NIS2-direktiivin vaikutus turvallisuusratkaisuihin

Abstract

Organisaatioiden riippuvuus digitaalisista järjestelmistä on kasvanut merkittävästi, mikä on lisännyt kyberuhkia ja korostanut sääntelyn merkitystä. Euroopan unionin NIS2-direktiivi asettaa yrityksille aiempaa laajempia ja velvoittavampia vaatimuksia kyberturvallisuuden hallintaan. Tämä opinnäytetyö tarkasteli, miten NIS2-direktiivin vaatimukset vaikuttavat yritysten turvallisuusratkaisujen valintaan. Työn tavoitteena oli muodostaa kokonaisvaltainen kuva direktiivin vaatimusten ja käytännön turvallisuusratkaisujen välisestä suhteesta sekä tuottaa tietopohja, jota toimeksiantaja voi hyödyntää asiakasneuvonnassa ja turvallisuusratkaisujen kehittämisessä. Tutkimus toteutettiin laadullisena tapaustutkimuksena. Teoreettinen viitekehys muodostui NIS2-direktiivistä, kansainvälisistä standardeista sekä turvallisuusalan tutkimuskirjallisuudesta. Empiirinen aineisto kerättiin puolistrukturoiduilla asiantuntijahaastatteluilla ja analysoitiin teoriaohjaavan sisällönanalyysin avulla. Tutkimustulokset osoittivat, että NIS2-direktiivi vaikuttaa turvallisuusratkaisujen valintaan erityisesti turvallisuuden johtamisen, dokumentoinnin, poikkeamien hallinnan ja kokonaisvaltaisen turvallisuusnäkemyksen kautta. Turvallisuusratkaisuja ei valita yksittäisten teknisten ominaisuuksien perusteella, vaan sen mukaan, miten ne tukevat riskiperusteista turvallisuusjohtamista ja vaatimustenmukaisuuden osoittamista. Lisäksi tulokset korostivat ylimmän johdon roolia sekä toimittajaketjujen turvallisuuden merkitystä. Johtopäätöksenä todetaan, että NIS2-direktiivi ohjaa yrityksiä kohti integroitua, dokumentoitua ja strategisesti johdettua turvallisuuskokonaisuutta. Turvallisuusratkaisut toimivat keskeisinä välineinä tämän kokonaisuuden toteuttamisessa ja kehittämisessä.