Kyberturvallisuuslaki ja NIS2: mitä yritysten on tiedettävä velvoitteista

Suomen kyberturvallisuuslaki (124/2025) tuli voimaan 8. huhtikuuta 2025. Laki panee täytäntöön EU:n NIS2-direktiivin, joka korvasi aiemman verkko- ja tietoturvadirektiivin ja laajensi kyberturvallisuusvelvoitteet koskemaan huomattavasti useampia toimialoja ja yrityksiä kuin ennen. Puolitoista vuotta myöhemmin moni yritys pohtii yhä, koskeeko laki juuri sitä – ja jos koskee, mitä pitäisi tehdä käytännössä. Tämä artikkeli kokoaa keskeiset asiat yhteen ja antaa tarkistuslistan myös niille yrityksille, jotka eivät itse ole NIS2-toimijoita mutta toimittavat palveluita sellaisille.

Keitä kyberturvallisuuslaki koskee?

Sääntely kohdistuu yhteiskunnan kannalta kriittisiin toimialoihin. Organisaatiot jaetaan joko keskeisiin tai tärkeisiin toimijoihin niiden koon, toimialan ja kriittisyyden perusteella. Mukana ovat muun muassa energia, liikenne, terveydenhuolto, vesihuolto, digitaalinen infrastruktuuri, ICT-palvelujen hallinta, posti- ja kuriiripalvelut, jätehuolto, elintarvikkeet sekä osa valmistavasta teollisuudesta. Julkishallinnon osalta vastaavat vaatimukset on kirjattu tiedonhallintalakiin.

Pääsääntöisesti velvoitteet koskevat keskisuuria ja suuria yrityksiä näillä toimialoilla, mutta esimerkiksi teleyritykset, DNS-palveluntarjoajat ja verkkotunnusvälittäjät voivat kuulua sääntelyn piiriin kokonsa puolesta riippumatta. Traficomin arvion mukaan pelkästään DNS-palveluntarjoajia on Suomessa noin 340 ja fi-verkkotunnusvälittäjiä noin 3 200.

Kolme ydinvelvoitetta

1. Ilmoittautuminen toimijaluetteloon

NIS2-toimijan on ilmoittauduttava oman toimialansa valvovalle viranomaiselle. Lain voimaan tullessa määräaika oli 8.5.2025, mutta myöhemmin sääntelyn piiriin tulevien toimijoiden on ilmoittauduttava viipymättä. Valvovia viranomaisia on useita: esimerkiksi Traficom, Energiavirasto, Tukes, Lupa- ja valvontavirasto, Fimea, Ruokavirasto ja Elinvoimakeskus. Jos organisaatio toimii usealla toimialalla, ilmoittautuminen tehdään jokaiselle toimialakohtaiselle viranomaiselle. Traficomin palvelussa asioidaan Suomi.fi-tunnistautumisella ja erillisellä valtuudella.

2. Riskienhallinnan toimintamalli

Toimijan on pitänyt laatia kyberturvallisuuden riskienhallinnan toimintamalli 8.7.2025 mennessä. Laissa luetellaan vähimmäistoimenpiteet, joihin kuuluvat muun muassa riskianalyysi, poikkeamien käsittely, toiminnan jatkuvuus ja varmuuskopiointi, toimitusketjun turvallisuus, haavoittuvuuksien hallinta, henkilöstön koulutus, kryptografian käyttö, pääsynhallinta sekä monivaiheinen tunnistautuminen. Traficom on julkaissut suosituksen riskienhallinnan toimenpiteistä, ja tietyille digitaalisen infrastruktuurin toimijoille on annettu tarkempia vaatimuksia EU:n täytäntöönpanoasetuksella 2024/2690.

3. Merkittävistä poikkeamista ilmoittaminen

Merkittävistä tietoturvapoikkeamista on ilmoitettava valvovalle viranomaiselle kolmessa vaiheessa:

ensi-ilmoitus 24 tunnin kuluessa poikkeaman havaitsemisesta,
jatkoilmoitus 72 tunnin kuluessa havaitsemisesta,
loppuraportti noin kuukauden kuluessa jatkoilmoituksesta.

Käytännössä 24 tunnin aikaraja vaatii, että vastuuhenkilöt, yhteystiedot ja ilmoituslomakkeet ovat valmiina etukäteen. Poikkeamaa ei ehdi ensimmäistä kertaa selvittämään keskellä kriisiä.

Johdon vastuu

NIS2 tekee kyberturvallisuudesta johdon asian. Yrityksen johdon on hyväksyttävä riskienhallinnan toimintamalli, valvottava sen toteuttamista ja hankittava riittävä osaaminen kyberriskien arvioimiseen. Laiminlyönneistä voi seurata hallinnollisia seuraamusmaksuja. NIS2-direktiivin mukaan niiden enimmäismäärä on keskeisillä toimijoilla 10 miljoonaa euroa tai 2 prosenttia maailmanlaajuisesta liikevaihdosta ja tärkeillä toimijoilla 7 miljoonaa euroa tai 1,4 prosenttia, sen mukaan kumpi on suurempi.

Entä jos yrityksesi ei ole NIS2-toimija?

Moni IT-konsultointia, pilvipalveluita, ohjelmistokehitystä tai analytiikkaa tarjoava pienempi yritys ei kuulu itse lain piiriin. Sääntely vaikuttaa silti, koska NIS2-toimijoiden on hallittava toimitusketjunsa riskejä. Asiakkaat alkavat vaatia toimittajiltaan esimerkiksi:

dokumentoitua tietoturvapolitiikkaa ja vastuuhenkilöä,
monivaiheista tunnistautumista ja ajantasaista pääsynhallintaa,
sopimusehtoja poikkeamista ilmoittamisesta asiakkaalle nopeasti,
haavoittuvuuksien hallintaa ja säännöllisiä päivityksiä,
varmuuskopiointia ja testattua palautussuunnitelmaa.

Yritys, joka pystyy osoittamaan nämä asiat, erottuu tarjouskilpailussa. Kyberturvallisuudesta on tullut myynnin ja markkinoinnin argumentti, ei pelkkä kustannus.

Miten aloittaa, jos resursseja on vähän?

Pienellä tai keskisuurella yrityksellä ei välttämättä ole omaa tietoturvatiimiä. Silloin kannattaa edetä vaiheittain. Aloita listaamalla tärkeimmät järjestelmät ja tiedot: mitkä palvelut on saatava toimimaan ensimmäisenä häiriön jälkeen, ja kuka niistä vastaa? Seuraavaksi ota kaikkiin pilvipalveluihin ja etäyhteyksiin monivaiheinen tunnistautuminen, varmista että varmuuskopiot ovat erillään tuotantoympäristöstä ja testaa palautus. Vasta tämän jälkeen kannattaa panostaa laajempiin hankintoihin, kuten valvontapalveluihin. Kyberturvallisuuskeskuksen maksuttomat ohjeet ja varoitukset ovat hyvä tietolähde myös pienille organisaatioille.

Tarkistuslista seuraavaan kvartaaliin

Tarkista kyberturvallisuuslain 3 §:stä ja liitteistä, kuuluuko organisaatiosi lain piiriin.
Jos kuuluu, varmista ilmoittautuminen ja yhteystietojen ajantasaisuus toimijaluettelossa.
Käy riskienhallinnan toimintamalli läpi johdon kanssa ja kirjaa päätökset.
Harjoittele poikkeamailmoitus: kuka tekee ensi-ilmoituksen 24 tunnissa ja millä tiedoilla?
Kartoita kriittiset toimittajat ja päivitä sopimusten tietoturvaehdot.
Kouluta henkilöstö tunnistamaan tietojenkalastelu ja raportoimaan epäilyttävät tapahtumat.

Huomio: Artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Tarkista oman organisaatiosi velvoitteet valvovalta viranomaiselta tai asiantuntijalta.