Nyt yritysten on oltava aiempaa valppaampia ja valmiita reagoimaan – ilmoitusvelvollisuus tietoturvaloukkauksista on selkeä ja sanktioitu. - Toimialan ja organisaation kriittisyyden mukaan valvontaa tehdään joko etukäteen tai vasta jälkikäteen. Pankkisektori on perinteisesti vahvoilla, mutta monella muulla sektorilla riittää vielä tehtävää, Klaus kertoo.
Liikenne- ja viestintävirasto Traficom on myöntänyt Into Security Oy:n tytäryhtiölle, Into Certification Oy:lle, arviointilaitoshyväksynnän Katakri 2020 -pätevyyksillä. Yhtiö liittyy kolmantena toimijana auditointimarkkinoille KPMG:n ja Nixun (nyk. DNV:n) rinnalle.
Uuden toimijan mukaantulo on tervetullut lisä nopeasti kuumenevassa markkinassa. - Traficomin hyväksyntä on tärkeä askel Suomen digitaalisen resilienssin vahvistamisessa. Meiltä löytyy Suomen kokeneinta osaamista vaativiin auditointeihin – tarjoamme huippulaadukasta, kotimaista kyberturvallisuuspalvelua yrityksille, joille kyberhyökkäys on todellinen liiketoimintariski, Klaus sanoo.
NIS2-direktiiviä valvoo Suomessa useampi viranomainen, mutta Traficomilla on keskeinen rooli. Käytännössä valvonta tapahtuu riskiperusteisesti: suurimpia ja kriittisimpiä toimijoita tarkastellaan ennakoivasti, kun taas pienemmillä organisaatioilla tarkastelu voi tapahtua vasta tapahtuneiden tietoturvaloukkausten jälkeen.
Suomalaisten yritysten valmiustaso vaihtelee. - Moni iso toimija on jo hereillä, mutta pienet ja keskisuuret yritykset ovat haavoittuvaisempia. Toimialalla on väliä – esimerkiksi sosiaali- ja terveysalalla ja teollisuudessa tarvitaan vielä paljon tukea uuden lainsäädännön haltuunottoon, Klaus arvioi.
NIS2-direktiivi laajentaa tietoturvavaatimukset tuhansiin uusiin suomalaisorganisaatioihin. Vaatimustenmukaisuuden todentamiseen soveltuu mm. ISO 27001 -standardi. Into Certification on jo akkreditoitu mm. ISO 27001-, PCI QSA- ja sote-järjestelmäauditointeihin.