NIS2-poikkeamailmoitukset: 24 h ja 72 h

Yhdessä lauseessa: NIS2-direktiivin (EU) 2022/2555 23 artikla velvoittaa keskeiset ja tärkeät toimijat ilmoittamaan merkittävästä poikkeamasta kolmessa vaiheessa – ennakkovaroitus 24 tunnin, varsinainen poikkeamailmoitus 72 tunnin ja loppuraportti yhden kuukauden kuluessa – ja Suomessa ilmoitukset tehdään Traficomin Kyberturvallisuuskeskukselle.

Tämä artikkeli kertoo, mitä kussakin vaiheessa on kerrottava, mikä ylittää merkittävän poikkeaman kynnyksen ja miten NIS2-ilmoitus suhteutuu GDPR:n 72 tunnin ilmoitukseen. Kirjoitettu tietoturvapäälliköille, jotka joutuvat tekemään ensimmäisen ilmoituksen kello 03.00 puutteellisella tiedolla.

Keskeiset huomiot

• Kaikki kolme määräaikaa lasketaan poikkeaman havaitsemisesta, eivät sen alkamisesta.
• 24 tunnin ennakkovaroitus on tarkoituksella niukka: riittää, että kerrot epäiletkö laitonta tai vihamielistä tekoa ja onko rajat ylittäviä vaikutuksia.
• Merkittävyyskynnys (23 art. 3 kohta) täyttyy, jos poikkeama on aiheuttanut tai voi aiheuttaa vakavan toimintahäiriön tai taloudellista tappiota taikka huomattavaa aineellista tai aineetonta vahinkoa muille.
• Sama tapahtuma voi laukaista NIS2-ilmoituksen Traficomille ja GDPR-ilmoituksen tietosuojavaltuutetulle. Määräajat eivät ole sama asia.
• Ilmoitusvelvollisuus koskee keskeisiä ja tärkeitä toimijoita samalla tavalla – luokka ei vaikuta määräaikoihin.

Mikä on merkittävä poikkeama?

23 artiklan 3 kohta määrittelee poikkeaman merkittäväksi, jos se täyttää jommankumman ehdon:

• poikkeama on aiheuttanut tai voi aiheuttaa vakavan toimintahäiriön palveluissa tai taloudellista tappiota toimijalle itselleen; tai
• poikkeama on vaikuttanut tai voi vaikuttaa muihin luonnollisiin henkilöihin tai oikeushenkilöihin aiheuttamalla huomattavaa aineellista tai aineetonta vahinkoa.

Sana “voi aiheuttaa” on tässä ratkaiseva. Kynnys ei edellytä toteutunutta vahinkoa – potentiaali riittää. Käytännössä tämä tarkoittaa, että kiristyshaittaohjelman havaitseminen tuotantoympäristössä on ilmoitettava, vaikka palautus varmuuskopiosta onnistuisi tunnissa.

Digitaalisen infrastruktuurin ja TVT-palvelujen tarjoajille komissio on täsmentänyt kynnysarvot täytäntöönpanoasetuksella (EU) 2024/2690, joka antaa DNS-palvelun tarjoajille, pilvipalveluille, datakeskuksille, sisällönjakeluverkoille, hallintapalveluille, markkinapaikoille, hakukoneille ja sosiaalisen verkostoitumisen alustoille numeeriset raja-arvot (esimerkiksi palvelun täydellinen katkos tai tietyn käyttäjämäärän ylittävä vaikutus). Muilla toimialoilla arvio on toimijan oma, ja se on syytä kirjata ennakkoon poikkeamien luokitteluohjeeksi – vasta poikkeaman aikana tehty tulkinta on aina kiistanalainen.

Kolme määräaikaa: 24 h, 72 h, 1 kuukausi

Vaihe	Määräaika	Sisältö
Ennakkovaroitus (23 art. 4 a)	24 h havaitsemisesta	Epäilläänkö laitonta tai vihamielistä tekoa; mahdolliset rajat ylittävät vaikutukset
Poikkeamailmoitus (23 art. 4 b)	72 h havaitsemisesta	Ennakkovaroituksen päivitys, alustava arvio poikkeamasta, sen vakavuudesta ja vaikutuksista sekä mahdolliset vaarantumisindikaattorit
Väliraportti (23 art. 4 c)	Viranomaisen pyynnöstä	Tilannepäivitys
Loppuraportti (23 art. 4 d)	1 kk poikkeamailmoituksesta	Yksityiskohtainen kuvaus, uhkatyyppi ja perussyy, toteutetut ja käynnissä olevat lieventämistoimet, mahdolliset rajat ylittävät vaikutukset
Edistymisraportti (23 art. 4 e)	Jos poikkeama on kuukauden kuluttua yhä käynnissä	Loppuraportti annetaan kuukauden kuluessa poikkeaman käsittelyn päättymisestä

Määräajat ovat kalenteriaikaa. 24 tuntia ei tarkoita yhtä työpäivää, ja perjantai-iltana havaittu poikkeama on ilmoitettava viimeistään lauantai-iltana. Tämä on syy siihen, miksi ilmoitusvalmius on päivystysjärjestely eikä prosessikaavio.

Ennakkovaroituksen sisältövaatimus on tarkoituksella minimaalinen. Direktiivi ei odota, että tiedät 24 tunnissa mitä tapahtui – se odottaa, että kerrot havainneesi jotain ja arvioit alustavasti, onko kyse hyökkäyksestä ja ulottuuko se muihin jäsenvaltioihin. Ilmoituksen tekemättä jättäminen sillä perusteella, että “selvitys on kesken”, on itsenäinen rikkomus, jonka seuraamuksia käsitellään artikkelissa NIS2:n keskeiset ja tärkeät toimijat.

Loppuraportin sisältövaatimus on sen sijaan raskas. 23 artiklan 4 kohdan d alakohta edellyttää yksityiskohtaista kuvausta poikkeamasta, sen vakavuudesta ja vaikutuksista, kuvausta uhkatyypistä tai perussyystä, joka todennäköisesti laukaisi poikkeaman, sekä selostusta toteutetuista ja käynnissä olevista lieventämistoimista. Perussyyanalyysi on siis nimenomainen velvoite, ei hyvä käytäntö. Jos poikkeaman käsittely on kuukauden kuluttua yhä kesken, annetaan edistymisraportti ja varsinainen loppuraportti kuukauden kuluessa käsittelyn päättymisestä. Direktiivin teksti on luettavissa EUR-Lexissä.

Kenelle ilmoitus tehdään Suomessa?

Ilmoitus tehdään CSIRT-yksikölle tai valvovalle viranomaiselle. Suomessa molemmat roolit yhdistyvät valtaosin Traficomin Kyberturvallisuuskeskukseen, joka toimii kansallisena CSIRT-yksikkönä ja keskitettynä yhteyspisteenä. Ilmoitukset tehdään Kyberturvallisuuskeskuksen sähköisen asiointikanavan kautta; ajantasaiset ohjeet ovat Kyberturvallisuuskeskuksen NIS2-sivulla.

CSIRT-yksikön rooli ei ole pelkästään vastaanottava. 23 artiklan 5 kohta velvoittaa sen vastaamaan ennakkovaroitukseen ilman aiheetonta viivytystä ja lähtökohtaisesti 24 tunnin kuluessa: palautteessa annetaan alustavaa ohjausta ja pyynnöstä teknistä tukea. Käytännössä ensimmäinen ilmoitus kannattaa siis tehdä myös oman edun vuoksi, ei vain velvoitteen täyttämiseksi.

Jos poikkeamalla on vaikutuksia muissa jäsenvaltioissa, Kyberturvallisuuskeskus välittää tiedon niiden yhteyspisteille ja tarvittaessa ENISA:lle. Kansallinen kokonaiskuva sääntelystä on koottu artikkeliin NIS2 Suomessa.

Milloin palvelun käyttäjille on kerrottava?

23 artiklan 1 kohta sisältää usein unohdetun velvoitteen: toimijan on ilmoitettava palvelunsa käyttäjille merkittävästä poikkeamasta, jos se todennäköisesti haittaa palvelun tarjoamista. Lisäksi käyttäjille on kerrottava merkittävistä kyberuhkista sekä toimenpiteistä, joita he voivat itse tehdä suojautuakseen.

Valvova viranomainen voi 23 artiklan 7 kohdan nojalla myös velvoittaa toimijan tiedottamaan poikkeamasta julkisesti, jos yleisen tiedon saanti on tarpeen poikkeaman estämiseksi tai käsittelemiseksi. Julkinen tiedottamisvelvoite kuuluu sekä 32 että 33 artiklan valvontakeinovalikoimaan, eli se koskee keskeisiä ja tärkeitä toimijoita yhtä lailla.

NIS2, GDPR ja DORA: kolme ilmoitusta samasta tapahtumasta

Sama tietomurto voi olla samanaikaisesti NIS2:n merkittävä poikkeama, GDPR:n henkilötietojen tietoturvaloukkaus ja finanssitoimijalla DORA:n merkittävä ICT-poikkeama. Määräajat ja vastaanottajat eroavat:

Sääntely	Kynnys	Ensimmäinen määräaika	Vastaanottaja Suomessa
NIS2 (23 art.)	Merkittävä poikkeama	24 h ennakkovaroitus	Traficom / Kyberturvallisuuskeskus
GDPR (33 art.)	Riski rekisteröityjen oikeuksille	72 h	Tietosuojavaltuutetun toimisto
DORA (19 art.)	Merkittävä ICT-poikkeama	Alkuilmoitus lyhyessä määräajassa	Finanssivalvonta

Käytännön johtopäätös on yksi: yksi havainto, yksi luokitteluprosessi, useita ilmoituksia. Erilliset prosessit tuottavat ristiriitaisia ilmoituksia ja hukkaavat tunteja, joita ei ole. Rakenna tietoturvaloukkausten käsittelyprosessi ja loukkausrekisteri niin, että sama tapahtumakortti tuottaa kaikki kolme ilmoitusta. GDPR-puolen tarkat vaatimukset ovat artikkelissa tietoturvaloukkauksen ilmoittaminen 72 tunnissa, viranomaisen rooli artikkelissa tietosuojavaltuutettu ja kolmen sääntelyn vertailu artikkelissa häiriöilmoitukset DORA, NIS2 ja GDPR. Finanssitoimijan oma polku on kuvattu artikkelissa DORA-poikkeamailmoitukset.

Näin rakennat ilmoitusvalmiuden

1. Luokitteluohje etukäteen. Kirjaa, mikä sinun palveluissasi ylittää merkittävyyskynnyksen. Käytä konkreettisia mittareita: katkoksen kesto, käyttäjämäärä, tietojen luonne.
2. Havaitsemisen kellonaika kirjataan. Määräaika lasketaan siitä. Jos aloitushetkeä ei ole dokumentoitu, et voi osoittaa noudattaneesi 24 tuntia.
3. Päivystys ja eskalointi. Nimeä henkilöt, jotka voivat tehdä ilmoituksen ilman johtoryhmän kokousta. Ilmoitus ei ole viestintäpäätös.
4. Valmiit lomakepohjat. Ennakkovaroitus, poikkeamailmoitus ja loppuraportti valmiiksi täytettäviksi. 24 tunnin ilmoituksen kirjoittaminen tyhjästä kestää tunteja.
5. Yhtenäinen rekisteri. Kirjaa kaikki poikkeamat, myös ne joita ei ilmoiteta, ja perustele kynnysarvio.
6. Harjoittele. Pöytäharjoitus kahdesti vuodessa paljastaa eskalointiketjun katkot ennen kuin ne maksavat.

Prosessin ja rekisterin ylläpito on juuri sitä toistuvaa työtä, jonka NIS2-compliance-työkalut automatisoivat: määräaikakellot, ilmoituspohjat ja auditointijälki yhdessä paikassa. Riskienhallinnan puoli, joka vähentää ilmoitettavien poikkeamien määrää, on käsitelty artikkelissa NIS2:n riskienhallinta ja turvatoimet.

Usein kysytyt kysymykset

Mistä hetkestä 24 tuntia lasketaan?

Poikkeaman havaitsemisesta, ei sen alkamisesta. Havaitsemishetki on se, jolloin toimija tulee tietoiseksi merkittävästä poikkeamasta. Kirjaa hetki lokiin heti – ilman sitä et voi osoittaa noudattaneesi määräaikaa.

Mitä 24 tunnin ennakkovaroituksessa on kerrottava?

Vähintään se, epäilläänkö poikkeaman aiheutuneen laittomasta tai vihamielisestä teosta ja voiko sillä olla rajat ylittäviä vaikutuksia. Yksityiskohtia ei tarvita – ne annetaan 72 tunnin poikkeamailmoituksessa.

Onko jokaisesta poikkeamasta ilmoitettava?

Ei. Vain merkittävistä poikkeamista 23 artiklan 3 kohdan kynnysten mukaan. Kaikki poikkeamat on kuitenkin syytä kirjata sisäiseen rekisteriin kynnysarvioineen, koska valvova viranomainen voi tarkastaa luokitteluperusteet.

Korvaako NIS2-ilmoitus GDPR-ilmoituksen?

Ei. Ne ovat itsenäisiä velvoitteita eri viranomaisille eri kynnyksillä. Sama tapahtuma voi edellyttää molempia, ja määräajat kuluvat rinnakkain.

Mitä ilmoituksen laiminlyönnistä seuraa?

Ilmoitusvelvollisuuden laiminlyönti on 34 artiklan mukainen rikkomus. Keskeiselle toimijalle seuraamusmaksun katto on vähintään 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta, tärkeälle toimijalle 7 miljoonaa euroa tai 1,4 %.

Yhteenveto

NIS2:n ilmoitusrytmi on 24 tuntia – 72 tuntia – yksi kuukausi, ja kello käynnistyy havaitsemisesta. Ennakkovaroitus on tarkoituksella kevyt, joten sitä ei ole mitään syytä viivyttää tiedon puutteen vuoksi. Käytännön ero onnistuneen ja epäonnistuneen ilmoituksen välillä syntyy ennen poikkeamaa: luokitteluohje, päivystys, valmiit pohjat ja yksi yhteinen rekisteri kaikille kolmelle sääntelylle. Tarkista myös, oletko keskeinen vai tärkeä toimija – katso NIS2:n keskeiset ja tärkeät toimijat – ja finanssialalla, syrjäyttääkö DORA nämä velvoitteet.

Viimeksi tarkistettu: heinäkuu 2026.