kuinka ilmoitan, että työntekijät voivat raportoida turvallisuuspoikkeamia

Sisäinen ilmoituskanava on todiste, ei aikomus

Tämä kysymys koskee itse ilmoituskanavaa: voivatko työntekijät ilmoittaa vaaratapauksesta sisäisesti, ja tehdäänkö se myös käytännössä. Tämä eroaa kysymyksestä, rekisteröiköö organisaatio vaaratapauksista vai käsitteleekö niitä — se kuuluu turvallisuuspoikkeamien käsittelystä johtuvaan menettelyynTässä asiakas haluaa tietää erityisesti, onko olemassa matalan kynnyksen, tunnettu tapa, jota pitkin työntekijä voi nostaa asiaa esille: sähköpostiosoite, lipputehtävien järjestelmä, nimi intranetissä. Todiste ei siis ole koko menettely, vaan konkreettinen kanava sekä jokin, mikä osoittaa, että työntekijät tuntevat kanavan — kuvakaappaus intranetistä, ote perehdytysdokumentista tai koulutuskalvo.

Jos et ole kirjanneet sitä erikseen, niin "ei" tai "osittain" on rehellinen vastaus, vaikka vaaratapahtumien käsittelyprosessi olisikin olemassa ja sitä käyttäisivät vain IT-tiimi. Älä täytä "kyllä"-vastausta pelkän menettelyn perusteella; kysymys mittaa tietoisuutta ja saavutettavuutta, ei pelkästään prosessia. Jos on olemassa tietoisuuden lisäämiskoulutus, joka käsittelee ilmoituskanavaa, se on usein vahvin todiste — tarkista se suhteessa koulutukseen kyberneettisen hygienian perusosaamisestasillä näiden kahden vastauksen on oltava keskenään johdonmukaisia. Jos ne eivät vastaa toisiaan, se tulee esiin auditin otantakeräyksessä nopeammin kuin yksittäinen puuttuva todiste.

Missä tämä tulee: artikla 21 luku 2 ja Liite A

Tämä vaatimus tulee NIS2-direktiivin 21 artiklan 2 kohdasta, jossa vaaratapahtumien käsittely on yksi kymmenestä pakollisesta toimenpiteestä; Kyberturvallisuuslaki myöntää tämän Suomen oikeudeksi 15. elokuuta 2026 alkaen. ISO/IEC 27001 kehittää tätä Liitteessä A aina ilmoituskanavien ja tietoisuuden tasolle, ja asiakkaat, jotka käyttävät ISO-kyselylomaketta, kysyvät usein suoraan kyseisestä Liitteen A -valvontapisteestä. Jos organisaatio itse on sertifioitu, todiste on yleensä jo valmiina — katso yrityksen ISO 27001-sertifikaatti kuinka se voidaan tehdä todennettavaksi.