Hallinnollinen resilienssi ja kyberuhat: Resilienssi alkaa johdosta

Hallinnollisessa resilienssissä on kyse organisaation kyvystä tuottaa palveluita, palvella asiakkaita, käsitellä tietoa ja ylläpitää ydinliiketoimintaansa tilanteissa, joissa teknologia, tieto, toimittaja, henkilöstö tai toimintaympäristö häiriintyy. Organisaation resilienssi rakentuu monella tasolla.

Tässä kirjoituksessa tarkastellaan hallinnollista resilienssiä kyberuhkiin varautumisessa ja niistä palautumisessa organisaation strategisella tasolla.

Yrityksen tärkeimmät liiketoimintaprosessit ovat riippuvaisia pilvipalveluista, toimittajaverkostoista, datasta, digitaalisista palveluketjuista ja tekoälyratkaisuista. Monessa organisaatiossa koko liiketoiminta voi pysähtyä, jos jokin näistä pettää. Samalla geopoliittinen epävarmuus, valtioiden välinen kilpailu ja yhteiskunnan kriittisiin toimintoihin kohdistuvat hybridiuhat ovat tehneet digitaalisten riippuvuuksien häiriöistä myös kansallisen turvallisuuden ja huoltovarmuuden kysymyksiä.

Sääntelyn painopiste on laajentunut yksittäisten järjestelmien suojaamisesta kokonaisvaltaisempaan riskienhallintaan, infrastruktuurin suojaamiseen ja keskeisten palvelujen turvallisuuden ja häiriönsietokyvyn vahvistamiseen. NIS2-direktiivi ja kyberturvallisuuslaki korostavat johdon vastuuta ja riskienhallintaa. Niiden rinnalla mm. CER-direktiivi, Kyberkestävyyssäädös (CRA), DORA ja osin myös EU:n tekoälyasetus lähestyvät samaa ongelmaa eri kulmista: Miten yhteiskunta ja organisaatiot pystyvät toimimaan myös häiriöiden aikana?

Kun organisaatiossa joudutaan vakavaan häiriötilanteeseen, ongelma ei yleensä ole ensimmäisenä tekninen. Yleensä epäselvää on, kuka tekee päätökset, kuka omistaa riskit, mikä on kriittistä, mikä riski ollaan valmiita hyväksymään ja kenelle ilmoitetaan ja milloin.

Moni tietomurto, palvelukatko tai toimitusketjuhäiriö kriisiytyy vasta, kun organisaatiolta puuttuu yhteinen näkemys näistä kysymyksistä. Resilienssiä ei rakenneta yksittäisillä teknisillä kontrolleilla, vaan ennakoivalla päätöksenteolla, selkeillä vastuualueilla ja johdonmukaisella turvallisuuden johtamisella. Vastuu turvallisuuden strategisesta johtamisesta kuuluu ylimmälle johdolle (Kyberturvallisuuslaki (124/2025) 10 §).

Johdon tärkein tehtävä ei ole päättää toimintatavoista tai teknologioista vaan tehdä strategiset päätökset. Niistä viisi tärkeintä ovat:

1. Mitkä ovat organisaation kriittiset palvelut?

Kaikkea ei voi eikä pidä suojata samalla tasolla. Siksi ensimmäinen kysymys on: Mitä toimintaa meidän on pystyttävä jatkamaan kaikissa tilanteissa? Jos tämä on epäselvää, myöskään turvallisuusinvestointeja ei voida kohdistaa oikein (Kyberturvallisuuslaki 9.2(5) §).

2. Mitkä ovat organisaation kriittiset tiedot?

Liiketoiminnan kannalta tärkeän tiedon on oltava saatavilla, eheää, luottamuksellista ja säilyttävä muuttumattomana myös häiriön jälkeen. Johdon pitää kyetä vastaamaan kysymykseen: Minkä tiedon menettäminen, muuttuminen tai vuotaminen aiheuttaisi suurimman vahingon? (Kyberturvallisuuslaki 2.11 §)

3. Ketkä ovat kriittisiä toimittajia?

Organisaation on tunnettava välittömät toimittajansa sekä tunnistettava niihin liittyvät teknologiset, toiminnalliset, tiedolliset ja sopimukselliset riippuvuudet. On ymmärrettävä, miten häiriö, tiedonkulun katko tai toimittajan vaihtaminen vaikuttaisi kriittisiin palveluihin (Kyberturvallisuuslaki 9.2(4) §).

4. Kuinka paljon riskiä olemme valmiita hyväksymään?

Liiketoimintaan liittyvää riskiä ei voida koskaan poistaa kokonaan. Kaikki investoinnit ovat lopulta päätöksiä siitä, mitä riskejä vähennetään, mitä riskejä siirretään esimerkiksi sopimuksin tai vakuutuksin ja mitä riskejä hyväksytään. Tämä on hallituksen ja johdon päätös.

5. Miten häiriötilannetta johdetaan?

Jos jatkuvuus- ja kriisisuunnittelu alkaa silloin, kun häiriö havaitaan, se alkaa liian myöhään. Todellinen resilienssi on sitä, että vastuut, päätöksenteko ja viestintämallit on määritelty ennen häiriötä. Sopikaa ja harjoitelkaa, miten tehdään kriittiset päätökset, millä tiedoilla ja missä ajassa (Kyberturvallisuuskeskus).

Monessa organisaatiossa turvallisuudesta keskustellaan edelleen kuluna vaikka todellisuudessa kyse on liiketoiminnan mahdollistajasta. Hyvin rakennettu resilienssi lisää asiakkaiden luottamusta, helpottaa sääntelyn noudattamista, pienentää häiriöiden vaikutuksia, nopeuttaa toipumista ja vahvistaa organisaation kilpailukykyä.

Sama investointi voi samanaikaisesti tukea muita tietoturva- ja tietosuojavaatimuksia, tekoälyn hallintaa ja toimitusketjun riskienhallintaa.

Jos haluat arvioida oman organisaation hallinnollista resilienssiä, aloita näillä kysymyksillä:

1. Tunnemmeko kriittiset liiketoiminnot ja palvelut?

2. Tunnemmeko kriittiset tiedot ja omaisuuden?

3. Tunnemmeko kriittiset toimittajat?

4. Onko riskinsietokyky määritelty?

5. Tietääkö johto omat vastuunsa häiriötilanteessa?

Jos johonkin kysymykseen ei löydy selkeää vastausta, korjaustyö kannattaa aloittaa siitä.

Tämä blogi on avaus kolmiosaiselle hallinnollista resilienssiä ja kyberuhkia käsittelevälle sarjalle. Seuraavassa osassa tulemme tarkastelemaan, miten johdon määrittelemät linjaukset viedään käytäntöön hallintamallien, riskienhallinnan, sopimusten, tietosuojan ja tekoälyn hallinnan avulla. Se ratkaisee, muuttuuko resilienssi tavoitteesta konkreettiseksi toimintatavaksi, joka kestää myös juridisen tarkastelun.

Tutustu myös aiemmin ilmestyneeseen oppaaseemme: EU:n kyberturvallisuusdirektiivi NIS2 ja kansallinen kyberturvallisuuslaki Suomessa, joka on tiivis yleisjohdatus Suomen lakiin: ketä laki koskee, mitä velvoitteita se tuo erilaisille organisaatioille ja mistä saa luotettavat viranomaisohjeet.