Koskeeko NIS2 / kyberturvallisuuslaki meidän yritystä?

EU:n NIS2-direktiivi pantiin Suomessa täytäntöön kyberturvallisuuslailla, joka tuli voimaan huhtikuussa 2025. Moni yritysjohtaja on kuullut asiasta, mutta ei ole varma, koskeeko laki juuri heitä. Vastaus riippuu kahdesta asiasta: kuulutteko lain piiriin suoraan, ja vaativatko asiakkaanne teiltä samoja asioita sopimusten kautta.

Kuuluuko yrityksenne lain piiriin suoraan?

Laki koskee pääsääntöisesti keskisuuria ja suuria yrityksiä tietyillä toimialoilla. Tarkista kaksi asiaa:

1. Koko: yrityksessä on vähintään 50 työntekijää, tai sen liikevaihto ja tase ylittävät kumpikin 10 miljoonaa euroa. Konserniin tai kumppaniyrityksiin kuuluvien yritysten luvut voidaan joutua laskemaan mukaan.
2. Toimiala: yritys toimii esimerkiksi energian, liikenteen, terveydenhuollon, vesihuollon, digitaalisen infrastruktuurin, pankki- ja rahoitusalan, jätehuollon, elintarvikkeiden, kemikaalien, posti- ja kuriiripalveluiden tai tiettyjen teollisuudenalojen (kuten koneiden, elektroniikan ja ajoneuvojen valmistuksen) parissa. Mukana ovat myös toisille yrityksille IT-palveluita tuottavat hallinnoidut palveluntarjoajat sekä esimerkiksi verkkokauppa-alustat.

Osa toimijoista kuuluu lain piiriin koostaan riippumatta, esimerkiksi tietyt tietoliikenne- ja luottamuspalvelujen tarjoajat. Toimialaluokittelu ei aina ole yksiselitteinen, joten rajatapaukset kannattaa selvittää huolella.

Jos laki koskee teitä, teidän pitää ilmoittautua oman toimialanne valvontaviranomaiselle ja täyttää lain vaatimukset.

Mitä laki vaatii?

Vaatimukset ovat pitkälti hyvää tietoturvan perustyötä, joka on vain tehtävä suunnitelmallisesti ja dokumentoidusti:

• Riskienhallinta: kirjattu toimintamalli kyberriskien tunnistamiseen ja hallintaan.
• Turvatoimet: esimerkiksi pääsynhallinta, monivaiheinen tunnistautuminen, varmuuskopiointi, haavoittuvuuksien hallinta ja salaus.
• Jatkuvuus: suunnitelma siitä, miten toiminta jatkuu ja palautuu häiriön jälkeen.
• Poikkeamailmoitukset: merkittävistä poikkeamista on ilmoitettava viranomaiselle tiukoissa määräajoissa, ensimmäinen varoitus jo 24 tunnin sisällä.
• Toimitusketjun turvallisuus: omien toimittajien ja palveluntarjoajien riskit on arvioitava ja hallittava.
• Johdon vastuu: yrityksen johdon on hyväksyttävä toimenpiteet, valvottava niiden toteutumista ja hankittava riittävä osaaminen.

Laiminlyönneistä voi seurata merkittäviä seuraamusmaksuja, mutta tärkein syy toimia on yksinkertaisempi: samat toimet suojaavat liiketoimintaa oikeilta hyökkäyksiltä.

Vaatimukset tulevat myös toimitusketjun kautta

Tämä yllättää monen. Vaikka yrityksenne olisi liian pieni tai väärällä toimialalla, laki voi koskettaa teitä välillisesti. Lain piiriin kuuluvien yritysten on hallittava toimitusketjunsa riskejä, joten ne vaativat samaa myös toimittajiltaan.

Käytännössä tämä näkyy tietoturvakyselyinä, sopimusten uusina tietoturvaliitteinä, auditointeina ja vaatimuksina esimerkiksi monivaiheisesta tunnistautumisesta tai poikkeamien ilmoittamisesta. Erityisesti IT-palveluita, ohjelmistoja, ylläpitoa tai alihankintaa tarjoavat yritykset kohtaavat näitä vaatimuksia yhä useammin.

Ne, jotka pystyvät vastaamaan kysymyksiin nopeasti ja uskottavasti, voittavat kauppoja. Ne, jotka eivät pysty, voivat pudota toimittajalistalta.

Kolme yleistä väärinkäsitystä

• ”Olemme liian pieniä.” Koko ratkaisee vain suoran soveltamisen. Toimitusketjun kautta tulevat vaatimukset eivät katso työntekijämäärää.
• ”IT-kumppanimme hoitaa tämän.” Kumppani voi toteuttaa teknisiä toimia, mutta vastuu riskienhallinnasta ja johdon velvoitteista säilyy yrityksellä itsellään.
• ”Riittää, että täytämme kyselyn.” Kyselyn vastausten pitää vastata todellisuutta. Jos jotain sattuu, sopimuksessa luvatut asiat tarkistetaan.

Miten liikkeelle?

1. Selvitä, kuulutteko lain piiriin suoraan koon ja toimialan perusteella.
2. Listaa asiakkaat, jotka todennäköisesti kuuluvat lain piiriin, ja mieti, mitä ne voivat teiltä vaatia.
3. Vertaa nykytilaa vaatimuksiin ja korjaa suurimmat puutteet ensin.
4. Nimeä vastuuhenkilö ja tuo asia johdon pöydälle.

Foregonin kiinteähintainen NIS2-selvitys kertoo noin viikossa, koskeeko laki teitä suoraan tai asiakkaidenne kautta, ja mitkä ovat tärkeimmät seuraavat askeleet. Jos asiakas on jo lähettänyt tietoturvakyselyn, autamme myös vastaamaan siihen.

← Kaikki artikkelit