Direktiivien vaikutus keskeisten toimijoiden kyberturvallisuusvaatimuksiin

Abstract

Tämän opinnäytetyön tavoitteena on kartoittaa EU:n uudessa NIS2-kyberturvallisuusdirektiivissä keskeisiksi toimijoiksi määritettyjen yritysten kohtaamia haasteita uusien kyberturvallisuusvaatimusten täyttämisessä. Työn avulla kehitetään Elpartner Oy:lle malli palveluratkaisusta, jonka avulla Elpartner Oy voi tehokkaasti auttaa asiakasyrityksiään täyttämään uudet vaatimukset.

Opinnäytetyön teoriataustan avaaminen aloitetaan kertomalla kyberturvallisuuden roolista yhteiskunnassa ja sen toimintaympäristöstä, sekä avaamalla sen toimintaa NIS2-direktiivin kannalta oleellisissa OT-verkoissa, joissa järjestelmien jatkuvuus ja laitteistoriippuvuudet tuovat omat haasteensa. Lisäksi teoriaosuudessa esitellään direktiivin valvonta- ja raportointivaatimusten kannalta oleelliset SIEM- ja SOC-ratkaisut.

Opinnäytetyössä keskeistä on perusteellinen perehtyminen itse NIS2-direktiiviin, sekä sen kansalliseen implementointiin Suomessa kyberturvallisuuslain muodossa. Työssä esitetään sen kannalta oleellinen sisältö direktiivistä ja laista sekä useita aihetta koskevia julkaisuja verkossa, jotka koettiin sisällöltään työlle arvokkaiksi. Työssä tarkastellaan myös NIS2-direktiivin rinnalla julkaistua CER-direktiiviä ja otetaan kantaa sen huomioimiseen uusien turvallisuusvaatimusten toteuttamisessa, sekä siihen, miten se sisällöllisesti eroaa NIS2-direktiivistä.

Opinnäytetyössä luotiin dokumentti, jossa listataan kaikki NIS2-direktiivin vaatimusten yrityksille aiheuttamat haasteet sekä vaaditut toimenpiteet niiden täyttämiseksi. Elpartner Oy:n sisäisessä arvioinnissa dokumentista tunnistettiin ne osa-alueet, joita on järkevä toteuttaa ja joilla saadaan luotua eniten lisäarvoa asiakkaille. Näiden pohjalta opinnäytetyössä kehitettiin malli palveluratkaisulle, joka on mukautettavissa asiakasyritysten yksilöllisiin tarpeisiin ja tukee niiden valmiuksia täyttää NIS2-direktiivin vaatimukset järjestelmällisesti ja tehokkaasti. Palveluratkaisun sisältöä koskevat aineistot ovat poistettu julkisesta raportista.

The purpose of this thesis was to map out the challenges faced by companies classified as essential entities under the EU cybersecurity directive NIS2. Based on these findings, a service solution was developed for Elpartner Oy that would allow the company to efficiently offer solutions to its clients to meet the new regulatory requirements.

The theoretical background of the thesis began with the role of cybersecurity, operational technology (OT) networks, and the solutions needed to meet the security level mandated by the directive. A large part was used on a thorough examination of the NIS2 directive and its national implementation in Finland through the Cybersecurity Law. Also, the CER directive that was published alongside NIS2, was examined for its relevance to the new security requirements.

As part of the work, a document outlining the challenges posed by NIS2 and the actions required for compliance was created. These findings were used to form the basis model for a service that can flexibly adapt to the specific needs of the client companies, helping them build the capabilities needed for systematic and effective fulfillment of the requirements.

The materials related to the service model are excluded from the public report.