kyselylomake kysyy, tarkastelemmeko työntekijöitä ennen palkkaamista

Henkilöstön seulonta kuuluu hrm-turvallisuuteen, ei pääsynhallintaan

Kysymys seulonnasta ennen työhönottoaan kuuluu henkilöstön turvallisuuteen, joka on yksi kymmenestä toimenpiteestä artiklan 21 kohdan 2 NIS2-direktiivin nojalla — mainittu nimenomaasti kohdassa (g), samoin kuin työehdot ja kurinpitotoimenpiteet rikkomuuksissa. Se on eri kenttä kuin pääsynhallinta: seulonta koskee sitä, kenet palkkaat, pääsynpolitiikka koskee sitä, mitä joku saa nähdä tai tehdä heti sisääntulon jälkeen. Älä siis täytä automaattisesti "kyllä" tähän kysymykseen vain siksi, että pääsynhallintamatriisi on jo olemassa — se on eri todiste.

Se, mikä lasketaan todisteeksi, riippuu siitä, mitä käytännössä tapahtuu. VOG-velvoite (julistus käyttäytymisestä) funktioissa, joilla on pääsy arkaluontoisiin järjestelmiin, on konkreetein todiste. Jos se puuttuu, myös kiinteä menettely rekrytointiprosessissa lasketaan: referenssitarkistus, henkilöllisyyden vahvistaminen, ja ISO 27001-sertifioiduilla yrityksillä seulontaehto Liitteestä A 6.1 (ennen työsuhteen alkamista). Ilman ISO-sertifikaattia ja ilman VOG-käytäntöä vastaus on yleensä "ei" tai "osittain" — ja se on täysin ok täyttää näin. Älä keksi seulontaprosessia, jota ei ole; jos asiakas kysyy asiasta lisää, rehellinen "ei, kyllä funktioissa X ja Y" on vahvempi kuin kyllä, joka ei kestä tarkastusta.

Mistä tämä tulee: artiklan 21 kohdan 2 kohta g ja Liite A 6.1

NIS2-direktiivin artiklan 21 kohdan 2 kymmenen toimenpidettä mainitsevat henkilöstön turvallisuuden nimenomaasti kohdassa (g), pääsynhallinnan ja yritysomaisuuden hallinnan ohella. Käytännössä tätä testataan usein yhdessä kyberturvallisuushygienian koulutuksenkanssa, koska molemmat kuuluvat samaan hrm-käytäntöön. ISO 27001-sertifioiduille yrityksille liittyvä hallintatoimenpide löytyy Liitteestä A, seulontaa koskevasta lausekkeesta ennen työsuhteen alkamista — joten kysy, peittääkö yrityksen ISO 27001-sertifikaatti tämän lausekkeen, sillä kaikki sertifikaatit eivät ole yhtä laajasti soveltamisalasta. Yrityksille, jotka kuuluvat Kyberturvallisuuslain piiriin vasta 15. elokuuta 2026 jälkeen, tämä ei ole vielä laillinen velvoite, mutta asiakkaat kysyvät siitä usein jo ennakoimalla ketjuvelvoitteita.