Kyberturvallisuudesta on tullut yritysten IT-palveluiden keskeinen kysymys. Suomessa tämä näkyy erityisesti kyberturvallisuuslaissa (124/2025), joka tuli voimaan 8.4.2025. Lailla pantiin täytäntöön EU:n kyberturvallisuusdirektiivi eli NIS2-direktiivi muilla kuin julkishallinnon toimialoilla. Nyt kun laki on ollut voimassa puolitoista vuotta, on hyvä hetki katsoa, mitä se käytännössä edellyttää ja miten IT-palvelut voivat tukea yritystä velvoitteiden täyttämisessä.
Mitä NIS2 ja kyberturvallisuuslaki ovat?
NIS2-direktiivi on EU:n säädös, jonka tavoitteena on varmistaa kyberturvallisuuden yhteinen korkea taso kaikkialla unionissa. Se korvasi aiemman, suppeamman NIS-direktiivin ja laajensi sääntelyn koskemaan aiempaa useampia yhteiskunnan kannalta kriittisiä toimialoja. Suomessa direktiivin vaatimukset on kirjattu kansalliseen kyberturvallisuuslakiin. Julkishallinnon osalta vastaavista vaatimuksista säädetään laissa julkisen hallinnon tiedonhallinnasta.
Laki asettaa soveltamisalaan kuuluville toimijoille kolme keskeistä velvollisuutta: riskienhallinnan, merkittävistä poikkeamista ilmoittamisen ja ilmoittautumisen oman toimialan valvovan viranomaisen ylläpitämään toimijaluetteloon.
Koskeeko laki minun yritystäni?
Ensimmäinen kysymys on aina se, kuuluuko yritys lain soveltamisalaan. Tämä riippuu toimialasta ja yrityksen koosta. Lain liitteissä luetellaan toimialat, joita sääntely koskee, kuten energia, liikenne, terveydenhuolto, digitaalinen infrastruktuuri ja monet digitaaliset palvelut. Traficom kehottaa toimijoita tarkistamaan kyberturvallisuuslaista ja tiedonhallintalaista, ovatko ne NIS2-toimijoita.
Moni pienempi yritys ei kuulu lain piiriin suoraan. Lain vaikutukset voivat silti näkyä, jos yritys toimii alihankkijana tai palveluntarjoajana NIS2-toimijalle. Silloin asiakas voi edellyttää sopimuksissa tiettyä tietoturvan tasoa, koska sen on hallittava myös toimitusketjunsa riskejä.
Keskeiset velvoitteet ja aikataulu
Traficomin mukaan velvoitteet tulivat voimaan vaiheittain:
- Merkittävistä poikkeamista ilmoittaminen on ollut pakollista 8.4.2025 alkaen. Ilmoitus on kolmivaiheinen: ensimmäinen varoitus tehdään 24 tunnin kuluessa poikkeaman havaitsemisesta, varsinainen ilmoitus 72 tunnin kuluessa ja loppuraportti kuukauden kuluessa.
- Ilmoittautuminen toimijaluetteloon piti tehdä 8.5.2025 mennessä. Velvoite on myös liukuva: uuden toimijan on ilmoittauduttava kuukauden kuluessa siitä, kun se täyttää lain kriteerit.
- Riskienhallinnan toimintamalli piti laatia 8.7.2025 mennessä, ja myöhemmin lain piiriin tulevilla on siihen kolme kuukautta.
Mitä riskienhallinnan toimintamalli sisältää?
Kyberturvallisuuslaki luettelee vähimmäistoimenpiteet, jotka toimijoiden on toteutettava. Niihin kuuluvat muun muassa tietoturvallisuuden toimintaperiaatteet, poikkeamien käsittely, toiminnan jatkuvuuden hallinta varmuuskopioineen, toimitusketjun turvallisuus, perustason tietoturvakäytännöt sekä viestintäverkkojen ja tietojärjestelmien fyysisen ympäristön turvallisuus. Kyse ei ole yksittäisestä teknisestä ratkaisusta vaan johdetusta kokonaisuudesta, jossa riskit tunnistetaan, arvioidaan ja niitä hallitaan järjestelmällisesti.
Miten IT-palvelut tukevat lain noudattamista?
Lain vaatimukset ovat pitkälti hyvän IT-hallinnon perusasioita. Ulkoistettu tai oma IT-palvelu voi tukea yritystä esimerkiksi seuraavilla tavoilla:
- Laite- ja järjestelmäinventaario: riskejä ei voi hallita, jos ei tiedä, mitä laitteita, palvelimia ja pilvipalveluita yrityksellä on käytössä.
- Päivitysten hallinta: ohjelmistojen ja käyttöjärjestelmien säännöllinen päivittäminen on yksi tehokkaimmista perustason suojauskeinoista.
- Käyttöoikeuksien hallinta: monivaiheinen tunnistautuminen, ylläpitäjätunnusten rajaaminen ja poistuvien käyttäjien tunnusten sulkeminen.
- Varmuuskopiointi ja palautus: varmuuskopioiden olemassaolo ei riitä, vaan palautus on myös testattava.
- Lokien keruu ja valvonta: poikkeaman havaitseminen ajoissa on edellytys sille, että 24 tunnin ilmoitusaika on ylipäätään mahdollinen.
- Turvalliset etäyhteydet: esimerkiksi SSH-avaimet salasanojen sijaan ja VPN-yhteydet ylläpitoon.
- Dokumentaatio: toimintamallin, vastuiden ja menettelyjen kirjaaminen niin, että ne voidaan osoittaa valvovalle viranomaiselle.
Integraatiot ja toimittajat
Nykyaikaiset yritykset käyttävät kymmeniä integroituja järjestelmiä ja pilvipalveluita. Jokainen integraatio on myös mahdollinen hyökkäyspinta. Toimitusketjun turvallisuus on siksi yksi lain painopisteistä. Käytännössä tämä tarkoittaa, että palveluntarjoajien tietoturvakäytännöt kannattaa selvittää, sopimuksiin kirjataan tietoturvavaatimukset ja integraatioiden käyttämiä rajapinta-avaimia ja tunnuksia hallitaan yhtä huolellisesti kuin käyttäjätunnuksia.
Johdon vastuu
NIS2-sääntelyn olennainen muutos aiempaan on, että kyberturvallisuus on nostettu johdon vastuulle. Riskienhallinta ei ole pelkästään IT-osaston tehtävä, vaan johdon on hyväksyttävä toimintamalli ja valvottava sen toteutumista. IT-palvelun rooli on tuottaa johdolle selkeää tietoa riskeistä ja toimenpiteistä päätöksenteon tueksi.
Lain arviointi on käynnissä
Liikenne- ja viestintäministeriö käynnisti vuonna 2026 hankkeen, jossa arvioitiin kyberturvallisuuslain soveltamista ja tavoitteiden toteutumista. Hankkeen loppuraportin mukaan lakia pidetään yleisesti selkeänä, tarpeellisena ja keskeisiltä osin onnistuneena, ja siinä tunnistettiin myös mahdollisia kehittämiskohteita. Yritysten kannattaa seurata, johtaako arviointi tulevaisuudessa muutoksiin.
Pilvipalvelut ja jaettu vastuu
Pilvipalveluissa vastuu tietoturvasta jakautuu palveluntarjoajan ja asiakkaan kesken. Palveluntarjoaja huolehtii infrastruktuurista, mutta käyttäjätunnukset, oikeudet ja asetukset jäävät usein asiakkaan vastuulle. Siksi pilvipalvelujen asetukset kannattaa käydä läpi säännöllisesti.
Käytännön aloitus pienelle ja keskisuurelle yritykselle
Moni yritys kokee kyberturvallisuuden kokonaisuuden niin laajaksi, ettei tiedä, mistä aloittaa. Selkeä tapa on edetä vaiheittain. Ensimmäisessä vaiheessa selvitetään, kuuluuko yritys lain soveltamisalaan ja onko asiakkailla sopimuksiin perustuvia tietoturvavaatimuksia. Toisessa vaiheessa kootaan ajantasainen kuva järjestelmistä, laitteista, käyttäjistä ja palveluntarjoajista. Kolmannessa vaiheessa arvioidaan, mitkä riskit ovat todennäköisimpiä ja mitkä vaikuttaisivat toimintaan eniten. Vasta tämän jälkeen valitaan toimenpiteet ja aikataulu.
Tärkeää on myös harjoitella. Poikkeamatilanteessa ei ole aikaa etsiä yhteystietoja tai miettiä, kuka tekee päätöksiä. Kun yrityksellä on kirjattu toimintaohje, nimetyt vastuuhenkilöt ja testattu palautussuunnitelma, tilanteesta selvitään nopeammin. Lyhyt pöytäharjoitus, jossa käydään läpi esimerkiksi kiristyshaittaohjelman tai sähköpostitilin kaappauksen kaltainen tilanne, paljastaa usein puutteita, jotka on helppo korjata etukäteen.
Henkilöstön osaaminen on kolmas peruspilari. Moni tietoturvaloukkaus alkaa huijausviestistä tai heikosta salasanasta. Säännöllinen, lyhyt koulutus ja selkeä tapa ilmoittaa epäilyttävistä viesteistä vahvistavat yrityksen suojaa enemmän kuin moni kallis tekninen ratkaisu.
Lopuksi
Kyberturvallisuuslaki muuttaa tietoturvan suosituksesta velvoitteeksi monille toimialoille. Lain piiriin kuulumattomillekin yrityksille sen vaatimukset ovat hyvä tarkistuslista: tunne järjestelmäsi, päivitä, hallitse käyttöoikeuksia, varmuuskopioi ja testaa, valvo ja dokumentoi. Lisätietoa ja toimialakohtaiset ohjeet löytyvät Traficomin Kyberturvallisuuskeskuksen verkkosivuilta.
Tämä artikkeli on yleistä tietoa eikä se ole oikeudellista neuvontaa. Tarkista oman yrityksesi velvoitteet valvovalta viranomaiselta tai asiantuntijalta.
