DORA-poikkeamailmoitukset 2026: määräajat

Merkittävästä ICT-poikkeamasta on ilmoitettava Finanssivalvonnalle 4 tunnin kuluessa siitä, kun poikkeama on luokiteltu merkittäväksi, ja joka tapauksessa enintään 24 tunnin kuluessa havaitsemisesta; väliraportti seuraa 72 tunnin ja loppuraportti kuukauden kuluessa.

Määräajat ovat DORA:n tiukimmat ja niiden noudattaminen ratkeaa käytännössä ennen poikkeamaa, ei sen aikana. Ratkaisevaa on luokitteluprosessin nopeus: kello ei odota selvitystyön valmistumista. Tämä artikkeli käy läpi, miten merkittävä poikkeama tunnistetaan, mitä kynnysarvoja käytetään, mitä kussakin raportissa on kerrottava ja milloin kyberuhkasta kannattaa ilmoittaa vapaaehtoisesti.

Keskeiset kohdat

• Velvoite perustuu asetuksen (EU) 2022/2554 17–23 artiklaan; ilmoitus tehdään Finanssivalvonnalle 19 artiklan nojalla.
• Poikkeama on merkittävä, kun se vaikuttaa kriittisiä tai tärkeitä toimintoja tukeviin palveluihin ja täyttää lisäksi vähintään kaksi muuta luokittelukriteeriä.
• Raportointisykli on kolmivaiheinen: ensi-ilmoitus, väliraportti ja loppuraportti.
• Merkittävistä kyberuhkista voi ilmoittaa vapaaehtoisesti (19 art. 2 k.) – tästä kannattaa tehdä sisäinen käytäntö, ei poikkeus.
• Jos poikkeama koskee henkilötietoja, GDPR:n 33 artiklan ilmoitus on tehtävä erikseen Tietosuojavaltuutetun toimistolle.

Mikä on merkittävä ICT-poikkeama?

DORA:n 18 artikla luettelee kriteerit, joiden perusteella ICT-poikkeamat luokitellaan, ja komission tekninen sääntelystandardi (RTS) täsmentää kynnysarvot. Luokittelu ei ole harkintakysymys vaan mekaaninen testi, joka on syytä koodata suoraan häiriönhallinnan työkaluun.

Kriteeri	Mitä mitataan	Tyypillinen kynnys
Kriittisten palvelujen vaarantuminen	Vaikuttaako poikkeama kriittisiä tai tärkeitä toimintoja tukeviin ICT-palveluihin; onnistunut luvaton pääsy	Portinvartijakriteeri: tämän on täytyttävä
Asiakkaat ja vastapuolet	Vaikutuksen kohteena olevien asiakkaiden osuus tai lukumäärä	Yli 10 % asiakkaista tai yli 100 000 asiakasta
Tapahtumat	Vaikutuksen kohteena olevien maksutapahtumien osuus tai lukumäärä	Yli 10 % päivittäisestä keskiarvosta tai yli 500 000 tapahtumaa
Kesto ja käyttökatkos	Poikkeaman kokonaiskesto ja palvelukatkoksen pituus	Kesto vähintään 24 h tai katkos vähintään 2 h
Maantieteellinen laajuus	Kuinka monta jäsenvaltiota koskee	Vähintään kaksi jäsenvaltiota
Tietojen menetys	Vaikutus tietojen saatavuuteen, aitouteen, eheyteen tai luottamuksellisuuteen	Vaikutus liiketoiminnan tai sääntelyn tavoitteisiin
Taloudellinen vaikutus	Bruttomääräiset suorat ja välilliset kustannukset ja tappiot	Yli 100 000 euroa
Maineellinen vaikutus	Julkisuus, asiakasvalitukset, asiakasmenetykset, toistuvuus	Laadullinen arvio

Perusrakenne on tämä: poikkeama on merkittävä, kun kriittisten palvelujen kriteeri täyttyy ja lisäksi vähintään kaksi muuta kriteeriä täyttyy. Kynnysarvojen tarkka soveltaminen edellyttää, että toimintojen kriittisyysluokittelu on tehty etukäteen – se on osa DORA:n ICT-riskienhallinnan viitekehyksen 8 artiklan tunnistamistyötä. Ilman valmista toimintokartoitusta luokittelua ei ehdi tehdä neljässä tunnissa.

Määräajat: ensi-ilmoitus, väliraportti, loppuraportti

Vaihe	Määräaika	Sisältö pääpiirteissään
Ensi-ilmoitus	4 h luokittelusta, enintään 24 h havaitsemisesta	Perustiedot toimijasta, poikkeaman havaitsemisaika, luokittelu, alustava kuvaus, vaikutetut alueet
Väliraportti	72 h ensi-ilmoituksesta	Tilannekuva, vaikutusarvio, syyt siltä osin kuin tiedossa, palautumisen tila, tehdyt toimet
Loppuraportti	1 kk väliraportista	Juurisyy, lopullinen vaikutus, kustannukset, korjaavat toimet, opit

Kolme sudenkuoppaa toistuu tarkastuksissa.

Ensimmäinen: luokittelun viivyttäminen. Neljän tunnin kello käynnistyy luokittelusta, mutta 24 tunnin takaraja havaitsemisesta estää sen, että luokittelua siirretään myöhemmäksi. Jos poikkeama on havaittu maanantaina kello 9, ilmoitus on tehtävä viimeistään tiistaina kello 9 riippumatta siitä, milloin luokittelupäätös on muodollisesti tehty.

Toinen: väliraportin unohtaminen, kun tilanne ei ole muuttunut. Väliraportti on annettava myös silloin, kun palautuminen on kesken eikä uutta kerrottavaa ole. Jos tilanne muuttuu olennaisesti, päivitetty väliraportti on annettava viipymättä.

Kolmas: loppuraportin juurisyyanalyysin ohuus. Loppuraportissa odotetaan todellista juurisyytä ja konkreettisia korjaavia toimia aikatauluineen, ei tapahtumakuvauksen toistoa. Sama analyysi palvelee 13 artiklan oppimisvelvoitetta.

Määräajat lasketaan kalenteriajassa. Viikonloppu ei pysäytä kelloa, joten päivystysjärjestely ja varahenkilöt on määriteltävä etukäteen.

Kuka ilmoittaa ja mitä kanavaa käytetään?

Ilmoituksen tekee finanssitoimija itse toimivaltaiselle viranomaiselle – Suomessa Finanssivalvonnalle, joka välittää tiedot tarvittaessa edelleen Euroopan valvontaviranomaisille, Euroopan keskuspankille ja muille asianosaisille viranomaisille. Ilmoitukset tehdään yhtenäisillä lomakkeilla, joiden sisältö on säädetty 20 artiklan nojalla annetuissa teknisissä standardeissa. Raportointikanava ja lomakeversiot kannattaa tarkistaa Finanssivalvonnan ohjeista ennen ensimmäistä ilmoitusta – ei ilmoitushetkellä.

Ulkoistus ei siirrä velvoitetta. Jos poikkeama tapahtuu ICT-palveluntarjoajan ympäristössä, ilmoitusvelvollinen on silti finanssitoimija. Tästä seuraa suora sopimusvaatimus: palveluntarjoajan on ilmoitettava poikkeamasta niin nopeasti, että oma neljän tunnin määräaikasi on saavutettavissa. Käytännössä tämä tarkoittaa tunneissa mitattavaa ilmoitusvelvoitetta sopimuksessa, ja sen toteutuminen on kirjattava DORA-tietorekisteriin sopimusehtona. Sama logiikka pätee henkilötietojen puolella käsittelysopimuksessa, jossa käsittelijän ilmoitusaika kannattaa sitoa samaan tuntimäärään.

Asiakkaille ilmoittaminen

19 artikla velvoittaa ilmoittamaan asiakkaille ilman aiheetonta viivytystä, jos merkittävällä ICT-poikkeamalla on vaikutusta heidän taloudellisiin etuihinsa. Lisäksi asiakkaille on kerrottava toimenpiteistä, joilla haittoja pyritään lieventämään.

Tämä velvoite on syytä pitää erillään GDPR:n 34 artiklan velvoitteesta ilmoittaa rekisteröidyille korkean riskin loukkauksesta. Kynnykset ovat eri: DORA katsoo taloudellista etua, GDPR henkilön oikeuksia ja vapauksia. Sama poikkeama voi laukaista toisen, molemmat tai ei kumpaakaan. Käytännön ohje: laadi yksi asiakasviestintäpohja, joka kattaa molempien vaatimukset, ja päätä laukeaminen erikseen. Rekisteröidyille ilmoittamisen edellytykset on käyty läpi artikkelissa tietoturvaloukkauksen ilmoittaminen, ja kolmen sääntelyn yhteensovittaminen artikkelissa häiriöilmoitukset: DORA, NIS2 ja GDPR.

Merkittävien kyberuhkien vapaaehtoinen ilmoittaminen

19 artiklan 2 kohta antaa finanssitoimijalle mahdollisuuden ilmoittaa toimivaltaiselle viranomaiselle merkittävästä kyberuhkasta, kun uhka on toimijan arvion mukaan olennainen rahoitusjärjestelmän, palvelunkäyttäjien tai asiakkaiden kannalta. Merkittävä kyberuhka tarkoittaa uhkaa, jonka tekniset ominaisuudet viittaavat siihen, että se voisi johtaa merkittävään ICT-poikkeamaan. Jos uhka arvioidaan asiakkaiden kannalta olennaiseksi, heille on kerrottava uhasta ja suojatoimista.

Vapaaehtoisuus houkuttelee jättämään ilmoittamatta. Suosittelen päinvastaista linjaa. Ilmoitus on halpa, se rakentaa luottamusta valvojaan ja se tuottaa vastavuoroisesti uhkatietoa. DORA:n 45 artikla kannustaa lisäksi toimijoita jakamaan kyberuhkatietoa keskenään luotetuissa järjestelyissä; eurooppalaista uhkatilannekuvaa ylläpitää myös ENISA. Sisäinen sääntö kannattaa muotoilla yksinkertaisesti: jos uhka olisi toteutuessaan täyttänyt merkittävän poikkeaman kriteerit, se ilmoitetaan.

Esimerkki: poikkeama kellon kanssa

Havainnollistetaan kulku kuvitteellisella mutta tyypillisellä tapauksella. Keskisuuren luottolaitoksen verkkopankin tunnistautumispalvelu lakkaa toimimasta tiistaina kello 7.40. Kello 8.10 valvomo toteaa, ettei kyse ole kuormapiikistä vaan palveluntarjoajan ympäristössä tapahtuneesta häiriöstä, ja kello 8.30 lokitiedoista havaitaan merkkejä luvattomasta pääsystä hallintaliittymään.

Havaitseminen ja luokittelu. Kello alkaa kulua kello 7.40 – siitä hetkestä, kun toimija tuli tietoiseksi poikkeamasta. Luokittelu tehdään kello 9.15: verkkopankin tunnistautuminen tukee kriittistä toimintoa, joten portinvartijakriteeri täyttyy. Sen lisäksi täyttyvät asiakaskriteeri (katkos koskee kaikkia verkkopankin käyttäjiä) ja kestokriteeri (palvelukatkos ylittää kaksi tuntia). Kaksi muuta kriteeriä kriittisten palvelujen lisäksi – poikkeama on merkittävä.

Ensi-ilmoitus. Neljän tunnin määräaika päättyy kello 13.15 ja 24 tunnin takaraja seuraavana päivänä kello 7.40. Sitova on aiempi eli kello 13.15. Ilmoituksessa kerrotaan toimijan perustiedot, havaitsemisaika, luokittelupäätös ja sen perusteet, alustava kuvaus sekä se, että syy on vielä selvityksessä. Keskeneräisyys ei ole peruste odottaa.

Väliraportti. Määräaika on 72 tuntia ensi-ilmoituksesta eli perjantai kello 13.15. Siihen mennessä palvelu on palautettu, hallintaliittymän tunnukset on vaihdettu ja alustava vaikutusarvio on tehty. Väliraportti annetaan, vaikka juurisyy olisi yhä auki – ja jos tilanne muuttuu olennaisesti ennen määräaikaa, päivitys annetaan viipymättä.

Loppuraportti. Määräaika on kuukausi väliraportista. Siinä kuvataan juurisyy, lopullinen vaikutus asiakkaisiin, bruttokustannukset, korjaavat toimet aikatauluineen ja vastuuhenkilöineen sekä muutokset, jotka tehdään palveluntarjoajan sopimukseen ja valvontaan.

Miten DORA:n kello suhtautuu GDPR:n 72 tuntiin?

Esimerkin tapauksessa lokitiedot viittaavat luvattomaan pääsyyn järjestelmään, jossa käsitellään asiakkaiden henkilötietoja. Tällöin käynnistyy rinnakkain GDPR:n 33 artiklan velvoite: ilmoitus Tietosuojavaltuutetun toimistolle 72 tunnin kuluessa siitä, kun rekisterinpitäjä tuli loukkauksesta tietoiseksi.

Kaksi eroa on syytä sisäistää. Kellot käynnistyvät eri hetkistä. DORA:n kello lähtee ICT-poikkeaman havaitsemisesta ja luokittelusta, GDPR:n kello siitä, kun on kohtuullisen varmaa, että henkilötiedot ovat vaarantuneet. Esimerkissä nämä hetket ovat 7.40 ja 8.30 – lähellä toisiaan, mutta eivät samat, ja ero on dokumentoitava. Kynnykset mittaavat eri asiaa. DORA katsoo vaikutusta toimintaan ja rahoitusjärjestelmään, GDPR riskiä rekisteröidyn oikeuksille. Merkittävä käyttökatkos ilman tietovuotoa on DORA-ilmoitus muttei GDPR-ilmoitusta; pieni vuoto ilman palvelukatkosta voi olla päinvastoin.

Käytännön ohje on yksinkertainen: käynnistä molemmat kellot heti havaintohetkellä ja anna tiukemman – DORA:n neljän tunnin – ohjata työjärjestystä. GDPR-ilmoituksen valmistelu ehtii perässä, ja jos henkilötietovaikutus on 72 tunnin kohdalla yhä epäselvä, ilmoitus tehdään silti vaiheittaisena.

Prosessi, joka kestää neljä tuntia

Toimiva ilmoitusprosessi rakentuu viidestä osasta, jotka kaikki on oltava valmiina ennen ensimmäistä poikkeamaa:

1. Havaintokanava ja päivystys. Yksi numero tai yksi osoite, joka toimii ympäri vuorokauden. Havaitsijan ei pidä joutua arvioimaan sääntelyä.
2. Luokittelusääntö koodattuna. Kriteerit ja kynnysarvot päätöspuuna, jonka päivystäjä pystyy ajamaan läpi minuuteissa.
3. Valmis tapahtumakortti. Kaikki lomakkeiden kentät kerätään kerran ja käytetään moneen ilmoitukseen.
4. Nimetyt allekirjoittajat ja varahenkilöt. Ilmoitus ei saa jäädä odottamaan yhtä henkilöä.
5. Rekisteri ja jälkiarviointi. Kaikki poikkeamat kirjataan, myös ilmoituskynnyksen alittavat – malli löytyy artikkelista tietoturvaloukkausten käsittelyprosessi ja loukkausrekisteri.

Prosessi on harjoiteltava vähintään kerran vuodessa pöytäharjoituksena, jossa mitataan nimenomaan aikoja. Pankkikohtainen valmistautumisjärjestys on kuvattu artikkelissa DORA pankeille, ja kansallinen valvontakuva artikkelissa DORA Suomessa. Määräaikojen laskenta, muistutukset ja raporttien versiointi kannattaa automatisoida – vaihtoehdot on vertailtu artikkelissa paras DORA-ohjelmisto.

Usein kysytyt kysymykset

Mistä hetkestä DORA:n 4 tunnin määräaika lasketaan?

Siitä, kun poikkeama on luokiteltu merkittäväksi. Takarajana on kuitenkin 24 tuntia havaitsemisesta, joten luokittelua ei voi lykätä määräajan pidentämiseksi.

Onko väliraportti annettava, vaikka tilanne ei ole muuttunut?

Kyllä. Väliraportti annetaan 72 tunnin kuluessa ensi-ilmoituksesta myös silloin, kun poikkeaman tila on ennallaan. Olennaisista muutoksista on lisäksi raportoitava viipymättä.

Pitääkö DORA-ilmoituksen lisäksi tehdä NIS2-ilmoitus?

Ei finanssitoiminnan osalta. DORA on erityissääntelyä, joka syrjäyttää NIS2:n poikkeamaraportoinnin; ero on eritelty artikkelissa DORA vs NIS2.

Mitä jos ICT-palveluntarjoaja ilmoittaa poikkeamasta myöhässä?

Vastuu ilmoituksesta säilyy silti finanssitoimijalla. Siksi sopimuksessa on määriteltävä tunneissa mitattava ilmoitusvelvoite ja seurattava sen toteutumista toimittaja-arvioinneissa.

Kannattaako merkittävästä kyberuhkasta ilmoittaa vapaaehtoisesti?

Kyllä. Ilmoitus on kevyt, se parantaa suhdetta valvojaan ja tuottaa vastineeksi uhkatietoa. Käytännön sääntö: jos uhka olisi toteutuessaan ylittänyt merkittävän poikkeaman kynnyksen, ilmoita.

Yhteenveto

DORA:n poikkeamaraportointi on kolmivaiheinen: ensi-ilmoitus 4 tunnissa luokittelusta ja enintään 24 tunnissa havaitsemisesta, väliraportti 72 tunnissa ja loppuraportti kuukaudessa. Merkittävyys ratkeaa mekaanisella testillä, jossa kriittisten palvelujen kriteerin lisäksi on täytyttävä vähintään kaksi muuta kriteeriä. Määräaikoihin ei ehdi ilman etukäteen tehtyä toimintokartoitusta, koodattua luokittelusääntöä ja päivystysjärjestelyä. Rakenna ne nyt – ja harjoittele kelloa vastaan. Asetuksen teksti: DORA EUR-Lexissä.

Viimeksi tarkistettu: heinäkuu 2026.