NIS2-ohjelmiston valinta alkaa oman toiminnan ja viranomaisen tunnistamisesta. Suomen kyberturvallisuuslaki 124/2025 tuli voimaan 8.4.2025, mutta valvonta on toimialakohtaista. Hyvä ratkaisu auttaa kokoamaan riskienhallinnan toimintamallin, toimenpiteiden näytön, toimittajariippuvuudet ja merkittävän poikkeaman aikajanan. Mikään ostettavissa oleva ominaisuus ei yksin osoita lain noudattamista. Tässä oppaassa saat hankintakriteerit, joilla voit koestaa palvelun omilla tiedoillasi; Suomen oikeudellinen soveltamisala käsitellään erikseen NIS2 Suomessa -oppaassa.
Mitä NIS2 vaatii Suomessa?
NIS2 laajentaa kyberturvallisuusvelvoitteet yhteiskunnan kriittisille toimialoille. Suomessa velvoitteet tulivat voimaan 8.4.2025, ja niihin kuuluvat sovellettavaan toimijaluetteloon ilmoittautuminen ja riskienhallinnan toimintamalli; lain voimaantulon hetkellä soveltamisalaan kuuluneiden alkuperäiset siirtymäajat päättyivät 8.5. ja 8.7.2025 sekä merkittävien poikkeamien ilmoittaminen valvovalle viranomaiselle. Yksityiskohdat kansallisesta toimeenpanosta: NIS2 Suomessa.
Ohjelmiston on tuettava juuri näitä velvoitteita. Toisin kuin GDPR-työkalu, NIS2-alusta keskittyy tietoturvan hallintajärjestelmään (riskienhallinta, toimenpiteet, toimitusketjun turvallisuus) ja poikkeamaraportointiin. Katso myös perusteet NIS2:n keskeisistä ja tärkeistä toimijoista ja NIS2:n ja GDPR:n -eroista.
Vertailukriteerit NIS2-ohjelmistolle
| Kriteeri | Miksi ratkaisee | Vähimmäisvaatimus |
|---|---|---|
| Riskienhallinnan dokumentointi | Lain edellyttämä toimintamalli | Jäsennelty riskirekisteri |
| Toimenpiteiden seuranta | Vähimmäistoimet on osoitettava | Kontrollien tila ja vastuut |
| Poikkeamien raportointi | 24 h ennakkoilmoitus viranomaiselle | Ohjattu ilmoitustyönkulku |
| Toimitusketjun turvallisuus | NIS2 ulottaa vastuun alihankkijoihin | Toimittajien arviointi |
| Johdon vastuu | Johto vastaa toimenpiteistä | Raportointi ja hyväksynnät |
| Auditointijälki | Valvonta edellyttää näyttöä | Versiointi ja lokit |
Markkinan vaihtoehdot
Tarjolla on esimerkiksi tietoturvan hallinnan työkaluja, laajoja GRC-järjestelmiä sekä kapeampia poikkeama- tai toimittajaratkaisuja. Älä oleta toimittajan markkinointinimen perusteella kattavuutta. Yksi organisaatio voi tarvita vahvan palvelukatkojen seurannan, toinen vaativan toimitusketjun kartan; kummankin kannattaa pyytää näyttöä juuri omista käyttötapauksistaan. Vertaile myös nykyisten järjestelmien laajentamista, jos omistajuus ja tiedon vienti ovat jo ratkaistu.
Monelle toimijalle NIS2 ja GDPR limittyvät: poikkeama voi olla samanaikaisesti kyberturvallisuuspoikkeama ja henkilötietojen tietoturvaloukkaus. Silloin yhtenäinen dokumentaatio säästää työtä – katso poikkeamaraportointi DORA, NIS2 ja GDPR. GDPR-poikkeaman sisäinen kirjaus ja NIS2:n viranomaisilmoitus on pidettävä oikeudellisesti erillään.
NIS2:n kymmenen vähimmäistoimenpidettä ja ohjelmiston rooli
Kyberturvallisuuslaki nojaa NIS2-direktiivin 21 artiklan riskienhallinnan vähimmäistoimenpiteisiin. Direktiivin 21 artiklan luettelo auttaa tarkistamaan, että olennaiset riskienhallinnan osa-alueet on arvioitu. Suomen lain 8 ja 9 § sekä mahdolliset toimijaryhmäkohtaiset täytäntöönpanosäännöt ratkaisevat käytännön velvoitteen. Työkalu voi säilyttää näytön ja vastuut; itse tekninen toimi tehdään muualla.
| Vähimmäistoimenpide | Käytännön sisältö | Mitä ohjelmiston pitää tukea |
|---|---|---|
| Riskianalyysi ja tietoturvapolitiikat | Riskien järjestelmällinen tunnistaminen ja hallintaperiaatteet | Riskirekisteri, politiikkakirjasto, hyväksyntävirrat |
| Poikkeamien hallinta | Havaitseminen, luokittelu ja käsittely | Poikkeamaloki ja ohjattu käsittelyprosessi |
| Toiminnan jatkuvuus | Varmuuskopiointi, palautuminen, kriisinhallinta | Jatkuvuussuunnitelmien hallinta ja testausseuranta |
| Toimitusketjun turvallisuus | Alihankkijoiden ja palveluntarjoajien riskit | Toimittajarekisteri ja arviointityönkulku |
| Hankinnan ja ylläpidon turvallisuus | Haavoittuvuuksien hallinta koko elinkaaren ajan | Haavoittuvuusseuranta ja korjausten tila |
| Toimenpiteiden vaikuttavuuden arviointi | Kontrollien mittaaminen ja auditointi | Mittarit, kontrollien tila, sisäinen auditointi |
| Kyberhygienia ja koulutus | Perustason käytännöt ja henkilöstön koulutus | Koulutusrekisteri ja suoritusten seuranta |
| Salaus ja kryptografia | Salauksen käytön periaatteet | Politiikkojen dokumentointi ja kattavuus |
| Henkilöstö- ja pääsynhallinta | Käyttöoikeudet ja omaisuudenhallinta | Käyttövaltuuksien ja omaisuuserien rekisteri |
| Monivaiheinen tunnistautuminen | MFA ja suojatut viestintäkanavat | Kontrollin käyttöönoton osoittaminen |
Ohjelmisto ei toteuta näitä teknisiä kontrolleja itse, vaan osoittaa, että ne ovat olemassa, vastuutettuja ja ajan tasalla. Valvonnassa ratkaisee näyttö: kuka vastaa, milloin toimenpide on tarkistettu ja mihin dokumentti perustuu. Ilman jäsenneltyä työkalua tämä näyttö hajautuu taulukoihin, sähköposteihin ja yksittäisten asiantuntijoiden muistiin, jolloin se on hauras juuri silloin kun valvoja sitä pyytää. Syvempi käsittely: NIS2:n riskienhallinta.
Keskeisen toimijan luokka vaikuttaa valvontaan
Kyberturvallisuuslaki erottaa keskeiset ja muut soveltamisalaan kuuluvat toimijat, ja luokka määrittää sekä valvonnan intensiteetin että seuraamusten enimmäismäärän.
| Keskeinen toimija | Muu soveltamisalaan kuuluva toimija | |
|---|---|---|
| Valvonta | Ennakollinen ja jälkikäteinen | Pääosin jälkikäteinen |
| Sanktiokatto | Lain 38 §:n enimmäistaso, ei automaattinen seuraus | Lain 38 §:n alempi enimmäistaso |
| Luokittelun peruste | Toimijatyypin, koon ja poikkeusten kokonaisuus | Toimijatyypin, koon ja poikkeusten kokonaisuus |
Keskeisiin toimijoihin voidaan kohdistaa määräaikaistarkastuksia ilman erityistä epäilyä, kun taas muita toimijoita valvotaan pääsääntöisesti jälkikäteen tapahtuneen johdosta. Ohjelmiston kannalta tämä tarkoittaa, että keskeisen toimijan on kyettävä tuottamaan näyttö toimenpiteistään nopeasti ja jatkuvasti, ei vasta tarkastuksen alettua. Luokittelun perusteet ja soveltamiskynnykset: NIS2:n keskeiset ja tärkeät toimijat.
Käyttöönoton vaiheet ja aikataulu Suomessa
Kyberturvallisuuslaki tuli voimaan 8.4.2025, ja sen jälkeen velvoitteet ovat porrastuneet määräaikoihin. Oman toimialan valvova viranomainen ratkaisee asiointikanavan; Traficom hoitaa myös keskitetyn yhteyspisteen ja CSIRT:n tehtäviä.
| Vaihe | Määräaika | Sisältö |
|---|---|---|
| Toimijaluetteloon ilmoittautuminen | Lain mukainen oma määräaika | Oman toimialan viranomaisen luettelo |
| Riskienhallinnan toimintamalli | Kolme kuukautta kriteerin täyttymisestä | Ajantasainen malli ja toteutuksen näyttö |
| Poikkeaman varhaisvaroitus | Ilman aiheetonta viivytystä, viimeistään 24 h tietoisuudesta | Ilmoitus merkittävästä poikkeamasta omalle valvojalle |
Käytännön käyttöönotto etenee tyypillisesti kuudessa vaiheessa: (1) soveltuvuuden ja toimijaluokan määrittäminen, (2) nykytilan arviointi vähimmäistoimenpiteitä vasten, (3) puuteanalyysi ja korjaussuunnitelma, (4) riskienhallinnan toimintamallin dokumentointi, (5) poikkeamaprosessin ja vastuiden määrittäminen sekä (6) jatkuvan seurannan ja johdon raportoinnin vakiinnuttaminen. Ohjelmisto voi auttaa kokoamaan vaiheiden 2–6 tiedot, jos nykyinen työnkulku on hajallaan. Hyöty on mitattava omalla kokeella. Johdon on hyväksyttävä ja valvottava riskienhallintatoimia. Työkalun hyväksyntämerkintä auttaa todentamaan päätöksen, mutta koulutuksen ja valvonnan toteutuminen arvioidaan erikseen.
Poikkeamien raportointi ja päällekkäisyys GDPR:n kanssa
NIS2:n poikkeamaraportointi on vaiheistettu. Merkittävästä poikkeamasta on annettava varhaisvaroitus oman toimialan valvovalle viranomaiselle ilman aiheetonta viivytystä ja viimeistään 24 tunnin kuluessa merkittävän poikkeaman havaitsemisesta; jatkoilmoitus annetaan 72 tunnin kuluessa merkittävän poikkeaman havaitsemisesta. Loppuraportti annetaan kuukauden kuluessa jatkoilmoituksesta. Jos poikkeama on pitkäkestoinen, väliraportti annetaan viimeistään kuukauden kuluttua jatkoilmoituksesta ja loppuraportti kuukauden kuluessa poikkeaman käsittelyn päättymisestä. Luottamuspalvelun tarjoajaa koskee tietyssä tilanteessa erityinen 24 tunnin jatkoilmoitusaika. Vaiheistetut määräajat ja ilmoitusten sisällöt: NIS2:n poikkeamaraportointi.
Sama tapahtuma voi laukaista useita rinnakkaisia velvoitteita. Jos kyberturvallisuuspoikkeama koskee henkilötietoja, arvioi erikseen, onko kyse GDPR:n tietoturvaloukkauksesta ja ylittääkö se viranomaisilmoituksen riskikynnyksen. Jos ilmoitus vaaditaan, rekisterinpitäjän on tehtävä se ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnissa tiedoksisaannista. Näiden kahden ilmoituksen määräajat, vastaanottajat ja sisällöt eroavat toisistaan, joten yhtenäinen poikkeamaloki ja johdonmukainen luokittelu vähentävät myöhästymisten ja päällekkäisen selvitystyön riskiä. Kolmen järjestelmän vertailu: poikkeamaraportointi DORA, NIS2 ja GDPR sekä GDPR-puolen tietoturvaloukkausprosessi.
Hinnoittelun vertailu ilman keksittyä markkinahintaa
Julkista, yhdenmukaista NIS2-ohjelmiston vuosihintaa ei voi johtaa laista. Pyydä sitovat tarjoukset samoilla käyttömäärillä: valvottavat yksiköt, käyttäjäroolit, toimittajat, säilytystila, integraatiot, koulutus, tuki ja tietojen ulosvienti. Kysy erikseen, laskutetaanko viranomaislomakkeen päivitys, uusi liite tai lisäympäristö. Laske myös sisäisen käyttöönoton ja tietojen puhdistuksen kustannus.
Vertaa vaihtoehtoja koko sopimuskauden aikana. Edullinen peruslisenssi voi vaatia manuaalista kaksinkertaista kirjaamista tai kalliin erillisen vientirajapinnan; laaja järjestelmä voi olla turhan raskas pienelle toimijalle. Pyydä toimittajaa näyttämään käyttökelpoinen tietojen vienti ennen sopimusta. Hinnan perusteella ei voi päätellä vaatimustenmukaisuutta, eikä tämän sivun tarkoitus ole järjestää toimittajia paremmuusjärjestykseen ilman samanlaista todennettua vertailua.
Toimitusketjun turvallisuus – NIS2:n vaativin uusi ulottuvuus
Yksi NIS2:n merkittävimmistä laajennuksista on toimitusketjun turvallisuus: toimijan on arvioitava ja hallittava myös alihankkijoidensa ja palveluntarjoajiensa tietoturvaa. Käytännössä tämä tarkoittaa, että riskien kannalta merkittävät välittömät toimittajat on tunnistettava ja arvioitava suhteessa palvelun vaikutukseen. Vastuu ei siirry ulkoistuksen mukana pois – toimija vastaa edelleen kokonaisuudesta. Ohjelmiston kannalta tämä edellyttää toimittajarekisteriä, jossa kunkin toimittajan riskitaso, sopimusehdot ja arvioinnin ajankohta ovat näkyvissä. Ilman työkalua toimittaja-arvioinnit vanhenevat huomaamatta, ja juuri se paljastuu valvonnassa. Toimittajien arviointi kannattaa kytkeä samaan järjestelmään kuin riskienhallinta ja poikkeamat, jotta kokonaiskuva säilyy ajantasaisena.
Näin valitset NIS2-ohjelmiston – tarkistuslista
Ennen hankintaa kannattaa arvioida vaihtoehtoja seuraavia kysymyksiä vasten: (1) Kattaako työkalu kaikki kymmenen vähimmäistoimenpidettä vai vain osan? (2) Onko poikkeamaraportointi ohjattua ja tukeeko se 24 tunnin ensi-ilmoitusta? (3) Voiko GDPR-tietoturvaloukkaukset käsitellä samassa lokissa? (4) Voiko se dokumentoida merkitykselliset välittömät toimittajat, riippuvuudet ja korjauspäätökset? (5) Tuottaako se johdolle raportit, joilla vastuu voidaan osoittaa? (6) Onko versiointi ja auditointijälki riittävä valvontaa varten? (7) Sijaitseeko data EU:ssa? Mitä useampaan kysymykseen vastaus on kyllä, sitä vähemmän jää käsityön ja hajautettujen taulukoiden varaan. Jos organisaatiota koskee myös GDPR, kannattaa punnita integroitua alustaa erillisten pistetyökalujen sijaan.
Demon koetehtävät suomalaiselle ostajalle
Pyydä kolmea tarjoajaa näyttämään sama kuvitteellinen tilanne. Organisaatiolla on tuotantopalvelu, kaksi välitöntä ICT-toimittajaa ja edellisessä palautustestissä havaittu puute. Syötä palvelu, vastuuhenkilö, riippuvuus ja korjauspäätös. Tarkista, löytyykö 8 §:n toimintamallin kannalta hyödyllinen riskikuvaus ja 9 §:n toimenpiteiden toteutusta osoittava näyttö. Jos toimittaja näyttää vain valmiin vihreän prosenttipalkin, kysy, mistä tulos muodostuu ja kuka on hyväksynyt alkuperäisen faktan. Suositeltu tietomalli on ostajan työmenetelmä; laki ei määrää tiettyä ohjelmistokenttää.
Toinen koetehtävä on merkittäväksi epäillyn poikkeaman harjoitus. Syötä havaintoaika, tietoisuutta koskeva päätös, vaikutus palveluun, alustavat vastatoimet ja vastuuhenkilö. Katso, erottaako järjestelmä varhaisvaroituksen myöhemmästä ilmoituksesta ja loppuraportista, tallentaako se muutokset ja näyttääkö se vastaanottajan oman toimialan mukaan. Työkalu voi muistuttaa määräajasta, mutta merkittävyyden oikeudellinen arvio ja ilmoituksen lähettäminen pitää varmistaa toimittajan todellisesta tuotteesta. NIS2-poikkeamailmoitusten opas auttaa rakentamaan koetapauksen.
Kolmas koetehtävä on toimittajamuutos. Vaihda kriittisen palvelun toimittaja ja katso, säilyvätkö vanha arvio, uuden tarjoajan tietoturvanäyttö, riippuvuus sekä korjauspäätöksen perustelu. Jos vanha tieto ylikirjoitetaan ilman historiaa, valvontatilanteessa on vaikea selittää, millä perusteella palvelua käytettiin aiemmin. Testaa myös tiedon vienti yleiseen muotoon. Pitkä toimittajasuhde lisää vaihtotilanteen merkitystä.
Ostopäätöksen kriteerit ja vastuu
Päätä etukäteen pakolliset ominaisuudet ja hyväksyttävät manuaaliset vaiheet. Esimerkiksi keskikokoinen palveluntarjoaja voi päättää, että riskienhallinnan toimintamallin ja poikkeamapäätösten versiohistoria on pakollinen, mutta toimittajakyselyitä voidaan tehdä nykyisessä järjestelmässä. Älä vaadi yhtä tuotetta toteuttamaan salaus-, varmuuskopiointi- ja tunnistautumiskontrolleja vain siksi, että laki käsittelee niitä samalla listalla. Näytön kokoava järjestelmä ja teknisen kontrollin toteuttava järjestelmä ovat eri rooleissa.
Kirjaa arviointitaulukkoon jokaisesta vaatimuksesta esitetty näyttö, sen rajoitus, omistaja ja jatkotoimi. Merkitse ”ei näytetty” erilleen ”ei ole”. Jos tietoa ei voitu näyttää demossa, pyydä kirjallinen tuotekuvaus ja sopimusehto ennen hyväksyntää. Valintapäätöksen pitää kattaa myös palvelun tietoturva, alihankkijat ja mahdollinen henkilötietojen käsittely; jos toimittaja käsittelee henkilötietoja lukuusi, tee erillinen 28 artiklan sopimusarvio.
Kun sama tapaus sisältää henkilötietoja, GDPR:n loukkausprosessi tarvitsee eri riskikynnyksen ja kellon. Älä oleta GDPR-työnkulun tuottavan NIS2-ilmoitusta tai kyberturvallisuuslain toimintamallia ilman tuotedemoa. Hankkijan kannattaa todentaa jokainen väitetty integraatio käytännön vientitestillä.
Lainsäädännön lähtökohta on kyberturvallisuuslaki 124/2025. Traficomin soveltamis- ja viranomaisohje on tarkistettu syyskuussa 2026. Yksittäisen toimittajan ominaisuudet on vahvistettava tarjouksesta ja demosta.
Mitä toimittajan sopimuksesta pitää tarkistaa?
NIS2-ohjelmiston oma toimittaja on myös osa organisaation toimitusketjua. Selvitä, missä data sijaitsee, ketkä voivat käyttää sitä ylläpidossa ja mitä tapahtuu palvelukatkossa. Pyydä kuvattu varmuuskopiointi, palautusmenettely, tukiyhteyden suojaus ja poikkeamailmoituksen kanava. Näyttö voi olla raportti, menettelykuvaus tai rajattu testitulosten kooste; sen pitää koskea ostettua palvelua ja ajankohtaista versiota. Henkilötietoja sisältävälle palvelulle arvioidaan lisäksi käsittelysopimus.
Kirjaa irtautuminen jo tarjouspyyntöön. Saako riskit, päätökset, liitteet ja muutoshistorian ulos ilman myyjän omaa formaattia? Voiko organisaatio jatkaa poikkeaman selvitystä, jos ohjelma on poissa käytöstä? Määräaikainen viranomaisilmoitus ei odota järjestelmän korjausta. Varaa siksi varakanava, omistajat ja viimeisin yhteystietoluettelo erilliseen saatavilla olevaan paikkaan. Tällainen jatkuvuussuunnitelma on hyödyllinen myös ilman uutta hankintaa.
Älä hyväksy vertailun ”kyllä” vastausta ennen kuin tiedät rajoitukset. Tarjoaja voi esimerkiksi näyttää riskirekisterin, mutta ei hyväksynnän ajankohtaa. Tai poikkeamamoduuli voi muistuttaa 24 tunnista, mutta sen laskenta alkaa syöttöhetkestä, vaikka lain kello liittyy merkittävästä poikkeamasta tietoiseksi tulemiseen. Kirjaa ero ja anna toimittajalle mahdollisuus osoittaa, miten työvaihe tehdään. Sopimukseen kirjataan ostettu laajuus, ylläpidon velvollisuus ja tietojen vienti; suullinen esittely ei yksin turvaa toimivuutta.
Milloin nykyinen työkalu riittää?
Jos nykyinen ISMS-järjestelmä sisältää ajantasaisen toimintamallin, toimenpiteiden omistajat, poikkeamaprosessin ja käyttökelpoisen näytön, uusi lisenssi ei ole velvoite. Tee ensin puuteluettelo käyttäen Suomen lain 8 ja 9 §:ää sekä omaa toimialaa koskevia sääntöjä. Ratkaise, onko puute tietosisällössä, vastuunjaossa, ilmoituskanavassa vai ohjelman toiminnossa. Ohjelmistohankinta auttaa vain viimeksi mainittuun ja joskus tiedon kokoamiseen. Organisaatio vastaa edelleen itse riskin ja merkittävyyden arvioinnista.
Tarjouspyynnön vertailtavat toimitukset
Pyydä tarjoukset samoilla määritelmillä. Kerro, kuinka monta oikeushenkilöä, kriittistä palvelua, vastuuhenkilöä ja välitöntä toimittajaa haluat ylläpitää. Pyydä esimerkkivienti riskienhallinnan toimintamallista ja yhdestä poikkeamasta. Määrittele myös, pitääkö toimialan valvovan viranomaisen asiointikanavaan vietävä tieto tuottaa koneellisesti vai riittääkö tarkistettu dokumentti. Ilman yhteistä käyttömäärää kahden tarjouksen käyttäjäkohtaiset hinnat eivät ole vertailukelpoisia.
Arvioi sitten tiedon hallintaa. Voiko järjestelmässä kirjata arvion lähteen, hyväksyjän, tarkistuspäivän ja seuraavan tehtävän? Näkyykö vanha versio, jos riski muuttuu? Pystyykö omistaja merkitsemään hallintatoimen keskeneräiseksi ilman, että yleisnäkymä esittää sen toteutettuna? Puutteen näkyvyys on parempi kuin perusteeton vihreä hyväksyntä, koska johto tarvitsee todellisen päätöspohjan. Kokeile myös käyttöoikeuksia: kaikki henkilöstön jäsenet eivät tarvitse pääsyä poikkeaman teknisiin yksityiskohtiin tai toimittajan turvallisuusraporttiin.
Sopimuksen liitteessä kannattaa erottaa palvelun saatavuus, tietojen omistajuus, varmuuskopiot, alikäsittelijät ja irtautuminen. Jos myyjä lupaa valmiin NIS2-kartan, kysy, mihin Suomen lain pykäliin ja mihin toimijaryhmään se perustuu. Eri toimialan täytäntöönpanosääntöjä ei pidä peittää yhteisellä markkinointilistalla. Pyydä vastuuhenkilöltä kirjallinen vastaus siitä, kuinka uusi viranomaisohje päivitetään tuotteen käyttöön ja miten asiakkaalle kerrotaan muutoksesta.
Vielä yksi koetapaus koskee päätöksen vientiä toiselle valvojalle tai sisäiselle tarkastajalle. Vie riskin arvio, toimenpide, todistusaineisto ja hyväksymisaika yhdessä. Jos vienti sisältää vain lopputilan, ostaja joutuu kokoamaan perustelun muista järjestelmistä. Tämä voi olla hyväksyttävä työnjako, kun se on tiedossa ja vastuutettu. Se ei ole hyväksyttävä oletus siitä, että kaikki vaatimukset hoituvat yhdessä painikkeessa. Käytä oman järjestelmäkartan tietoja hankintademon lähtöaineistona, jotta kokeet vastaavat todellisia riippuvuuksia.
Näyttö kriisitilanteessa
Kuvittele perjantai-iltana alkava palvelukatko. Tekninen tiimi näkee hälytyksen, mutta ei vielä tiedä vaikutuksen laajuutta. Hankittavan työkalun pitäisi sallia keskeneräinen merkintä, vastuuhenkilön vaihto ja myöhempi vaikutusarvion korjaus. Jos järjestelmä edellyttää täydellistä lomaketta ennen kuin tapausta voi avata, se voi hidastaa sisäistä eskalointia. Jos se taas merkitsee jokaisen teknisen hälytyksen automaattisesti merkittäväksi NIS2-poikkeamaksi, se sekoittaa juridisen luokittelun seurantaan. Testaa molemmat ääripäät demossa.
Määritä, mistä organisaatio päättelee tietoisuuden merkittävästä poikkeamasta. Havainto voi edeltää sitä, että vaikutus palveluun tunnetaan. Dokumentoi kellonaika ja päätelmän peruste sen sijaan, että ohjelma arvaa ensimmäisestä hälytyksestä lain alkamispisteen. Varhaisvaroituksen sisältö voi täydentyä myöhemmissä vaiheissa. Tarkista, muistuttaako työkalu väliraportista ja loppuraportista sekä säilyttääkö se alkuperäisen ilmoituksen. Toimialan valvova viranomainen ja sen ohjeet ratkaisevat toimitustavan.
Myös harjoituksen epäonnistuminen on hyödyllistä näyttöä. Jos varahenkilöltä puuttuu oikeus avata tapaus tai viranomaisen yhteystiedot ovat vanhentuneet, kirjaa poikkeama, korjaava toimi ja uusintakoe. Älä merkitse velvoitetta valmiiksi vain siksi, että järjestelmään on ladattu toimintamallin PDF. Tarkista vastaavasti varmuuskopioinnin palautustulos, toimittajan yhteydenotto ja johdon päätös todellisesta harjoituksesta. Työkalun valintaperusteeksi kannattaa kirjata, helpottaako se näiden puutteiden havaitsemista ja korjaamista.
Päätös jättää hankinta tekemättä
Jos nykyinen kokonaisuus tuottaa selkeän toimintamallin, palvelu- ja toimittajariippuvuudet, johdon päätökset ja poikkeaman vaiheistetun aikajanan, uusi ohjelma voi tuoda enemmän siirtotyötä kuin hyötyä. Kirjaa päätös yhtä tarkasti kuin ostos: mitä kokeiltiin, missä puute ei ollut ohjelmassa ja milloin asia tarkistetaan uudelleen. Seuraava muutos voi olla uusi toimiala, suurempi toimittajaketju tai järjestelmän vanhentunut vienti. Päätös tarkistetaan silloin, kun syy muuttuu, ei vain kalenterivuoden vaihtuessa.
Usein kysytyt kysymykset
Paljonko NIS2-ohjelmisto maksaa?
Hinta riippuu käytöstä ja sopimuksen sisällöstä. Pyydä vertailukelpoiset tarjoukset ja erota lisenssi, käyttöönotto, integraatiot, tuki sekä tietojen vienti. Tässä oppaassa ei esitetä lähteettömiä hintahaarukoita.
Riittääkö GDPR-ohjelmisto NIS2:een?
Ei sellaisenaan. NIS2 vaatii tietoturvan riskienhallintajärjestelmän ja poikkeamaraportoinnin, jotka menevät GDPR:ää pidemmälle. Integroitu alusta voi kattaa molemmat, mutta pelkkä ROPA-työkalu ei riitä NIS2:n toimenpidedokumentaatioon.
Kuka valvoo NIS2:ta Suomessa?
Oman toimialan valvova viranomainen. Traficom valvoo tiettyjä aloja ja hoitaa myös keskitetyn yhteyspisteen sekä CSIRT:n tehtäviä. Lue NIS2 Suomessa.
Mihin mennessä NIS2-velvoitteet piti täyttää?
Kyberturvallisuuslaki tuli voimaan 8.4.2025. Alkuperäiset kuukauden ja kolmen kuukauden siirtymäajat päättyivät 8.5. ja 8.7.2025. Myöhemmin soveltamisalaan tulevan toimijan määräajat lasketaan omasta tilanteesta. Merkittävästä poikkeamasta annetaan varhaisvaroitus ilman aiheetonta viivytystä ja viimeistään 24 tunnissa tietoisuudesta.
Mitä ovat NIS2:n vähimmäistoimenpiteet?
NIS2-direktiivin 21 artikla luettelee kymmenen riskienhallinnan vähimmäistoimenpidettä: riskianalyysi ja tietoturvapolitiikat, poikkeamien hallinta, toiminnan jatkuvuus, toimitusketjun turvallisuus, hankinnan ja ylläpidon turvallisuus, toimenpiteiden vaikuttavuuden arviointi, kyberhygienia ja koulutus, salaus, henkilöstö- ja pääsynhallinta sekä monivaiheinen tunnistautuminen. Ohjelmiston tehtävä on osoittaa, että kukin toimenpide on käytössä ja ajan tasalla.
Yhteenveto
Paras NIS2-ohjelmisto kattaa riskienhallinnan dokumentoinnin, poikkeamien raportointiprosessin ja johdon vastuun osoittamisen. Suomessa kyberturvallisuuslaki tuli voimaan 8.4.2025 ja toimialojen viranomaiset valvovat soveltuvia velvoitteita. GDPR-työnkulun rajaus on tarkistettava erikseen, jos samalla tapahtumalla on henkilötietovaikutuksia. Katso myös DORA Suomessa finanssisektorin osalta.
Viimeksi tarkistettu: syyskuu 2026.