Häiriöilmoitukset 2026: DORA, NIS2 ja GDPR

Yksi kyberhäiriö voi laukaista kolme eri ilmoitusvelvollisuutta: DORA:n mukaisen ilmoituksen Finanssivalvonnalle 4 tunnissa poikkeaman luokittelusta, NIS2:n ennakkovaroituksen Traficomin Kyberturvallisuuskeskukselle 24 tunnissa ja GDPR:n 33 artiklan ilmoituksen Tietosuojavaltuutetun toimistolle 72 tunnissa.

Määräajat eivät ala kulua samasta hetkestä, kynnysarvot eivät ole samat eivätkä vastaanottajat ole samoja. Silti kaikki kolme koskevat samaa tapahtumaa – esimerkiksi pankin asiakasjärjestelmään kohdistuvaa kiristyshaittaohjelmaa. Tämä artikkeli on tarkoitettu finanssialan ja kriittisen infrastruktuurin häiriönhallinnasta vastaaville: se kertoo, mikä velvoite laukeaa milloinkin, kuka ilmoittaa kenelle ja miten rakennat yhden sisäisen prosessin, joka kattaa kaikki kolme sääntelyä ilman kolminkertaista työtä.

Keskeiset kohdat

• DORA (asetus (EU) 2022/2554, 19 art.): ensi-ilmoitus 4 tunnin kuluessa siitä, kun poikkeama on luokiteltu merkittäväksi, ja joka tapauksessa enintään 24 tunnin kuluessa havaitsemisesta.
• NIS2 (direktiivi (EU) 2022/2555, 23 art.): ennakkovaroitus 24 tunnin, poikkeamailmoitus 72 tunnin ja loppuraportti kuukauden kuluessa.
• GDPR (asetus (EU) 2016/679, 33 art.): ilmoitus valvontaviranomaiselle 72 tunnin kuluessa siitä, kun rekisterinpitäjä tuli loukkauksesta tietoiseksi.
• DORA on finanssisektorilla lex specialis: se syrjäyttää NIS2:n poikkeamaraportoinnin, mutta ei koskaan GDPR:n velvoitetta.
• Kynnysarvot eroavat: DORA:n “merkittävä poikkeama”, NIS2:n “merkittävä poikkeama” ja GDPR:n “todennäköinen riski rekisteröidyille” ovat kolme eri testiä samasta tapahtumasta.

Kolme sääntelyä, kolme kelloa

Alla oleva taulukko on se, joka kannattaa tulostaa häiriönhallinnan seinälle. Huomaa erityisesti kellon käynnistyshetki: se ei ole kaikissa sama.

Sääntely	Viranomainen Suomessa	Kello alkaa	Ensimmäinen ilmoitus	Väliraportti	Loppuraportti
DORA 19 art.	Finanssivalvonta	Poikkeaman luokittelu merkittäväksi	4 h luokittelusta, enintään 24 h havaitsemisesta	72 h ensi-ilmoituksesta	1 kk väliraportista
NIS2 23 art.	Traficom / Kyberturvallisuuskeskus	Poikkeaman havaitseminen	Ennakkovaroitus 24 h	Poikkeamailmoitus 72 h	1 kk poikkeamailmoituksesta
GDPR 33 art.	Tietosuojavaltuutetun toimisto	Rekisterinpitäjä tulee tietoiseksi	72 h	Vaiheittainen täydennys (33 art. 4 k.)	–
GDPR 34 art.	Rekisteröidyt itse	Korkean riskin toteaminen	Ilman aiheetonta viivytystä	–	–
DORA 19 art. 6 k.	Asiakkaat	Vaikutus asiakkaan etuihin	Ilman aiheetonta viivytystä	–	–

Kolme asiaa erottaa nämä toisistaan käytännössä. Ensinnäkin DORA:n kello käynnistyy luokittelusta, ei havaitsemisesta – mutta takaraja havaitsemisesta on silti 24 tuntia, joten luokittelua ei voi viivyttää taktisesti. Toiseksi NIS2:n ensimmäinen vaihe on kevyt: ennakkovaroitus kertoo vain, että jotain on tapahtunut ja epäilläänkö lainvastaista toimintaa tai rajat ylittävää vaikutusta. Kolmanneksi GDPR:n 72 tuntia on kalenteriaikaa, johon sisältyvät illat ja viikonloput; tästä kerrotaan tarkemmin tietoturvaloukkauksen ilmoittamisen oppaassa.

Milloin mikäkin velvoite laukeaa?

DORA:n soveltamisalaan kuuluvat finanssitoimijat – pankit, vakuutusyhtiöt, sijoituspalveluyritykset, maksulaitokset ja kryptovarapalvelujen tarjoajat – ovat velvollisia ilmoittamaan merkittävistä ICT-poikkeamista Finanssivalvonnalle. Soveltamisala ja kansallinen valvonta on käyty läpi artikkelissa DORA Suomessa, ja ilmoitusmenettelyn yksityiskohdat, luokittelukriteerit ja kynnysarvot artikkelissa DORA-poikkeamailmoitukset ja määräajat.

NIS2 kattaa energian, liikenteen, terveydenhuollon, digitaalisen infrastruktuurin ja muut kriittiset toimialat. Suomessa direktiivi pantiin täytäntöön kyberturvallisuuslailla, joka tuli voimaan 8.4.2025; velvoitteet ja toimijaluokat on kuvattu artikkelissa NIS2 Suomessa. NIS2:n 23 artiklan mukainen ilmoitus tehdään CSIRT-yksikölle tai toimivaltaiselle viranomaiselle – Suomessa käytännössä Traficomin Kyberturvallisuuskeskukselle.

GDPR:n 33 artikla ei katso toimialaa. Se laukeaa aina, kun poikkeama koskee henkilötietoja ja aiheuttaa todennäköisesti riskin rekisteröityjen oikeuksille. Finanssitoimijalla tämä on tavallista: asiakasrekisteri, maksutapahtumat ja luottotiedot ovat kaikki henkilötietoja.

Miten regimet suhtautuvat toisiinsa?

Tässä on yksi yleinen väärinkäsitys, joka kannattaa oikaista heti. NIS2:n 4 artikla säätää, että jos alakohtainen unionin säädös asettaa vähintään vastaavat vaatimukset kyberturvallisuuden riskienhallinnasta tai poikkeamien raportoinnista, kyseistä säädöstä sovelletaan NIS2:n asemesta. DORA on juuri tällainen säädös. Finanssitoimija ei siis raportoi samaa ICT-poikkeamaa sekä Finanssivalvonnalle että Traficomille – DORA syrjäyttää NIS2:n raportoinnin. Sääntelyjen rajapinta ja soveltamisalojen erot on eritelty artikkelissa DORA vs NIS2: keskeiset erot.

GDPR:n kanssa tilanne on toinen. GDPR ei väisty minkään alakohtaisen sääntelyn tieltä: se suojaa eri oikeushyvää – rekisteröityjen perusoikeuksia, ei rahoitusjärjestelmän vakautta. Jos merkittävä ICT-poikkeama koskee henkilötietoja, teet sekä DORA-ilmoituksen Finanssivalvonnalle että GDPR-ilmoituksen Tietosuojavaltuutetun toimistolle. Kaksi ilmoitusta, kaksi viranomaista, kaksi eri sisältövaatimusta.

Yksi sisäinen prosessi, kolme ulostuloa

Käytännössä toimiva rakenne on yksi havainto- ja luokitteluprosessi, joka haarautuu vasta ilmoitusvaiheessa. Näin se rakennetaan:

1. Yksi ilmoituskanava. Kaikki epäillyt tietoturvatapahtumat kirjataan samaan paikkaan riippumatta siitä, mikä sääntely lopulta soveltuu. Havaitsijan ei pidä joutua arvioimaan sääntelyä.
2. Yksi luokittelupiste. Sama tiimi arvioi 60 minuutin sisällä kolme kysymystä: täyttyvätkö DORA:n merkittävyyskriteerit, onko kyseessä NIS2:n merkittävä poikkeama (jos DORA ei sovellu) ja onko henkilötietoja vaarantunut.
3. Kolme valmista ilmoituspohjaa. DORA:n ESA-lomake, NIS2:n Kyberturvallisuuskeskuksen lomake ja Tietosuojavaltuutetun toimiston sähköinen ilmoitus. Pohjat täytetään samasta tapahtumakortista.
4. Yksi tapahtumarekisteri. GDPR:n 33 artiklan 5 kohta velvoittaa dokumentoimaan kaikki loukkaukset, myös ne joista ei ilmoiteta. Sama rekisteri palvelee DORA:n 13 artiklan oppimisvelvoitetta. Malli löytyy artikkelista tietoturvaloukkausten käsittelyprosessi ja loukkausrekisteri.
5. Yksi kellotus. Käynnistä kaikki kolme kelloa samaan aikaan havaintohetkellä. Tiukin määräaika – DORA:n 4 tuntia – ohjaa koko prosessia; muut ehtivät perässä.

Tapahtumakortin tietosisältö on syytä suunnitella niin, että se kattaa kaikkien kolmen ilmoituksen kentät kerralla: mitä tapahtui, milloin havaittiin, mitkä järjestelmät ja liiketoimintatoiminnot ovat vaarantuneet, montako asiakasta tai rekisteröityä on kyseessä, mitkä tietoryhmät ovat vaarantuneet, mikä on arvioitu taloudellinen vaikutus, mitkä toimet on tehty ja kuka on yhteyshenkilö. Yhteyshenkilöitä on käytännössä kaksi: ICT-häiriöiden osalta häiriönhallinnan päällikkö ja henkilötietojen osalta tietosuojavastaava.

Kynnysarvot eivät ole samat

Kolmen regimen merkittävyystestit eroavat, eikä yhtä voi käyttää toisen korvikkeena.

• DORA. Merkittävyys arvioidaan komission teknisen sääntelystandardin kriteereillä: vaikutus asiakkaisiin ja tapahtumiin, tietojen menetys, kriittisten palvelujen vaarantuminen, kesto ja käyttökatkos, maantieteellinen laajuus, taloudellinen vaikutus ja maineelliset seuraukset. Kyse on määrällisistä kynnysarvoista, ei harkinnasta.
• NIS2. Poikkeama on merkittävä, jos se on aiheuttanut tai voi aiheuttaa vakavan toiminnallisen häiriön tai taloudellista menetystä, tai jos se on aiheuttanut muille huomattavaa aineellista tai aineetonta vahinkoa (23 art. 3 k.).
• GDPR. Ratkaisevaa on riski rekisteröidyn oikeuksille, ei liiketoiminnalle. Pieni, taloudellisesti merkityksetön vuoto voi olla korkean riskin loukkaus, jos se koskee esimerkiksi terveystietoja.

Tästä seuraa yksi käytännön johtopäätös: pieni poikkeama voi olla ilmoitettava GDPR:n mukaan mutta jäädä DORA:n kynnyksen alle, ja iso käyttökatkos ilman henkilötietoja on DORA-ilmoitus mutta ei GDPR-ilmoitus. Älä anna yhden luokittelun ratkaista kaikkea.

Yleisimmät virheet

Auditoinneissa toistuvat samat neljä virhettä. Ensimmäinen on ilmoituskellon käynnistäminen vasta, kun tapahtuma on täysin selvitetty – kaikki kolme sääntelyä sallivat nimenomaan vaiheittaisen ilmoittamisen keskeneräisestä tilanteesta. Toinen on käsittelijäketjun unohtaminen: pilvipalvelun tai ulkoistuskumppanin havaitsema poikkeama tavoittaa sinut liian myöhään, jos käsittelysopimuksessa ei ole sovittu lyhyestä ilmoitusmääräajasta. Sovi 24 tuntia tai tiukempi. Kolmas on olettaa, että DORA-ilmoitus kattaa GDPR-velvoitteen. Se ei kata. Neljäs on prosessin harjoittelematta jättäminen: 4 tunnin määräaikaan ei ehdi, jos päivystysjärjestely rakennetaan vasta tapahtuman aikana.

Ilmoitusvelvollisuuksien teollistaminen – tapahtumakortti, määräaikojen laskenta, rekisteri ja todistusaineisto – on juuri sitä työtä, jota vaatimustenmukaisuusalusta tekee automaattisesti. Legiscope hoitaa tietosuojan ydinvelvoitteet EU-isännöinnissä; DORA-puolen työkaluvaihtoehdot on vertailtu artikkelissa paras DORA-ohjelmisto.

Usein kysytyt kysymykset

Pitääkö sama poikkeama ilmoittaa sekä Finanssivalvonnalle että Traficomille?

Ei. DORA on finanssisektorilla erityissääntelyä, ja NIS2:n 4 artikla väistää sen tieltä poikkeamaraportoinnin osalta. Finanssitoimija raportoi merkittävän ICT-poikkeaman Finanssivalvonnalle. Jos toimijalla on NIS2:n alaista toimintaa DORA:n soveltamisalan ulkopuolella, kyseinen toiminta raportoidaan erikseen.

Korvaako DORA-ilmoitus GDPR:n 33 artiklan ilmoituksen?

Ei missään tilanteessa. GDPR suojaa rekisteröityjen oikeuksia ja on itsenäinen velvoite. Jos merkittävä ICT-poikkeama koskee henkilötietoja, teet molemmat ilmoitukset.

Mistä hetkestä DORA:n 4 tunnin määräaika lasketaan?

Siitä, kun poikkeama on luokiteltu merkittäväksi. Takaraja on kuitenkin 24 tuntia havaitsemisesta, joten luokittelua ei voi lykätä määräajan pidentämiseksi.

Mitä jos emme tiedä 72 tunnissa, koskiko poikkeama henkilötietoja?

Tee ilmoitus silti. GDPR:n 33 artiklan 4 kohta sallii vaiheittaisen ilmoittamisen, ja myöhästyneeseen ilmoitukseen on liitettävä perustelu. Perusteltu epävarmuus on hyväksyttävämpi kuin perusteeton viive.

Kuka vastaa ilmoituksista organisaatiossa?

Vastuu on viime kädessä ylimmällä johdolla. DORA:n 5 artikla asettaa ICT-riskien hallinnan ja siten myös poikkeamaprosessin nimenomaisesti hallituksen vastuulle; tästä lisää artikkelissa DORA:n ICT-riskienhallinnan viitekehys.

Yhteenveto

Sama kyberhäiriö voi laukaista kolme eri ilmoitusvelvollisuutta kolmelle eri viranomaiselle kolmessa eri määräajassa. DORA vie ilmoituksen Finanssivalvonnalle 4 tunnissa luokittelusta, NIS2 Traficomin Kyberturvallisuuskeskukselle 24 tunnissa ja GDPR Tietosuojavaltuutetun toimistolle 72 tunnissa. DORA syrjäyttää NIS2:n finanssisektorilla, mutta GDPR ei väisty koskaan. Rakenna yksi havainto- ja luokitteluprosessi, kolme valmista ilmoituspohjaa ja yksi rekisteri – ja harjoittele se ennen kuin sitä tarvitaan. Viralliset tekstit: DORA EUR-Lexissä, NIS2-direktiivi ja Tietosuojavaltuutetun toimiston ilmoitusohje.

Viimeksi tarkistettu: heinäkuu 2026.