The Implementation Challenges of the NIS 2 Directive - Iloranta, Kalle (2025)
Digitalisaation myötä jatkuvasti kehittyvä toimintaympäristö Euroopassa asettaa ennen kaikkea julkisen sektorin organisaatiot yhä enemmän riippuvaiseksi monimutkaisesta kybertoimintaympäristöstä sekä samalla asettavat nämä organisaatiot lisääntyvien ja yhä monimutkaisempien kohdistettujen kyberhyökkäysten kohteeksi. Euroopan Unionille, sen jäsenmaille ja ennen kaikkea näiden asukkaille tietojärjestelmien turvaaminen osana toimivaa infrastruktuuria on elintärkeää, terveydenhuollon, palveluiden ja yleisen turvallisuuden ollessa riippuvaisia toimivasta infrastruktuurista. Myös näihin infrastruktuureihin kohdistuvat riskit ovat suurempia kuin koskaan aiemmin, johtuen eri sisäisten ja ulkoisten toimijoiden aiheuttamista uhista yhdistettynä kompleksiseen toimintaympäristöön. Euroopan Unioni on asettanut vastauksenaan kasvaviin kyberturvallisuushaasteisiin verkko- ja tietojärjestelmä direktiivin, eli NIS direktiivin vuonna 2016. Euroopan Unioni asetti päivitetyn NIS 2 Direktiivin vuonna 2022, edelleen parantaakseen EU:n jäsenmaiden kybersietokykyä sekä vastatakseen digitalisaation tuomiin lisääntyviin uhkiin. NIS 2 Direktiivi asettaa keskeisille ja tärkeille organisaatioille velvoitteita kyberriskienhallintaan sekä poikkeamien havainnointiin ja ilmoitusvelvollisuuteen. Tämä tutkimus tarkastelee organisaatioiden haasteita lainsäädännön tuomien vaatimusten täyttämisessä kyberturvallisuuden asiantuntijoiden ja teorian näkökulmista. Tutkimuksessa on käytetty tutkimusmenetelmänä suunnittelutieteellistä tutkimusta ja tutkimuksessa ehdotetaan myös tarkistuslistaa artefaktina ongelmakohtien tunnistamisen helpottamiseksi organisaatioissa. Tutkimuksessa tunnistettiin organisaatioiden pääasiallisiksi haasteiksi puutteelliset poikkeamanhallinnan suunnitelmat ja prosessit sekä erityisesti vajaat resurssit niin henkilöstön kuin käytettävissä olevan teknologian osalta yhdessä siiloutuneiden organisaatioiden kanssa johtavat pirstoutuneeseen poikkeamanhallintayrityksiin ja merkittäviin viiveisiin tiedonkulussa. Jatkuvasti kehittyvän uhkakentän johdosta nämä haasteet lisäävät organisaatioiden haasteita pysyä kehityksen mukana ja vastatakseen muuttuviin ja kasvaviin uhkiin.