NIS2 ja social engineering -testausvelvoite

Lyhyt vastaus: velvoittaako NIS2 social engineering -testauksen?

Ei suoraan nimellä, mutta käytännössä kyllä. NIS2-direktiivi edellyttää kattavaa riskienhallintaa, johon kuuluu henkilöstöturvallisuus ja tietojärjestelmien testaus. Social engineering -testaus on dokumentoitu ja auditoitavissa oleva tapa täyttää tämä velvoite.

Direktiivin 21 artikla määrää, että toimijoiden on "arvioitava turvallisuusriskit, otettava huomioon inhimillinen tekijä ja testattava tietoturvatoimenpiteiden tehokkuus." Suomessa Kyberturvallisuuskeskus (Traficom) valvoo noudattamista.

Milloin NIS2 tuli voimaan Suomessa?

NIS2-direktiivi (EU 2022/2555) hyväksyttiin EU-tasolla joulukuussa 2022. Jäsenmaiden implementointifrist oli lokakuu 2024. Suomessa direktiivi saatettiin kansalliseksi lainsäädännöksi lailla kyberturvallisuudesta (laki 124/2025), joka tuli voimaan vuonna 2025.

Ketkä ovat NIS2:n piirissä?

NIS2 jakaa toimijat kahteen kategoriaan:

• Keskeinen toimija (essential entity). Energia, liikenne, pankit, rahoitusmarkkinoiden infrastruktuuri, terveydenhuolto, juomavesi, jätevesi, digitaalinen infrastruktuuri, ICT-palvelujen hallinta, julkinen hallinto, avaruus.
• Tärkeä toimija (important entity). Posti- ja kuriiripalvelut, jätehuolto, kemianteollisuus, elintarviketeollisuus, valmistava teollisuus, digitaaliset palveluntarjoajat, tutkimus.

Kokonaisskaalakynnys on tyypillisesti vähintään 50 henkilöä tai yli 10 miljoonan euron liikevaihto. Joillain sektoreilla, kuten kriittinen infrastruktuuri, velvoite koskee myös pienempiä toimijoita.

Mitä NIS2 käytännössä edellyttää tietoturvan testaukselta?

Direktiivin 21 artiklan perusteella toimijoilta edellytetään vähintään seuraavat viisi kohtaa:

1. Riskienhallinta ja -arviointi. Kirjallinen prosessi, joka tunnistaa ja arvioi riskit säännöllisesti.
2. Henkilöstöturvallisuus. Toimenpiteet, joilla varmistetaan, että henkilöstö ei muodosta tietoturvariskiä. Vishing-testaus mittaa tätä.
3. Turvallisuustoimenpiteiden testaus ja arviointi. Osoitettava, että käytössä olevat toimenpiteet ovat tehokkaita. Social engineering -testauksen raportti on auditoitava näyttö.
4. Poikkeamien havaitseminen ja hallinta. Prosessit, joilla tietoturvahäiriöt havaitaan ja ilmoitetaan Traficomille.
5. Toimitusketjun turvallisuus. Myös alihankkijoiden on täytettävä vaatimukset.

Sanktiot laiminlyönnistä

NIS2-direktiivin artikla 34 määrittää hallinnolliset sanktiot:

Sanktioiden lisäksi Kyberturvallisuuskeskuksella on oikeus keskeyttää palvelut tai asettaa tilapäinen toimintakielto keskeisille toimijoille, joiden johto laiminlyö velvoitteet toistuvasti.

Miten Backline Private Officen testaus täyttää NIS2-velvoitteen?

Vishing-testaus kattaa NIS2:n henkilöstöturvallisuus- ja testaamisvelvoitteet seuraavasti:

• Dokumentoitu testaus. Jokainen toimeksianto tuottaa kirjallisen raportin, joka kuvaa skenaariot, tulokset prosessitasolla ja toimenpidesuositukset. Raportti toimitetaan suoraan ulkoiselle auditoijalle.
• Inhimillisen tekijän arviointi. Social engineering -testaus mittaa juuri sitä, mitä direktiivi edellyttää: henkilöstön kykyä tunnistaa ja torjua tietosuojauhkat käytännössä.
• Toistettavuus. Uusintatesti 8-12 viikon kuluttua osoittaa, onko toimenpiteillä ollut vaikutusta. Tärkeä näyttö auditointia varten.
• Laillisuusdokumentaatio. Jokainen toimeksianto sisältää Authorization Letterin ja get-out-of-jail-kirjeen, jotka osoittavat testin olevan lainmukainen.

Usein kysytyt kysymykset NIS2:sta

• Velvoittaako NIS2 social engineering -testauksen?

  NIS2-direktiivi ei mainitse social engineering -testausta nimeltä, mutta velvoittaa kattavan tietoturvariskien hallinnan, johon kuuluu henkilöstöturvallisuus ja tietojärjestelmien testaus. Social engineering -testaus on käytännön tapa täyttää tämä velvoite ja dokumentoida se auditoijalle.

• Milloin NIS2 tuli voimaan Suomessa?

  NIS2-direktiivi (EU 2022/2555) tuli voimaan Suomessa lailla kyberturvallisuudesta (laki 124/2025) vuonna 2025. EU-tason direktiivi hyväksyttiin joulukuussa 2022 ja implementointifrist oli lokakuu 2024.

• Ketkä ovat NIS2:n piirissä?

  Keskeisiä toimijoita ovat energia, liikenne, pankit, terveydenhuolto, digitaalinen infrastruktuuri ja julkinen hallinto. Tärkeitä toimijoita ovat muun muassa posti, elintarviketeollisuus ja digitaaliset palveluntarjoajat. Kokokynnys on yleensä vähintään 50 henkilöä tai 10 miljoonan euron liikevaihto.

• Mitä sanktioita NIS2-laiminlyönnistä voi seurata?

  Keskeisille toimijoille hallinnollinen sakko voi olla enintään 10 000 000 euroa tai 2 % maailmanlaajuisesta liikevaihdosta, kumpi on suurempi. Tärkeille toimijoille enintään 7 000 000 euroa tai 1,4 % liikevaihdosta. Lähde: NIS2-direktiivi, artikla 34.

• Pitääkö NIS2-testaus teettää ulkopuolisella toimijalla?

  Direktiivi ei vaadi ulkoista testausta, mutta ulkoinen arvioija tarjoaa riippumattoman näytön, jota sisäinen testi ei pysty antamaan. Auditoijat ja vakuuttajat arvostavat ulkoisen tahon allekirjoittamaa raporttia.

• Miten social engineering -testauksen raportti toimitetaan auditointia varten?

  Backline Private Officen raportti on kirjallinen PDF-dokumentti, joka kuvaa testattavat skenaariot, tulokset prosessitasolla (ei yksilötasolla) ja toimenpidesuositukset. Se voidaan toimittaa suoraan ulkoiselle auditoijalle tai liittää NIS2-riskienhallinnan dokumentaatioon.

Lue myös: Mitä vishing-testaus maksaa? Hinnoittelun anatomia 2026