NIS2 MFA OT:ssä 2026 – toimittajan pääsy, hätäpääsy ja valvontapöytäkirja | Word/PDF/Excel

Onko teillä järjestelmänhallitsijoita, ulkopuolisia huoltotekniikoita tai varakontteja, joilla on pääsy tuotantoympäristöön? Ruotsin uudet määräykset tekevät tärkeäksi voida osoittaa, missä MFA:ta vaaditaan, missä se on vahvistettu ja mitä tapahtuu, kun pääsyväylä ei läpäise tarkistusta. Tämä erikoistunut Word/PDF/Excel-paketti auttaa organisaatioita dokumentoimaan MFA:n IT-/OT-ympäristöissä, toimittajien etäpääsyä, tili-elinkaarta, turvallista hätäpääsyä, poikkeamia ja uudelleentarkistusta.

Ajankohtainen säädös: Kyberturvallisuuslaki (2025:1506) astui voimaan 15. tammikuuta 2026. MCFFS 2026:11 on ollut voimassa 1. lokakuuta 2026 lähtien ja sisältää erityisiä velvoitteita 4 luvun 14–17 §§, erityisesti MFA-vaatimuksen 17 §:ssä. Organisaation sisäinen riskin hyväksyminen ei korvaa sitovaa määräystä.

Kuka tarvitsee dokumenttipakettia?

Ruotsissa toimiville organisaatioille, jotka kuuluvat kyberturvallisuuslain ja MCFFS 2026:11:n piiriin, erityisesti energia-, vesi-, teollisuus-, liikenne-, terveydenhuolto- ja digitaalisen infrastruktuurin organisaatioille sekä muille IT-/OT-ympäristöjä käyttäville organisaatioille. Myös organisaation turvallisuusvastaavat, järjestelmän omistajat, IT-/OT-hallitsijat, IAM/PAM-toimijat, käyttöympäristön toimittajat ja sisäinen tarkastus voivat hyödyntää dokumentaatiorakennetta. Kaikki yritykset eivät kuulu NIS2-säädösten piiriin; sovellettavuus on arvioitava ensin.

Tärkeä toimialarajaus (MCFFS 2026:11, 1 luku 1 §): Toimijoihin, jotka harjoittavat yksinomaan digitaalisen infrastruktuurin, digitaalisten palveluntarjoajien, yritysten välisen ICT-palvelujen hallinnan, posti- ja kuriiripalvelujen tai avaruusalan toimintaa, sovelletaan tästä määräyksestä vain 2 luvun 1 §:n johdon koulutusvaatimusta. Muita velvoitteita voi silti olla. Tarkista kaikki tosiasialliset toimialat ennen kuin käytät paketin MFA-tarkistuksia sitovien vaatimusten luettelona.

Tiedosto tiedostolta – työvirta

Excel: yhdeksän välilehteä ja kahdeksan tarkistusindikaattoria

Järjestelmät, MFA-vaatimukset, Etuoikeudet, Toimittajat, Hätäpääsy, Poikkeamat, Toimenpiteet, Yleiskatsaus ja Lue minua. Kaavapohjainen kooste näyttää muun muassa rekisteröidyt järjestelmät, epäonnistuneet MFA-tarkistukset, avoimet vaatimusluokitukset, etuoikeuspuutteet, epäonnistuneen toimittajapääsyn, riittämättömän hätäprosessin, käynnissä olevat FRA-poikkeuspyynnöt sekä viivästyneet tai estetyt toimenpiteet.

Kaavat, tilausluettelot ja yhdeksän välilehteä on vahvistettu synteettisillä skenaariotesteillä. Testitehtävät on poistettu asiakastiedostosta. Nolla tyhjässä yleiskatsauksessa ei tarkoita, että organisaatio täyttäisi säädöksiä.

Mitä ruotsin säädökset vaativat?

Kyberturvallisuuslaki (2025:1506), 2 luvun 3 § sisältää vaatimukset sopivista ja suhteellisista turvatoimenpiteistä kokonaisriskinarvioinnin perusteella, joihin kuuluvat muun muassa pääsyn valvonta ja tunnistautuminen. Lue laki Ruotsin parlamentin sivuilta.

MCFFS 2026:11, 4 luvun 17 § sisältää erityisiä vaatimuksia MFA:lle IT-ympäristöihin pääsyyn, joissa on lisäsuojaa vaativaa tietoa, järjestelmänhallitsijapääsyyn tuotantoympäristön IT- ja OT-ympäristöihin sekä henkilöstön ja toimittajien pääsyyn digitaaliseen ympäristöön ulkoisen verkon kautta. Myös muun pääsyn tarpeellinen MFA on tunnistettava ja käsiteltävä.

4 luvun 14–16 §§ käsittelevät identiteettien elinkaarta, pääsyn estämistä, kun se ei ole enää voimassa, rajoitettuja hallitsijaoikeuksia sekä tuotanto- ja testiympäristöjen tunnistautumistietojen erottamista. 4 luvun 20–21 §§ käsittelevät turvallisuusvalvontaa ja lokitusta. Lue MCFFS 2026:11 kokonaisuudessaan.

Tärkeää poikkeuksista: MCFFS 2026:11:n 7 luvun 1 §:n mukaan Puolustusradiotukos (FRA) voi yksittäisissä tapauksissa ja erityisistä syistä myöntää poikkeuksia määräyksistä. Tämä ei tarkoita, että organisaatio voisi itse hyväksyä MFA:n kiertämisen tai korvata määräyksen allekirjoitetulla riskin hyväksymisellä.

NIS2-direktiivin artikla 21.2 i–j on relevanttia EU-oikeudellista taustaa pääsyn valvontaan sekä monivaiheiseen/jatkuvaan tunnistautumiseen, kun se on asianmukaista. Ruotsin määräykset on silti arvioitava suoraan. Lue direktiivi (EU) 2022/2555 ja NCSC:n määräystekokoelma.

Näin pakettia käytetään

1. Arvioi, kuuluvatko organisaatio ja järjestelmä kyberturvallisuuslain sekä mahdollisten muiden toimialakohtaisen säädösten piiriin.
2. Kartanna koskevat IT-/OT-ympäristöt ja tunnista jokainen pääsyväylä, jonka on tarkistettava 4 luvun 17 §:n mukaisesti.
3. Tarkista hallitsija- ja toimittajatilit, oikeuksien kesto, identiteettien päättäminen ja seuranta-todisteet.
4. Vahvista tekninen MFA hyväksytyssä testiprosessissa ja dokumentoi vain turvalliset todisteviitteet.
5. Tutki ja korjaa puutteet. Tee erillinen oikeudellinen arviointi, jos virallinen viranomaisen poikkeuspyyntö tulee kyseeseen.
6. Dokumentoi hätäpääsy, joka täyttää asiaankuuluvat vaatimukset – ilman arkaluontoisia pääsyjä tietoja kaavoissa.
7. Seuraa uudelleentestillä ja Excel-rekisterin kahdeksalla tila-indikaattorilla.

Usein kysyttyä

Onko MFA aina pakollista tuotantoympäristön OT-hallitsijoille?

MCFFS 2026:11, 4 luvun 17 § vaatii MFA:n tuotantoympäristön OT-ympäristöihin järjestelmänhallitsijapääsyyn organisaatioille, jotka kuuluvat määräyksen piiriin. Arvioi todellista soveltamista ja mahdollista erityistä viranomaiskäsiteltävää poikkeusta.

Rikoosko VPN-yhteyden MFA?

Ei välttämättä. Sekä ulkoinen pääsy että järjestelmänhallitsijapääsy kuuluvat sääntöihin, jotka on arvioitava kunkin todellisen pääsyväylän osalta.

Voimmeko hyväksyä sisäisen MFA-poikkeuksen Excelissä?

Ei. Sisäinen riskipäätös ei kumoa pakollisia vaatimuksia. Mahdollinen poikkeus 7 luvun 1 §:n mukaan on käsiteltävä FRA:n toimivalta alueella.

Sisältävätkö tiedostot salasanoja, MFA:n varakoodit tai teknisen kiertotien?

Ei. Kaava on suunniteltu oikeutettujen pääsyjen ja turvallisten todisteviitteiden dokumentointiin, ei suojauksen paljastamiseen tai kiertämiseen.

Onko tämä valmis viranomaispyyntö FRA:lle?

Ei. Asiakirja 04 on sisäinen korjaus- ja arviointikaava, ei virallinen hakulomake tai viranomaisen päätös.

Voiko Excel teknisesti tarkistaa, toimiiko MFA?

Ei. Excel näyttää manuaalisesti rekisteröidyt tilat. Todellinen tekninen tarkistus on tehtävä valtuutetun henkilöstön toimesta hyväksytyssä ympäristössä.

Ovatko PDF-tiedostot täytettäviä?

PDF-tiedostot ovat hakutettavia ja tulostettavia, mutta eivät interaktiivisia lomakkeita. Muokkaa alkuperäisiä Word- ja Excel-tiedostoja.

Sisältävätkö kaavat englanninkieliset versiot?

Viisi työkaavaa ja Excel ovat ruotsinkielisiä. English User Guide selittää, miten tiedostoja käytetään.

Aiheeseen liittyvät dokumenttikaavat

NIS2 Mallpaket – kyberturvallisuuslaki laajempaan yleiseen hallintaan. Oikeuksien tarkastus ja pääsyn valvonta yleiseen pääsyn valvontaan. NIS2 – toimittajan kyberturvallisuusvarmenne laajempaan toimittajaseurantaan. Tämä tuote on kapeammin rajattu: sitovat MFA-vaatimukset IT/OT-ympäristöissä, todellinen toimittajapääsy ja valvottu hätäprosessi.

Versio ja oikeudellinen läpinäkyvyys

Versio 1.0 · 12. marraskuuta 2026 · Ruotsi. AI-avusteinen lähdetarkistus SFS 2025:1506:aan, MCFFS 2026:11:een, EU:n NIS2-direktiiviin sekä NCSC:n/FRA:n viranomaistietoon. Ulkoista lakimiesarviointia, todellista IT-/OT-turvallisuustestiä, viranomaisen poikkeuksia, IAM-tarkastusta tai virallista sertifiointia ei ole tehty. Yksittäinen organisaatio vastaa oikeudellisesta ja teknisestä soveltamisesta sekä todisteiden turvallisesta käsittelystä. Tuote on aktiivinen Shopifyssa ja ZIP-tiedosto on liitetty Digital Products -sovellukseen. Riippumatonta testiostosta tai asiakkaan latausta ei ole vielä vahvistettu.