kyselylomakkeessa kysytään, onko meillä kriisiehdotus kyberhyökkäyksen varalle

Kriisisuunnitelma kuuluu liiketoiminnan jatkuvuuteen, ei häiriöiden hallintaan

Kysymys "kriisisuunnitelmasta hakkerin varalle" koskee käytännössä kahta asiaa samanaikaisesti, ja vastaus riippuu siitä, kumpi sinulla on. Ensimmäinen on jatkuvuussuunnitelma: kuinka palveluntarjoitus pysyy toiminnassa tai kuinka se palautetaan riippumatta siitä, mitä tarkalleen on tapahtunut. Toinen on häiriöihin reagoimisen suunnitelma: kuka tekee mitä heti kun hack havaitaan, keille ilmoitetaan, miten häiriö rajoitetaan. Monet yrittäjät ovat laatineet toisen, mutta eivät ensimmäistä, tai päinvastoin, ja vastaavatkin "kyllä" kysymykseen, joka itse asiassa koskee molempia.

Jos sinulla on vain epävirallinen suunnitelma — muutamia sopimuksia, joista kaikki tietävät, mutta jotka eivät ole dokumentoituna — "ei" on yleensä rehellisempi vastaus ja kannattaa lisätä selitys, että lähestymistapa on olemassa mutta kirjaamaton. Jos sinulla on jatkuvuussuunnitelma ilman erillistä kyberosuutta, tarkista, mainitseeko se selkeästi kyberhäiriötä skenaariossaan; jos ei, se on puute, jonka asiakas usein havaitsee. Tämä aihe liittyy läheisesti ovatko meillä varmuuskopiot ja hätövaraus palvelun palauttamiseksi ja onko meillä toimintaohje tietoturvahäiriöiden käsittelylle — vastaa näihin kahteen ensin, sitten tämä kysymys yleensä selkenee itsestään.

Mistä tämä tulee esille artiklan 21 pykälän 2 NIS2:ssa

Direktiivin (EU) 2022/2555 artiklan 21 pykälän 2 mainitsee "business continuity, such as backup management and disaster recovery, and crisis management" yhtenä kymmenestä pakollisesta toimenpiteestä — jatkuvuus ja kriisinhallinta ovat siis yhdessä, eivät kahti erillisenä vaatimuksena. ISO/IEC 27001:n liite A tunnetaan samanlaisen ICT-valmiuden hallintotoimeen liiketoiminnan keskeytyksen varalta. Hollannin kybertietoturvalaissa, joka toteuttaa tämän velvoitteen, tulee voimaan 15. elokuuta 2026.