NIS2-direktiivin raportointivelvoitteet kyberturvallisuuden vahvistamisen välineenä

Abstract

Tutkielmassa tarkastellaan Euroopan unionin kyberturvallisuusdirektiivin (EU 2022/2555) 23 artiklan mukaista raportointivelvoitetta ja sen merkitystä kyberturvallisuuden vahvistamisen välineenä. Tutkielman tarkoituksena on selvittää, minkälaisia velvoitteita NIS2-direktiivi asettaa sääntelyn piiriin kuuluville toimijoille ja miten nämä velvoitteet tukevat direktiivin tavoitetta saavuttaa kyberturvallisuuden yhtenäinen korkea taso EU:n sisämarkkinoilla. Lisäksi tutkielmassa arvioidaan, miksi sääntelyn uudistaminen oli perusteltua NIS1-direktiivin pohjalta ja millaisia oikeudellisia ja käytännön haasteita uusi raportointivelvoite aiheuttaa.

Tutkielma on lainopillinen oikeusdogmaattinen tutkimus. Tutkielmassa voimassa olevaa oikeutta tulkitaan ja systematisoidaan erityisesti NIS2-direktiivin raportointivelvoitteita koskevan sääntelyn osalta ja arvioidaan niiden suhdetta direktiivin tavoitteisiin.

Tutkielman perusteella havaitaan, että NIS2-direktiivin raportointivelvoitteet korjaavat monia NIS1-direktiivin aikana havaittuja ongelmia ja puutteita. Samalla tutkielmassa osoitetaan, että raportointivelvoitteisiin liittyy merkittäviä oikeudellisia ja käytännöllisiä haasteita, jotka vaikuttavat osaltaan NIS2-direktiivin tavoitteen toteutumiseen.

Tutkielman johtopäätöksenä esitetään, että NIS2-direktiivin raportointivelvoitteet ovat perusteltuja ja tarpeellisia NIS2-direktiivin asettaman tavoitteen valossa. Niiden vaikuttavuus ei perustu pelkästään sääntelyn olemassaoloon, vaan myös velvoitteiden täsmällisyyteen, kansallisen täytäntöönpanon yhdenmukaisuuteen ja velvoitteiden käytännön toteutumiseen. NIS2-direktiivin tavoitteen saavuttaminen raportointivelvoitteiden osalta edellyttää tasapainoa sääntelyn tavoitteen ja käytännön toteutumisen välillä.