Toimintamme tietoturva ja vaatimustenmukaisuus

Greenstep noudattaa NIS2-sääntelyä

EU:n NIS2-direktiivin (Directive (EU) 2022/2555) tavoitteena on saavuttaa korkea kyberturvallisuuden taso koko Euroopan unionissa. Se tarkoittaa samaa tietoturvalle kuin mitä GDPR (General Data Protection Regulation) tarkoittaa henkilötietojen ja tietosuojan turvallisuudelle. NIS2 otetaan osaksi paikallisia lainsäädöksiä lokakuussa 2024.

NIS2-direktiivin soveltamisala

NIS2-direktiiviä sovelletaan yrityksiin, jotka toimivat näillä aloilla:

• Erittäin kriittiset toimialat: energia, liikenne, pankkiala, finanssimarkkinoiden infrastruktuurit, terveys, juomavesi, jätevesi, digitaalinen infrastruktuuri, yritysten välinen TVT-palvelunhallinta, avaruus ja julkishallinto.
• Muut kriittiset toimialat: posti- ja kuriiripalvelut, jätehuolto, kemikaalit, elintarvikkeet, valmistus, digitaalisen palvelun tarjoajat, tutkimustoiminta sekä verkkotunnusten rekisteröintipalveluita tarjoavat toimijat.

Lisäksi yrityksen koko vaikuttaa direktiivin soveltamiseen. Edellä mainituilla toimialoilla toimivat yritykset ovat joko tärkeitä tai olennaisia yksiköitä koostaan riippuen. Yritys luokitellaan tärkeäksi yksiköksi, jos se täyttää vähintään yhden seuraavista kriteereistä:

• työllistää vähintään 50 työntekijää tai
• liikevaihto ja taseen loppusumma ovat yli 10 miljoonaa euroa.

Yritys luokitellaan olennaiseksi yksiköksi, jos se täyttää keskisuurten yritysten kriteerit, eli:

• yli 250 työntekijää,
• liikevaihto 50 miljoonaa euroa,
• tase yli 43 miljoonaa euroa.

Direktiivin soveltamisala on melko kattava. Esimerkiksi Suomessa kyberturvallisuuslaki koskee arviolta 2 500–5 000 yritystä. Näistä organisaatioista vain noin 10–20 % kuuluu aiemman NIS1-direktiivin (Directive (EU) 2016/1148) velvoitteiden piiriin.