Yhteenveto
NIS2-direktiivi tiukentaa kyberturvallisuuden vaatimuksia, ja Suomessa sen mukaiset velvoitteet tulivat voimaan 8.4.2025. Puuteollisuudessa direktiivi koskee suoraan kaukolämpöä tuottavia toimijoita ja epäsuorasti energialaitosten raaka-ainetoimittajia. Keskeistä on johdon henkilökohtainen vastuu kyberturvallisuudesta, ja laiminlyönneistä voi seurata huomattavia sanktioita.
EU:n NIS2-direktiivi (Network and Information Security Directive) edistää kyberturvallisuutta EU-alueella, mikä tarkoittaa ryhtiliikettä monella toimialalla. Direktiivillä tavoitellaan yhtenäisiä käytäntöjä tietoturvallisuuden parantamiseksi yhteiskunnallisesti kriittisten palveluiden tuottamisessa.
Suomessa NIS2-direktiivin mukaiset velvoitteet tulivat voimaan 8.4.2025.
NIS2-direktiivi – ketä se koskee?
NIS2 kiristää kyberturvallisuuden hallintaa laaja-alaisesti. Keskeistä sen kannalta, ketä direktiivin määräykset koskettavat, on paitsi toimijan liiketoiminnan suuruus myös toimialan kriittisyys. Muun muassa energia-ala on NIS2:ssa luokiteltu kriittiseksi, jolloin vaatimusten piiriin lukeutuu myös kaukolämmön tuotanto. Tällöin se koskettaa puuteollisuudessa suoraan niitä, jotka tuottavat kaukolämpöä. Lisäksi se koskettaa epäsuorasti niitä, jotka toimittavat raaka-ainetta energialaitoksille. Puuteollisuuden tehtaista valtaosa joutuu siis viimeistään nyt ottamaan direktiivin vaatimukset toiminnassaan huomioon.
Johdon henkilökohtainen vastuu riittävien kyberturvallisuuteen liittyvien rakenteiden ylläpitämisessä on keskeinen.
Lisäksi NIS2-direktiivissä on tarkasteltu toimijoiden suuruusluokkaa ja määritelty seuraavat kategoriat: keskeiset eli suuret, tärkeät eli keskisuuret sekä soveltamispiirin ulkopuoliset eli pienet ja mikrotoimijat. Kaukolämmön tuottajille tärkeän toimijan rajapyykki ylittyy jo melko nopeasti – muutokset koskettavat siis suurta määrää puuteollisuudenkin toimijoita sekä näiden alihankkija- ja toimittajaverkostoa.
Mitä keskeisiä muutoksia NIS2-vaatimukset tuovat tullessaan?
Direktiivin käytännöt liittyvät olennaisesti esimerkiksi kyberriskien hallintaan, poikkeavista tapahtumista raportoimiseen, toiminnan jatkuvuuden turvaamiseen sekä ennakkovalvontaan. Johdon henkilökohtainen vastuu riittävien kyberturvallisuuteen liittyvien rakenteiden ylläpitämisessä on keskeinen. Aiemmasta poiketen organisaation johto on jatkossa henkilökohtaisessa vastuussa direktiivin vaatimusten täyttymisestä, ja rahalliset sanktiot vastuun laiminlyömisestä voivat olla huomattavat.
Suomessa vastaavana viranomaisena toimii Traficom ja sen alaisuudessa toimiva Kyberturvallisuuskeskus, joka antaa sivuillaan ajantasaista NIS2-direktiiviin liittyvää tietoa. Kyberturvamaturiteetin arvioimisessa ja kasvattamisessa voi hyödyntää Kyberturvallisuuskeskuksen kehittämää avointa Kybermittari-työkalua, jossa on jaoteltu kyberhygieniaan tarvittavat käytännöt kahdeksaan osa-alueeseen.
Lisäksi ulkoinen kumppani voi suorittaa puolueettoman auditoinnin organisaation käytännöistä ja mahdollisen nykyisen IT-kumppanin valmiuksista vastata direktiivin vaatimuksiin. Pinjalla on takanaan vahva ICT-asiantuntijuus ja myös ISO 27001 -sertifikaatti osoituksena tietoturvaosaamisesta.
Haluatko kuulla lisää asiantuntijoiltamme? Ota meihin yhteyttä.
Usein kysytyt kysymykset
Mikä on NIS2-direktiivi?
NIS2 (Network and Information Security Directive) on EU:n direktiivi, joka edistää kyberturvallisuutta EU-alueella. Sillä tavoitellaan yhtenäisiä tietoturvakäytäntöjä yhteiskunnallisesti kriittisten palveluiden tuottamisessa.
Koskeeko NIS2 puuteollisuutta?
Kyllä. Energia-ala ja siten myös kaukolämmön tuotanto on luokiteltu kriittiseksi, joten direktiivi koskee suoraan kaukolämpöä tuottavia puuteollisuuden toimijoita ja epäsuorasti energialaitosten raaka-ainetoimittajia.
Milloin NIS2 tuli voimaan Suomessa?
Suomessa NIS2-direktiivin mukaiset velvoitteet tulivat voimaan 8.4.2025.
Mitä NIS2 vaatii yrityksiltä?
Vaatimukset liittyvät kyberriskien hallintaan, poikkeamista raportoimiseen, toiminnan jatkuvuuden turvaamiseen ja ennakkovalvontaan. Organisaation johto on henkilökohtaisesti vastuussa vaatimusten täyttymisestä.
Miten oman organisaation NIS2-valmiutta voi arvioida?
Kyberturvallisuuskeskuksen avoimella Kybermittari-työkalulla voi arvioida kyberturvallisuuden kypsyyttä. Lisäksi ulkoinen kumppani voi auditoida organisaation käytännöt puolueettomasti.
Lue lisää
Solid Wood Operations – sahan ja puunjalostuksen koko toiminnanohjauksesta vaivatonta
