EU:n verkko- ja tietoturvadirektiivissä (ns. NIS-direktiivi) säädetään yhteiskunnan kriittisen infrastruktuurin tarjoajien ja toimijoiden tietoturvavelvollisuuksista sekä tietoturvahäiriöistä ilmoittamisesta. Suomessa velvoitteet säädetään kyseisten sektoreiden omassa lainsäädännössä ja niitä valvovat sektoreiden omat valvontaviranomaiset. Huoltovarmuuskriittisten toimijoiden on huolehdittava palvelujensa ja infrastruktuurinsa tietoturvasta sekä raportoitava havaitsemansa tietoturvauhat ja -loukkaukset toimialan valvontaviranomaiselle.
Kyberturvallisuuskeskuksessa koordinoimme kansallista ja kansainvälistä yhteistyötä, keräämme tilannekuvaa ja toimimme raportoijana EU:n suuntaan. Suomen sektorikohtaisista viranomaisista koostuva viranomaisyhteistyöryhmä vaihtaa tietoa tietoturvauhista ja -loukkauksista, huolehtii lainsäädännön ajantasaisuudesta, neuvoo ja auttaa huoltovarmuuskriittisiä toimijoita riskien osalta sekä valvoo tietoturvavelvoitteiden toteutumista.
Kyberturvallisuuskeskus koostaa vuosittain kansallisen raportin Suomessa raportoiduista tietoturvapoikkeamista ja toimittaa sen Euroopan komission NIS-direktiivi tiimille, joka seuraa direktiivin toimeenpanoa ja tilannekuvaa Euroopan tasolla.
NIS-direktiiviin piiriin kuuluvat sektorit, toimijat ja valvovat viranomaiset Suomessa:
Toimijoiden pitää ilmoittaa verkko- ja tietojärjestelmissä olevista tietoturvapoikkeamista viranomaisille.