Kyberturvallisuuslaki (NIS2): koskeeko se teitä?

Mikä kyberturvallisuuslaki on?

Kyberturvallisuuslaki (124/2025) on EU:n NIS2-direktiivin kansallinen toimeenpano. Se velvoittaa lain piirissä olevat toimijat hallitsemaan kyberturvallisuusriskejään, ilmoittamaan merkittävistä poikkeamista ja ilmoittautumaan oman toimialansa valvovalle viranomaiselle. Valvontaa tekevät toimialan mukaan Traficom, Energiavirasto, Tukes, Lupa- ja valvontavirasto, Fimea, Elinvoimakeskus, Ruokavirasto ja Finanssivalvonta (alakohtainen lista).

Koskeeko laki teitä?

Laki koskee yritystä, kun se toimii lain mukaisella toimialalla ja on vähintään keskisuuri. Osaa toimijoista laki koskee koosta riippumatta.

Toimiala

Yritys toimii kyberturvallisuuslain liitteissä I tai II mainitulla alalla. Niitä ovat esimerkiksi energia, liikenne, terveys, vesihuolto, digitaalinen infrastruktuuri, yritysten IT-palveluiden hallinta, jätehuolto, kemikaalit, elintarvikkeiden tuotanto ja tukkukauppa sekä osa valmistavasta teollisuudesta.

Koko

Yritys on vähintään keskisuuri: sillä on vähintään 50 työntekijää tai sen vuosiliikevaihto ja taseen loppusumma ylittävät 10 miljoonaa euroa. Kokoon lasketaan myös omistus- ja kumppaniyritykset, joten konserniin kuuluva pieni yritys voi kuulua lain piiriin.

Poikkeukset

Osa toimijoista kuuluu lain piiriin koosta riippumatta, esimerkiksi yleisten viestintäverkkojen ja -palvelujen tarjoajat, DNS-palveluntarjoajat, aluetunnusrekisterit ja luottamuspalveluiden tarjoajat. Lisäksi laki koskee koosta riippumatta toimijaa, jonka palvelu on yhteiskunnalle erityisen kriittinen, sekä toimijaa, joka on määritetty kriittiseksi toimijaksi kriittisen infrastruktuurin suojaamisesta annetun lain (310/2025) nojalla. Tämä laki panee toimeen EU:n CER-direktiivin.

Toimialojen rajaukset ovat tarkkoja. Esimerkiksi elintarvikealalla lain piiriin kuuluvat Ruokaviraston mukaan teollinen tuotanto, jalostus ja tukkukauppa, mutta eivät vähittäiskauppa eikä ruokapalvelut. Varmistakaa oma tilanteenne Kyberturvallisuuskeskuksen toimialataulukosta tai oman alanne valvojalta.

Mitä laki vaatii?

• Riskienhallinnan toimintamalli. Riskit tunnistetaan ja niille määritetään suojaustoimet. Toimet suhteutetaan toiminnan laajuuteen ja riskeihin. Lain 9 § luettelee 12 huomioitavaa asiaa, kuten todentamisen, varmuuskopioinnin ja toimitusketjun.
• Johdon vastuu. Yrityksen johto vastaa riskienhallinnan toteuttamisesta ja sen valvonnasta, hyväksyy riskienhallinnan toimintamallin ja valvoo sen toteuttamista. Lain 10 §:n mukaan johdolla tulee olla riittävä perehtyneisyys kyberturvallisuutta koskevaan riskienhallintaan. Johdolla tarkoitetaan hallitusta, hallintoneuvostoa ja toimitusjohtajaa sekä muuta tosiasiallisesti toimintaa johtavaa.
• Ilmoittautuminen. Toimija ilmoittaa tietonsa, kuten IP-osoitealueensa, valvovan viranomaisen toimijaluetteloon kuukauden kuluessa siitä, kun lain kriteerit täyttyvät.
• Poikkeamailmoitukset. Merkittävästä poikkeamasta tehdään ensi-ilmoitus 24 tunnin kuluessa, jatkoilmoitus 72 tunnin kuluessa ja loppuraportti kuukauden kuluessa jatkoilmoituksesta.

Laki erottaa keskeiset toimijat ja muut toimijat. Keskeisiä ovat pääasiassa suuret yritykset kriittisimmillä toimialoilla, kuten energiassa, liikenteessä ja terveydenhuollossa. Tahallisesta tai törkeän huolimattomasta laiminlyönnistä voi seurata hallinnollinen seuraamusmaksu. Sen enimmäismäärä on keskeiselle toimijalle 10 miljoonaa euroa tai 2 prosenttia edellisen tilikauden maailmanlaajuisesta liikevaihdosta ja muille toimijoille 7 miljoonaa euroa tai 1,4 prosenttia, sen mukaan kumpi on suurempi.

Miksi laki voi koskea teitä välillisesti?

Lain piirissä olevan yrityksen riskienhallinnan on huomioitava myös toimitusketju: suorien toimittajien ja palveluntarjoajien kyberturvallisuuskäytännöt. Jos asiakkaanne on esimerkiksi energiayhtiö, sairaala tai elintarviketehdas, se voi pyytää teitä vastaamaan tietoturvakyselyyn, hyväksymään sopimusehtoja tai näyttämään, että perusasiat ovat kunnossa.

Huoli on aiheellinen. Verizonin vuoden 2026 kansainvälisen tietomurtoraportin mukaan kolmas osapuoli oli mukana 48 prosentissa tietomurroista, kun vuotta aiemmin osuus oli 30 prosenttia. EU:n kyberturvallisuusvirasto ENISA kertoo uhkakatsauksessaan 2026, että rikolliset kohdistivat iskuja yhä enemmän palveluntarjoajiin, todennäköisesti koska se tekee iskuista tehokkaampia.

Asiakkaan on tehtävä ensi-ilmoitus 24 tunnissa, joten sen on saatava tieto myös toimittajan poikkeamasta nopeasti. Kyberturvallisuuskeskuksen mukaan toimijan tulee huolehtia, että esimerkiksi sen alihankkija toimittaa sille tarpeelliset tiedot.

Tyypillisiä kysymyksiä toimittajalle:

• Onko kaksivaiheinen tunnistautuminen käytössä kaikissa tunnuksissa?
• Toimivatko varmuuskopiot, ja onko palautusta kokeiltu?
• Kuka vastaa päivityksistä?
• Kuinka nopeasti ilmoitatte meille tietomurrosta?

Esimerkki (keksitty): 12 hengen konepaja Esimerkki Oy tekee varaosia elintarviketehtaalle. Laki ei velvoita konepajaa, mutta tehdas kuuluu lain piiriin ja lähettää sille tällaisen kyselyn. Epämääräiset vastaukset voivat maksaa asiakkuuden.

Todellinen tapaus: tammikuussa 2024 kiristyshaittaohjelma iski suomalaisen Tietoevryn Ruotsin-datakeskukseen. Verkkouutisten mukaan häiriö näkyi asiakkailla: esimerkiksi maataloustuoteketju Granngården joutui pitämään liikkeensä suljettuina. Yhden toimittajan ongelma pysäytti monen asiakkaan toiminnan.

Kansainvälinen tapaus: syyskuussa 2025 kiristyshaittaohjelma iski Collins Aerospacen lähtöselvitysohjelmistoon. ENISAn uhkakatsauksen 2026 mukaan automaattinen lähtöselvitys häiriintyi useilla EU:n lentoasemilla, kuten Brysselissä ja Berliinissä.

Myös IT-kumppaninne voi kuulua lain piiriin itse, koska yritysten IT-palveluiden hallinta on yksi lain toimialoista. Asiaa kannattaa kysyä kumppanilta suoraan. Tällaisten palveluyritysten tarkemmat vaatimukset ovat komission täytäntöönpanoasetuksessa (EU) 2024/2690, ja ENISA on julkaissut siihen käytännön ohjeen. Kumppani on myös reitti teihin: Sophos kuvasi vuonna 2025 tapauksen, jossa hyökkääjä pääsi IT-palveluyrityksen etähallintatyökaluun ja levitti sen kautta kiristyshaittaohjelman myös yrityksen asiakkaille sekä varasti tietoja.

Tämä koskee myös pieniä yrityksiä, joita laki ei velvoita suoraan. Kysymykset tulevat asiakkaalta, eivät viranomaiselta.

Mitä kannattaa tehdä nyt?

1. Tarkistakaa toimiala ja koko. Jos molemmat ehdot täyttyvät tai kuulutte poikkeuksiin, olkaa yhteydessä oman alanne valvojaan.
2. Selvittäkää asiakkaanne. Kuuluuko joku suurimmista asiakkaistanne lain piiriin? Silloin kysymyksiä on todennäköisesti tulossa.
3. Laittakaa perusasiat kuntoon. Kaksivaiheinen tunnistautuminen, toimivat varmuuskopiot, päivitykset ja kirjatut vastuut IT-kumppanin kanssa. Kysymyslista IT-kumppanille auttaa alkuun.
4. Sopikaa poikkeamista etukäteen. Kirjatkaa, kenelle asiakkaan puolella ilmoitatte tietoturvapoikkeamasta ja kuinka nopeasti.
5. Käyttäkää maksuttomia aineistoja. Traficomin riskienhallinnan suosituksen perustason käytännöt sopivat sen mukaan myös lain ulkopuolisille. Kybermittarilla voitte arvioida tasonne itse.
6. Pitäkää näyttö tallessa. Asiakkaalle on helpompi vastata, kun teillä on päivätty kuvaus tilanteesta ja tehdyistä korjauksista.

Miten Kybervartio liittyy tähän?

Kun asiakas kysyy tietoturvastanne, hän haluaa yleensä tietää kaksi asiaa: miltä yrityksenne näyttää ulospäin ja pidetäänkö tilanteesta huolta. Kybervartio katsoo koko yrityksenne internetistä päin, samasta suunnasta kuin hyökkääjä: verkkotunnukset ja unohtuneet alaosoitteet, verkkosivu ja sen salaus, sähköposti ja postipalvelimet sekä nimeänne muistuttavat huijausosoitteet. Tuloksena on päivätty, selkokielinen raportti, jonka voi liittää asiakkaalle annettavaan vastaukseen.

• Perustarkastus: tilannekuva tältä päivältä ja korjauslista tärkeysjärjestyksessä. Raportti valmistuu 1–2 arkipäivässä.
• Kybervartio-seuranta: ulkoista tilannetta seurataan jatkuvasti. Verkkosivun ja sähköpostin suojaukset tarkistetaan joka päivä, verkkotunnus ja huijausosoitteet kerran kuussa. Jos jokin vaatii toimia, saatte viestin yleensä samana arkipäivänä. Kuukausiraportit ovat asiakkaalle näyttö siitä, että tilanteesta pidetään huolta eikä työ jäänyt yhteen tarkastukseen.
• Uhka-arvio: kun haluatte nähdä myös näkyvät roolit, rahan reitit ja valesivut kirjoitettuina hyökkäysreiteiksi.

Rajaus on hyvä sanoa ääneen: ulkoinen tarkastus ei yksin tee yrityksestä lain mukaista. Laki koskee myös sisäisiä asioita, kuten riskienhallintaa, varmuuskopioita ja vastuita, joita ulkoa ei näe. Kybervartio hoitaa sen osan, joka näkyy ulos, ja antaa siitä kirjallisen näytön.