Status NIS 2 w Finlandii

Większość fińskich operatorów średniej wielkości, których spotykamy, wciąż traktuje NIS 2 jako temat IT. To tylko w połowie prawda. Nadzór i kanał zgłaszania znajdują się na poziomie sektora, zakres jest szerszy niż w starym fińskim reżimie cyberbezpieczeństwa, a organ zarządzający (toimitusjohtaja, hallitus) ponosi cięższą odpowiedzialność. Organ zarządzający jest osobiście odpowiedzialny za zatwierdzanie zarządzania ryzykiem i za ukończenie własnego szkolenia.

Praktyczny krok jest taki sam jak wszędzie w UE: przeprowadź sprawdzenie stosowalności względem dyrektywy, zarejestruj się u nadzorcy sektorowego i pojaw się na liście Traficom, ustanów cztery ciągłe obowiązki (utrzymywanie danych rejestracyjnych na bieżąco, zgłaszanie incydentów, ryzyko łańcucha dostaw, nadzór przez organ zarządzający) i udokumentuj minimum. Wykorzystanie NCSC-FI jako technicznego pojedynczego punktu kontaktowego utrzymuje ścieżkę zgłaszania czystą.

Budujemy rejestr obowiązków NIS 2 na warstwie unijnej, a nie na żadnej pojedynczej transpozycji krajowej. Ta sama lista kontrolna pasuje do fińskiej spółki zależnej na mocy Cybersecurity Act 124/2025, niemieckiej spółki matki na mocy BSIG oraz holenderskiej spółki siostrzanej na mocy Cyberbeveiligingswet. Odniesienia do artykułów zmieniają się w zależności od kraju, obowiązki w istocie nie.

Dla zakresu fińskiego zaczynasz od sprawdzenia stosowalności, następnie rejestracja sektorowa, rytm zgłaszania przez NCSC-FI, klauzule łańcucha dostaw i zatwierdzenie przez organ zarządzający. Tam, gdzie Traficom lub regulatorzy sektorowi publikują wytyczne sektorowe, podajemy do nich link. Nie kopiujemy ich.