteutuskyvyn perusteella, ei pelkästään konsulttihintoja vertailemalla. Omatoiminen toteutus on perusteltu, kun hankkeella on osaava omistaja, riskienhallintaprosessit ovat kypsiä, omaisuus- ja riippuvuustiedot ovat ajan tasalla ja avainhenkilöillä on sekä aikaa että valmiudet vaatimusten tulkitsemiseen. Laajempi ulkopuolinen tuki on perusteltu, jos osaamisvaje on suuri, organisaatiorakenne hajautunut, teknologiariippuvuudet merkittäviä, valmistautumisaika lyhyt tai johtamisjärjestelmä puutteellisesti jäsennetty.

Useimmiten yhdistelmämalli tarjoaa parhaan hallinnan kustannuksiin, aikatauluun ja riskeihin. Organisaatio säilyttää vastuun päätöksistä, lähtötiedoista, riskien omistajuudesta ja operatiivisten toimenpiteiden toteuttamisesta. Asiantuntija vastaa nykytila-arviosta, menetelmästä, työpajojen fasilitoinnista, erityisosaamista edellyttävistä analyyseistä ja tulosten laadunvarmistuksesta.

Vähintään seuraavien tehtävien on säilyttävä organisaatiossa:

• prosessien ja palvelujen merkityksen määrittäminen;
• riskinomistajien nimeäminen;
• jäännösriskin hyväksyminen;
• investointien priorisointi;
• hallintakeinojen käytännön toimivuuden vahvistaminen.

Johto ei voi siirtää vastuuta organisaation häiriönsietokyvystä palveluntarjoajalle.

Usean tehtaan organisaatio voi kerätä itse tiedot palveluista, omaisuudesta, toimittajista ja häiriöiden vaikutuksista, koska luotettava arviointi edellyttää operatiivista tietoa. Ulkopuolinen asiantuntija voi tämän jälkeen jäsentää arviointimenetelmän, haastaa ristiriitaiset tiedot, vetää toimintojen väliset työpajat ja tarkastaa näyttöaineiston kattavuuden. Tällaisen työnjaon kannattavuuden ratkaisevat tosiasiallisesti käytettävissä olevien henkilöiden määrä ja osaaminen, eivät hankeryhmään nimellisesti nimetyt resurssit.

Tarjouksia on verrattava samanlaisten tuotosten ja hyväksymiskriteerien perusteella. Palveluntarjoajan referenssejä tulee arvioida toimialan, mittakaavan, prosessien ja teknologiaympäristön samankaltaisuuden, ei pelkän toimeksiantojen määrän mukaan. Sopimuksessa on määritettävä yksiselitteisesti työn tuotokset, hyväksymiskriteerit, velvollisuus sovittaa ratkaisut todellisiin prosesseihin, osaamisen siirtäminen, salassapito ja pääsy arkaluonteisiin tietoihin, vastuu korjauksista sekä käyttöönoton jälkeisen tuen laajuus. Hinnoittelumallin ei pidä palkita dokumenttien määrää, vaan sovittujen ja todennettavissa olevien tulosten saavuttamista.

Johdon, prosessinomistajien ja tukitoimintojen käytännön vastuunjakoa käsitellään tarkemmin artikkelissa NIS2 johdon käytännön työssä: vaatimuksista päätöksiksi, vastuiksi ja todelliseksi häiriönsietokyvyksi.

Perusta päätös näyttöön ja järjestelmän ylläpitokykyyn

Toteutusmallin valintaa tulee edeltää tiivis organisaation valmiusarvio. Ensin on vahvistettava hankkeen soveltamisala, nimettävä omistaja, arvioitava osaamisen ja resurssien saatavuus, kartoitettava olemassa oleva näyttö toiminnasta sekä tunnistettava merkittävimmät puutteet. Vasta tämän jälkeen voidaan päättää, mitkä tehtävät organisaatio toteuttaa itse ja missä asiantuntijan osallistuminen vähentää tulkintavirheiden, laiminlyöntien tai työn uusimisen riskiä.

Johdon päätöksessä tulisi vertailla kolmea vaihtoehtoa: omatoimista toteutusta, yhdistelmämallia ja laajempaa ulkopuolista tukea. Jokaista vaihtoehtoa tulee arvioida samoilla perusteilla:

• kokonaiskustannukset, mukaan lukien henkilöstötyö, korjaukset ja ylläpito;
• operatiivisen toimintakyvyn saavuttamiseen tarvittava aika;
• virheiden ja työn uusimisen riski;
• osaamisen todellinen saatavuus;
• organisaation kyky ylläpitää ratkaisuja itsenäisesti.

Hallituksen tai muun toimivaltaisen johdon päätöksessä on määritettävä valittu toteutusmalli, vastuunjako, hankkeen omistaja, resurssit, raportointitapa, hyväksymiskriteerit ja vaikuttavuuden mittarit. Mittareiden tulee perustua organisaation omiin prosesseihin, ei asiayhteydestään irrotettuihin yleisiin raja-arvoihin.

Toteutusta ei pidä hyväksyä laadittujen politiikkojen määrän perusteella. Tuloksena on oltava toistettavissa oleva toimintatapa: määritetyt roolit, dokumentoidut riskipäätökset, käyttöön otetut hallintakeinot, testatut menettelyt häiriö- ja poikkeamatilanteisiin, toimittajien valvonta sekä luotettavat tallenteet. Hyväksytty reagointimenettely ei osoita valmiutta, jos testissä paljastuu vanhentuneita yhteystietoja, epäselvä eskalointipolku tai päätösvaltaisen henkilön puuttuminen.

Hyväksymiskriteereihin tulee sisällyttää dokumentaation ja käytännön vastaavuus, sovittujen puutteiden korjaaminen, testitulokset, osaamisen siirtäminen ja yksiselitteinen jatkuvan parantamisen suunnitelma, mukaan lukien sisäisten auditointien suunnitelma. Hyväksymisnäyttöä voivat olla hyväksynnät, rekisterit, testitulokset, koulutuspöytäkirjat, riskipäätökset ja toimenpiteiden toteutuksen vahvistukset. Tällaisen näyttöaineiston valmistelua ja ylläpitoa käsitellään artikkelissa NIS2- ja KSC-dokumentaatio ennen tarkastusta: mitä politiikkoja, rekistereitä ja näyttöä todella tarvitaan.

Ratkaisun kestävyys voidaan arvioida vasta, kun asiantuntijan osallistumista vähennetään. Prosessinomistajien tulee tällöin pystyä päivittämään rekisterit, tekemään riskipäätökset, analysoimaan testitulokset ja käynnistämään korjaavat toimenpiteet itsenäisesti. Jos järjestelmä toimii vain palveluntarjoajan osaamisen varassa, hanke ei ole valmis: organisaatio on saanut dokumentaation mutta ei kykyä ylläpitää sitä.