Organisaation on suoritettava säännöllinen kyberturvallisuuden hallintajärjestelmänsä itsearviointi sen varmistamiseksi, että se on turvallisuusasiakirjojen mukainen ja että kyberturvallisuusriskien hallintatoimenpiteet on toteutettu tehokkaasti. Itsearviointi olisi suoritettava vähintään joka toinen vuosi tai merkittävän turvallisuusvälikohtauksen jälkeen.

Itsearviointiprosessi olisi dokumentoitava toistettavuuden varmistamiseksi, ja siihen olisi sisällyttävä seuraavat seikat:

• Sisäisten turvallisuusasiakirjojen noudattamisen tarkistaminen.
• kyberturvallisuusriskien hallintatoimenpiteiden täytäntöönpanon ja tehokkuuden arviointi.

Itsearvioinnin tulosten perusteella:

• Jos organisaation todetaan olevan vaatimustenmukainen, on laadittava vaatimustenmukaisuusvakuutus, jossa esitetään yksityiskohtaisesti ne tekijät, jotka mahdollistavat arvioinnin toistettavuuden.
• Jos havaitaan vaatimustenvastaisuuksia, laaditaan vaatimustenvastaisuusilmoitus. Ilmoituksessa on ilmoitettava selkeästi havaitut noudattamatta jättämiset, ehdotetut menetelmät niiden korjaamiseksi ja niiden täytäntöönpanon määräajat.

Itsearviointi voidaan suorittaa osana organisaation sisäistä tarkastusohjelmaa.

Organisaatio on ottanut käyttöön menettelyt sisäisten tarkastusten suorittamiseksi. Menettelyissä on kuvattava ainakin seuraavat seikat:

• kuinka usein auditointeja tehdään
• kuka voi suorittaa auditointeja (mukaan lukien auditointikriteerit).
• miten varsinainen auditointi suoritetaan
• miten auditoinnin tulokset dokumentoidaan ja kenelle niistä raportoidaan.
• tuloksista on ilmoitettava toimivaltaiselle viranomaiselle, jos sitä säännellään lainsäädännöllä.

Organisaatio tekee tietoturva-auditointeja kansallisen kyberturvallisuuskeskuksen menettelyjen mukaisesti.

• Tietoturva-auditointi on suoritettava vähintään joka kolmas vuosi.
• Tarkastuksissa on noudatettava kansallisen kyberturvallisuuskeskuksen hyväksymiä menetelmiä.
• Auditoijalla on oltava kansallisen kyberturvallisuuskeskuksen menettelyjen mukainen sertifiointi, koulutus ja pätevyys.
• Tarkastajan on täytettävä kansallisen kyberturvallisuuskeskuksen riippumattomuutta, puolueettomuutta ja mainetta koskevat vaatimukset. Auditoijat eivät voi arvioida työnantajansa hallinnoimia verkkoja tai järjestelmiä.

Tietoturvan hallintajärjestelmän näkökulmasta poikkeamat ovat tilanteita, joissa:

• organisaatioon kohdistuviin tietoturvavaatimuksiin ei löydy vastinetta hallintajärjestelmästä
• hallintajärjestelmässä määritellyt menettelyt, tehtävät tai ohjeistukset eivät toteudu organisaation arjen toiminnassa

Systemaattisessa tietoturvatyössä kaikki havaitut poikkeamat on dokumentoitava. Poikkeaman käsittelemiseksi organisaation on määritettävä ja toteutettava parannukset, joilla poikkeama korjataan.