Säädöskooste

Kaikki Säätelywikin säädökset yhdessä taulukossa: kenelle kukin koskee, mistä lähtien se on voimassa, mikä on seuraava vahvistettu määräpäivä ja kuka valvoo. Sivu on tehty tulostettavaksi, joten voit viedä sen kokoukseen tai liittää muistion liitteeksi.

Tietoa koosteesta

Tulostettu 2026-10-13 · 19 säädöstä · Viimeisin muutos 2026-09-25 · Tarkistettu 2026-09-25 · Lähde: https://www.leanex.fi/saatelywiki/koosteet/saadoskooste. Kooste on yleistä tietoa, ei oikeudellista neuvontaa. Tiedot on koottu Säätelywikin säädössivuilta, joissa on kunkin kohdan viralliset lähteet. Sääntely muuttuu, joten tarkista kriittiset kohdat alkuperäisestä säädöksestä ennen kuin teet päätöksiä.

Säädökset

Digital Omnibus: EU:n Digital Omnibus -paketti Koskee, jos: Vaikuttaa nyt, jos seuraatte AI Actia: paketin tekoälyosa (asetus (EU) 2026/1744) on voimassa ja siirsi korkean riskin määräaikoja.. Myös jos: Myös seurattavaa muille: GDPR-, eväste-, datasäädös-, NIS2- ja DORA-muutokset ovat yhä ehdotuksia eivätkä muuta nykyisiä velvoitteita.. Voimassa mistä: ehdotus, AI-osa (asetus 2026/1744) voimassa 27.7.2026 alkaen, GDPR/eväste-osa yhä kesken (syyskuu 2026). Seuraava vahvistettu määräpäivä: 2027-12-02, Uusi määräaika: itsenäiset korkean riskin AI-järjestelmät. Valvoja Suomessa: Tietosuojavaltuutetun toimisto ja Traficom (säädöksestä riippuen). Virallinen numero: Ehdotus COM(2025) 837 (yleinen) ja asetus (EU) 2026/1744 (tekoäly, aiemmin COM(2025) 836). Säädössivu: https://www.leanex.fi/saatelywiki/digital-omnibus
AI Act: EU:n tekoälyasetus (AI Act) Koskee, jos: Koskee, jos organisaationne kehittää, tarjoaa tai käyttää tekoälyä — myös silloin, kun käytössä on vain valmis työkalu kuten ChatGPT.. Myös jos: Myös koosta ja toimialasta riippumatta, myös julkishallinnossa. Rooli voi vaihtua tarjoajaksi, jos räätälöitte, hienosäädätte tai brändäätte tekoälytuotteen omiin nimiinne.. Voimassa mistä: vaiheittain, Sovelletaan vaiheittain 2025–2028; osa määräajoista siirtyi 2026. Seuraava vahvistettu määräpäivä: 2026-12-02, Koneluettavan merkinnän siirtymäaika päättyy. Valvoja Suomessa: Traficom (kansallinen yhteyspiste), 15 valvontaviranomaista. Virallinen numero: Asetus (EU) 2024/1689, muutettu asetuksella (EU) 2026/1744. Säädössivu: https://www.leanex.fi/saatelywiki/ai-act
Evästeet: Evästeet ja ePrivacy Koskee, jos: Koskee, jos sivustonne tai sovelluksenne tallentaa tietoa käyttäjän päätelaitteelle tai lukee sitä sieltä: evästeellä, local storagella, pikselillä tai tunnisteella.. Myös jos: Myös koosta ja organisaatiomuodosta riippumatta, ja myös ilman evästeitä: sama sääntö koskee mobiilisovelluksen tunnisteita, sormenjälkitunnistusta ja evästeetöntä analytiikkaa, jos se lukee tai tallentaa tietoa päätelaitteella.. Voimassa mistä: sovelletaan, Nykyinen direktiivi- ja kansallislakipohjainen sääntely on voimassa; Digital Omnibuksen evästemuutokset ovat yhä ehdotus. Seuraava vahvistettu määräpäivä: ei vahvistettua tulevaa määräpäivää. Valvoja Suomessa: Traficom (evästeet) ja tietosuojavaltuutetun toimisto (henkilötiedot). Virallinen numero: Direktiivi 2002/58/EY ja laki sähköisen viestinnän palveluista 917/2014 § 205. Säädössivu: https://www.leanex.fi/saatelywiki/evasteet
GDPR: GDPR ja tietosuojalaki Koskee, jos: Koskee, jos käsittelette tunnistettavien ihmisten tietoja — asiakas-, henkilöstö-, käyttäjä- tai verkkosivukävijätietoja, koosta riippumatta.. Myös jos: Myös yhdistyksiä ja kuntia, ja myös EU:n ulkopuolisia yrityksiä, jos ne tarjoavat palveluja EU:ssa oleville ihmisille tai seuraavat heidän käyttäytymistään.. Voimassa mistä: sovelletaan, Sovelletaan 25.5.2018 alkaen. Seuraava vahvistettu määräpäivä: 2027-04-02, Menettelyasetus tulee sovellettavaksi. Valvoja Suomessa: Tietosuojavaltuutetun toimisto. Virallinen numero: Asetus (EU) 2016/679. Säädössivu: https://www.leanex.fi/saatelywiki/gdpr
Tiedonsiirrot: Henkilötietojen siirrot EU:n ulkopuolelle Koskee, jos: Koskee, jos henkilötietoja päätyy EU- ja ETA-alueen ulkopuolelle: yhdysvaltalaiseen pilveen, CRM:ään, analytiikkaan tai tekoälyrajapintaan, myös alihankkijan kautta.. Myös jos: Myös ilman omaa ulkomaista palvelinta: siirrosta on kyse, kun luovutatte tietoja toiselle rekisterinpitäjälle tai käsittelijälle, joka on kolmannessa maassa tai kansainvälinen järjestö.. Voimassa mistä: sovelletaan, V lukua sovelletaan suoraan. Riittävyyspäätös (EU) 2023/1795 on voimassa: kumoamiskanne hylättiin 3.9.2025, ja tuomiosta tehty valitus C-703/25 P on vireillä kumoamatta päätöstä.. Seuraava vahvistettu määräpäivä: ei vahvistettua tulevaa määräpäivää. Valvoja Suomessa: Tietosuojavaltuutetun toimisto. Virallinen numero: Asetus (EU) 2016/679, V luku (44–50 artikla) ja komission täytäntöönpanopäätös (EU) 2023/1795 (EUVL L 231, 20.9.2023, s. 118). Säädössivu: https://www.leanex.fi/saatelywiki/tiedonsiirrot
Työelämän tietosuoja: Laki yksityisyyden suojasta työelämässä Koskee, jos: Koskee jokaista työnantajaa Suomessa ilman kokorajaa: työ- ja virkasuhteessa, soveltuvin osin myös työnhakijaan. Yksi työntekijä riittää.. Myös jos: Koskee myös yhdistyksiä, kuntia ja hyvinvointialueita, kun ne käsittelevät työntekijätietoja, teettävät testejä tai valvovat työtä teknisin menetelmin.. Voimassa mistä: sovelletaan, Voimassa 1.10.2004 alkaen. Viimeisin muutos 945/2025 tuli voimaan 1.1.2026 ja oli tekninen viittausmuutos. Seuraava vahvistettu määräpäivä: ei vahvistettua tulevaa määräpäivää. Valvoja Suomessa: Työsuojeluviranomainen (Lupa- ja valvontaviraston työsuojeluosasto) yhdessä tietosuojavaltuutetun toimiston kanssa. Virallinen numero: Laki yksityisyyden suojasta työelämässä (759/2004). Säädössivu: https://www.leanex.fi/saatelywiki/tyoelaman-tietosuoja
NIS2: NIS2 ja kyberturvallisuuslaki Koskee, jos: Koskee kriittisen alan toimijaa — myös teollisuutta ja julkishallintoa — jolla on vähintään 50 työntekijää tai jonka sekä liikevaihto että tase ylittävät 10 miljoonaa euroa.. Myös jos: Myös koosta riippumatta: yleiset viestintäverkot, DNS- ja luottamuspalvelut, verkkotunnusrekisterit sekä CER-direktiivin nojalla kriittisiksi nimetyt toimijat.. Voimassa mistä: sovelletaan, Voimassa 8.4.2025 alkaen. Seuraava vahvistettu määräpäivä: ei vahvistettua tulevaa määräpäivää. Valvoja Suomessa: Traficomin Kyberturvallisuuskeskus (ja toimialakohtaiset valvojat). Virallinen numero: Kyberturvallisuuslaki 124/2025 / NIS2-direktiivi (EU) 2022/2555. Säädössivu: https://www.leanex.fi/saatelywiki/nis2
Alustatyö: Alustatyödirektiivi ja algoritminen johtaminen Koskee, jos: Koskee, jos yrityksenne välittää digitaalisella alustalla työtä, joka tehdään unionissa, ja organisoi sitä automatisoiduilla seuranta- tai päätöksentekojärjestelmillä.. Myös jos: Myös EU:n ulkopuolelta toimivaa alustaa, kun työ tehdään unionissa. Algoritmisen johtamisen luku ulottuu myös alustatyötä tekeviin henkilöihin, joilla ei ole työsopimusta tai työsuhdetta.. Voimassa mistä: tulossa, Ei velvoita alustayrityksiä ennen kansallista täytäntöönpanoa. Jäsenvaltioiden määräaika on 2.12.2026, Suomen alustatyölaki on yhä luonnos. Seuraava vahvistettu määräpäivä: 2026-12-02, Direktiivin täytäntöönpanon määräaika. Valvoja Suomessa: Ei vielä nimettyä valvojaa — lakiluonnoksessa työsuojeluviranomainen ja tietosuojavaltuutettu jakaisivat valvonnan. Virallinen numero: Direktiivi (EU) 2024/2831. Säädössivu: https://www.leanex.fi/saatelywiki/alustatyo
DORA: DORA: finanssialan digitaalinen häiriönsietokyky Koskee, jos: Koskee suoraan finanssialan valvottuja toimijoita: pankkeja, vakuutusyhtiöitä, sijoituspalveluyrityksiä, maksulaitoksia ja rahastoyhtiöitä.. Myös jos: Myös ilman finanssialan toimilupaa: ICT-toimittajana DORA tulee teille finanssialan asiakkaan sopimusehtojen ja ICT-sopimusrekisterin kautta, ja suurimmat ICT-toimittajat voidaan nimetä kriittisiksi ja siirtää suoraan EU-tason valvontaan.. Voimassa mistä: sovelletaan, Sovelletaan täysimääräisesti 17.1.2025 alkaen, ilman siirtymäaikaa. Seuraava vahvistettu määräpäivä: ei vahvistettua tulevaa määräpäivää. Valvoja Suomessa: Finanssivalvonta. Virallinen numero: Asetus (EU) 2022/2554. Säädössivu: https://www.leanex.fi/saatelywiki/dora
Digipalvelulaki: Digipalvelulaki ja julkisten palvelujen saavutettavuus Koskee, jos: Koskee viranomaisia ja muuta julkista sektoria: verkkosivustot, mobiilisovellukset ja tietosisällöt on tehtävä saavutettaviksi. Siirtymäajat päättyivät jo 2021.. Myös jos: Koskee myös tiettyjä yleisölle palveluja tarjoavia vesi-, energia-, liikenne-, posti- ja finanssialan toimijoita. Ne ovat kuuluneet lain piiriin 1.1.2021 alkaen.. Voimassa mistä: sovelletaan, Voimassa 1.4.2019 alkaen; julkisen sektorin saavutettavuusvaatimukset täysimääräisesti 23.6.2021 alkaen. Viimeisin voimaan tullut muutos 212/2026 koskee lain 2 lukua, ei saavutettavuusvaatimuksia.. Seuraava vahvistettu määräpäivä: ei vahvistettua tulevaa määräpäivää. Valvoja Suomessa: Traficom (Liikenne- ja viestintävirasto), saavutettavuusvalvonta. Virallinen numero: Laki digitaalisten palvelujen tarjoamisesta 306/2019 (direktiivi (EU) 2016/2102). Säädössivu: https://www.leanex.fi/saatelywiki/digipalvelulaki
Datasäädös: EU:n datasäädös (Data Act) Koskee, jos: Koskee, jos valmistatte tai myytte verkkoon kytkettyjä tuotteita, tarjoatte pilvi-, SaaS-, PaaS- tai IaaS-palvelua tai solmitte B2B-datasopimuksia.. Myös jos: Myös pelkkänä käyttäjänä: jos yrityksenne käyttää muualta hankittuja verkkoon kytkettyjä laitteita, saatte oikeuden niiden tuottamaan dataan. Julkishallinnolla on lisäksi kapea oikeus pyytää yritysten dataa poikkeuksellisen tarpeen tilanteissa.. Voimassa mistä: vaiheittain, Sovelletaan pääosin 12.9.2025 alkaen, vaiheittain 2027 asti. Seuraava vahvistettu määräpäivä: 2027-01-12, Pilvipalvelun vaihtomaksut kielletään kokonaan. Valvoja Suomessa: Traficom. Virallinen numero: Asetus (EU) 2023/2854. Säädössivu: https://www.leanex.fi/saatelywiki/data-act
Esteettömyysdirektiivi: EU:n esteettömyysdirektiivi (European Accessibility Act) Koskee, jos: Koskee, jos tarjoatte kuluttajille verkkokauppaa, pankkipalveluita, e-kirjoja, suoratoistoa, sähköistä viestintää tai matkustajatiedotusta.. Myös jos: Myös laitevalmistajille, maahantuojille ja jakelijoille: vaatimukset koskevat muun muassa tietokoneita, älypuhelimia sekä pankki- ja lipunmyyntiautomaatteja. Kunnan ja muun julkisen sektorin verkkopalveluja koskevat lisäksi digipalvelulain omat saavutettavuusvaatimukset, jotka ovat olleet voimassa jo vuosia.. Voimassa mistä: sovelletaan, Sovelletaan EU:ssa 28.6.2025 alkaen; Suomessa laki 102/2023 ja digipalvelulain 3 a luku (104/2023). Seuraava vahvistettu määräpäivä: 2030-06-28, Ennen 28.6.2025 tehtyjen palvelusopimusten siirtymäaika päättyy. Valvoja Suomessa: Traficom. Virallinen numero: Direktiivi (EU) 2019/882. Säädössivu: https://www.leanex.fi/saatelywiki/esteettomyys
CRA: EU:n kyberkestävyysasetus (CRA) Koskee, jos: Koskee, jos valmistatte, maahantuotte tai myytte EU:ssa tuotteen, jossa on ohjelmistoa tai laiteohjelmistoa ja joka voi kytkeytyä verkkoon tai toiseen laitteeseen.. Myös jos: Myös ilman omaa laitetta: taustajärjestelmä kuuluu piiriin, jos asiakkaan kytketty laite tai asennettu sovellus on siitä riippuvainen. Avoimen lähdekoodin ylläpitäjä saa kevyemmän sääntelyn, mutta kaupallinen tuki- tai lisenssiversio laukaisee valmistajan velvoitteet.. Voimassa mistä: vaiheittain, Sovelletaan vaiheittain 2026–2027. Seuraava vahvistettu määräpäivä: 2027-12-11, Täysi soveltaminen ja CE-merkintä. Valvoja Suomessa: Traficom (Kyberturvallisuuskeskus). Virallinen numero: Asetus (EU) 2024/2847. Säädössivu: https://www.leanex.fi/saatelywiki/cra
Tuoteturvallisuus: Yleinen tuoteturvallisuusasetus (GPSR) Koskee, jos: Koskee, jos valmistatte, tuotte maahan tai myytte kuluttajille tarkoitettuja tuotteita EU:ssa, myös silloin kun myytte vain verkossa.. Myös jos: Myös erityislainsäädännön alaisissa tuotteissa: lelun tai sähkölaitteen valmistajaa eivät sido GPSR:n 9-18 artikla, mutta 19 artiklan etämyyntitiedot ja 20 artiklan onnettomuusilmoitus sitovat.. Voimassa mistä: sovelletaan, Sovelletaan EU:ssa 13.12.2024 alkaen. Suomessa täydentävä laki kuluttajatuotteiden turvallisuudesta (184/2025) tuli voimaan 5.5.2025.. Seuraava vahvistettu määräpäivä: 2027-10-27, Vanhojen standardiviitteiden siirtymäaika päättyy. Valvoja Suomessa: Tukes (Turvallisuus- ja kemikaalivirasto); Tulli EU:n ulkopuolisessa tuonnissa, viennissä, Suomen kautta kuljetuksessa ja EU-maista tulevien erien purkamisessa. Virallinen numero: Asetus (EU) 2023/988. Säädössivu: https://www.leanex.fi/saatelywiki/tuoteturvallisuus
DSA ja DMA: EU:n digipalvelusäädös ja digimarkkinasäädös (DSA ja DMA) Koskee, jos: Koskee, jos tarjoatte EU:n käyttäjille palvelua, joka välittää tai tallentaa käyttäjien sisältöä — myös pieni SaaS, verkkokauppa tai markkinapaikka.. Myös jos: Myös koosta riippumatta: yhteyshenkilö, käyttöehdot ja ilmoitusmenettely eivät tunne kokorajaa. Jos myytte portinvartijan sovelluskaupan tai mainosalustan kautta, DMA muuttaa sitä, mitä portinvartija saa tehdä teille.. Voimassa mistä: sovelletaan, DSA sovelletaan kaikkiin verkkopalveluihin; DMA:n erityisvelvoitteet koskevat nimettyjä portinvartijoita. Seuraava vahvistettu määräpäivä: ei vahvistettua tulevaa määräpäivää. Valvoja Suomessa: Traficom (DSA) ja Euroopan komissio (DMA). Virallinen numero: Asetus (EU) 2022/2065 (DSA) ja asetus (EU) 2022/1925 (DMA). Säädössivu: https://www.leanex.fi/saatelywiki/dsa-dma
Kyberturvasertifiointi: EU:n kyberturvallisuuden sertifiointikehys Koskee, jos: Koskee, jos haette tuotteellenne EU-kyberturvallisuussertifikaattia tai jos asiakas tai hankintaehto vaatii sellaista. Muuten kehys ei aseta teille määräpäivää.. Myös jos: Koskee myös sertifikaatteja myöntäviä arviointilaitoksia: Suomessa vaaditaan FINASin akkreditointi ja Traficomin ilmoitus, korkealla varmuustasolla lisäksi valtuutus.. Voimassa mistä: sovelletaan, Kehys on ollut voimassa 27.6.2019 alkaen ja sen ainoaa käytössä olevaa sertifiointijärjestelmää EUCC:tä on sovellettu 27.2.2025 alkaen, mutta sertifiointi itsessään on vapaaehtoista. Seuraava vahvistettu määräpäivä: 2027-12-31, EUCC:n vanhojen arviointistandardien siirtymäaika päättyy. Valvoja Suomessa: Traficom (Kyberturvallisuuskeskus) — kansallinen kyberturvallisuussertifioinnin viranomainen. Virallinen numero: Asetus (EU) 2019/881 (kyberturvallisuusasetus). Säädössivu: https://www.leanex.fi/saatelywiki/sertifiointi
Pilvi- ja tekoälysäädös: EU:n pilvi- ja tekoälysäädös (CADA) Koskee, jos: Kohdistuisi pilvipalvelun tarjoajaan ja julkisen sektorin hankkijaan, jos ehdotus hyväksytään. Tänään se ei velvoita ketään, koska säädöstä ei ole.. Myös jos: Voisi vaikuttaa välillisesti myös yksityiseen toimittajaan, jos julkiset hankkijat siirtäisivät ehdotetut varmuustasot hankintaehtoihin. Ehdotus ei vielä velvoita ketään.. Voimassa mistä: ehdotus, Komission ehdotus 3.6.2026. Ei yhtään voimassa olevaa velvoitetta eikä yhtään kiinteää määräpäivää.. Seuraava vahvistettu määräpäivä: ei vahvistettua tulevaa määräpäivää. Valvoja Suomessa: Ei valvojaa, koska säädöstä ei ole. Pilvipalvelujen datasääntelyä valvoo Suomessa Traficom.. Virallinen numero: Ehdotus COM(2026) 502 final: asetus Euroopan pilvi- ja tekoälyekosysteemin vahvistamista koskevien toimenpiteiden kehyksestä, menettely 2026/0138(COD). Säädössivu: https://www.leanex.fi/saatelywiki/cada
Tuotevastuudirektiivi: EU:n uusi tuotevastuudirektiivi Koskee, jos: Koskee, jos kehitätte tai myytte ohjelmistoja, SaaSia, sovelluksia tai tekoälyä kaupallisesti EU:hun. Laajennettu tuotemääritelmä voi tehdä teistä valmistajan.. Myös jos: Myös ilman omaa tuotekehitystä: maahantuoja tai omalla nimellään myyvä voi vastata EU:n ulkopuolisen valmistajan tuotteesta, ja ohjelmistopäivitys tai mallin uudelleenkoulutus voi siirtää vastuun muutoksen tekijälle.. Voimassa mistä: tulossa, Voimassa EU:ssa 8.12.2024 alkaen, sovelletaan tuotteisiin 9.12.2026 alkaen. Seuraava vahvistettu määräpäivä: 2026-12-09, Direktiiviä aletaan soveltaa. Valvoja Suomessa: Ei valvontaviranomaista - vastuu ratkaistaan käräjäoikeudessa. Virallinen numero: Direktiivi (EU) 2024/2853. Säädössivu: https://www.leanex.fi/saatelywiki/tuotevastuu
eIDAS 2.0: eIDAS 2.0 ja EU:n digitaalinen lompakko Koskee, jos: Koskee nimettyjä luottavia osapuolia: julkishallintoa ja kuntia, pankkeja, vakuutusyhtiöitä, terveydenhuoltoa, teleoperaattoreita sekä energia-, liikenne- ja koulutusalaa.. Myös jos: Myös hyvin suuria verkkoalustoja, joilla on yli 45 miljoonaa EU-käyttäjää. Tunnistus-, allekirjoitus- ja KYC-ratkaisujen toimittajille vaatimus voi tulla asiakassopimusten kautta jo ennen määräpäivää.. Voimassa mistä: vaiheittain, Voimassa 2024 alkaen, velvoitteet vaiheittain 2026–2027. Seuraava vahvistettu määräpäivä: 2027-12-24, Nimettyjen tahojen hyväksyttävä lompakko. Valvoja Suomessa: Traficom (Kyberturvallisuuskeskus). Virallinen numero: Asetus (EU) 2024/1183. Säädössivu: https://www.leanex.fi/saatelywiki/eidas2

Säätelywiki Digital Omnibus AI Act Evästeet GDPR Tiedonsiirrot Työelämän tietosuoja NIS2 Alustatyö DORA Digipalvelulaki Datasäädös Esteettömyysdirektiivi CRA Tuoteturvallisuus DSA ja DMA Kyberturvasertifiointi Pilvi- ja tekoälysäädös Tuotevastuudirektiivi eIDAS 2.0