Tällä viikolla tietoturvan kentällä on tapahtunut merkittäviä muutoksia, jotka vaikuttavat moniin organisaatioihin eri toimialoilla.
ENISA on julkaissut uuden raportin NIS2-direktiivin implementoinnin kustannuksista, tarjoten arvokasta tietoa kyberturvallisuusinvestoinneista ja organisaatioiden kypsyystasosta. Sen lisäksi kyberkestävyyssäädös eli Cyber Resilience Act (CRA) on julkaistu Euroopan unionin virallisessa lehdessä ja on nyt saatavilla suomen kielellä.
NIS2 eli kyberturvallisuuslaki
ENISA on julkaissut viidennen vuosittaisen raportin NIS implementaation kustannuksista. Raportti tarjoaa päättäjille tietoa EU:n kyberturvallisuuskehyksen tehokkuuden arvioimiseksi analysoimalla, miten NIS-direktiivi on vaikuttanut organisaatioiden kyberturvallisuusinvestointeihin ja kypsyystasoon. Tänä vuonna raportti tarjoaa lähtötilannekuvan uusista sektoreista ja toimijoista, jotka kuuluvat NIS2:n piiriin.
Dataa on kerätty 1 350 organisaatiolta kaikista 27 EU:n jäsenvaltiosta. Organisaatiot kattavat kaikki NIS2 toimialat ja suuruusluokat. Tässä muutamia avainlöytöjä raportista:
- Organisaatiot käyttävät noin 9,0 % IT-investoinneistaan tietoturvaan, mikä on merkittävä 1,9 prosenttiyksikön kasvu verrattuna viime vuoteen.
- Organisaatiot allokoivat 11,1 % IT-työvoimastaan tietoturvaan.
- 89 % organisaatioista tarvitsee lisää kyberturvallisuushenkilöstöä noudattaakseen NIS2 -direktiiviä, pääasiassa kyberturvallisuuden arkkitehtuurin ja suunnittelun (46 %) sekä kyberturvallisuusoperaatioiden (40 %) alueilla.
- 90 % toimijoista odottaa kyberhyökkäysten lisääntyvän tulevana vuonna. Tästä huolimatta osallistuminen kyberturvallisuuden valmiusaloitteisiin on pääasiassa sisäistä, ja 74 % organisaatioista harjoittaa tällaisia toimintoja omien yritystensä sisällä.
Linkki ENISA:n julkaisuun: https://www.enisa.europa.eu/publications/nis-investments-2024
CRA eli kyberkestävyyssäädös
Asetus julkaistiin 20.11.2024 Euroopan unionin virallisessa lehdessä ja on luettavissa suomen kielellä.
CRA:n voimaantulon myötä yrityksiä koskevat keskeiset määräajat ovat seuraavat:
- 10. joulukuuta 2024: CRA astuu voimaan.
- 11. syyskuuta 2026: Valmistajien raportointivelvollisuudet tulevat voimaan.
- 1. joulukuuta 2027: CRA:n kaikki säännökset tulevat täysin sovellettaviksi.
Linkki asetukseen: https://eur-lex.europa.eu/legalcontent/FI/TXT/HTML/?uri=OJ:L_202402847
Linkki KTK:n sivuille: https://www.kyberturvallisuuskeskus.fi/fi/toimintamme/saantely-ja-valvonta/kyberkestavyyssaados-cyber-resilience-act-cra
Lopuksi
Tekve Oy tarjoaa tukea lakisäädösten navigointiin ja implementointiin, joten olkaa rohkeasti yhteydessä. Nähdään ensi viikolla!
Kirjoittaja: Petter Kauppi (petter@tekve.fi)
Yhteystiedot: toimisto@tekve.fi, +358 41 311 9277
