NIS2: riskienhallinta ja turvatoimet

Yhdessä lauseessa: NIS2-direktiivin (EU) 2022/2555 21 artiklan 2 kohta luettelee kymmenen vähimmäistoimenpidettä, jotka jokaisen keskeisen ja tärkeän toimijan on toteutettava all-hazards-periaatteella ja oikeasuhtaisesti, ja 20 artikla asettaa niiden hyväksymisen ja valvonnan ylimmän johdon henkilökohtaiselle vastuulle.

Tässä käydään läpi jokainen kymmenestä toimenpiteestä, mitä ne tarkoittavat auditoinnissa ja miksi toimitusketju sekä johdon vastuu ovat NIS2:n kaksi todellista uutuutta. Kansallinen kehys on kuvattu artikkelissa NIS2 Suomessa, ja luokitus keskeiseksi tai tärkeäksi toimijaksi artikkelissa NIS2:n keskeiset ja tärkeät toimijat.

Keskeiset huomiot

• 21 artiklan velvoitteet ovat identtiset keskeisille ja tärkeille toimijoille – luokka vaikuttaa vain valvontaan ja seuraamuksiin.
• Lähestymistapa on all-hazards: kyberuhkien lisäksi fyysiset uhat, laiterikot, luonnonilmiöt ja henkilöstöriskit.
• Oikeasuhtaisuus (21 art. 1 kohta) arvioidaan altistumisen, koon, todennäköisyyden ja yhteiskunnallisen vaikutuksen perusteella – ei budjetin.
• Toimitusketjun turvallisuus (21 art. 3 kohta) ulottaa vastuun suoriin toimittajiin ja palveluntarjoajiin.
• 20 artikla: johto hyväksyy toimet, valvoo niitä, voidaan asettaa vastuuseen laiminlyönnistä ja on velvollinen osallistumaan koulutukseen.

Mitä “all-hazards” tarkoittaa käytännössä?

21 artiklan 1 kohta edellyttää asianmukaisia ja oikeasuhtaisia teknisiä, operatiivisia ja organisatorisia toimenpiteitä, joilla hallitaan verkko- ja tietojärjestelmien turvallisuuteen kohdistuvia riskejä ja estetään tai minimoidaan poikkeamien vaikutuksia palvelun vastaanottajiin.

All-hazards-lähestymistapa laajentaa riskikatsauksen yli kyberhyökkäysten. Auditoinnissa tämä näkyy kysymyksinä, joita perinteinen tietoturvapolitiikka ei kata: mitä tapahtuu, jos konesalin jäähdytys pettää heinäkuussa? Entä jos ainoa henkilö, joka osaa palauttaa varmuuskopiot, irtisanoutuu? Entä jos siivousliike pääsee palvelinhuoneeseen ilman valvontaa? Fyysinen turvallisuus, henkilöstöturvallisuus ja jatkuvuus ovat NIS2:ssa samalla viivalla palomuurin kanssa.

Oikeasuhtaisuus arvioidaan 21 artiklan 1 kohdan toisen alakohdan kriteereillä: toimijan altistuminen riskeille, koko, poikkeamien todennäköisyys ja vakavuus sekä niiden yhteiskunnallinen ja taloudellinen vaikutus. Huomaa, mitä listalta puuttuu: käytettävissä oleva budjetti. Oikeasuhtaisuus ei ole kustannusargumentti.

Kymmenen vähimmäistoimenpidettä (21 art. 2 kohta)

Kohta	Toimenpide	Mitä auditoinnissa katsotaan
a	Riskianalyysi ja tietojärjestelmien turvallisuuspolitiikat	Hyväksytty politiikka, riskirekisteri, päivityssykli
b	Poikkeamien käsittely	Havaitseminen, luokittelu, eskalointi, ilmoitusprosessi
c	Toiminnan jatkuvuus: varmuuskopiointi, palautuminen ja kriisinhallinta	RTO/RPO, testatut palautukset, kriisiorganisaatio
d	Toimitusketjun turvallisuus	Toimittajarekisteri, riskiluokittelu, sopimusehdot
e	Turvallisuus hankinnassa, kehittämisessä ja ylläpidossa, haavoittuvuuksien käsittely ja julkistaminen	Secure SDLC, patch-prosessi, haavoittuvuuksien vastaanottokanava
f	Menettelyt riskienhallintatoimien vaikuttavuuden arvioimiseksi	Mittarit, sisäiset auditoinnit, testit
g	Kyberhygienian perustaso ja kyberturvallisuuskoulutus	Koulutusrekisteri, kalasteluharjoitukset
h	Salausta ja tarvittaessa salakirjoitusta koskevat politiikat	Salauskäytäntö levossa ja siirrossa, avaintenhallinta
i	Henkilöstöturvallisuus, pääsynhallinta ja omaisuudenhallinta	Roolipohjaiset oikeudet, katselmoinnit, laiterekisteri
j	Monivaiheinen tunnistautuminen, suojatut viestintäratkaisut ja hätäviestintäjärjestelmät	MFA-kattavuus, varaviestintäkanava

Kaksi huomiota luettelosta. Ensinnäkin kohta (e) sisältää haavoittuvuuksien käsittelyn ja julkistamisen – toimijalla on oltava kanava, jonka kautta ulkopuolinen tutkija voi ilmoittaa löydöksestä. Tämä puuttuu edelleen useimmilta suomalaisilta keskisuurilta toimijoilta. Toiseksi kohta (j) mainitsee hätäviestintäjärjestelmät: jos kiristyshaittaohjelma vie sähköpostin ja Teamsin, kriisiorganisaation on silti tavoitettava toisensa. Tämä on halpa korjata etukäteen ja mahdoton korjata kriisin aikana.

Kohta (e) limittyy suoraan GDPR:n sisäänrakennetun ja oletusarvoisen tietosuojan kanssa: sama turvallinen kehitysprosessi palvelee molempia velvoitteita, ja kohta (b) taas määrittää sen, ehditkö NIS2:n 24 ja 72 tunnin ilmoitusmääräaikoihin.

Komissio on täsmentänyt vaatimuksia teknisellä tasolla täytäntöönpanoasetuksella (EU) 2024/2690 digitaalisen infrastruktuurin ja TVT-palvelujen tarjoajille. Muille toimialoille se on paras saatavilla oleva tulkintalähde siitä, mitä 21 artiklan toimenpiteiltä konkreettisesti odotetaan. Direktiivin teksti on luettavissa EUR-Lexissä, ja käytännön ohjeistusta julkaisee ENISA.

Toimitusketjun turvallisuus: NIS2:n vaikein kohta

21 artiklan 3 kohta on lyhyt mutta laajakantoinen. Toimijoiden on otettava huomioon kunkin suoran toimittajan tai palveluntarjoajan haavoittuvuudet ja niiden tuotteiden ja palvelujen kokonaislaatu sekä toimittajan kyberturvallisuuskäytännöt, mukaan lukien turvallisen kehittämisen menettelyt.

Kolme asiaa, jotka tästä seuraa käytännössä:

Toimittajarekisteri on pakollinen edellytys. Et voi arvioida toimittajariskiä, jos et tiedä keitä toimittajasi ovat. Aloita kartoituksesta, joka kattaa vähintään järjestelmän, palvelun, käsiteltävät tiedot, pääsytason ja kriittisyyden. Tämä on sama tietopohja, jonka GDPR vaatii käsittelytoimien selosteeseen – kannattaa rakentaa yksi rekisteri, ei kahta.

Sopimusehdot on päivitettävä. Toimittajan on sitouduttava turvatasoon, poikkeamien ilmoittamiseen lyhyessä määräajassa ja auditointioikeuteen. Jos toimittaja käsittelee henkilötietoja, sama sopimus kantaa myös GDPR:n käsittelysopimuksen 28 artiklan velvoitteet. Yhdistetty liite on tehokkaampi kuin kaksi erillistä sopimusta.

“Suora” ei tarkoita vain ensimmäistä tasoa. Vaikka velvoite kohdistuu suoriin toimittajiin, kriittisen toimittajan oma alihankintaketju on osa sen kyberturvallisuuskäytäntöjä. SaaS-toimittajan käyttämä pilvi-infrastruktuuri kuuluu arvioitavaan kokonaisuuteen.

Toimitusketjun riskiarvio kannattaa tehdä samalla rakenteella kuin GDPR:n vaikutustenarviointi: tunnistettu riski, todennäköisyys, vaikutus, hallintatoimenpide, jäännösriski. Finanssialalla vastaava velvoite tulee DORA-asetuksesta huomattavasti yksityiskohtaisempana – katso DORA ja ICT-riskienhallinta ja rajanveto artikkelista DORA vs NIS2.

Johdon vastuu (20 artikla): mitä se todella tarkoittaa?

20 artikla on NIS2:n suurin muutos edeltäjäänsä nähden. Se asettaa ylimmälle hallintoelimelle kolme velvoitetta:

1. Hyväksyä 21 artiklan mukaiset riskienhallintatoimenpiteet.
2. Valvoa niiden täytäntöönpanoa.
3. Osallistua säännöllisesti koulutukseen ja tarjota vastaavaa koulutusta henkilöstölle riittävän kyberturvallisuusosaamisen hankkimiseksi.

20 artiklan 1 kohta toteaa nimenomaisesti, että johtoon kuuluvat voidaan asettaa vastuuseen velvoitteiden noudattamatta jättämisestä. Keskeisen toimijan osalta 32 artiklan 5 kohta antaa valvovalle viranomaiselle oikeuden kieltää väliaikaisesti toimitusjohtajaa tai laillista edustajaa toimimasta johtotehtävissä, kunnes puutteet on korjattu. Tämä toimivalta ei koske tärkeitä toimijoita.

Käytännössä velvoite kaatuu dokumentaatioon. Kun valvova viranomainen kysyy, miten johto on hyväksynyt riskienhallintatoimet, riittävä vastaus on hallituksen tai johtoryhmän pöytäkirja, jossa toimenpiteet on käsitelty nimeltä ja päätös on kirjattu. Riittämätön vastaus on “asia on käsitelty IT-ohjausryhmässä”. Kolme konkreettista minimivaatimusta:

• Pöytäkirjamerkintä riskienhallinnan toimintamallin hyväksymisestä, päivämäärällä ja versionumerolla.
• Säännöllinen raportointi johdolle: poikkeamat, haavoittuvuudet, toimittajariskit, mittarit. Vähintään neljännesvuosittain.
• Koulutusrekisteri, joka kattaa myös hallituksen jäsenet. Johdon koulutus on 20 artiklan 2 kohdan nimenomainen velvoite, ei suositus.

Tämä vastuurakenne muistuttaa vahvasti GDPR:n osoitusvelvollisuutta ja tietosuojavastaavan raportointiasemaa. Ero on siinä, että NIS2:ssa vastuu ei ole delegoitavissa asiantuntijalle: johto ei voi siirtää hyväksyntävelvoitettaan tietoturvapäällikölle.

Näin toimintamalli rakennetaan

1. Soveltamisalan ja luokan vahvistus. Keskeinen vai tärkeä toimija, mitkä palvelut kuuluvat piiriin.
2. Omaisuuden ja toimittajien kartoitus. Ilman rekisteriä ei ole riskianalyysia.
3. Riskianalyysi all-hazards-periaatteella. Kyber, fyysinen, henkilöstö, jatkuvuus.
4. Kymmenen toimenpiteen aukkoanalyysi. Kohta kohdalta: onko olemassa, onko dokumentoitu, onko testattu.
5. Kirjallinen toimintamalli ja johdon hyväksyntä. Pöytäkirjaan.
6. Vaikuttavuuden mittaus (kohta f). Mittarit, sisäiset auditoinnit, testit – ja korjaussykli.

Tämän ylläpito on jatkuvaa työtä, ei projekti: toimittajat vaihtuvat, riskit muuttuvat ja johdon raportointi toistuu. Sitä varten on olemassa NIS2-compliance-ohjelmistoja, jotka pitävät rekisterit, hyväksynnät ja auditointijäljen yhdessä paikassa. Sama tietopohja palvelee GDPR-velvoitteita – yhdistetty rekisterien hallinta on käytännössä ainoa tapa pitää molemmat ajan tasalla ilman kaksinkertaista työtä. Laajempi kansallinen kuva löytyy oppaasta tietosuoja Suomessa.

Usein kysytyt kysymykset

Riittääkö ISO 27001 -sertifikaatti NIS2-vaatimusten täyttämiseen?

Ei automaattisesti, mutta se kattaa suuren osan 21 artiklan 2 kohdan toimenpiteistä. Tyypilliset aukot ovat toimitusketjun arviointi kohdan (d) laajuudessa, haavoittuvuuksien julkistamiskanava kohdassa (e), hätäviestintä kohdassa (j) ja 20 artiklan mukainen johdon dokumentoitu hyväksyntä. 25 artikla kannustaa nimenomaisesti eurooppalaisten ja kansainvälisten standardien käyttöön.

Ovatko velvoitteet kevyemmät tärkeälle toimijalle?

Eivät. 21 artiklan velvoitteet ovat samat molemmille luokille. Ero on valvonnassa (ennakollinen vs. jälkikäteinen) ja seuraamusmaksun katossa.

Mitä toimitusketjun turvallisuus vaatii minimissään?

Ajantasainen toimittajarekisteri, toimittajien riskiluokittelu kriittisyyden mukaan, kyberturvallisuusehdot sopimuksissa kriittisille toimittajille sekä poikkeamien ilmoitusvelvoite lyhyellä määräajalla. Arvio on dokumentoitava ja päivitettävä säännöllisesti.

Voiko johto delegoida NIS2-vastuunsa?

Toteutuksen voi delegoida, hyväksynnän ja valvonnan ei. 20 artikla kohdistuu nimenomaisesti ylimpään hallintoelimeen, ja se voidaan asettaa vastuuseen laiminlyönnistä. Keskeisen toimijan johtohenkilölle voidaan lisäksi määrätä väliaikainen toimintakielto.

Miten usein riskianalyysi on päivitettävä?

Direktiivi ei aseta kiinteää sykliä, mutta 21 artiklan 2 kohdan f alakohta edellyttää menettelyjä toimenpiteiden vaikuttavuuden arvioimiseksi. Käytännön minimi on vuosittainen katselmointi sekä päivitys aina merkittävän poikkeaman, arkkitehtuurimuutoksen tai uuden kriittisen toimittajan jälkeen.

Yhteenveto

NIS2:n riskienhallinta ei ole uusi standardi vaan tuttu tietoturvatyö kolmella lisävaatimuksella: all-hazards-laajuus, dokumentoitu toimitusketjun arviointi ja johdon henkilökohtainen, delegoimaton vastuu. Käy 21 artiklan kymmenen kohtaa läpi aukkoanalyysinä, kirjaa tulos toimintamalliksi ja vie se johdon hyväksyttäväksi pöytäkirjaan asti. Sen jälkeen rakenna poikkeamien ilmoitusprosessi – hyvä riskienhallinta vähentää ilmoitettavia poikkeamia, mutta ei poista niitä.

Viimeksi tarkistettu: heinäkuu 2026.