onko meidän raportoitava edellisen vuoden turvallisuuspoikkeama asiakkaallemme

Vanha insidentti kuuluu kyselylomakkeeseen, ei erilliseen ilmoituskanavaan

Kyllä, edellisen vuoden tietoturvatapahtuma täytetään kyselylomakkeeseen, jos kysymys koskee tapahtumia tai niiden käsittelyä — myös jos tapahtuma itsessään on jo suljettu. Useimpien asiakaskyselylomakkeiden kysymys ei koske nykyistä uhkaa, vaan sitä, onko olemassa menettely ja toimiiko se. Käsitelty tapahtuma edellisestä vuodesta on siihen parempi todiste kuin riski: se osoittaa, että turvallisuuspoikkeamien käsittelystä johtuvaan menettelyyn käytännössä on noudatettu ilmoituksesta sulkemiseen saakka.

Tämä on siis eri asia kuin lakisääteinen ilmoitusvelvollisuus valvontaviranomaiselle — sillä on omat määräajat ja omat saajat, ja nämä määräajat ovat jo rauenneet, jos tapahtuma on edellisestä vuodesta. Asiakkaasi kyselylomake ei ole ilmoituspaikka; se on vastuu-kysymys. Vastaa siihen sen perusteella, mikä on nyt kirjattuna: onko olemassa menettely, onko sitä sovellettu, onko tapahtuman perusteella toteutettu parannuksia? Jos jälkimmäinen puuttuu, "ei" tai "osittain" on yhtä pätevä vastaus kuin "kyllä" — kunhan se vastaa sitä, mikä on kirjattuna ketjun asiointitietoihin.

Missä tämä tulee: artikla 21 luku 2 ja Liite A

NIS2-direktiivin 21 artiklan 2 kohta mainitsee incidenttien hallinnan yhtenä kymmenestä pakollisesta toimenpiteestä muun muassa riskianalyysin ja tietojärjestelmien suojauksen osalta ja jatkuvuussuunnitelmanrinnalla. ISO/IEC 27001 kehittää tämän Liitteessä A siten, että incidenttien rekisteröinti, vastaus ja arviointi edellyttävät hallintamenetelmiä — edellisen vuoden suljettu tiedosto sopii täydellisesti esimateriaaliksi. Kyberturvallisuuslaki, NIS2:n hollantilainen täytäntöönpano, tulee voimaan 15. elokuuta 2026 ja sääntelee oikeudellisen ilmoitusvelvollisuuden viranomaisille; tämä on eri prosessi kuin vastuu, jota asiakas kysyy omassa kyselylomakkeessaan.