Kyberturvallisuuslaki 124/2025: mitä NIS2 käytännössä vaatii suomalaiselta yritykseltä

Mikä laki NIS2:n Suomessa toteuttaa ja keitä se koskee

Suomessa NIS2-velvoitteet tulevat kyberturvallisuuslaista 124/2025. Lain 1 §:n mukaan laissa säädetään kyberturvallisuutta koskevien riskien hallinnasta ja sillä pannaan täytäntöön Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555 (NIS 2 -direktiivi).

Lain 3 §:n mukaan lakia sovelletaan toimijaan, joka harjoittaa liitteessä I tai II tarkoitettua toimintaa tai on mainituissa liitteissä tarkoitettu toimija ja täyttää tai ylittää komission suosituksen 2003/361/EY liitteen 2 artiklan mukaiset keskisuuria yrityksiä koskevat edellytykset ja tarjoaa palvelujaan tai harjoittaa toimintaansa jossakin Euroopan unionin jäsenvaltiossa.

Koosta riippumatta lakia sovelletaan 3 §:n 2 momentin mukaan muun muassa yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajiin, luottamuspalvelun tarjoajiin, aluetunnusrekisterin ylläpitäjiin ja DNS-palveluntarjoajiin. Lisäksi 3 §:n 3 momentti ulottaa lain koosta riippumatta esimerkiksi toimijaan, joka tarjoaa palvelua, jota muut eivät tarjoa ja joka on kriittisten toimintojen ylläpitämisen kannalta keskeinen.

Toimijat jaetaan kahteen luokkaan: keskeinen toimija ja muu kuin keskeinen toimija. Luokka vaikuttaa muun muassa hallinnollisen seuraamusmaksun enimmäismäärään (38 §). Jos oman toiminnan kuuluminen liitteeseen I tai II on epäselvää, virallinen lähde tulkintaan on Liikenne- ja viestintävirasto Traficom / Kyberturvallisuuskeskus.

Dokumentoitu riskienhallinta on yksi kokonaisuus — viisi ydinaluetta

Laki ei pyydä yhtä irrallista ohjetta vaan riskienhallinnan toimintamallin ja siihen perustuvat hallintatoimenpiteet, joita arvioidaan kokonaisuutena. Lain 7 §:ssä todetaan: "Toimijan on tunnistettava, arvioitava ja hallittava riskejä, joita kohdistuu sen toiminnoissa tai palveluntarjonnassa käytettävien viestintäverkkojen ja tietojärjestelmien turvallisuuteen." (7 §)

1. Riskienhallinnan toimintaperiaatteet. Toimintamallissa on 9 §:n 2 momentin 1 kohdan mukaan otettava huomioon ja pidettävä ajantasaisina kyberturvallisuutta koskevan riskienhallinnan toimintaperiaatteet ja hallintatoimenpiteiden vaikuttavuuden arviointi. Saman momentin 2 kohta lisää viestintäverkkojen ja tietojärjestelmien turvallisuutta koskevat toimintaperiaatteet. Tämä on asiakirja, joka kertoo, miten riskit tunnistetaan ja miten toimenpiteiden toimivuutta seurataan.

2. Poikkeamien käsittely. Toimintamallin on katettava poikkeamien havainnointi ja käsittely turvallisuuden ja toimintavarmuuden palauttamiseksi ja ylläpitämiseksi (9 §:n 2 momentin 9 kohta). Käytännössä tämä tarkoittaa kirjattua menettelyä siitä, kuka havaitsee, kuka luokittelee ja kuka päättää ilmoittamisesta.

3. Toiminnan jatkuvuus. Mukaan kuuluvat varmuuskopiointi, palautumissuunnittelu, kriisinhallinta ja muu toiminnan jatkuvuuden hallinta sekä tarvittaessa suojattujen varaviestintäjärjestelmien käyttö (9 §:n 2 momentin 10 kohta). Jatkuvuus on siis oma dokumentoitu osa-alueensa, ei poikkeamien käsittelyn liite.

4. Toimitusketjun turvallisuus. Toimintamallissa on otettava huomioon ja pidettävä yllä ajantasaisesti "toimitusketjun välittömien toimittajien tuotteiden ja palveluntarjoajien palvelujen yleinen laatu ja häiriönsietokyky, niihin sisällytetyt hallintatoimenpiteet sekä välittömien toimittajien ja palveluntarjoajien kyberturvallisuuskäytännöt" (9 §:n 2 momentin 4 kohta). Sama vaatimus on direktiivin art 21(2)(d):ssä.

5. Johdon vastuu. Lain 10 §:n mukaan: "Toimijan johto vastaa kyberturvallisuutta koskevan riskienhallinnan toteuttamisen ja valvonnan järjestämisestä sekä hyväksyy kyberturvallisuutta koskevan riskienhallinnan toimintamallin ja valvoo sen toteuttamista." (10 §) Lisäksi 10 §:n mukaan toimijan johdolla tulee olla riittävä perehtyneisyys kyberturvallisuutta koskevaan riskienhallintaan. Johdolla tarkoitetaan hallitusta, hallintoneuvostoa ja toimitusjohtajaa sekä muussa niihin rinnastettavassa asemassa olevaa, joka tosiasiallisesti johtaa toimintaa (10 §).

Toimenpiteet on 9 §:n 3 momentin mukaan suhteutettava toiminnan laatuun ja laajuuteen, riskialttiuteen, poikkeamien todennäköisyyteen ja vakavuuteen sekä toimenpiteiden kustannuksiin. Pieni toimija ei siis tarvitse suuryrityksen laajuista aineistoa — mutta kaikki 9 §:n 2 momentin osa-alueet on käsiteltävä.

Poikkeamailmoitukset viranomaiselle

Lain 11 §:n mukaan toimijan on viipymättä ilmoitettava valvovalle viranomaiselle merkittävästä poikkeamasta. Merkittävä on poikkeama, joka on aiheuttanut tai voi aiheuttaa vakavan palvelujen toimintahäiriön tai huomattavia taloudellisia tappioita toimijalle, sekä poikkeama, joka on vaikuttanut tai voi vaikuttaa muihin luonnollisiin henkilöihin tai oikeushenkilöihin aiheuttamalla huomattavaa aineellista tai aineetonta vahinkoa (11 §).

• Ensi-ilmoitus on tehtävä 24 tunnin kuluessa merkittävän poikkeaman havaitsemisesta (11 §).
• Jatkoilmoitus on tehtävä 72 tunnin kuluessa merkittävän poikkeaman havaitsemisesta (11 §).
• Luottamuspalvelun tarjoajan on tehtävä jatkoilmoitus 24 tunnin kuluessa havaitsemisesta, jos poikkeama vaikuttaa sen luottamuspalvelujen tarjontaan (11 §).
• Loppuraportti on annettava kuukauden kuluessa jatkoilmoituksen toimittamisesta tai pitkäkestoisen poikkeaman käsittelyn päättymisestä (13 §).

Ensi-ilmoituksessa kerrotaan havaitsemisesta, epäilystä rikoksesta tai muusta lainvastaisesta tai vihamielisestä teosta sekä rajat ylittävien vaikutusten mahdollisuudesta (11 §). Jatkoilmoituksessa annetaan arvio poikkeaman laadusta, vakavuudesta ja vaikutuksista sekä tekniset vaarantumisindikaattorit, jos niitä on saatavilla (11 §). Ilmoituskanavan ja lomakkeen osalta virallinen lähde on oman toimialan valvova viranomainen; keskitettynä yhteyspisteenä toimii Liikenne- ja viestintäviraston Kyberturvallisuuskeskus (18 §).

Toimijaluettelo ja valvonta kohdistuvat aineistoon kokonaisuutena

Valvova viranomainen ylläpitää valvontatoimialansa osalta toimijaluetteloa (41 §). Toimijan on ilmoitettava muun muassa nimi, osoite- ja yhteystiedot, IP-osoitealueet, liitteen I tai II mukainen toimiala ja sen osa, tieto siitä onko se keskeinen toimija, sekä luettelo jäsenvaltioista, joissa se tarjoaa direktiivin soveltamisalaan kuuluvia palveluja (41 §). Ilmoitus oli tehtävä viimeistään 8.5.2025 (47 §), ja muutoksista 41 §:n 2 momentin tietoihin on ilmoitettava kahden viikon kuluessa muutoshetkestä (41 §).

Valvonta on Suomessa hajautettu toimialoittain: valvovia viranomaisia ovat muun muassa Liikenne- ja viestintävirasto, Energiavirasto, Turvallisuus- ja kemikaalivirasto, Sosiaali- ja terveysalan lupa- ja valvontavirasto, Etelä-Savon elinkeino-, liikenne- ja ympäristökeskus, Ruokavirasto sekä Lääkealan turvallisuus- ja kehittämiskeskus (26 §). Valvonta kohdistuu lain, sen nojalla annettujen määräysten ja NIS 2 -direktiivin nojalla annettujen säännösten noudattamiseen (26 §) — eli riskienhallinnan aineistoon kokonaisuutena, ei yksittäiseen asiakirjaan. Viranomainen voi poikkeamatilanteessa pyytää lisätietoja tai väliraportin (12 §) ja tehostaa määräyksiään uhkasakolla, teettämisuhalla tai keskeyttämisuhalla (34 §).

Hallinnollisen seuraamusmaksun enimmäismäärä on keskeiselle toimijalle 10 000 000 euroa tai kaksi prosenttia edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi on suurempi, ja muulle kuin keskeiselle toimijalle 7 000 000 euroa tai 1,4 prosenttia vastaavasta liikevaihdosta sen mukaan, kumpi on suurempi (38 §).

Toimitusketjun rengas: kyselyitä saavat myös soveltamisalan ulkopuoliset

Koska 9 §:n 2 momentin 4 kohta velvoittaa lain piirissä olevan toimijan pitämään ajantasaisesti yllä tietoa välittömien toimittajiensa ja palveluntarjoajiensa kyberturvallisuuskäytännöistä, velvoite siirtyy sopimusketjussa eteenpäin. Se on tosiasia, ei tulkinta: NIS2-velvoitteiden piirissä oleva asiakas ei voi täyttää omaa 9 §:n mukaista velvoitettaan kysymättä toimittajiltaan.

Käytännössä tämä tarkoittaa, että myös lain soveltamisalan ulkopuolella oleva yritys saa toimittajakyselyitä ja sitä pyydetään esittämään näyttöä omista käytännöistään: miten riskit on tunnistettu, miten poikkeamat käsitellään, miten palautuminen on suunniteltu. Kyselyn lähettäjä ei yleensä kysy, kuuluuko toimittaja lain piiriin — se kysyy, mitä toimittaja voi osoittaa. Tästä syystä sama viiden ydinalueen aineisto on hyödyllinen myös yritykselle, joka ei itse ole 3 §:n tarkoittama toimija.

Mistä aloittaa: ensimmäinen viidestä

Riskienhallinnan toimintaperiaatteet eli riskienhallintapolitiikka on se asiakirja, jonka päälle muut rakentuvat. Se määrittelee, mitkä viestintäverkot ja tietojärjestelmät ovat toiminnan kannalta merkityksellisiä, miten riskit arvioidaan ja miten hallintatoimenpiteiden vaikuttavuutta arvioidaan (9 §:n 2 momentin 1 kohta). Ilman sitä poikkeamien käsittely, jatkuvuussuunnittelu ja toimittajien arviointi jäävät irrallisiksi ohjeiksi ilman yhteistä riskiperustaa.

Järkevä eteneminen on: 1) selvitä maksutta oman toiminnan kuuluminen 3 §:n soveltamisalaan ja luokka (keskeinen toimija vai muu kuin keskeinen toimija), 2) laadi riskienhallinnan toimintaperiaatteet, 3) täydennä muut 9 §:n 2 momentin osa-alueet, 4) vie toimintamalli johdon hyväksyttäväksi 10 §:n mukaisesti. Tämä artikkeli on yleistä tietoa lain sisällöstä eikä takaa velvoitteiden täyttymistä; sitova on suomenkielinen säädösteksti ja ajantasaiset ohjeet julkaisee oman toimialan valvova viranomainen sekä Liikenne- ja viestintävirasto Traficom / Kyberturvallisuuskeskus (virallinen lähde).