Merkittävien häiriliden sattuessa organisaation on ilmoitettava niistä kansallisessa DORA:n asetuksessa määritellyille viranomaisille. Merkittävien häiriöiden ilmoituksen tulee sisältää:

1. Ensimmäinen ilmoitus
2. Väliraportti (tapahtuman tilan muuttuessa)
3. Loppuraportti, kun perussyyanalyysi on tehty

Jos tapahtumalla on vaikutusta asiakkaiden taloudellisiin etuihin, heille on ilmoitettava mahdollisimman pian tarvittavilla toimenpiteillä tilanteen lieventämiseksi. Kyberuhkien sattuessa asiakkaille tulee ilmoittaa, jos he saattavat vaikuttaa heihin suojatoimenpiteistä, joita heidän tulisi harkita.

Asianomaiset toimivaltaiset viranomaiset määritellään DORA:n 46 artiklassa

Viranomaisen on viipymättä tiedotettava niille, jotka hyödyntävät sen tietoaineistoja, jos viranoman tietojenhallintaan kohdistuu häiriö, joka estää tai uhkaa estää tietoaineistojen saatavuuden. Tiedotuksessa on annettava seuraavat tiedot:

a) Häiriön tai sen uhan arvioitu kesto.

b) Mahdolliset korvaavat tavat hyödyntää viranomaisen tietoaineistoja, jos sellaisia on.

c) Häiriön tai uhan päättyessä.

Viranomaisen on noudatettava digitaalisten palvelujen ja muiden sähköisten tiedonsiirtomenetelmien käyttökatkoista tiedottamisesta yleisölle annettuja ohjeita, kuten ne on säädetty digitaalisten palvelujen tarjoamisesta annetun lain (306/2019) 4 §:n 2 momentissa.

Organisaatio ilmoittaa ilman viivästystä lainsäädännössä määritellylle viranomaiselle (CSIRT) merkittävästi palveluidensa tarjontaan vaikuttaneista häiriöistä. 

Häiriö on merkittävä, kun vähintään toinen seuraavista toteutuu:

• häiriö voi aiheuttaa vakavan häiriön palvelujen toiminnassa tai vakavia taloudellisia menetyksiä palveluntarjoajalle
• häiriö voi aiheuttaa merkittävää aineellista tai aineetonta vahinkoa liittyville ihmisille tai muille organisaatioille

Ilmoitukset on tehtävä vaiheittain allaolevien kuvausten mukaisesti. Lisäksi häiriön ollessa käynnissä organisaation on toimitettava viranomaisen pyytämät statuspäivitykset.

Aikainen varoitus (viimeistään 24h kuluessa häiriön havaitsemisesta)

• epäilläänkö syyksi laittomia toimia
• voiko häiriö aiheuttaa vaikutuksia muihin maihin

Tarkempi häiriöilmoitus (viimeistään 72h kuluessa häiriön havaitsemisesta)

• päivitetään aiempaa tietoa
• annetaan tämänhetkinen arvio häiriöstä, sen vakavuudesta sekä vaikutuksista
• listataan mahdolliset todisteet vuodon tapahtumisesta

Lopullinen raportti (viimeistään 1kk kuluessa häiriöilmoituksesta)

• yksityiskohtainen kuvaus tapahtumasta, mukaan lukien sen vakavuus ja vaikutukset
• uhan tyyppi tai perimmäinen syy, joka todennäköisesti laukaisi tapahtuman
• sovelletut ja meneillään olevat lieventämistoimenpiteet
• mahdolliset vaikutukset muihin maihin

Häiriöiden ilmoittamiseen ylläpidetään prosessia, joka auttaa henkilöstöä ilmoittamaan häiriöistä tehokkaasti ja johdonmukaisesti.

Häiriönä ilmoitettavia asioita ovat mm.:

• luvaton pääsy tietoihin / tiloihin
• tietoturvaohjeiden vastainen toiminta
• epäilty tietoturvaongelma (esim. tietojenkalastelu, haittaohjelmatartunta)
• tietojärjestelmän käyttökatko
• tietojen tuhoutuminen / muuttuminen vahingossa tai tahallaan
• kadonnut tai varastettu laite
• vaarantunut salasana
• kadonnut fyysinen tunniste (esim. avaimenperä, älykortti, älytarra)
• epäilty tietoturvaheikkous (esim. käytetyssä tietojärjestelmässä tai muissa toimintatavoissa)

Henkilöstön ohjeissa korostetaan velvollisuutta raportoida tietoturvahäiriöistä mahdollisimman pian sovitun prosessin mukaisesti. Ohjeistus kuvaa myös muun toiminnan häiriön tapauksessa (mm. virheilmoitusten ja muiden yksityiskohtien kirjaaminen ylös).

Organisaatio huolehtii siitä, että häiriöhallintaan on nimetty selkeät vastuuhenkilöt, jotka vastaavat esimerkiksi häiriöiden ensimmäisen tason käsittelystä.

Häiriöiden hallinnasta vastaavia henkilöitä on ohjeistettava ja koulutettava, jotta he ymmärtävät organisaation prioriteetit tietoturvahäiriöiden käsittelyssä.

Kaikki tietoturvahäiriöt käsitellään johdonmukaisesti, jotta tietoturvaa voidaan parantaa tapahtuneen perusteella.

Häiriöiden käsittelyprosessissa:

• vahvistetaan raportoitu häiriö (tai todetaan tarpeettomaksi kirjata ylös)
• dokumentoidaan häiriön tyyppi ja syy
• dokumentoidaan häiriöön liittyneet riskit
• käsitellään riskit, mikäli häiriön perusteella niiden käsittelyä täytyy päivittää
• määritellään ja dokumentoidaan toimenpiteet riskien pienentämiseksi tai päätös niiden hyväksymisestä
• määritellään tahot, joille on tärkeää tiedottaa käsittelyn tuloksista (myös organisaation ulkopuoliset)
• määritetään tarve häiriön jälkianalyysille

Jos organisaatio saa tietoonsa aktiivisesti hyödynnettyn haavoittuvuuden tuotteessa, jossa on digitaalisia elementtejä, sen on ilmoitettava siitä koordinoivalle CSIRT:lle ja ENISAlle. Valmistajan on ilmoitettava aktiivisesti hyödynnettävästä haavoittuvuudesta 16 artiklan mukaisesti perustetun yhtenäisen raportointialustan

kautta.Haavoittuvuusilmoitus on tehtävä ilman aiheetonta viivytystä, joka tapauksessa 72 tunnin kuluessa siitä, kun valmistaja on saanut siitä tiedon. Haavoittuvuusilmoituksen on sisällettävä ainakin seuraavat tiedot:

• (a) kuvaus tuotteesta, jossa on kyseisiä digitaalisia elementtejä.
• (b) hyväksikäytön ja kyseisen haavoittuvuuden yleinen luonne
• (c) yksityiskohtaiset tiedot toteutetuista korjaavista tai lieventävistä toimenpiteistä sekä korjaavista tai lieventävistä toimenpiteistä, joita käyttäjät voivat toteuttaa.
• (d) tarvittaessa tieto siitä, kuinka arkaluonteisena valmistaja pitää ilmoitettuja tietoja.

Haavoittuvuusilmoituksen lisäksi valmistajan on toimitettava loppuraportti, joka sisältää ainakin seuraavat tiedot:

• (a) kuvaus haavoittuvuudesta, mukaan lukien sen vakavuus ja vaikutus
• (b) jos saatavilla, tiedot kaikista haittaohjelmista, jotka ovat hyödyntäneet tai hyödyntävät haavoittuvuutta
• (c) yksityiskohtaiset tiedot tietoturvapäivityksestä tai muista korjaavista toimenpiteistä, jotka on tehty haavoittuvuuden korjaamiseksi

Organisaatiolla on dokumentoitu prosessi tietoturvahäiriöiden (myös tietoturvaloukkaukset) hallintaa varten havaitsemisesta lopulliseen ratkaisuun. Prosessissa otetaan huomioon kaikki tarvittavat näkökohdat, kuten viestintä asiaankuuluvien sidosryhmien kanssa, ilmoitusvaatimukset ja tekniset lieventämistoimet. Organisaatiolla on tekniset ja organisatoriset resurssit, jotta se voi reagoida asianmukaisesti tietoturvahäiriöihin ja loukkauksiin.

Organisaation on raportoitava kaikista merkittävistä häiriöistä, jotka vaikuttavat digitaalisia osia sisältävän tuotteen turvallisuuteen, koordinoivalle CSIRT:lle ja ENISAlle. Valmistajan on raportoitava vaaratilanteesta 16 artiklan mukaisesti perustetun yhteisen raportointialustan kautta

.Vakavasta häiriöstä, jolla on vaikutusta digitaalisia elementtejä sisältävän tuotteen turvallisuuteen, on annettavaennakkovaroitus ilman aiheetonta viivytystä ja viimeistään 24 tunnin kuluessa siitä, kun valmistaja on saanut siitä tiedon, mukaan lukien ainakin tieto siitä, epäilläänkö vaaratilanteen johtuvan laittomista tai ilkivaltaisista toimista, sekä tarvittaessa tieto siitä, minkä jäsenvaltion alueella heidän tuotteensa on asetettu saataville.

Häiriöstä on ilmoitettava ilman aiheetonta viivytystä ja viimeistään 72 tunnin kuluessa siitä, kun valmistaja on saanut siitä tiedon. Häiriöilmoituksen on sisällettävä ainakin seuraavat tiedot:

• (a) kuvaus tuotteesta, jossa on kyseisiä digitaalisia elementtejä.
• (b) Häiriön yleinen luonne ja alustava arvio siitä
• (c) yksityiskohtaiset tiedot toteutetuista korjaavista tai lieventävistä toimenpiteistä sekä korjaavista tai lieventävistä toimenpiteistä, joita käyttäjät voivat toteuttaa
• (d) tarvittaessa tieto siitä, kuinka arkaluonteisena valmistaja pitää ilmoitettuja tietoja.

Häiriöilmoituksen lisäksi valmistajan on toimitettava loppuraportti, joka sisältää ainakin seuraavat tiedot:

• (a) yksityiskohtainen kuvaus vaaratilanteesta, mukaan lukien sen vakavuus ja vaikutukset
• (b) uhan tai perimmäisen syyn tyyppi, joka on todennäköisesti aiheuttanut vaaratilanteen
• (c) sovelletut ja käynnissä olevat lieventämistoimenpiteet

Häiriötilanteiden torjuntasuunnitelmasta on tiedotettava vastaavasti kaikille suunnitelman kannalta merkityksellisille sidosryhmille. Näin varmistetaan, että kaikki sidosryhmät tietävät suunnitelmasta, ymmärtävät sen merkityksen ja ovat valmiita toimimaan nopeasti häiriötilanteessa. Suunnitelmasta voidaan tiedottaa samanaikaisesti suunnitelman dokumentoinnin kanssa tai erikseen.

Organisaatio testaa säännöllisesti tieto- ja viestintätekniikan toiminnan jatkuvuussuunnitelmiaan käyttäen realistisia ja vakavia häiriöskenaarioita arvioidakseen, voidaanko kriittiset tai tärkeät toiminnot säilyttää ja palauttaa.

Testauksen on oltava:

• Perustua uskottaviin mutta vakaviin skenaarioihin, mukaan lukien alkuperäisessä suunnittelussa käytetyt skenaariot.
• kyseenalaistettava taustalla olevat oletukset, mukaan lukien hallinnon ja kriisiviestinnän tehokkuus.
• Varmistettava, että tieto- ja viestintätekniikkajärjestelmät, palvelut, henkilöstö ja kolmannet osapuolet pystyvät reagoimaan asianmukaisesti.
• Vahvistettava organisaation kyky ylläpitää jatkuvuutta riittävän pitkään ja palauttaa normaali toiminta.

Näiden testien tulokset on dokumentoitava, ja kaikki havaitut heikkoudet on analysoitava ja raportoitava johtoelimelle korjaamista varten.

Organisaation on määriteltävä selkeät kriteerit sille, milloin havaitut poikkeamat johtavat virallisiin häiriötilanteiden torjuntatoimiin. Näihin laukaiseviin tekijöihin olisi sisällyttävä:

• viitteitä haitallisesta toiminnasta tai järjestelmän vaarantumisesta
• tietojen saatavuuden, eheyden, aitouden tai luottamuksellisuuden menetys
• vaikutus toimintaan tai liiketoimiin
• järjestelmän/verkon toimimattomuus
• asiayhteyteen liittyvät tekijät, kuten vaikutuksen kohteena olevien palvelujen kriittisyys

Nämä säännöt on dokumentoitava, automatisoitava mahdollisuuksien mukaan ja integroitava häiriötilanteiden toimintaohjeisiin ja havaitsemisjärjestelmiin.

Poikkeavuuksien havaitsemisjärjestelmien tuottamat hälytykset. Tähän kuuluu sääntöjen asettaminen seuraaville:

• luokitella hälytykset kriittisyystason mukaan (esim. korkea, keskisuuri, matala).
• ottaa huomioon työajat ja työajan ulkopuoliset ajat

käyttää kontekstia, kuten esim:

• Mitkä järjestelmät ovat kyseessä (esim. kriittiset tuotantojärjestelmät).
• Odotukset ratkaisuun kuluvasta ajasta
• Aikaisempi tapahtumahistoria

Hälytysten priorisoinnilla varmistetaan oikea-aikainen ja oikeasuhteinen reagointi ja vähennetään hälytysväsymystä. Priorisointisääntöjä olisi tarkistettava ja hienosäädettävä säännöllisesti.

The organization must establish, implement, and maintain comprehensive written policies and procedures to ensure full compliance with the HIPAA Breach Notification Rule. These policies and procedures must detail the steps for identifying, assessing, and responding to potential breaches of unsecured protected health information (PHI), including the timelines and methods for notifying affected individuals, the Secretary of Health and Human Services (HHS), and, where applicable, prominent media outlets.

These procedures must also address:

• Notifying affected individuals without unreasonable delay after a breach of their unsecured protected health information is discovered or reasonably should have been discovered.
• Immediate notification within 60 days of discovery to HHS and prominent media outlets for breaches affecting 500 or more individuals, and annual reporting to HHS for breaches affecting fewer than 500 individuals.
• Required notification content and delivery methods.
• Steps to identify and validate affected individuals and the explicit 500-person threshold for large-breach media involvement.

Furthermore, the organization must create and maintain thorough documentation for a minimum of six years, evidencing its adherence to these policies and procedures. This documentation must include, but is not limited to:

• The established breach notification policies and procedures.
• Records of workforce training sessions conducted on these policies and procedures.
• Documentation of any security incidents evaluated for breach potential.
• If a breach is determined to have occurred, copies of all notifications sent to individuals, HHS, and media (if applicable), including the content of the notifications, the dates they were sent, and the methods of delivery.
• Evidence demonstrating that all required notifications were provided in a timely manner (or that any approved delay was documented), or when no breach was found, the complete risk assessment and rationale supporting that conclusion.

Organisaatio ymmärtää ja hyväksyy, että sillä on todistustaakka osoittaa Yhdysvaltain terveysministeriölle (HHS), että kaikki vaaditut tietoturvaloukkauksia koskevat ilmoitukset on tehty tai että tietty suojattujen terveystietojen (PHI) käyttö tai luovutus ei muodostanut tietoturvaloukkausta. Siksi huolellinen ja tarkka kirjanpito on ensiarvoisen tärkeää. Työntekijöille on annettava asianmukaista koulutusta näistä vaatimuksista ja heidän henkilökohtaisista vastuistaan tietoturvaloukkauksista ilmoittamisessa.

The organization should define and implement a formal process for the immediate notification of the Information and Communication Center. This process must be activated when an event occurs that is deemed likely to threaten the security of the critical infrastructure.

The procedure should clearly specify the criteria for what constitutes a notifiable event, the roles and responsibilities for triggering the notification, and the designated communication channels and contact information for the Center.

Organisaation on varmistettava, että sen vaaratilanteisiin reagointiprosessi on valmis käsittelemään haavoittuvuusraportteja, jotka kansallinen kyberturvallisuuspoikkeamien käsittelyryhmä (CSIRT) lähettää.

Tällainen tilanne syntyy, jos kolmas osapuoli ilmoittaa vakavasta vaaratilanteesta tai aktiivisesti hyödynnetystä haavoittuvuudesta jossakin organisaation tuotteessa suoraan viranomaisille. CSIRT on tällöin velvollinen ilmoittamaan asiasta organisaatiolle ilman aiheetonta viivytystä.

Organisaation sisäisen prosessin on kyettävä tehokkaasti vastaanottamaan, validoimaan ja käynnistämään vastaus näihin erittäin tärkeisiin ilmoituksiin.

The organization must ensure that its internal CSIRT or external CSIRT service provider complies with all operational, technical, and service-related requirements set by national cybersecurity legislation.

• Authorization by the national authority (DNSC);
• Interoperability with national CSIRT systems and use of standardized methods;
• Delivery of the minimum CSIRT service package;
• High availability, redundant communication, and secure infrastructure;
• Qualified personnel ensuring 24/7 service continuity and confidentiality of operations;
• Cooperation with stakeholders and use of standard practices for incident and crisis response;
• Continuous monitoring and analysis of cyber threats, vulnerabilities, and incidents;
• Providing real-time alerts, incident response, and situational awareness to essential and important entities;
• Offering security scans upon request (non-intrusive, risk-based) to detect vulnerabilities in critical systems;
• Participation in secure information-sharing initiatives per Article 20.

The organization must ensure that all cybersecurity incidents subject to mandatory reporting under Romanian law are submitted via the National Platform for Reporting Cybersecurity Incidents (PNRISC), in accordance with Article 20 of Law no. 58/2023 on cybersecurity and cyber defense. To fulfill this, the organization must:

• Establish clear internal procedures for identifying reportable incidents.
• Collect all necessary information required for submission.
• Submit reports through the PNRISC system within the legally mandated timelines.

Organisaatio ilmoittaa viranomaiselle ilman aiheetonta viivytystä kaikista tapahtumista, joilla on merkittävä vaikutus sen palvelujen tarjoamiseen ("merkittävä tapahtuma"). Viranomainen välittää ilmoituksen saatuaan sen kansalliselle CSIRT-tietokannalle.

• häiriö voi aiheuttaa vakavia häiriöitä palvelujen toiminnassa tai vakavia taloudellisia tappioita palveluntarjoajalle.
• häiriö voi aiheuttaa merkittävää aineellista tai aineetonta vahinkoa asiaan liittyville henkilöille tai muille organisaatioille.

Ilmoitukset on tehtävä vaiheittain alla olevien kuvausten mukaisesti.

• epäillään, että syy on laitonta toimintaa;
• voiko häiriöllä olla vaikutuksia muihin maihin.

• päivitetään ennakkovaroituksen tiedot;
• alustava arvio merkittävästä häiriöstä, mukaan lukien sen vakavuus ja vaikutukset;
• luetellaan mahdolliset todisteet vuodosta;
• luottamuspalvelujen tarjoajien osalta tämä ilmoitus on tehtävä 24 tunnin kuluessa siitä, kun tapahtumasta on saatu tieto.

• toimitetaan viranomaisen pyynnöstä, ja niissä annetaan asiaankuuluvat tilannekatsaukset tapahtumasta.

• yksityiskohtainen kuvaus vaaratilanteesta, myös sen vakavuudesta ja vaikutuksista;
• uhan tyyppi tai perimmäinen syy, joka on todennäköisesti aiheuttanut vaaratilanteen;
• sovelletut ja käynnissä olevat lieventämistoimenpiteet;
• mahdolliset vaikutukset muihin maihin.

• Jos vaaratilanne on käynnissä loppuraportin määräpäivänä, sen sijaan olisi toimitettava tilannekatsaus;
• edistymisraportteja vaaditaan 15 päivän välein, kunnes loppuraportti voidaan toimittaa.

Organisaation olisi laadittava selkeät menettelyt tietojen vaihtamiseksi kansallisten kyberturvallisuusviranomaisten kanssa.

Näihin menettelyihin olisi sisällyttävä:

• nimetään erityinen henkilöstö, joka vastaa tästä viestinnästä.
• Määritellään, miten tietojen toimittamista viranomaisille rajoitetaan.
• Sen varmistaminen, että viranomaisilta saadut tiedot suojataan ja että niitä käytetään tiukasti aiottuun tarkoitukseen, kuten organisaation omien järjestelmien turvaamiseen.

Organisaation olisi laadittava selkeä prosessi, jolla täydennetään viranomaisille tehtävää alkuperäistä verkkohyökkäysilmoitusta. Prosessilla on varmistettava, että puuttuvat tiedot toimitetaan 14 päivän määräajassa.

Siinä olisi myös määriteltävä toimet, joihin on ryhdyttävä, jos vaadittuja tietoja ei ole vielä saatavilla tämän ajanjakson jälkeen, ja myös se, miten tästä ilmoitetaan virallisesti viranomaisille.

Organisaation olisi määriteltävä ja dokumentoitava menettely, jolla verkkohyökkäyksistä ilmoitetaan viranomaisille. Näin varmistetaan, että kaikki lakisääteiset tiedot kerätään ja raportoidaan ajoissa ja oikein.

Menettelyssä olisi määriteltävä, miten seuraavat tiedot kerätään ja jäsennetään:

• Keskeiset aikaleimat, kuten milloin hyökkäys havaittiin ja milloin sen uskotaan tapahtuneen.
• Kaikki saatavilla olevat tiedot hyökkääjästä.
• Hyökkäyksen luonne, mukaan lukien se, liittyikö siihen kiristystä tai uhkailua, ja onko siitä tehty rikosilmoitus.
• Arvio hyökkäyksen vaikutuksesta tietojen luottamuksellisuuteen, eheyteen ja saatavuuteen sekä organisaation yleiseen toimivuuteen.
• Ilmoittavan henkilön yhteystiedot ja organisaation tunnistetiedot.

Organisaation olisi laadittava selkeät sisäiset ohjeet sellaisten verkkohyökkäysten tunnistamiseksi, joista on ilmoitettava viranomaisille. Näissä ohjeissa olisi täsmennettävä, että tapahtuma on raportoitava, jos se täyttää yhden tai useamman seuraavista kriteereistä:

• Toiminnallisuus vaarassa: Järjestelmäkeskeytykset vaikuttavat työntekijöihin tai kolmansiin osapuoliin tai toimintaa voidaan ylläpitää vain varasuunnitelmien avulla.
• Tietovuoto tai tietojen manipulointi: Luvattomat henkilöt pääsevät käsiksi liiketoiminnan kannalta merkityksellisiin tietoihin, muuttavat niitä tai paljastavat niitä, tai vaaditaan tietosuojalain mukainen ilmoitus tietomurrosta.
• Pitkään jatkunut huomaamaton hyökkäys: Verkkohyökkäys alkoi yli 90 päivää sitten.
• Kiristys tai uhkaus: Hyökkäykseen liittyy organisaatioon tai sen henkilöstöön kohdistuvaa kiristystä, uhkailua tai pakottamista.

Organisaation olisi määriteltävä selkeä prosessi vuorovaikutusta varten BACS:n (Federal Office for Cybersecurity) suojatun viestintäjärjestelmän kanssa. Näin varmistetaan, että uhkatiedot saadaan nopeasti ja että organisaatio voi täyttää tiedonjakovelvoitteensa.

Prosessissa olisi määriteltävä:

• roolit ja vastuut BACS:n kanssa käytävän viestinnän hallinnoinnissa.
• Miten BACS:ltä saatuja teknisiä tietoja kyberuhkista ja vaaratilanteista analysoidaan ja miten niiden perusteella toimitaan.
• Menettely tietojen jakamiseksi turvallisesti BACS:n kanssa tarvittaessa.

Organisaatio ilmoittaa viipymättä kansalliselle turvallisuusviranomaiselle häiriöistä, jotka ovat vaikuttaneet merkittävästi sen palvelujen tarjoamiseen.

Häiriö on merkittävä, kun vähintään yksi seuraavista tapahtuu:

• häiriö voi aiheuttaa vakavia häiriöitä palvelujen toiminnassa tai vakavia taloudellisia menetyksiä palvelun tarjoajalle
• häiriö voi aiheuttaa merkittävää aineellista tai aineetonta vahinkoa asiaan liittyville henkilöille tai muille organisaatioille.

Ilmoitukset on tehtävä vaiheittain alla olevien kuvausten mukaisesti. Lisäksi organisaation on häiriön ollessa käynnissä toimitettava viranomaisen pyytämät tilapäivitykset.

Varhainen varoitus (viimeistään 24 tunnin kuluessa häiriön havaitsemisesta).

• epäilläänkö häiriön syyksi laitonta toimintaa?
• voiko häiriöllä olla vaikutuksia muihin maihin

Yksityiskohtaisempi ilmoitus häiriöstä ( viimeistään 72 tunnin kuluessa häiriön havaitsemisesta).

• aiemmat tiedot päivitetään
• annetaan tämänhetkinen arvio häiriöstä, sen vakavuudesta ja vaikutuksista.
• mahdolliset todisteet vuodosta luetellaan

Loppuraportti (viimeistään 1 kuukauden kuluessa häiriöilmoituksen tekemisestä).

• yksityiskohtainen kuvaus häiriöstä, sen vakavuudesta ja vaikutuksista
• tapahtuman todennäköisesti laukaisseen uhan tai perimmäisen syyn tyyppi
• sovelletut ja käynnissä olevat lieventämistoimenpiteet
• mahdolliset vaikutukset muihin maihin

The organization shall establish and maintain a documented process for reporting, managing, learning from security-related incidents and continuously monitoring its protective security status.

The process must ensure ongoing oversight of security measures to confirm they remain effective against evolving threats and operational changes. It must also provide clear, accessible instructions for all personnel on incident handling. At a minimum, the documented process shall define:

• The key activities and indicators that are regularly monitored (e.g., compliance with policies, access logs, system changes).
• What to report: The types of events that must be reported (e.g., security breaches, suspicious activity).
• The procedure for reporting, including escalation to internal roles and external authorities
• How reported incidents are logged, investigated, and used to improve security measures.

Organisaation olisi laadittava ja dokumentoitava selkeä menettely yhteisön turvallisuusvirastolle ilmoittamista varten. Näin varmistetaan, että ilmoitukset tehdään nopeasti hätätilanteissa. Menettelyssä olisi määriteltävä ilmoituksen laukaisevat tekijät, kuten hätätilavalmiuden aktivointi tai mahdollisen suuronnettomuuden tunnistaminen. Menettelyssä olisi myös määriteltävä, kuka on vastuussa ilmoittamisesta, ja siinä olisi oltava viraston tarvittavat yhteystiedot.

Analysoi organisaatiosi varautumis- ja häiriötilanteiden torjuntasuunnitelmat. Luo selkeä, dokumentoitu määritelmä siitä, mitä tarkoittaa "varautumissuunnitelman aktivointi" ja mitkä erityiset vaaratilanteet "arvioidaan mahdollisesti johtavan varautumistilanteeseen".

Jos on tarpeen tiedottaa yleisölle meneillään olevan merkittävän häiriön estämiseksi tai ratkaisemiseksi tai jos se palvelee yleistä etua, toimivaltainen CSIRT, asianomaiset kansalliset viranomaiset tai asianomaisten EU:n jäsenvaltioiden CSIRT:t voivat asianmukaisia elimiä ja asianomaista yhteisöä kuultuaan tiedottaa yleisölle tai pyytää organisaatiota tekemään niin.

Jos tapaus on vielä kesken, kun loppuraportti pitäisi toimittaa (kuukauden jälkeen), organisaation on toimitettava kuukausittain raportti edistymisestä. Loppuraportti on toimitettava kuukauden kuluessa häiriötilanteen hallinnan päättymisestä.

Organisaatio kehittää erilaisia tapahtumaskenaarioita, suunnittelee säännöllisiä harjoituksia, testaa viestintäkanavia, arvioi päätöksentekoa, simuloi työnkulun toteuttamista, kerää palautetta sekä päivittää reagointiprosesseja.

Organisaatio laatii kattavan häiriötilanteiden torjuntasuunnitelman, jossa hahmotellaan yksityiskohtaiset menettelyt, määritellään roolit ja vastuualueet, sisällytetään vaatimustenmukaisuusvaatimukset, laaditaan viestintäsuunnitelma, johon sisältyy säännöllistä koulutusta, simulaatioita ja häiriötilanteiden jälkeisiä arviointeja.

Organisaation tulisi nimetä ensisijainen henkilö ja varahenkilö, sekä määriteltävä heidän roolinsa ja vastuualueensa. Organisaation tulisi laatia protokollat palveluntarjoajien kanssa työskentelyä varten, tarjottava säännöllistä koulutusta ja otettava käyttöön viestintäsuunnitelma tehokkaan häiriötilanteiden hallinnan varmistamiseksi.

Jos se on tarkoituksenmukaista organisaation tarjoaman palvelun kannalta ja jos tällaisten tietojen paljastaminen ei aiheuta uutta merkittävää tietoturvahäiriön riskiä tai ole muuten ristiriidassa kansallisten turvallisuusetujen kanssa, organisaation olisi ilmoitettava käyttäjilleen viipymättä kaikista merkittävistä häiriöistä, jotka todennäköisesti vaikuttavat kielteisesti kyseisten palvelujen tarjoamiseen.

Häiriö on merkittävä, kun vähintään yksi seuraavista tapahtuu:

• Häiriö voi aiheuttaa vakavan häiriön palvelujen toiminnassa tai vakavia taloudellisia tappioita palveluntarjoajalle.
• Häiriö voi aiheuttaa merkittävää aineellista tai aineetonta vahinkoa siihen liittyville henkilöille tai muille organisaatioille.

Jos merkittävää tietoturvahäiriötä ei ole mahdollista ratkaista kuukauden määräajassa, kohteen on toimitettava toimivaltaiselle tietoturvahäiriöitä ehkäisevälle laitokselle edistymisraportti merkittävän tietoverkkotapahtuman ratkaisemisesta ja loppuraportti sen jälkeen, kun merkittävä tietoturvahäiriö on ratkaistu.

Organisaatio määrittelee kriteerit häiriötilanteiden toipumistoimenpiteiden aloittamiselle. Tapahtunutta häiriötä arvioidaan näiden kriteerien perusteella ja määritetään, onko vaaratilanteen korjaamisprosessi käynnistettävä vähintään näiden toimenpiteiden avulla:

• Sovelletaan häiriön toipumiskriteerejä häiriötilanteen tunnettuihin ja oletettuihin ominaisuuksiin sen arvioimiseksi, pitäisikö toipumisprosessit käynnistää, ottaen huomioon tekijät kuten vakavuus, vaikutus ja laajuus.
• Arvioidaan häiriöiden toipumistoimien mahdollisesti aiheuttamat toiminnalliset häiriöt ja kehitetään strategioita, joilla minimoidaan vaikutukset käynnissä olevaan liiketoimintaan toipumisvaiheen aikana.
• laaditaan selkeät kriteerit häiriötilanteen toipumistoimien priorisoimiseksi häiriön luonteen perusteella, mukaan lukien tietojen herkkyys, järjestelmät, joihin häiriö vaikuttaa, ja liiketoiminnan jatkuvuusvaatimukset.

dokumentoidaan päätöksentekoprosessi toipumistoimien käynnistämiseksi ja varmista, että siitä tiedotetaan asiaankuuluville sidosryhmille avoimuuden ja yhdenmukaisuuden varmistamiseksi.

Häiriötilanteessa organisaatio toteuttaa toipumissuunnitelmassaan määritellyt toimenpiteet. Toimenpiteet pannaan täytäntöön ja niistä tiedotetaan yleisölle seuraavasti:

• Hallitaan yleisön näkemystä ja hallitaan kerrontaa.
• lieventää vaaratilanteen vaikutusta organisaatioon.

Organisaation olisi selitettävä toimenpiteet, joihin on ryhdytty tapahtumasta toipumiseksi ja tapahtuman toistumisen estämiseksi.

Organisaatio noudattaa dokumentointikäytäntöjä kunkin häiriöiden tutkinta- ja reagointiprosessin osalta:

• Edellytetään, että jokainen tapahtumiin vastannut tai niitä tutkinut henkilö, mukaan lukien järjestelmän ylläpitäjät ja tietoturvahenkilöstö, kirjaa toimintansa prosessin aikana. Varmistetaan, että nämä tallenteet ovat muuttumattomia, jotta niiden eheys säilyy myöhempää analysointia ja tarkastuksia varten.
• Määritetään vaaratilanteen johtajalle vastuu vaaratilanteen yksityiskohtaisesta dokumentoinnista, johon kirjataan kaikki toimet, havainnot ja päätökset, jotka on tehty koko vaaratilanteen selvitysprosessin aikana.
• Varmistetaan, että häiriötilanteiden käsittelystä vastaavat ovat vastuussa kaikkien asiakirjojen eheyden säilyttämisestä ja raportoitavien tietojen lähteiden säilyttämisestä, jotta estetään tietojen väärentäminen tai häviäminen.

Organisaation olisi otettava toimittajat ja muut asiaankuuluvat kolmannet osapuolet mukaan häiriöiden hallintaprosessiin ja -suunnitteluun esimerkiksi seuraavin keinoin:

• Määritellään ja otetaan käyttöön säännöt, roolit ja protokollat, jotka koskevat häiriötilanteisiin reagoimista ja niistä toipumista koskevien toimien raportointia organisaation ja sen toimittajien välillä.
• Kriittisten toimittajien ottaminen mukaan säännöllisiin häiriötilanteiden torjuntaharjoituksiin ja simulaatioihin.
• Luodaan ja koordinoidaan kriisiviestintämenetelmät ja -käytännöt organisaation ja sen kriittisten toimittajien välille.
• Järjestetään kriittisten toimittajien kanssa yhteisiä oppimistilaisuuksia vaaratilanteiden jälkeen, jotta voidaan parantaa yhteisiä reagointivalmiuksia ja tarkentaa prosesseja tulevia vaaratilanteita varten.

Organisaation olisi laadittava ja ylläpidettävä häiriötilannereagointisuunnitelmia. Reagointisuunnitelmien tulisi sisältää ainakin seuraavat seikat

• häiriötilanne tai häiriötilannetyyppi, jota varten suunnitelma on laadittu
• suunnitelman tavoite
• vastuuhenkilöt ja asiaan liittyvät sidosryhmät sekä yhteystiedot
• suunnitellut välittömät toimet
• suunnitellut seuraavat vaiheet

Häiriötilannereagointisuunnitelmissa olisi määriteltävä aktivointi- ja deaktivointiolosuhteet. Asiakirjojen saatavuus hätätilanteissa on otettava huomioon siten, että niistä on olemassa paikalliset ja fyysiset kopiot.

Tunnista häiriön laajuus ja vaikutus liiketoimintaprosesseihin, jotta voidaan ymmärtää, miten toiminta voi häiriintyä. Tähän arviointiin olisi sisällyttävä perusteellinen arviointi vaikutuksista taustalla oleviin ICT-toimintoihin. Lisäksi olisi tutkittava, miten häiriö vaikuttaa ICT-palveluihin, mukaan lukien pilvipohjaiset sovellukset ja sisäiset järjestelmät, sekä erilaisiin liiketoimintaa tukeviin ICT-järjestelmiin.

Organisaatiolla tulisi olla selkeä prosessi, jolla tapahtumatietoja rikastetaan tehokkaiden vastatoimien varmistamiseksi. Tähän prosessiin olisi kuuluttava tapahtumatietojen jatkuva päivittäminen, tilannetietoisuuden seuranta ja tietojen kerääminen useista eri lähteistä. Tapahtumatietojen rikastaminen auttaa organisaatiota hallitsemaan tapahtumia tehokkaammin.

Organisaation on luotava selkeät prosessit aikajanan laatimiseksi aina, kun häiriö sattuu. Aikatauluun olisi sisällytettävä sekä organisaation toimet että uhkatoimijan toimet. Aikajanan tulisi kattaa:

• Milloin ja miten alkuperäinen tietoturvaloukkaus tapahtui
• Uhkatoimijan liikkuminen ICT-järjestelmässä (esim. mahdollinen käyttöoikeuksien eskalointi).
• Organisaation tekemät keskeiset päätökset vastausvaiheen aikana.
• Asiaankuuluvien osapuolten välinen viestintä

Tämä auttaa organisaatiota ymmärtämään häiriön koko laajuuden ja parantamaan vastatoimia tulevissa häiriöissä.

Organisaatiolla tulisi olla määritelty ja hyvin dokumentoitu toipumissuunnitelma. Toipumissuunnitelma olisi voitava käynnistää häiriötilanteen aikana tai sen jälkeen. Elvytystoimet ja -toimenpiteet vaihtelevat vaaratilanteesta toiseen, esimerkiksi vaaratilanteen tyyppi voi vaikuttaa toteutettaviin toimiin. Näihin toimiin voivat kuulua:

• Häiriön aikana menetettyjen tai vahingoittuneiden tarpeettomien resurssien aktivointi uudelleen.
• Laitteiston ja ohjelmistojen uudelleenasentaminen vaurioituneisiin komponentteihin
• Konfiguraatioasetusten palauttaminen, mukaan lukien tarvittavat mukautukset
• Häiriön aikana pysäytettyjen palvelujen palauttaminen

Organisaation olisi omaksuttava "build back better" -ajattelutapa, kun se rakentaa ICT-järjestelmiä uudelleen. Tämä tarkoittaa, että järjestelmät olisi rakennettava uudelleen parempaan tilaan kuin ne olivat ennen häiriötä.

Organisaatiolla on määritellyt menettelyt, joiden avulla se viestii relevanteille viranomaisille ja osapuolille häiriön sattuessa. Näitä osapuolia ovat esimerkiksi alakohtaiset tietokonehätätilanteiden torjuntaryhmät ja NSM NCSC.

Jos yhteys katkeaa tai verkkojärjestelmissä ilmenee vika, kuten:

• Vika organisaation palomuurijärjestelmissä.
• Verkon menetys
• Fyysisen komponentin tuhoutuminen

Organisaation tulee varmistaa, että sen kriittiset järjestelmät vikaantuvat turvallisesti, jotta lisävahingoilta voidaan välttyä tai pitää ne mahdollisimman pieninä.

Organisaation on laadittava selkeä ja kattava määritelmä siitä, mikä on raportoitava turvallisuustapahtuma tai havainto, ja varmistettava, että se kattaa seuraavat luokat:

• Henkilöstön rikkomukset tai väärinkäytökset.
• Tunkeutuminen, varkaus, luvaton pääsy turvavyöhykkeille ja turvavyöhykkeiden haavoittuvuudet.
• Kyberturvallisuustapahtumat, kuten tietojärjestelmien haavoittuvuudet ja havaitut onnistuneet tai epäonnistuneet kyberhyökkäykset.
• Toimittajien ja yhteistyökumppaneiden vaaratilanteet, jotka voivat vaikuttaa kielteisesti organisaation turvallisuuteen.

Organisaatiolla on oltava määritelty menettely häiriötilanteiden raportointia varten, ja siitä on tiedotettava henkilöstölle:

• Suunnitellaan ja otetaan käyttöön tehokkaat raportointimekanismit, jotka on räätälöity havaittujen riskien mukaan.
• Varmistetaan, että näistä mekanismeista tiedotetaan hyvin ja että ne ovat kaikkien työntekijöiden, sidosryhmien ja asiaankuuluvien osapuolten saatavilla, jotta turvallisuustapahtumista voidaan raportoida ajoissa ja täsmällisesti.
• Järjestetään koulutustilaisuuksia ja tiedotusohjelmia sen varmistamiseksi, että kaikki asianomaiset työntekijät ja sidosryhmät ymmärtävät raportoitavien turvallisuustapahtumien määritelmän ja tuntevat raportointimekanismit.

Organisaatiolla tulee olla selkeät viestintäkanavat tapahtumien raportointia varten:

• Perustetaan ja ylläpidetään asianmukaisia viestintäkanavia turvallisuustapahtumista raportoiville henkilöille ja varmistetaan, että:
• Tapahtumista ilmoittamista varten on määritetty yhteinen yhteyspiste, josta tiedotus tapahtuu kaikille asianomaisille osapuolille.
• Käytettävissä on erilaisia raportointikanavia tapahtumien vakavuuden mukaan, mukaan lukien reaaliaikaiset viestintävaihtoehdot merkittävissä hätätilanteissa ja asynkroniset menetelmät (esim. liput, sähköposti) vähemmän kiireellisissä asioissa.

Organisaation olisi myös harkittava mahdollisuutta ulkoiseen raportointiin. Tämä voi tarkoittaa, että organisaatiolla on järjestelmä, jolla voidaan käsitellä ulkoisten osapuolten raportteja turvallisuustapahtumista, mukaan lukien:

• Ulkoisesti saatavilla oleva ja hyvin kommunikoitu menetelmä tietoturvatapahtumien raportointia varten.
• Määritellyt menettelyt ulkoisista lähteistä tuleviin tietoturvatapahtumaraportteihin vastaamista ja niiden käsittelyä varten.

Organisaation olisi myös varmistettava, että häiriötilanteiden raportointimekanismit ja -tiedot ovat helposti kaikkien asianomaisten raportoijien saatavilla, ja otettava käyttöön palautemenettely, jolla turvatapahtumista raportoiville annetaan nopeita vastauksia ja päivityksiä ja jolla varmistetaan, että heille tiedotetaan tuloksista ja tarvittavista jatkotoimista.

Organisaatiolla olisi oltava menettely tietoturvahäriöiden luokittelemiseksi käsittelyn aikana. Häiriö olisi luokiteltava vähintään seuraaviin luokkiin:

• Henkilöstö
• Fyysinen
• Kyber

Tämän jälkeen vaaratilanne olisi luokiteltava sen vaikutusten perusteella esimerkiksi seuraavasti:

• Ei turvallisuusriskiä
• Havainto
• Parannusehdotus
• Haavoittuvuus
• Tietoturvahäiriö

Tämän jälkeen vaaratilanteet olisi asetettava tärkeysjärjestykseen vaaratilanteen vakavuuden perusteella.

Organisaatioiden tulee suorittaa häiriöiden luokittelu ja vaikutustenarviointi seuraavien kriteerien perusteella:

• Asianomaisten osapuolten (asiakkaat, muut organisaatiot) lukumäärä ja mahdollisuuksien mukaan niiden tapahtumien määrä, joihin vaikutus vaikuttaa.
• Mainevaikutus
• Häiriön kesto
• Vaikutusten maantieteellinen leviäminen
• Mahdollisia tietojen menetyksiä suhteessa CIA-arvoihin
• Vaikutuksen kohteena olevien palveluiden kriittisyys
• Taloudellinen vaikutus

Organisaation tulee osoittaa riittävästi resursseja käyttäjien toiminnan, ICT-ympäristön poikkeavuuksien ja kyberhyökkäysten seurantaan.

Valvomalla organisaation tulee tunnistaa perustoiminnan poikkeamat ja häiriöt.

Häiriöiden hallinnassa on huomioitava myös:

• Turvallisuusluokiteltujen tietojen suojaaminen hätä- ja häiriötilanteissa
• Turvallisuusluokitellulla tiedolla on riittävät suojaustoimenpiteet tietoihin luvattoman pääsyn ja eheyden ja käytettävyyden turvaamuseksi
• Turvallisuusluokiteltu tieto tulee olla suojattu teknisiltä ja fyysisiltä vahingoilta.

Organisaatiolla tulee olla varmuus siitä, että käsiteltävä tieto tai järjestelmä on suojattu hätä- tai häiriötilanteissa fyysisiltä vahingoilta kuten tulipalot, vesivahingot tai ilkivalta tai luvaton tunkeutuminen sekä sähköisiä menetelmiä käyttäen aiheutetuilta fyysisiltä vahingoilta kuten laitteiden rikkoutuminen. Tietoa tai järjestelmää tulee suojata asianmukaisin, mutta riskiarvioinnin perusteella tarkoituksenmukaisin toimin.

Organisaatiolla tulee olla prosessi tapahtuneen tai epäillyn kansainvälisen turvallisuusluokitellun tiedon vaarantaneen tietoturvapoikkeaman ilmoittamisesta toimivaltaiselle turvallisuusviranomaiselle.

Organisaatiolla tulee olla myös ohjeistus ja menettelytavat turvallisuusluokitellun tiedon vaarantaneiden tietoturvapoikkeamien havaitsemiseen ja tiedottamiseen organisaation sisällä ja kenelle kaikille tietoturvapoikkeamasta tai sen epäilystä tulee ilmoittaa. Lisäksi täytyy olla selvillä millaiset tietoturvapoikkeamasta vaativat yhteydenottoa viranomaisiin.

Turvallisuusluokiteltujen tietojen katsotaan vaarantuneen, kun ne ovat tietoturvatapahtuman seurauksena paljastuneet tai voineet paljastua sivullisille henkilöille. Useat tiedon omistajat (esimerkiksi EU) sekä myös voimassa olevat viranomaishyväksynnät edellyttävät välitöntä ilmoitusta turvallisuusluokitellun tiedon vaarantaneista poikkeamista tai niiden epäilyistä.

Mikäli organisaation tarjoaman palvelun näkökulmasta on tarkoituksenmukaista, organisaatio ilmoittaa ilman viivästystä palveluidensa käyttäjille merkittävistä häiriöistä, jotka todennäköisesti vaikuttavat negatiivisesti kyseisten palveluiden toimittamiseen.

Häiriö on merkittävä, kun vähintään toinen seuraavista toteutuu:

• häiriö voi aiheuttaa vakavan häiriön palvelujen toiminnassa tai vakavia taloudellisia menetyksiä palveluntarjoajalle
• häiriö voi aiheuttaa merkittävää aineellista tai aineetonta vahinkoa liittyville ihmisille tai muille organisaatioille

Kun organisaation palveluiden käyttäjät ovat mahdollisesti alttiina merkittävälle tietoturvauhkalle, organisaation on viestittävä tästä heille sisältäen kaikki mahdolliset korjaustoimenpiteet, joita käyttäjät voivat itse toteuttaa suojautuakseen uhkaa vastaan.

Kun viestinnän selkeyden kannalta on tarpeen, organisaation on sisällytettävä viestintäänsä myös yleisempää tietoa liittyvästä tietoturvauhkasta.

Organisaation tulisi määritellä jokaisen tunnistetun kriittisen toiminnon suhteen, kuinka pitkä toimintakatkos siedetään ilman, että organisaation toiminta häiriintyy.

Määrittelyssä on otettava huomioon:

• Lainsäädännön vaatimukset liittyen organisaation järjestelmien, rekistereiden ja palveluiden saatavuuteen
• Oman toiminnan ja sidosryhmien vaatimukset

Organisaatiolla on määritellyt seurattavat mittarit, jotka liittyvät tietoturvahäiriöiden hallintaan. Parhaimmillaan hyvät mittarit auttavat havaitsemaan heikkouksia häiriöiden tunnistamiseen liittyen.

Mahdollisia mittareita ovat mm.:

• tietoturvatapahtumien määrä ja suhde häiriöihin
• häiriöiden määrä tarjottavan palvelun, osaston, vakavuuden tai tyypin mukaan
• vaadittu aika häiriöin tunnistamiseen, tutkimiseen ja käsittelyyn
• poikkeamat dokumentoiduista toimintatavoista

Pilvipalveluita tarjoaessaan organisaatiolla tulee olla suunnitellut prosessit tai menettelyt:

• miten pilvipalvelun asiakas raportoi tietoturvatapahtumasta organisaatiolle
• miten organisaatio raportoi tietoturvatapahtumista pilvipalveluasiakkaille
• miten pilvipalvelun asiakas voi seurata aiemmin raportoidun tietoturvatapahtuman tilaa

Organisaation on määriteltävä, millaisia tietoturvatapahtumia se seuraa ja millä toimintatavoilla.

Tietoturvatapahtumia tulisi seurata useista eri lähteistä, joiden avulla tärkeä, reagointia vaativat mahdolliset häiriöt voidaan tunnistaa. Tietoa voidaan saada mm. suoraan hallintajärjestelmästä, ulkoisilta kumppaneilta tai organisaation laitteiden tuottamista lokeista.

Esimerkkejä seurattavista tietoturvatapahtumista voivat olla mm.:

1. Palvelimen hidas toiminta
2. Toistuvat kirjautumisvirheet
3. Tuntemattomat kirjautumisyritykset
4. Poikkeuksellinen verkkoliikenne
5. Tallennustilan loppuminen
6. Muutokset koodiprojekteissa
7. Konfiguraatiomuutokset palomuurilla
8. Käyttöoikeusmuutokset kriittisiin järjestelmiin / palvelimiin / tietokantoihin
9. Isot tietokantalataukset
10. Luvattomat ohjelmistoasennukset päätelaitteille
11. Liikenne haitalliseksi tiedetyistä IP-osoitteista

Organisaation täytyy määritellä raja, jolloin tietoturvatapahtumasta tulee tietoturvahäiriö.

Havaitsemisprosesseja ja menettelyjä ylläpidetään ja testataan, jotta varmistetaan tietoisuus poikkeavista tapahtumista. Havaitsemistoimien täytyy sopia kaikkiin asiaan liittyviin vaatimuksiin.

Organisaation on otettava keinoja käyttöön, jolla häiriön vaikutus voidaan rajata mahdollisimman pieneen osaan. Keinot tulisivat vastata tehtyjä suunnitelmia ja sisältää häiriön:

• Vastaisen valmistelun
• Analysoinnin
• Eristämisen
• Hävittämisen
• Palautumisen käynnistämisen

Organisaatiolla tulee olla olemassa menettely sen toimintaan kohdistuvien häiriöiden, hyökkäysten ja loukkausten ilmoittamiseksi viranomaisille. Esimerkiksi:

• Poliisi
• Tietosuojavaltuutetun toimisto
• Kyberturvallisuuskeskus

Organisaation tulisi säännöllisesti, vähintään kerran vuodessa, harjoitella siihen kohdistuvia mahdollisia häiriö- tai hyökkäystilanteita.

Harjoitus voi kohdistua joko häiriön havaitsemisen, reagoinnin tai johtamisen kehittämiseen tai kaikkiin näistä.

Harjoitusten toteuttamisesta ja havainnoista tulee ylläpitää dokumentaatiota.

Organisaation on luotava toimintatavat, joiden avulla tunnistetaan, kerätään ja säilytetään tietoturvahäiriöihin liittyvä relevantti todistetieto. Todisteiden voi olla tarpeen olla kerätty tavalla, joka voidaan hyväksyä relevanteissa tuomioistuimissa tai muissa vastaavissa kurinpitoelimissä.

Todistemateriaaliin liittyen pitäisi pystyä osoittamaan mm.:

• tietueet ovat täydellisiä, eikä niitä ole muokattu millään tavalla
• kopiot sähköisistä todisteista ovat todennäköisesti identtisiä alkuperäisten kanssa
• tietojärjestelmä, josta todisteita on kerätty, toimi oikein keräyshetkellä

Liittyvän henkilökunnan sekä työkalujen sertifiointia tai muita pätevyystodisteita voidaan lisäksi harkita sovellettavan todisteiden arvon vahvistamiseksi.

Organisaatio on määritellyt prosessin ja siihen osallistuvan tiimin, jonka avulla tietoturvahäiriöihin reagoidaan pikaisesti ja sopivat jatkotoimet päätetään johdonmukaisesti.

Ensimmäisen tason reagointiprosessissa vähintään:

• pyritään tehokkaasti vahvistamaan todettu häiriö
• päätetään tarpeesta välittömään reagointiin

Organisaatiolla voi olla prosessi, jonka avulla se voi vapaaehtoisesti ilmoittaa tietyt tietoturvaloukkaukset, tietoverkkouhat tai läheltä piti -tilanteet valvontaviranomaiselle.

Vapaaehtoisilla ilmoituksilla tarkoitetaan muita kuin merkittäviä vaaratilanteita koskevia ilmoituksia, jotka ovat NIS2-direktiivin mukaan pakollisia.

Organisaation tulisi ottaa huomioon ympäristöuhat, jotka voivat vaikuttaa järjestelmien käytettävyyteen, osana riskienarviointiprosessia ja myös osana tietoturvahäiriöiden prosessia.

Ympäristöuhkiin kuuluu esimerkiksi:

• Epäsuotuisa sää
• Vika ympäristönhallintajärjestelmissä
• Virtapiikit sähkönjakelussa
• Tulipalot
• Vesivahingot

Organisaation on määriteltävä toimintatavat, joiden avulla havaitut tietoturvatapahtumat pystytään selkeästi lajittelemaan. Lajittelun avulla on pystyttäjä priorisoimaan tapahtumat vakavuuden ja mahdollisen vaikutuksen mukaan.

Lajittelun perusteella on tarkoitus tehostaa tietoturvatapahtumien tutkimista ja arviointia, jotta esimerkiksi häiriöön vastaaminen saadaan tarvittaessa käyntiin nopeasti.

Toimintatavat voivat koostua yleisistä prosesseista, teknisistä työkaluista tai koneoppimista hyödyntävistä algoritmeistä. Toimintatapoja on tarkasteltava säännöllisesti, jotta vahvistetaan niiden toimivuus ja sopivuus käyttötarpeisiin.

Häiriön jälkeen haitalliselle koodille, tai muille häiriön jäänteille on suoritettava rikostekninen tutkinta. Turvallisesti tehty tutkinta suljetussa ympäristössä voi aukaista häiriön syitä, tavoitteita ja toteutustapoja. Tämä auttaa organisaatiota korjaamaan mahdolliset aukot turvallisuudessa, varautumaan samankaltaisiin häiriöihin ja tunnistamaan tai profiloimaan mahdollisen hyökkääjän.

Henkilöstöllä on käytössä whistle blowing -järjestelmä, jonka kautta voi nimettömästi raportoida tietoturvasääntöjen tai -menettelyjen loukkauksista.

Organisaatio on määritellyt toimintatavat, jotka varmistavat häiriön alkuperäisen raportoijan sekä muuten häiriöön liittyvän henkilöstön saavan tiedon häiriön käsittelyn tuloksista.

Häiriöön liittyvä henkilöstö voidaan kirjata valinnaiseen tietokenttään tietoturvahäiriöiden dokumentaatiopohjassa.

Tietoturvahäiriöiden analysoinnista ja ratkaisemisesta saatua tietämystä olisi hyödynnettävä tulevien häiriöiden todennäköisyyden vähentämisessä ja niiden vaikutuksen pienentämisessä.

Organisaatio analysoi säännöllisesti tapahtuneita häiriöitä kokonaisuutena. Tässä prosessissa tutkitaan häiriöiden tyyppiä, määrää ja kustannuksia tavoitteena tunnistaa toistuvia ja vaikutuksiltaan merkittäviä häiriöitä.

Mikäli reagointia vaativia toistuvia häiriöitä tunnistetaan, niiden perusteella:

• luodaan uusia tai laajennetaan olemassaolevia tietoturvan hallintatehtäviä
• tarkennetaan tai laajennetaan tähän aihepiiriin liittyvää tietoturvaohjeistusta
• luodaan häiriöstä case-esimerkki, jota käytetään henkilöstön kouluttamiseksi vastaaviin tilanteisiin reagoimiseksi tai niiden välttämiseksi

Mikäli häiriön ensisijaisen käsittelyn perusteella on vaikeaa tunnistaa tietoturvahäiriön lähde, suoritetaan häiriölle erillinen jälkianalyysi, jossa lähde pyritään tunnistamaan.