he pyytävät koko turvallisuuskäytäntöämme asiakirjana

Koko käytäntödokumentin jakaminen ei yleensä ole tarpeen

Ei, useimmissa tapauksissa sitä ei tarvitse tehdä, eikä se ole sitäkään, mitä asiakas itse asiassa haluaa tietää. Kysymys, kuten "lähetä turvallisuuskäytäntösi", on lähes aina spesifimmän asian käännös: asiakas haluaa tietää, ovatko riskianalyysin käytäntöjä olemassa, onko tapaturmamenettely olemassa, vai onko pääsy asianmukaisesti järjestetty. Nämä ovat kymmenen toimenpidettä NIS2-direktiivin 21 artiklan 2 kohdasta, ja saman jaottelun näet takaisin ISO/IEC 27001 -standardin liitteessä A olevissa hallintotoimenpiteissä. Kyselylomake, joka pyytää "koko käytäntöä", jakaa sen useimmiten silti alikysymyksiin — tarkista siis ensin, onko näin, ennen kuin lataat koko asiakirjan.

Kokonaisen käytäntödokumentin lähettämisen riski ei ole juridinen vaan käytännöllinen: se sisältää usein enemmän kuin asiakas tarvitsee — työkalujen nimiä, sisäisiä menettelytapoja, henkilöstön yhteystietoja. Joka haluaa mieluummin vastata jokaiseen kysymykseen dokumentin jakamisen sijaan, voi rajoittaa sitä salassapitonapin avulla siihen, mitä todella pyydetään. Jos kysymys kohdistuu silti tietylle alueelle, vastaus löytyy usein jo muualta: joko pääsy on dokumentoitu, tai on olemassa menettelytapa vaaratilanteille, tai sitä testataan säännöllisesti. Se on yleensä konkreettisempi vastaus kuin koko dokumentti.

Mistä tämä johtuu: artiklat 21 kohta 2 ja liite A

NIS2-direktiivin 21 artiklan 2 kohta mainitsee kymmenen konkreettista toimenpidettä — riskianalyysi, vaaratilanteiden käsittely, liiketoiminnan jatkuvuus, haavoittuvuuksien hallinta, pääsyn hallinta ja muuta — ilman, että kolmas osapuoli näkisi itse asiakirjaa. ISO/IEC 27001 -standardin liite A käyttää samaa logiikkaa: hallintotoimenpiteet ovat auditoitavissa osittain, ei yhtenä jakamattomana käytäntödokumenttina. Muista myös, että kysymys siitä, kuuluuko oma liiketoiminta NIS2:n tai kansallisen toimeenpanon piiriin, on erillään siitä, mitä asiakas pyytää kyselylomakkeessa — nämä kaksi asiaa sekoitetaan usein.