NIS2 on EU:n päivitetyt kyberturvallisuusvaatimukset. Useimmille kuljetusyrityksille se ei ole suora lakisääteinen vaatimus — mutta sen vaikutukset tuntuvat silti. Tässä on mitä sinun tarvitsee tietää.
Mikä on NIS2-direktiivi?
NIS2 — verkko- ja tietojärjestelmien turvallisuusdirektiivi 2 — astui voimaan 1.11.2024. Se asettaa tiukemmat vaatimukset IT-turvallisuudelle, riskien arvioinnille ja turvallisuuspoikkeamien hallinnalle kriittisten sektoreiden yrityksissä — mukaan lukien kuljetus.
Kolme tärkeintä muutosta verrattuna aiempaan direktiiviin:
- Laajempi soveltamisala: Paljon enemmän yrityksiä ja sektoreita kuuluu nyt suoraan direktiivin piiriin, mukaan lukien maantiekuljetukset.
- Tiukemmat vaatimukset: Vaatimukset riskienhallinnalle, poikkeamiin reagoinnille ja toimittajien turvallisuudelle.
- Suuremmat sakot: Jopa 10 milj. euroa tai 2 % maailmanlaajuisesta liikevaihdosta suoraan sovellettaville organisaatioille.
Ketä NIS2 koskee suoraan?
Todennäköisesti ei sinun yritystäsi — jos olet tyypillinen kuljetusyrittäjä. NIS2 koskee suoraan:
- Keskeiset organisaatiot: Yli 250 työntekijää TAI yli 50 milj. euron liikevaihto.
- Tärkeät organisaatiot: Yli 50 työntekijää TAI yli 10 milj. euron liikevaihto.
Useimmat kuljetusyritykset, joissa on alle 50 työntekijää ja alle 10 milj. euron liikevaihto, eivät kuulu suoraan NIS2:n piiriin.
Mutta — ja tämä on tärkeää: NIS2 edellyttää, että suuret suoraan sovellettavat yritykset asettavat turvallisuusvaatimuksia toimittajilleen. Jos ajat suurille valmistajille, vähittäiskauppaketjuille tai logistiikkayrityksille, he todennäköisesti asettavat IT-turvallisuusvaatimuksia sinulle. Tämä on välillinen, mutta todellinen vaikutus.
Mitä NIS2 konkreettisesti vaatii?
Suoraan sovellettaville yrityksille vaatimukset ovat selkeät:
- Dokumentoidut turvallisuuspolitiikat ja riskiarvioinnit — johto on henkilökohtaisesti vastuussa.
- Poikkeamailmoitukset 24 tunnin kuluessa (varhainen varoitus) ja 72 tunnin kuluessa (täysi raportti).
- Pääsynhallinta ja salaus tiedoille ja järjestelmille.
- Toimittajien turvallisuus: Sinun on arvioitava IT-toimittajiesi turvallisuutta — juuri tämä vaatimus siirtyy kuljetusyrityksille alihankkijoina.
- Varmuuskopiointi- ja varasuunnitelmat turvallisuuspoikkeamille.
Mitä sinun pitäisi tehdä kuljetusyrittäjänä nyt?
- Tarkista, koskeeko sinua suoraan. Yli 50 työntekijää tai 10 milj. euron liikevaihto? Kyllä → olet tärkeä organisaatio. Ei → todennäköisesti ei suoraan sovellettava, mutta voit tuntea vaikutukset välillisesti.
- Odota vaatimuksia asiakkailta. Kysy proaktiivisesti, aikovatko suuret asiakkaasi asettaa IT-turvallisuusvaatimuksia sinulle.
- Tarkista järjestelmäsi. Ovatko ne ajan tasalla? Käytätkö vahvoja salasanoja ja kaksivaiheista tunnistautumista? Onko tiedoista varmuuskopiot?
- Valitse turvallisia toimittajia. TMS-järjestelmäsi on täytettävä nykyaikaiset turvallisuusstandardit. DORA toimii nykyaikaisessa pilvi-infrastruktuurissa salauksella ja pääsynhallinnalla.
- Puhu työntekijöillesi. Lyhyt perehdytys tietojenkalasteluun ja turvallisiin salasanoihin on helpoin ja tehokkain asia, jonka voit tehdä.
Seuraamukset noudattamatta jättämisestä
Suoraan sovellettaville yrityksille sakot ovat merkittävät: jopa 10 milj. euroa tai 2 % maailmanlaajuisesta liikevaihdosta. Johdolle voidaan äärimmäisissä tapauksissa määrätä väliaikainen toimintakielto.
Useimmille kuljetusyrityksille todellinen riski ei ole viranomaisten sakot — vaan sopimusten menettäminen asiakkaiden kanssa, jotka eivät voi käyttää toimittajia, jotka eivät täytä heidän turvallisuusvaatimuksiaan.
Usein kysytyt kysymykset NIS2:sta ja kuljetuksista
Koskeeko NIS2 suoraan kuljetusyritystäni?
Todennäköisesti ei, jos sinulla on alle 50 työntekijää ja alle 10 milj. euron liikevaihto. Mutta voit tuntea vaikutukset välillisesti, jos asiakkaasi kuuluvat suoraan sovellettavien piiriin ja asettavat vaatimuksia toimitusketjussa.
Mikä on poikkeamailmoituksen määräaika?
Suoraan sovellettaville organisaatioille: varhainen varoitus 24 tunnin kuluessa, täysi raportti 72 tunnin kuluessa.
Mitä tapahtuu, jos en noudata NIS2:ta?
Suoraan sovellettaville yrityksille: sakot jopa 10 milj. euroa tai 2 % maailmanlaajuisesta liikevaihdosta, määräykset korjata — ja mahdollisesti väliaikainen toimintakielto johdolle. Useimmille kuljetusyrityksille suurempi riski on asiakassopimusten menettäminen.
