kyselylomakkeessa kysytään, kuka yrityksissämme vastaa kyberturvallisuudesta

Hallinto ja vastuu, ei vain nimi

Kysymys menee pidemmälle kuin yhteyshenkilön syöttäminen. NIS2-direktiivin 21 artiklan 2 kohdan mukaan "riskianalyysi- ja tietojärjestelmien turvauskäytäntö" on yksi kymmenestä pakollisesta toimenpiteestä, ja hallinto — kuka päättää, kuka hyväksyy, kuka kantaa vastuun — on osa sitä. ISO/IEC 27001 -standardissa tämä ilmenee Liitteessä A tietoturvahallinnon organisaatiota koskevissa hallintamenettelyissä: siellä odotetaan, että roolit ja vastuut on määritetty ja dokumentoitu, eivät vain suullisesti sovittu. Nimen mainitseminen ilman dokumentoitua roolia on siis yleensä puutteellinen vastaus.

Asiakkaan tarkka vaatimus vaihtelee muotojen mukaan: joskus se on toiminimike (CISO, IT-johtaja, johtaja), joskus RACI-tyyppinen taulukko, joskus vain kysymys siitä, onko nimettyä vastuuhenkilöä LAINKAAN. Jos yrityksellä ei ole muodollisesti nimettyä vastuuhenkilöä mutta tehtävä on käytännössä jonkulla, se riittää usein "kyllä"-vastaukseen — kunhan se on dokumentoitu jossain, esimerkiksi työtehtävän kuvauksessa tai kokouspöytäkirjoissa. Ilman mitään dokumentointia "ei" on rehellinen vastaus; ketjudossieri ei voi ratkaista sitä keksimällä väitteen. Tämä kysymys liittyy usein riskianalyysi­ ja tietoturva­käytäntö tietojärjestelmillekoska asiakas, joka kysyy hallinnosta, haluaa yleensä tietää myös, kuka on vahvistanut kyseisen käytäntöjä.

Mistä tämä esiintyy ohjeessa ja standardissa

Viittaus hallinnon ja vastuiden osalta on NIS2-direktiivin 21 artiklan 2 kohdan a alakohdassa (riskianalyysi- ja tietojärjestelmien turvauskäytäntö) ja ISO/IEC 27001 -standardin Liitteessä A organisatorisissa hallintamenettelyissä. Alankomaissa sama velvoite ilmenee myös Kyberturvallisuuslaissa, joka tulee voimaan 15. elokuuta 2026 NIS2:n täytäntöönpanona. Valvontaviranomaiset ja asiakkaat, jotka esittävät tämän kysymyksen, testaavat implisiittisesti myös sitä, onko takana prosessi — siksi tämä kysymys käytännössä usein liittyy kysymykseen siitä, testataan tai arvioidaan toimenpiteiden tehokkuutta säännöllisestikoska vastuuhenkilö ilman tarkistusta on paperilla melkein arvoton.