NIS2 energia-alalla Suomessa: kuuluuko yrityksesi sääntelyn piiriin?

Lyhyt vastaus: kuuluuko energia-alan yritys NIS2:n piiriin?

Kyllä, jos yritys harjoittaa kyberturvallisuuslain liitteessä I tai II tarkoitettua toimintaa ja täyttää lain kokoedellytykset. Kyberturvallisuuslailla (124/2025) pannaan täytäntöön NIS 2 -direktiivi (EU) 2022/2555 (1 §). Soveltamisen ratkaiseva säännös on 3 §: lakia sovelletaan oikeushenkilöön ja luonnolliseen henkilöön, joka harjoittaa liitteessä I tai II tarkoitettua toimintaa tai on mainituissa liitteissä tarkoitettu toimija ja joka täyttää tai ylittää keskisuuria yrityksiä koskevat edellytykset ja tarjoaa palvelujaan tai harjoittaa toimintaansa jossakin Euroopan unionin jäsenvaltiossa.

Mitä tehdä ensimmäiseksi: käy 3 § läpi rivi riviltä oman toimintasi osalta — mitkä liiketoiminnot vastaavat liitteen I tai II sanamuotoja ja ylittyvätkö kokoedellytykset. Sen jälkeen tarkista, onko ilmoittautuminen valvovan viranomaisen toimijaluetteloon tehty (41 §) ja onko kyberturvallisuutta koskevan riskienhallinnan toimintamalli laadittu (7–9 §). Nämä kaksi ovat konkreettisimmat asiat, joiden puuttuminen näkyy heti valvonnassa.

Miten laki nimeää energia-alan toiminnot

Kyberturvallisuuslaki ei luettele toimialoja pykälätekstissään, vaan viittaa 3 §:ssä lain liitteeseen I ja liitteeseen II. Energia-alan kohdalla liitteen sanamuoto kuuluu muun muassa näin (suora ote liitteestä I):

> energian varastointia > > g) Latauspisteiden operaattorit, jotka vastaavat latauspalvelua loppukäyttäjille tarjoavan latauspisteen hallinnoinnista ja toiminnasta, myös liikennepalvelun tarjoajan nimissä ja puolesta > > 9. Uusiutuvista lähteistä peräisin olevan energian käytön edistämisestä annetun Euroopan parlamentin ja …

Ote jatkuu liitteessä I, ja liitteen kohdat on jaettu alakohtiin (esimerkiksi kohdan 10 alakohdat a–c ja d–g sekä kohdan 12 alakohdat a ja b, joihin 26 § viittaa valvontavastuuta jakaessaan).

Käytännön seuraus: toimialan arkinimi — sähkö, kaasu, öljy tai kaukolämpö — ei ratkaise mitään. Ratkaisevaa on, vastaako yrityksen tosiasiallinen toiminta liitteen sanamuotoa. Sama yritys voi osua liitteeseen useammalla toiminnollaan, esimerkiksi sekä varastointi- että latauspistetoiminnan kautta. Liitteen I täydellinen ja sitova sanamuoto oman toimintosi osalta kannattaa tarkistaa säädöstekstistä sekä oman valvovan viranomaisen julkaisemista ohjeista (26 §).

Keskeinen toimija vai muu kuin keskeinen toimija — ja kokorajat

Laki käyttää kahta toimijaluokkaa: keskeinen toimija ja muu kuin keskeinen toimija. Luokka vaikuttaa muun muassa seuraamusmaksun enimmäismäärään (38 §), ja toimijan on itse ilmoitettava toimijaluetteloon tieto siitä, onko se keskeinen toimija (41 §).

Kokoedellytykset ratkeavat 3 §:n mukaan:

• Pääsääntö (3 §, 1 momentti): lakia sovelletaan toimijaan, joka harjoittaa liitteessä I tai II tarkoitettua toimintaa ja täyttää tai ylittää mikroyritysten sekä pienten ja keskisuurten yritysten määritelmästä annetun komission suosituksen 2003/361/EY liitteen 2 artiklan mukaiset keskisuuria yrityksiä koskevat edellytykset.
• Koosta riippumatta (3 §, 2 momentti): yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat, luottamuspalvelun tarjoajat, aluetunnusrekisterin ylläpitäjät ja DNS-palveluntarjoajat.
• Koosta riippumatta erityisperusteella (3 §, 3 momentti): liitteen I tai II toimintaa harjoittava toimija, jos sen palvelu on yhteiskunnan tai talouden kriittisten toimintojen ylläpitämisen kannalta keskeinen eivätkä muut toimijat sitä tarjoa; jos häiriö vaikuttaisi merkittävästi yleiseen järjestykseen, yleiseen turvallisuuteen tai kansanterveyteen; jos häiriö voisi aiheuttaa merkittävän systeemisen riskin erityisesti aloilla, joilla häiriöllä voisi olla rajat ylittäviä vaikutuksia; tai jos toimija on kriittinen erityisen suuren kansallisen tai alueellisen merkityksensä vuoksi. Näistä kriteereistä voidaan antaa tarkempia säännöksiä valtioneuvoston asetuksella.

Lisäksi 3 §:n 5 momentti täsmentää, ettei toimijaan sovelleta mainitun suosituksen liitteen 3 artiklan 4 kohtaa. Jos oman yrityksesi luokittelu keskeiseksi toimijaksi jää epäselväksi, tarkista asia toimialaasi valvovan viranomaisen julkaisemista ohjeista (26 §) — älä arvaa luokkaa, koska se vaikuttaa suoraan seuraamusmaksun enimmäismäärään.

Ydinvelvoitteet: riskienhallinta, johdon vastuu ja rekisteröityminen

Laki ei aseta energia-alalle omaa erillistä velvoitepakettia: soveltamisalaan kuuluvia toimijoita koskevat samat 7–10 §:n velvoitteet toimialasta riippumatta. Ainoa toimialakohtainen liikkumavara on se, että valvova viranomainen voi toimialallaan antaa riskienhallintavelvollisuuksia tarkentavia teknisiä määräyksiä toimialakohtaisista erityispiirteistä ja kriittisiä toimitusketjuja koskevien unionin tason koordinoitujen riskinarviointien tulosten huomioimisesta (9 §).

Riskienhallinta (7 §). Toimijan on tunnistettava, arvioitava ja hallittava riskejä, joita kohdistuu sen toiminnoissa tai palveluntarjonnassa käytettävien viestintäverkkojen ja tietojärjestelmien turvallisuuteen. Toimenpiteiden on oltava ajantasaisia, oikeasuhtaisia ja riittäviä.

Toimintamalli ja hallintatoimenpiteet (9 §). Toimintamallissa on otettava huomioon ja pidettävä ajantasaisena ainakin: riskienhallinnan toimintaperiaatteet ja hallintatoimenpiteiden vaikuttavuuden arviointi; verkkojen ja tietojärjestelmien turvallisuutta koskevat toimintaperiaatteet; hankinnan, kehittämisen ja ylläpidon turvallisuus sekä haavoittuvuuksien käsittely ja julkistaminen; toimitusketjun välittömien toimittajien ja palveluntarjoajien laatu, häiriönsietokyky ja kyberturvallisuuskäytännöt; omaisuudenhallinta; henkilöstöturvallisuus ja kyberturvallisuuskoulutus; pääsynhallinta ja todentaminen; salausmenetelmät; poikkeamien havainnointi ja käsittely; varmuuskopiointi, palautumissuunnittelu, kriisinhallinta ja jatkuvuuden hallinta; perustason tietoturvakäytännöt; sekä fyysisen ympäristön ja tilaturvallisuuden toimenpiteet. Toimenpiteet suhteutetaan toiminnan laatuun ja laajuuteen, ennakoitaviin vaikutuksiin, riskialttiuteen, poikkeamien todennäköisyyteen ja vakavuuteen sekä kustannuksiin. Sisällöllisesti sama vähimmäisluettelo on NIS 2 -direktiivin 21 artiklan 2 kohdassa.

Johdon vastuu (10 §). Johto vastaa riskienhallinnan toteuttamisen ja valvonnan järjestämisestä, hyväksyy toimintamallin ja valvoo sen toteuttamista. Johdolla tulee olla riittävä perehtyneisyys kyberturvallisuutta koskevaan riskienhallintaan. Johdolla tarkoitetaan hallitusta, hallintoneuvostoa ja toimitusjohtajaa sekä muuta niihin rinnastettavassa asemassa olevaa henkilöä, joka tosiasiallisesti johtaa toimintaa.

Toimijaluettelo (41 §). Valvova viranomainen ylläpitää toimijaluetteloa. Ilmoitettavia tietoja ovat nimi, osoite- ja yhteystiedot, IP-osoitealueet, liitteen I tai II mukainen toimiala ja sen osa, tieto siitä onko toimija keskeinen toimija, luettelo jäsenvaltioista joissa se tarjoaa direktiivin soveltamisalaan kuuluvia palveluja sekä tieto osallistumisesta 23 §:ssä tarkoitettuun vapaaehtoiseen tietojenjakojärjestelyyn. Muutoksista on ilmoitettava viipymättä, 2 momentin tietojen osalta kahden viikon kuluessa.

Poikkeamailmoitukset ja määräajat

Toimijan on viipymättä ilmoitettava valvovalle viranomaiselle merkittävästä poikkeamasta (11 §). Merkittävä poikkeama on poikkeama, joka on aiheuttanut tai voi aiheuttaa vakavan palvelujen toimintahäiriön tai huomattavia taloudellisia tappioita toimijalle, sekä poikkeama, joka on vaikuttanut tai voi vaikuttaa muihin luonnollisiin henkilöihin tai oikeushenkilöihin aiheuttamalla huomattavaa aineellista tai aineetonta vahinkoa (11 §).

Ensi-ilmoituksessa kerrotaan merkittävän poikkeaman havaitsemisesta, epäilläänkö sen johtuvan rikoksesta tai muusta lainvastaisesta tai vihamielisestä teosta sekä rajat ylittävien vaikutusten mahdollisuus ja todennäköisyys. Jatkoilmoituksessa annetaan arvio poikkeaman laadusta, vakavuudesta ja vaikutuksista, tekniset vaarantumisindikaattorit jos niitä on saatavilla sekä päivitykset ensi-ilmoituksen tietoihin (11 §). Loppuraportissa kuvataan poikkeama, sen vakavuus ja vaikutukset, uhkan tai juurisyyn tyyppi, toteutetut ja meneillään olevat lieventämistoimet sekä mahdolliset rajat ylittävät vaikutukset (13 §).

Ilmoitus tehdään sille valvovalle viranomaiselle, jonka toimialaan toimija kuuluu (26 §). Valvova viranomainen voi toimialallaan antaa tarkempia teknisiä määräyksiä ilmoituksen tietosisällöstä, teknisestä muodosta ja menettelystä (11 §). Käytännön ilmoituskanava ja lomake kannattaa siksi varmistaa oman valvovan viranomaisen julkaisemista ohjeista. Keskitettynä yhteyspisteenä toimii Liikenne- ja viestintäviraston Kyberturvallisuuskeskus (18 §), ja CSIRT-yksikkö toimii Liikenne- ja viestintävirastossa (19 §); CSIRT-yksikön yhteystieto on cert@ncsc.fi.

Kuka valvoo (26 §): Liikenne- ja viestintävirasto (liitteen I kohdat 1–7 ja liitteen II kohdat 1–5); Energiavirasto (liitteen I kohdat 8 ja 9 sekä kohdan 10 alakohdat a–c ja kohdan 12 alakohta b); Turvallisuus- ja kemikaalivirasto (liitteen I kohdan 10 alakohdat d–g, kohta 11, kohdan 12 alakohta a sekä liitteen II kohdat 6 ja 11–13); Sosiaali- ja terveysalan lupa- ja valvontavirasto; Etelä-Savon elinkeino-, liikenne- ja ympäristökeskus; Ruokavirasto; Lääkealan turvallisuus- ja kehittämiskeskus. Valvovien viranomaisten on tehtävä yhteistyötä valvonnan toteuttamisessa.

Seuraamusmaksut ja muut pakkokeinot

Hallinnollisen seuraamusmaksun enimmäismäärät on säädetty 38 §:ssä:

• Keskeinen toimija: enintään 10 000 000 euroa tai kaksi prosenttia toimijan edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä määristä on suurempi.
• Muu kuin keskeinen toimija: enintään 7 000 000 euroa tai 1,4 prosenttia toimijan edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä määristä on suurempi.

Valvova viranomainen voi esittää seuraamusmaksun määräämistä (35 §), ja maksun määrää seuraamusmaksulautakunta (36 §). Lisäksi valvova viranomainen voi tehostaa määräyksiään uhkasakolla, teettämisuhalla tai keskeyttämisuhalla (34 §).

Määräajat velvoitteiden täyttämiselle on sidottu lain voimaantuloon 8.4.2025 (47 §): riskienhallinnan toimintamalli on laadittava kolmen kuukauden kuluessa voimaantulosta tai 3 §:n mukaisten kriteerien täyttymisestä eli viimeistään 8.7.2025, ja 41 §:n mukainen ilmoitus toimijaluetteloon kuukauden kuluessa eli viimeistään 8.5.2025. Jos kriteerit täyttyvät vasta myöhemmin — esimerkiksi yrityskaupan tai kasvun myötä — määräajat lasketaan kriteerien täyttymishetkestä.