NIS2 pantiin Suomessa täytäntöön kyberturvallisuuslailla, joka tuli voimaan 8.4.2025. Se velvoittaa yhteiskunnan kriittisten toimialojen toimijat hallitsemaan kyberturvallisuusriskejä ja raportoimaan merkittävät poikkeamat valvovalle viranomaiselle. Valvonta on toimialakohtaista. Traficomin Kyberturvallisuuskeskus hoitaa myös kansallisen keskitetyn yhteyspisteen ja CSIRT-toiminnan tehtäviä, mutta kaikki toimijat eivät ilmoittaudu Traficomin valvomaan toimijaluetteloon. Lain alkaessa soveltamisalaan kuuluneille vuoden 2025 siirtymäajat olivat kuukauden rekisteröitymiseen ja kolmen kuukauden toimintamalliin. Myöhemmin soveltamisalaan tulevan toimijan määräajat lasketaan sen oman tilanteen mukaan. Tässä oppaassa käydään läpi, keitä laki koskee ja mitä se edellyttää.
Mikä on NIS2 ja kyberturvallisuuslaki?
NIS2-direktiivi (2022/2555) on EU:n kyberturvallisuusdirektiivi, joka korvaa aiemman NIS-direktiivin ja laajentaa velvoitteet merkittävästi useammalle toimialalle. Suomessa direktiivi pantiin täytäntöön kansallisella kyberturvallisuuslailla. Laki asettaa soveltamisalaan kuuluville toimijoille suhteutettavat riskienhallintavelvoitteet, sekä velvoitteen ilmoittaa merkittävistä poikkeamista.
Virallinen tieto löytyy Traficomin Kyberturvallisuuskeskuksen sivuilta. Soveltamisala, toimialat ja valvontavastuut on tarkistettava ajantasaisesta kyberturvallisuuslaista sekä Traficomin NIS2-ohjeesta.
Keitä NIS2 koskee?
NIS2 jakaa toimijat kahteen luokkaan, joilla on eri tason valvonta ja seuraamukset: keskeiset toimijat (essential entities) ja muut soveltamisalaan kuuluvat toimijat (important entities). Luokitteluun vaikuttavat toimiala ja yrityksen koko. Direktiivin toimialoihin kuuluvat muun muassa energia, liikenne, terveydenhuolto, digitaalinen infrastruktuuri, julkishallinto, vesihuolto, jätehuolto ja elintarvikkeet. Perusteet: NIS2:n keskeiset ja tärkeät toimijat.
Traficom valvoo esimerkiksi useita digitaalisen infrastruktuurin, digitaalisten palvelujen, TVT-palvelujen hallinnan, liikenteen, postin ja avaruusalan toimijaryhmiä. Muilla aloilla valvontatehtävät kuuluvat muille viranomaisille. Julkishallinnon NIS2-säännöksiä on myös tiedonhallintalaissa, joten yksittäisen julkisen toimijan soveltamisala on tarkistettava siitä erikseen.
Keskeiset velvoitteet ja määräajat
| Velvoite | Määräaika 2025 | Sisältö |
|---|---|---|
| Toimijaluetteloon ilmoittautuminen | Lain voimaantulosta tai soveltamiskriteerin täyttymisestä laskettava määräaika | Oman toimialan valvovan viranomaisen luettelo |
| Riskienhallinnan toimintamalli | Kolmen kuukauden kuluessa lain voimaantulosta tai kriteerin täyttymisestä | Ajantasainen riskienhallinnan toimintamalli |
| Poikkeamien raportointi | Jatkuva | Varhaisvaroitus ilman aiheetonta viivytystä, viimeistään 24 h tietoisuudesta; jatkoilmoitukset erikseen |
| Toimitusketjun turvallisuus | Jatkuva | Alihankkijoiden riskien hallinta |
| Johdon vastuu | Jatkuva | Johto hyväksyy ja valvoo toimenpiteet |
Poikkeamaraportoinnissa noudatetaan vaiheittaista mallia: varhaisvaroitus ilman aiheetonta viivytystä ja viimeistään 24 tunnin kuluessa merkittävästä poikkeamasta tietoiseksi tulemisesta, tarkempi poikkeamailmoitus ja loppuraportti. Katso NIS2-poikkeamaraportointi ja riskienhallinnan periaatteet NIS2-riskienhallinnasta.
Seuraamukset
NIS2:n seuraamukset ovat merkittävät ja porrastettu toimijaluokan mukaan. Keskeisen toimijan laissa säädetty enimmäistaso on 10 miljoonaa euroa tai 2 % maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta ja muun toimijan 7 miljoonaa euroa tai 1,4 %, kummassakin tapauksessa suurempi määrä. Maksu edellyttää laissa mainittuja perusteita; se ei seuraa automaattisesti puutteesta. Katso NIS2:n seuraamuksia koskeva lain 5 luku.
NIS2 ja GDPR limittyvät
Sama tietoturvapoikkeama voi olla samanaikaisesti NIS2:n kyberturvallisuuspoikkeama ja GDPR:n henkilötietojen tietoturvaloukkaus. Jos kummankin säädöksen ilmoituskynnys täyttyy, syntyy erilliset ilmoitusvelvoitteet eri viranomaisille ja määräajoissa: kyberturvallisuuspoikkeama toimialan valvovalle viranomaiselle ja henkilötietoloukkaus tietosuojavaltuutetulle. Yhtenäinen poikkeamien luokittelu ja yksi loukkausten käsittelyprosessi ja loukkausrekisteri säästää työtä – katso poikkeamaraportointi DORA, NIS2 ja GDPR ja erot NIS2:n ja GDPR:n. GDPR-poikkeaman sisäinen dokumentointi voi auttaa erillistä tietosuojaprosessia. NIS2-luokittelua ja viranomaisilmoitusta ei pidä olettaa saman työkalun ominaisuuksiksi. Työkaluvertailu: paras NIS2-ohjelmisto.
Toimialat ja toimijaluokan määrittäminen Suomessa
NIS2 jakaa velvoitetut toimijat kahteen luokkaan toimialan ja koon perusteella. Direktiivin liitteet osoittavat toimialat, mutta luokka ei ratkea pelkän toimialan perusteella: myös toimijatyypillä, koolla ja erityissäännöillä on merkitystä. Suomen laissa käytetään termiä keskeinen toimija. Kokorajat (yleensä keskisuuri yritys ja sitä suuremmat) vaikuttavat luokitteluun, mutta eräät toimijat kuuluvat soveltamisalaan kokoon katsomatta.
| Luokka | Toimialoja |
|---|---|
| Liitteen I toimialoja | Energia, liikenne, pankkitoiminta, finanssimarkkinoiden infrastruktuuri, terveydenhuolto, juoma- ja jätevesi, digitaalinen infrastruktuuri, TVT-palvelujen hallinta, julkishallinto, avaruusala |
| Liitteen II toimialoja | Posti- ja kuriiripalvelut, jätehuolto, kemikaalit, elintarvikkeet, valmistava teollisuus (mm. lääkinnälliset laitteet, elektroniikka, koneet, ajoneuvot), digitaaliset palvelut (verkossa toimivat markkinapaikat, hakukoneet, sosiaaliset alustat), tutkimus |
Ero luokkien välillä ei ole vain muodollinen: keskeisiin toimijoihin voidaan kohdistaa myös ennakollista valvontaa, kun taas muita toimijoita valvotaan pääsääntöisesti jälkikäteisesti. Tarkempi luokittelulogiikka: NIS2:n keskeiset ja tärkeät toimijat ja kokonaiskuva kyberturvallisuuslaista.
Riskienhallinnan vähimmäistoimet
Kyberturvallisuuslaki edellyttää, että velvoitetut toimijat toteuttavat oikeasuhtaiset tekniset ja organisatoriset toimet kyberturvallisuusriskien hallitsemiseksi. NIS2-direktiivin 21 artiklan mukainen vähimmäistaso kattaa muun muassa:
- riskienhallinnan ja tietojärjestelmien turvallisuuspolitiikat
- poikkeamien käsittelyn ja havainnoinnin
- toiminnan jatkuvuuden, varmuuskopioinnin ja kriisinhallinnan
- toimitusketjun turvallisuuden ja alihankkijoiden riskien hallinnan
- turvallisuuden järjestelmien hankinnassa, kehittämisessä ja ylläpidossa (vrt. sisäänrakennettu tietosuoja)
- menettelyt toimien vaikuttavuuden arvioimiseksi
- kyberhygienian perustason ja henkilöstön koulutuksen
- salauksen ja tarvittaessa vahvan tunnistautumisen käytön
- pääsynhallinnan ja omaisuudenhallinnan
Näiden toimien on oltava kirjallisesti dokumentoituja riskienhallinnan toimintamallissa, jonka alkuperäinen siirtymäaika päättyi 8.7.2025 jo soveltamisalaan kuuluneilla toimijoilla. Periaatteet: NIS2-riskienhallinta.
Poikkeaman raportointi vaiheittain
Merkittävästä poikkeamasta on ilmoitettava valvovalle viranomaiselle vaiheittain. Ensimmäinen vaihe on varhaisvaroitus ilman aiheetonta viivytystä ja viimeistään 24 tunnin kuluessa merkittävän poikkeaman havaitsemisesta. Sitä seuraa tarkempi poikkeamailmoitus, jossa kuvataan tapahtuma ja sen vaikutukset, ja lopuksi loppuraportti, jossa esitetään syyt, vaikutukset ja korjaavat toimet. Kyberturvallisuuslain 11 §:n mukaan merkittävä poikkeama on aiheuttanut tai voi aiheuttaa vakavan palvelujen toimintahäiriön tai huomattavia taloudellisia tappioita toimijalle, taikka se on aiheuttanut tai voi aiheuttaa muille luonnollisille henkilöille tai oikeushenkilöille huomattavaa aineellista tai aineetonta vahinkoa. Tarkista lisäksi soveltuvat EU:n täytäntöönpanosäädöksen tarkentamat merkittävyyskriteerit ja oman toimialan valvojan ohjeet. Vaiheittainen malli: NIS2-poikkeamaraportointi.
Näin valmistaudut NIS2:een
Käytännön valmistautuminen etenee järjestelmällisesti:
- Soveltuvuuden arviointi. Selvitä lain perusteella, kuulutko soveltamisalaan ja oletko keskeinen toimija.
- Ilmoittautuminen toimijaluetteloon. Ilmoittaudu oman toimialasi valvovan viranomaisen luetteloon sovellettavassa määräajassa; jo lain voimaantulon hetkellä velvoitetuille alkuperäinen määräaika oli 8.5.2025.
- Riskiarvio ja toimintamalli. Laadi lain 8 §:n mukainen toimintamalli, jonka alkuperäinen kolmen kuukauden siirtymäaika päättyi 8.7.2025; myöhemmin soveltamisalaan tulevalle määräaika lasketaan erikseen.
- Poikkeamaprosessi. Rakenna havainnointi- ja ilmoitusprosessi 24 tunnin ennakkoilmoitusta varten.
- Toimitusketju. Arvioi kriittisten alihankkijoiden ja ICT-toimittajien riskit.
- Johdon vastuu. Varmista, että johto hyväksyy ja valvoo toimenpiteet – johdolla on laissa omat velvollisuutensa, mutta seuraamus riippuu sovellettavasta säännöksestä ja menettelystä.
NIS2 ja DORA finanssisektorilla
Finanssitoimijoilla NIS2 ja DORA voivat molemmat tulla sovellettaviksi, mutta DORA on finanssisektorin erityissääntelyä (lex specialis): päällekkäisyys arvioidaan NIS2-direktiivin 4 artiklan ja DORA:n säännösten mukaan velvoitekohtaisesti. DORA:n erityiset ICT-riskienhallinnan ja poikkeamailmoittamisen säännökset ovat keskeisiä, mutta siitä ei seuraa, että kaikki NIS2:een liittyvät kysymykset poistuisivat automaattisesti. Suomessa Finanssivalvonta on keskeinen DORA:n toimivaltainen viranomainen omille valvottavilleen; toimijan tilanne pitää tarkistaa erikseen. Erot ja rajanveto: DORA Suomessa ja DORA vs NIS2. Työkalupuolella finanssitoimijan kannattaa vertailla parasta DORA-ohjelmistoa.
Johdon vastuu ja henkilöstön rooli
NIS2 korostaa johdon velvollisuuksia riskienhallinnassa. Suomen kyberturvallisuuslain 10 §:n mukaan johto hyväksyy riskienhallinnan toimintamallin, järjestää ja valvoo sen toteuttamisen sekä ylläpitää riittävää perehtyneisyyttä kyberturvallisuuden riskienhallintaan. Säännöllinen koulutus voi olla käytännön keino ylläpitää perehtyneisyyttä; Suomen pykälä ei määrää johdolle tiettyä koulutusrytmiä. NIS2-direktiivin johdon koulutusta koskeva säännös on erotettava kansallisen lain sanamuodosta. Laiminlyönneillä voi olla johdolle seurauksia sovellettavien kansallisten säännösten ja valvontamenettelyn mukaan; yksittäisen johtajan henkilökohtaista maksua tai tehtäväkieltoa ei pidä johtaa pelkästä organisaation poikkeamasta. Tämä nostaa kyberturvallisuuden hallituksen ja johtoryhmän agendalle: kyse ei ole enää pelkästään IT-osaston tehtävästä.
Henkilöstön koulutus on osa 21 artiklan vähimmäistoimia. Kyberhygienian perustaso – vahvat tunnukset, päivitykset ja tietojenkalastelun tunnistaminen – edellytetään koko organisaatiolta, koska suuri osa poikkeamista alkaa inhimillisestä virheestä. Käytännössä johdon vastuu ja henkilöstön koulutus muodostavat NIS2:n hallinnollisen selkärangan: ilman johdon sitoutumista tekniset toimet jäävät helposti puolitiehen, ja ilman koulutettua henkilöstöä parhaatkin järjestelmät vaarantuvat arjen virheistä.
Valvonta ja täytäntöönpano Suomessa
Toimialan valvovalla viranomaisella on käytössään porrastettuja valvontakeinoja. Keskeisiin toimijoihin voidaan kohdistaa ennakollisia tarkastuksia ja auditointeja, kun taas muita soveltamisalaan kuuluvia toimijoita valvotaan pääosin jälkikäteen poikkeamien ja ilmoitusten perusteella. Keinovalikoimaan kuuluvat ohjeet, määräykset, varoitukset ja viime kädessä edellä kuvatut hallinnolliset seuraamusmaksut. Traficom toimii keskitettynä yhteyspisteenä ja CSIRT-yksikkönä, joka tukee toimijoita poikkeamatilanteissa ja jakaa tilannekuvaa. CSIRT-yksikön rooli on kaksitahoinen: se ei ainoastaan vastaanota ilmoituksia vaan myös varoittaa toimijoita ajankohtaisista uhkista ja koordinoi laajojen poikkeamien käsittelyä kansallisesti. Toimivan poikkeamaprosessin ohella toimijan kannattaa siksi ylläpitää suoraa yhteyttä keskukseen. Ohjelmiston valintaa käsitellään erikseen ostajan oppaassa.
Tarkista soveltamisala ennen velvoiteluetteloa
Aloita palvelusta, jota organisaatio todella tarjoaa. Lain liitteen ala ei automaattisesti kata jokaista samalla toimialanimikkeellä toimivaa yritystä. Selvitä esimerkiksi, tuottaako yhtiö omaa digitaalista palvelua, hallinnoiko se asiakkaan verkkoa vai myykö se vain laitteita. Katso sitten lain 3 §:n toimijakriteerit, mahdolliset kokorajasta riippumattomat ryhmät ja tiedonhallintalain säännökset, jos kyse on julkishallinnosta. Kirjaa perustelu myös silloin, kun päätelmä on, ettei organisaatio kuulu kyseiseen ryhmään. Uusi liiketoiminta tai yrityskauppa voi muuttaa arviota.
Kuvitteellinen suomalainen ohjelmistoyhtiö ylläpitää asiakkaiden verkkokauppaa ja tarjoaa erikseen hallittua tietoturvapalvelua. Sen ei pidä päätellä NIS2-asemaa vain siitä, että kaikki palvelut ovat ”IT:tä”. Se luokittelee kunkin palvelun, toimijan koon ja mahdolliset erityissäännöt. Jos tietoturvapalvelu tuo yhtiön soveltamisalaan, se merkitsee perustelut, palvelun omistajan ja oman valvovan viranomaisen. Tämä on kuvitteellinen arviointitapa, ei päätös kyseisen yhtiön asemasta.
Valvonnan reitti ratkaisee käytännön ilmoittautumisen. Traficomin toimijaluettelo-ohje sanoo nimenomaisesti koskevansa Traficomin valvomia aloja. Energia-alan tai terveydenhuollon toimija tarkistaa oman viranomaisensa kanavan. Suomessa vuonna 2026 viranomaisrakennetta ei ole turvallista kuvata yhdellä vanhalla organisaatioluettelolla: tarkista kulloinenkin toimialakohtainen yhteystieto Traficomin ajantasaiselta NIS2-sivulta.
Riskienhallinnan toimintamallista käyttöön
Kyberturvallisuuslain 8 § ei pyydä vain politiikkakansiota. Toimintamallissa tunnistetaan verkkoihin, tietojärjestelmiin ja niiden fyysiseen ympäristöön kohdistuvat riskit, määritetään tavoitteet, menettelyt ja vastuut sekä 9 §:n hallintatoimet. Esimerkiksi palvelun jatkuvuusriskiä varten organisaatio nimeää kriittisen järjestelmän, varmuuskopioinnin omistajan, palautustestin tuloksen ja päätöksen avoimesta puutteesta. Dokumentti voidaan pitää useassa yhdistetyssä järjestelmässä, kunhan kokonaisuus on ajantasainen ja viranomaiselle osoitettavissa.
Toimitusketjun arviointi kohdistuu välittömien toimittajien palvelujen laatuun, häiriönsietokykyyn ja kyberturvallisuuskäytäntöihin. Arvioi vaikutus, jos kriittinen toimittaja menettää saatavuutensa tai vaihtaa alihankkijaa. Pyydä palautumistiedot ja testitulokset tehtävään sopivalla tarkkuudella. Kaikkien tavarantoimittajien samanlaista auditointia ei voi päätellä laista; suhteuta selvitys palvelun merkitykseen ja riskiin. Erillinen riskienhallinnan toimenpideopas auttaa muuttamaan lain luettelon omistetuiksi tehtäviksi.
Johdon pitää hyväksyä ja valvoa riskienhallintatoimet ja hankkia riittävä osaaminen. Päätösmuistiosta tulisi näkyä, mitä puutteita johto hyväksyi korjattavaksi, millä aikataululla ja miten tilannetta seurataan. Pelkkä kerran vuodessa allekirjoitettu otsikkosivu ei osoita, että hallintatoimien vaikuttavuutta on tarkasteltu. Myös henkilöstölle annettavan koulutuksen sisältö suhteutetaan tehtäviin: järjestelmän ylläpitäjän harjoitus poikkeaman eskaloinnista ei ole sama kuin yleinen tietojenkalastelun tunnistaminen.
Merkittävä poikkeama: kaksi kelloa ja oikea vastaanottaja
Harjoittele tapaus, jossa yhtiön tuotantopalvelu lakkaa toimimasta ja tutkinnassa löytyy merkkejä asiakastietojen luvattomasta käytöstä. NIS2:n merkittävyyden arviointi alkaa palveluvaikutuksesta ja lain kriteereistä. GDPR:n henkilötietojen tietoturvaloukkauksen arviointi alkaa henkilötiedoille aiheutuneesta tapahtumasta ja ihmisille koituvasta riskistä. Sama loki voi tallentaa faktat, mutta erilliset päätökset dokumentoidaan kumpaakin säädöstä varten.
NIS2-varhaisvaroituksen määräaika sidotaan merkittävästä poikkeamasta tietoiseksi tuloon, ei siihen, milloin tekninen juurisyy on lopullisesti selvä. Laki edellyttää myös myöhempää ilmoitusta ja loppuraporttia. Ilmoitus tehdään toimialan valvovalle viranomaiselle; Kyberturvallisuuskeskuksen CSIRT-rooli ei tee siitä kaikkien alojen valvojaa. GDPR-ilmoituksen kynnys ja 72 tunnin määräaika arvioidaan erikseen. Merkitse tapahtumalle molemmat tiedoksisaannin ajat, luokittelun tekijät, päätökset ja saadut uudet tiedot. Määräaikojen rinnakkaisopas auttaa suunnittelemaan harjoituksen, mutta oman viranomaisen kanava ja ajantasainen ohje ratkaisevat toimituksen.
Seuraamuksia koskeva tärkeä rajaus
Kyberturvallisuuslain 35 §:n seuraamusmaksu koskee lueteltuja velvoitteita ja edellyttää tahallisuutta tai törkeää huolimattomuutta. Lain 38 § kertoo vain enimmäismäärän. Lain 39 §:ssä on tilanteita, joissa maksua ei määrätä, ja tietyille julkisyhteisöille sitä ei voida määrätä. Siksi yleinen väite, että jokaisesta puutteesta seuraa prosenttiosuus liikevaihdosta, on virheellinen. Korjaustoimet, yhteistyö ja tapahtuman tosiseikat tulee kirjata sen sijaan, että hankintaa perusteltaisiin enimmäissakolla.
Lähteinä on tarkistettu kyberturvallisuuslaki 124/2025 ja Traficomin NIS2-ohjeet. Tämä sivu käsittelee Suomen täytäntöönpanoa; ohjelmiston valintaan on erillinen NIS2-työkalun ostajan opas.
Kun organisaatio kasvaa tai toiminta muuttuu
Lain alussa soveltamisalan ulkopuolella ollut yritys voi myöhemmin täyttää toimijakriteerit. Siksi arvio ei ole kertaluontoinen. Tuotevalikoiman laajennus, hallittujen palvelujen tarjoaminen tai yrityskauppa voi muuttaa toimijaluokkaa ja valvovaa viranomaista. Nimeä vastuuhenkilö, joka tarkistaa kriteerit liiketoimintamuutoksen yhteydessä, ja säilytä perustelut päivämäärineen. Kun kriteerit täyttyvät, laske ilmoittautumisen ja toimintamallin määräajat uuden tilanteen mukaan. Älä käytä vuoden 2025 alun siirtymäpäiviä automaattisesti vuoden 2026 uusille toimijoille.
Soveltamisalan arvioinnissa on erotettava oikeushenkilö, palvelu ja mahdollinen konsernirakenne. Samalla konsernilla voi olla useita yhtiöitä ja useita toimialoja. Yksi keskitetty tietoturvatoiminto voi auttaa kaikkia, mutta velvoitteen kohde ja ilmoituksen tekijä pitää silti nimetä oikein. Jos toimintaa harjoitetaan useassa jäsenvaltiossa, tarkista lisäksi sovellettavat lainkäyttövalta- ja yhteyspistesäännöt. Kirjaa kysymys oikeudellisen tarkastuksen kohteeksi, jos palvelun luokittelu tai kotipaikka on epäselvä.
Poikkeamaharjoituksessa kannattaa erottaa kolme päätöshetkeä. Ensin tekninen tiimi merkitsee, mitä palvelua tapahtuma koskee ja milloin se havaittiin. Sen jälkeen nimetty vastuuhenkilö arvioi, milloin organisaatio sai riittävän tiedon merkittävästä poikkeamasta ja mitä varhaisvaroitukseen voidaan jo kirjata. Lopuksi johto ja viestintä saavat tilanteen kannalta tarpeellisen tilannekuvan ilman, että keskeneräinen arvio esitetään varmana. Jokainen myöhempi muutos dokumentoidaan, sillä alkuvaiheen epävarmuus on normaalia. Harjoituksessa voidaan samalla tarkistaa, että oman toimialan viranomaisen asiointikanava toimii, varahenkilö on käytettävissä ja tekniset todisteet säilyvät tutkintaa varten. Tämä käytännön harjoitus täydentää lain vaatimusta, mutta laissa ei määrätä yhtä kaikille sopivaa lomaketta sisäiseen päätöslokiin.
Vastuut toimitusketjussa
Kyberturvallisuuslain 9 § nostaa välittömien toimittajien tuotteiden ja palvelujen laadun, häiriönsietokyvyn ja kyberturvallisuuskäytännöt arvioinnin kohteeksi. Käytännössä toimija tarvitsee ensin luettelon niistä toimittajista, joiden katkos voisi vaikuttaa omaan palveluun olennaisesti. Sen jälkeen selvitetään sopimuksen turvaehdot, vaihtoehtoinen toimintatapa ja se, miten toimittaja ilmoittaa omasta poikkeamastaan. Kaikki toimittajat eivät ole saman riskin tasolla: toimistotarviketoimittajaa ja tuotantoverkon ylläpitäjää ei pidä arvioida samalla kyselyllä vain siksi, että kumpikin on sopimusrekisterissä.
Kuvitteellinen vesihuollon toimija käyttää etävalvontayhteyttä, jonka ylläpidosta vastaa ulkoinen palvelu. Katkos voisi estää hälytyksen välittymisen, vaikka varsinainen vedenkäsittely jatkuisi paikallisesti. Riskienhallinnan toimintamalliin kirjataan riippuvuus, varayhteys, testaustulos ja vastuuhenkilö. Toimittajalta pyydetään rajattu kuvaus etäkäytön suojaamisesta ja ilmoitusmenettelystä. Jos palvelu vaihtuu, nämä tiedot tarkistetaan uudelleen. Tämä esimerkki osoittaa, miksi toimintamalli pitää kytkeä palvelujen todelliseen arkkitehtuuriin; se ei määritä vesihuollon yksittäisen toimijan oikeudellista luokkaa.
Riskienhallinnan käytännön lähtökohtana on järjestelmien riippuvuuksien kartoitus. Ilman tietoa siitä, mikä palvelu tarvitsee mitä verkkoa tai toimittajaa, jatkuvuustoimet jäävät abstrakteiksi. Tietoturvan perustoimet auttavat kuvaamaan nykytilan, mutta NIS2:n soveltamisala, oikeasuhtaisuus ja toimialakohtaiset vaatimukset on tarkistettava erikseen. Kytke havaittu puute toimintamallin vastuuhenkilöön ja toteutuksen näyttöön.
Usein kysytyt kysymykset
Milloin NIS2 tuli voimaan Suomessa?
Kansallinen kyberturvallisuuslaki tuli voimaan 8.4.2025. Alkuperäiset siirtymäajat päättyivät jo soveltamisalaan kuuluneilla 8.5.2025 ja 8.7.2025. Myöhemmin kriteerit täyttävä toimija laskee määräajat omasta tilanteestaan.
Kuka valvoo NIS2:ta Suomessa?
Oman toimialan valvova viranomainen. Traficomilla on omat valvottavat toimialansa sekä keskitetyn yhteyspisteen ja CSIRT:n tehtävät; esimerkiksi energia- ja terveysalalla valvontavastuu on muualla.
Mitä seuraa NIS2-velvoitteiden laiminlyönnistä?
Lain 38 §:n enimmäistaso on keskeiselle toimijalle 10 miljoonaa euroa tai 2 % maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta ja muulle toimijalle 7 miljoonaa euroa tai 1,4 %, kummassakin tapauksessa suurempi määrä. Maksu ei ole automaattinen: lain 35 § rajaa sen tiettyihin tahallisiin tai törkeän huolimattomiin laiminlyönteihin, ja poikkeuksia on.
Mihin toimialoihin NIS2 vaikuttaa Suomessa?
NIS2 kattaa muun muassa energian, liikenteen, terveydenhuollon, digitaalisen infrastruktuurin, julkishallinnon, vesi- ja jätehuollon, elintarvikkeet, posti- ja kuriiripalvelut, avaruusalan ja tutkimuksen. Keskeisen toimijan luokka määritetään lain toimijatyypin, koon ja poikkeussääntöjen mukaan.
Mitkä ovat NIS2:n riskienhallinnan vähimmäistoimet?
Muun muassa turvallisuuspolitiikat, poikkeamien käsittely, toiminnan jatkuvuus ja varmuuskopiointi, toimitusketjun turvallisuus, salaus ja vahva tunnistautuminen, pääsynhallinta sekä henkilöstön koulutus. Ne on dokumentoitava kirjallisessa toimintamallissa.
Mitä johdon vastuu tarkoittaa NIS2:ssa?
Suomen lain 10 §:ssä johto hyväksyy riskienhallinnan toimintamallin, järjestää ja valvoo sen toteuttamisen sekä tarvitsee riittävän perehtyneisyyden kyberturvallisuuden riskienhallintaan. Koulutus on yksi tapa ylläpitää tätä osaamista; pykälä ei määrää tiettyä osallistumistiheyttä. Mahdollinen henkilökohtainen seuraus arvioidaan erillisen sovellettavan säännöksen ja menettelyn perusteella; organisaation puute ei automaattisesti merkitse johtajan sakkoa tai tehtäväkieltoa.
Onko NIS2 sama asia kuin GDPR?
Ei. NIS2 koskee kyberturvallisuutta ja koko organisaation toimintavarmuutta, kun taas GDPR koskee henkilötietojen suojaa. Sama poikkeama voi kuitenkin laukaista molempien ilmoitusvelvollisuudet eri viranomaisille eri määräajoissa.
Yhteenveto
NIS2 pantiin Suomessa täytäntöön kyberturvallisuuslailla, joka tuli voimaan 8.4.2025. Toimialojen omat valvovat viranomaiset valvovat velvoitteita, joihin kuuluvat toimijaluetteloon ilmoittautuminen, riskienhallinnan toimintamalli, poikkeamien raportointi ja toimitusketjun turvallisuus. Koska NIS2 ja GDPR limittyvät poikkeamissa, yhtenäinen dokumentaatio kannattaa. GDPR:n ja NIS2:n mahdollinen yhteinen tapahtuma tarvitsee erilliset oikeudelliset arviot. Katso myös finanssisektorin sääntely DORA Suomessa.
Viimeksi tarkistettu: syyskuu 2026.