Riskienhallinta- ja poikkeamailmoitusvelvoitteet kriittisten alojen toimijoille.
Mikä se on NIS2 eli EU:n kyberturvallisuusdirektiivi (EU) 2022/2555 velvoittaa jäsenmaat säätämään yhteiset kyberturvallisuuden riskienhallinta- ja poikkeamailmoitusvaatimukset useille toimialoille. Suomessa direktiivi on pantu täytäntöön kyberturvallisuuslailla (124/2025), joka on ollut kokonaisuudessaan voimassa 8.4.2025 alkaen. Laki on Suomen ensimmäinen horisontaalinen kyberturvallisuussäädös: se yhdistää yhden yhteisen sääntelykehyksen alle monta toimialaa, jotka aiemmin oli säännelty erikseen tai ei lainkaan. Käytännössä laki edellyttää, että piirissä oleva organisaatio hallitsee kyberriskejään järjestelmällisesti, dokumentoi toimenpiteensä ja ilmoittaa merkittävistä poikkeamista viranomaiselle määräajassa. Koskeeko sinua Kuulut todennäköisesti lain piiriin, jos organisaatiosi toimii listatulla kriittisellä toimialalla ja täyttää kokorajan. Korkean kriittisyyden toimialoja ovat muun muassa energia, liikenne, pankki- ja rahoitusala, terveydenhuolto, vesihuolto, digitaalinen infrastruktuuri, ICT-palvelunhallinta, julkishallinto ja avaruusala. Muita kriittisiä toimialoja ovat esimerkiksi posti- ja kuriiripalvelut, jätehuolto, kemikaalit, elintarviketuotanto, valmistava teollisuus, tietyt digitaaliset palvelut kuten verkkokauppa-alustat, hakukoneet ja somepalvelut, sekä tutkimus. Kokorajana on käytännössä keskisuuri yritys: karkeasti vähintään 50 työntekijää tai yli 10 miljoonan euron liikevaihto tai tase. Osa toimijoista, muun muassa yleisten viestintäverkkojen tarjoajat, luottamuspalvelujen tarjoajat, verkkotunnusrekisterit ja DNS-palveluntarjoajat sekä vuodesta 2026 alkaen CER-direktiivin nojalla kriittisiksi nimetyt toimijat, kuuluu piiriin koosta riippumatta. Jos et ole suoraan piirissä, tarkista silti, alkaako isompi asiakkaasi vaatia sopimuksessa vastaavia turvallisuustakeita. Keskeiset velvoitteet Ilmoittaudu toimialasi valvojan toimijaluetteloon noin kuukauden kuluessa siitä, kun täytät kriteerit. Dokumentoi riskienhallinnan toimintamalli noin kolmen kuukauden kuluessa piiriin tulosta: tunnista järjestelmiisi kohdistuvat riskit ja kuvaa suojaustoimenpiteet. Toteuta ja dokumentoi lain vähimmäisturvatoimenpiteet: riskianalyysi ja tietoturvapolitiikka, poikkeamankäsittelyprosessi, jatkuvuudenhallinta (varmuuskopiot, palautuminen, kriisijohtaminen), toimitusketjun turvallisuus myös alihankkijasopimuksissa, turvallisuus järjestelmähankinnoissa ja -kehityksessä, oman riskienhallinnan tehon säännöllinen arviointi, henkilöstön tietoturvakoulutus, salauskäytännöt, pääsynhallinta sekä monivaiheinen tunnistautuminen. Rakenna poikkeamailmoitusprosessi kolmessa vaiheessa: varhainen ilmoitus 24 tunnissa, tarkempi ilmoitus 72 tunnissa ja loppuraportti kuukauden kuluessa merkittävästä poikkeamasta. Varmista, että ylin johto, hallitus ja toimitusjohtaja, hyväksyy riskienhallintatoimet, valvoo niiden toteutusta ja kouluttautuu aiheeseen. Laiminlyönnistä voi seurata henkilökohtainen vastuu. Varaudu hallinnollisiin seuraamusmaksuihin: enintään 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta keskeisille toimijoille, 7 miljoonaa euroa tai 1,4 % tärkeille toimijoille. Näin sovellat käytännössä Pk-SaaS, 20 hengen B2B-ohjelmistoyritys: ei ole suoraan lain piirissä, jos toimiala ei ole listattu eikä kokoraja täyty. Käytännön riski tulee silti asiakkaiden kautta, sillä isommat, piirissä olevat asiakkaat alkavat vaatia sopimuksissa NIS2-tyyppisiä turvallisuustakeita, kuten ISO 27001 -sertifikaattia, poikkeamasuunnitelmaa tai monivaiheista tunnistautumista. Ensimmäinen askel: käy läpi isoimpien asiakkaiden sopimukset ja tarjouspyynnöt ja kirjaa ylös, mitä turvallisuusvaatimuksia niissä jo esiintyy. Verkkokauppa, 30 henkeä ja noin 4 miljoonan euron liikevaihto: verkkokauppa-alustat kuuluvat lain listaamiin digitaalisiin palveluntarjoajiin, mutta yritys jää kokorajan (karkeasti 50 työntekijää / 10 miljoonaa euroa) alle, joten se on todennäköisesti piirin ulkopuolella, ellei sitä myöhemmin nimetä kriittiseksi toimijaksi. Ensimmäinen askel: tarkista maksupalvelu- ja hosting-sopimukset, sillä niihin lisätään yhä useammin NIS2-henkisiä turvallisuusehtoja. Hallinnoitu IT- tai pilvipalveluntarjoaja, 60 henkeä: tämä on tyypillinen suoraan piirissä oleva tärkeä toimija, sillä digitaalinen infrastruktuuri ja ICT-palvelunhallinta ovat listattuja toimialoja ja kokoraja ylittyy. Ensimmäiset askeleet: rekisteröidy Traficomin toimijaluetteloon, dokumentoi riskienhallinnan toimintamalli ja rakenna 24/72 tunnin ja kuukauden ilmoitusprosessi valmiiksi, ennen kuin sitä tarvitaan. Valmistava teollisuus, 300 hengen konepajayritys: suuri yritys muulla kriittisellä toimialalla luokitellaan tärkeäksi toimijaksi, ei keskeiseksi. Velvoitteet kattavat koko vähimmäistoimenpiteiden listan, mukaan lukien toimitusketjun turvallisuus omien alihankkijoiden suuntaan. Ensimmäinen askel: kartoita alihankintaketju ja kirjaa turvallisuusvaatimukset sopimuksiin. Kunta tai kuntayhtymä: julkishallinto on lain korkean kriittisyyden toimiala, joten kunta kuuluu lähtökohtaisesti piiriin. Julkishallinnon velvoitteet alkoivat heti lain voimaantulosta 8.4.2025, ilman muille toimijoille annettuja siirtymäaikoja, joten esimerkiksi riskienhallinnan toimintamallia koskeva myöhempi määräaika ei koskenut julkishallintoa. Ensimmäinen askel: tarkista kunnan omat velvoitteet tiedonhallintolain muutoksesta (125/2025) sekä Kuntaliiton ja Traficomin ohjeista, ja varmista, että riskienhallinnan toimintamalli ja poikkeamailmoitusprosessi ovat kunnossa jo nyt. Suomessa Suomi saattoi NIS2-direktiivin osaksi kansallista lakia kyberturvallisuuslailla (124/2025), joka tuli voimaan 8.4.2025 ja jonka soveltamisalaa laajennettiin 1.7.2025 CER-direktiivin rinnalle. Laki on horisontaalinen: yksi yhteinen säädös usealle toimialalle sektorikohtaisten erillissääntöjen sijaan, mutta valvonta on jaettu usealle viranomaiselle. Traficomin Kyberturvallisuuskeskus toimii yleisenä ja keskitettynä valvojana, yhteyspisteenä ja kansallisena CSIRT-toimijana, ja se valvoo myös suoraan tietoliikennettä, digitaalista infrastruktuuria ja avaruusalaa. Muita toimialoja valvovat omat viranomaisensa: Energiavirasto (energia), Finanssivalvonta (pankki- ja rahoitusmarkkinat), Lupa- ja valvontavirasto (terveydenhuolto; jatkaa Valviran tehtäviä vuoden 2026 alusta), Fimea (lääkkeet), Tukes (kemikaalit, suurin osa valmistuksesta, jätehuolto), Ruokavirasto (elintarvikkeet) ja ELY-keskukset (vesihuolto). Tammikuusta 2026 alkaen mukaan on liittynyt vielä kaksi valvovaa viranomaista. Seuraamusmaksulautakunta, joka toimii Traficomin yhteydessä ja johon kuuluu jäseniä kaikista valvontaviranomaisista, on käsitellyt hallinnollisia seuraamuksia 1.9.2025 alkaen. Suomenkielistä ohjeistusta kannattaa seurata näistä lähteistä: kyberturvallisuuskeskus.fi (Traficom): NIS2-UKK, toimialaluokittelu, ilmoittautumispalvelu ja poikkeamailmoitusohjeet. finlex.fi: kyberturvallisuuslain (124/2025) ja CER-lain (310/2025) viralliset säädöstekstit. Toimialakohtaiset viranomaiset, kuten tukes.fi, valvira.fi ja energiavirasto.fi, julkaisevat oman alansa tulkintaa samasta laista. valtioneuvosto.fi ja lvm.fi: lainsäädäntöprosessi, hallituksen esitykset ja CER:n kansallinen suunnitelma. Tuotteiden kyberturvallisuutta säätelee erikseen EU:n kyberkestävyysasetus (CRA) ja sen kansallinen laki 439/2026, sama Traficomin Kyberturvallisuuskeskus valvojana; sen omat määräpäivät ja velvoitteet löytyvät sivulta kyberkestävyysasetus (CRA) . Tekoälyn käyttöönotto samassa organisaatiossa nostaa usein esiin myös tietosuojakysymyksiä; katso myös EU:n tekoälyasetus ja GDPR .