onko minun ilmoitettava edellisen vuoden turvallisuusincidentistä kyselylomakkeessa

Vanha vika kuuluu yleensä kyllä vastaukseen

Kyllä, useimmissa tapauksissa ilmoitat viime vuoden viasta myös nyt, jos listan kysymys ei nimenomaisesti rajoitu tiettyyn ajanjaksoon. Kyselykaavakkeet kysyvät yleensä yleisistä olosuhteista: onko vika ilmennyt, ja kuinka sitä on käsitelty. Pieni viime vuoden vika kuuluu siihen, vaikka se olisi jo korjattu eikä sillä enää ole vaikutuksia. Jos kysymyksessä on aikajakso — "viimeisten kahdentoista kuukauden aikana" tai "tänä kalenterivuonna" — se on ratkaiseva, ja silloin otat mukaan vain sen, mitä kyseisellä ajanjaksolla tapahtui.

Usein tärkeämpää kuin itse vika on se, kuinka siihen olet reagoinut. Asiakas, joka kysyy vikoista, haluaa itse asiassa tietää, onko prosessin takana: onko se tunnistettu, onko se ratkaistu, onko siitä opittu. Tämä vastaa menettelyä turvallisuuspoikkeamien käsittelyä varten. Jos sinulla on tällainen menettely ja sitä noudatetaan, pieni viime vuoden vika ei ole ongelma ilmoittaa — se osoittaa juuri, että prosessi toimii. Jos epäilet, ovatko yksityiskohdat liian arkaluonteisia jaettavaksi, käytä luottamuksellinen-painiketta vastauksessasi sen sijaan, että muuttaisit itse vastausta.

Miksi tämä eroaa velvollisuudesta ilmoittaa kyberturvallisuuslaissa

Tämä kysymys kyselykaavakkeessa eroaa lainsäädännöllisestä ilmoitusvelvollisuudesta valvontaviranomaiselle. Artikla 21 kohta 2 NIS2-direktiivissä mainitaan poikkeamien käsittely yhtenä kymmenestä pakollisesta toimenpiteestä direktiivin piiriin kuuluvien yksiköiden osalta; kyberturvallisuuslaki täsmentää tämän Suomen täytäntöönpanoksi ja ilmoitusvelvollisuudeksi toimivaltaiselle viranomaiselle. Se, koskeeko ilmoitusvelvollisuus yritystä, riippuu siitä, kuuluuko se itse direktiivin piiriin — sen voi tarkistaa kohdasta kysymyksestä, kuuluuko yritys NIS2-direktiivin soveltamisalaan. Asiakkaan kyselykaavakkeessa oleva kysymys on siitä erillään: se ei kysy lainsäädännöllisestä ilmoituksesta, vaan läpinäkyvyydestä asiakkaalle siitä, kuinka kypsä viojen käsittelyprosessi on.