NIS2-vaatimustenmukaisuus ja kyberturvallisuus
NIS2-direktiivi on nyt ollut voimassa Suomessa yli vuoden. Kyberturvallisuuslaki (124/2025) astui voimaan 8. huhtikuuta 2025, ja sen myötä noin 5 000 suomalaista organisaatiota siirtyi uuden sääntelyn piiriin. Vuosi 2026 on kuitenkin se, jolloin valvonta on siirtynyt paperista käytäntöön. Viranomaiset ovat aloittaneet tarkastuksia, ja vaatimustenmukaisuudesta on tullut jatkuva velvoite.
Jos sinä luet tätä, sinä luultavasti mietit että koskeeko tämä meitä ja mitä meidän pitäisi tehdä. Nämä ovat oikeita kysymyksiä. Autamme organisaatioita vastaamaan niihin.
Mikä NIS2 on ja miksi siitä puhutaan
NIS2 on Euroopan unionin kyberturvallisuusdirektiivi, joka korvasi aiemman NIS-direktiivin. Sen tavoite on nostaa kriittisten yhteiskunnan toimintojen kyberturvallisuuden vähimmäistasoa koko unionissa ja yhtenäistää tapaa, jolla vakavista häiriöistä ilmoitetaan.
Suomessa direktiivi toimeenpantiin kansallisella kyberturvallisuuslailla. Laki laajensi soveltamisalaa merkittävästi. Aiempi NIS1-direktiivi koski lähinnä kaikkein kriittisimpiä infrastruktuureja, kuten sähköverkkoja ja pankkeja. NIS2 laajensi piirin 18 toimialaan ja toi mukaan myös keskisuuret yritykset, ei vain suurimpia toimijoita.
Arvioiden mukaan velvoitteet koskevat Suomessa noin 5 000:ta toimijaa, kun aiempi NIS1 kattoi vain murto-osan tästä.
Vuosi 2026 – valvonta on alkanut
Kun laki tuli voimaan huhtikuussa 2025, moni organisaatio ajatteli että on aikaa sopeutua. Se aika on nyt ohi.
Liikenne- ja viestintäministeriö julkaisi 31. elokuuta 2026 loppuraportin kyberturvallisuuslain ensimmäisestä voimassaolovuodesta. Raportin mukaan laki on kokonaisuutena onnistunut ja sen toimeenpano on vahvistanut organisaatioiden kyberturvallisuutta. Haasteena on kuitenkin viranomaisten resurssien puute, mikä on johtanut siihen että valvontaa on jouduttu priorisoimaan voimakkaasti.
Tämä tarkoittaa käytännössä sitä, että valvonta kohdistuu riskiperusteisesti kaikkein kriittisimpiin toimijoihin. Jos organisaatiosi on merkittävä toimija omalla sektorillaan, sinä olet todennäköisesti tarkastuslistalla.
Euroopan tasolla vuosi 2026 on ollut käännekohta. EU:n komissio on siirtynyt valvonnasta aktiiviseen täytäntöönpanoon. Komissio antoi tammikuussa 2026 ehdotukset NIS2-direktiivin kohdennetuista muutoksista, joiden tavoitteena on yksinkertaistaa sääntelyä ja vähentää hallinnollista taakkaa. Samalla valvontaviranomaiset eri puolilla Eurooppaa ovat aloittaneet tarkastuksia.
Ketä NIS2 koskee
➠ NIS2 koskee organisaatioita 18 eri toimialalla. Näitä ovat energia, liikenne, pankkitoiminta, rahoitusmarkkinat, terveydenhuolto, juomavesi, jätevesi, digitaalinen infrastruktuuri, ICT-palvelujen hallinta, julkinen hallinto, avaruus, posti ja kuriiripalvelut, jätehuolto, kemikaalien valmistus, elintarvikkeiden tuotanto ja jakelu, valmistus, digitaaliset palvelut ja tutkimus.
➠ Näillä sektoreilla toimivat organisaatiot jaetaan kahteen ryhmään. Keskeiset toimijat ovat suuria organisaatioita, joiden häiriöillä on merkittävä vaikutus. Tärkeät toimijat ovat pienempiä, mutta niiden merkitys on silti suuri.
➠ Kokorajat ovat seuraavat. Keskisuuret organisaatiot ovat niitä, joissa on yli 50 työntekijää tai yli 10 miljoonan euron liikevaihto. Suuret organisaatiot ovat niitä, joissa on yli 250 työntekijää tai yli 50 miljoonan euron liikevaihto.
➠ Mutta tässä on tärkeä huomio. Vaikka organisaatiosi ei täyttäisi kokorajoja, se voi silti kuulua direktiivin piiriin. Tämä johtuu siitä, että jotkin toimijat on nimetty suoraan direktiivissä niiden toiminnan luonteen vuoksi.
➠ Toinen tärkeä huomio. Vaikka organisaatiosi ei kuuluisi direktiivin piiriin, se voi silti joutua noudattamaan vaatimuksia epäsuorasti. Jos olet toimittaja organisaatiolle, joka kuuluu direktiivin piiriin, sinulta voidaan vaatia samanlaisia käytäntöjä toimitusketjuvelvoitteen kautta. Tämä on asia, jota moni ei ole vielä ymmärtänyt.
Mitä NIS2 vaatii
- Organisaatiolla pitää olla järjestelmällinen lähestymistapa kyberriskeihin. Tämä tarkoittaa sitä, että riskit pitää tunnistaa, arvioida ja niihin pitää varautua. Ei riitä, että ongelmat hoidetaan kun ne ilmaantuvat.
- Riskienhallinnan pitää olla jatkuvaa. Riskejä pitää seurata ja arvioida uudelleen säännöllisesti. Toimintaympäristö muuttuu ja uhat muuttuvat sen mukana.
Riskienhallinta:
- Direktiivi asettaa vaatimuksia tekniselle turvallisuudelle. Näitä ovat esimerkiksi pääsynhallinta, salaus, haavoittuvuuksien hallinta, verkkoturvallisuus ja tietoturvakoulutus.
- Nämä eivät ole uusia asioita useimmille organisaatioille. Mutta NIS2 vaatii, että ne on dokumentoitu ja että niitä noudatetaan järjestelmällisesti.
Tekniset vaatimukset:
- Organisaation pitää varmistaa, että sen toimittajat ja kumppanit täyttävät riittävät turvallisuusvaatimukset. Tämä tarkoittaa sitä, että toimittajia pitää arvioida ja niiden kanssa pitää sopia turvallisuusasioista.
- Tämä on yksi vaikeimmista vaatimuksista, koska toimitusketjut ovat monimutkaisia. Sinulla voi olla kymmeniä tai satoja toimittajia, eikä kaikkia ole helppo arvioida.
Toimitusketjun turvallisuus:
- Organisaation pitää ilmoittaa vakavista häiriöistä viranomaisille. Ilmoitus pitää tehdä nopeasti. Ensimmäinen ilmoitus pitää tehdä 24 tunnin kuluessa ja tarkempi selvitys 72 tunnin kuluessa.
- Tämä vaatii sitä, että organisaatiolla on prosessi häiriöiden havaitsemiseen ja niistä ilmoittamiseen. Ei riitä, että häiriö havaitaan. Se pitää myös raportoida oikein ja oikeaan aikaan.
Häiriöilmoitukset:
- NIS2 asettaa vastuun organisaation johdolle. Johto ei voi delegoida kyberturvallisuutta pelkästään IT-osastolle. Johdon pitää ymmärtää riskit ja hyväksyä ne. Johdon pitää myös varmistaa, että turvallisuusasiat saavat riittävät resurssit.
- Tämä on merkittävä muutos monelle organisaatiolle. Kyberturvallisuus ei ole enää tekninen kysymys vaan liiketoiminnan kysymys.
Johtamisen vastuu:
- Laiminlyönneistä voi seurata merkittäviä sakkoja. Keskeisille toimijoille sakko voi olla jopa 10 miljoonaa euroa tai 2 prosenttia maailmanlaajuisesta vuosiliikevaihdosta. Tärkeille toimijoille sakko voi olla jopa 7 miljoonaa euroa tai 1,4 prosenttia liikevaihdosta.
Sanktiot:
Miten NIS2-konsultointi auttaa
- Aloitamme kartoittamalla nykytilan. Katsomme, mitä organisaatiolla on jo olemassa ja mitä puuttuu.
- Käymme läpi dokumentaation. Onko riskejä arvioitu? Onko prosesseja kuvattu? Onko vastuita määritelty?
- Käymme läpi tekniset kontrollit. Onko pääsynhallinta kunnossa? Onko salaus käytössä? Onko haavoittuvuuksia hallittu?
- Käymme läpi toimitusketjun. Ketkä ovat toimittajia? Millaisia sopimuksia heidän kanssaan on? Onko turvallisuusvaatimuksia asetettu?
- Tämän kartoituksen perusteella saamme kuvan siitä, missä ollaan.
Nykytilan kartoitus:
- Kun nykytila on tiedossa, voimme verrata sitä NIS2-vaatimuksiin. Tästä syntyy lista asioista, jotka pitää korjata.
- Lista voi olla pitkä tai lyhyt riippuen siitä, kuinka hyvin organisaatio on hoitanut asiansa. Jotkut organisaatiot ovat tehneet paljon jo ennen kuin direktiivi tuli voimaan. Toiset aloittavat lähes nollasta.
- Tärkeää on priorisoida. Kaikkea ei voi tehdä kerralla. Pitää tunnistaa ne asiat, jotka ovat kriittisimpiä ja jotka pitää hoitaa ensin.
Puutteiden tunnistaminen:
- Tämän jälkeen teemme suunnitelman. Suunnitelmassa lukee, mitä tehdään, kuka tekee, milloin tehdään ja paljonko se maksaa.
- Suunnitelma on realistinen. Emme lupaa, että kaikki on valmista kuukaudessa, jos se ei ole mahdollista. Emme myöskään jätä asioita roikkumaan.
- Suunnitelmassa otetaan huomioon organisaation resurssit. Jos organisaatiolla ei ole omaa tietoturvahenkilöstöä, suunnitelma tehdään sen mukaan. Jos organisaatiolla on omat tekijät, heidät otetaan mukaan.
Toimenpidesuunnitelma:
- Voimme tukea myös toteutuksessa. Tämä voi tarkoittaa teknisten kontrollien käyttöönottoa, prosessien rakentamista tai dokumentaation kirjoittamista.
- Emme tee kaikkea itse, jos siihen ei ole tarvetta. Jos organisaatiolla on omat tekijät, jotka pystyvät hoitamaan osan työstä, se on järkevämpää. Me keskitymme siihen, missä osaamisemme tuottaa eniten arvoa.
Toteutuksen tuki:
- NIS2-vaatimusten täyttäminen ei ole kertaluonteinen projekti. Se on jatkuva prosessi. Riskejä pitää seurata. Kontrolleja pitää päivittää. Dokumentaatiota pitää ylläpitää.
- Voimme auttaa myös tässä. Seuranta voi tarkoittaa säännöllisiä katselmuksia tai jatkuvaa tukea. Se riippuu siitä, mitä organisaatio tarvitsee.
Jatkuva seuranta:
NIS2-konsultoinnin tarkoitus on auttaa organisaatiota ymmärtämään, mitä vaatimukset tarkoittavat sen kohdalla ja miten niihin päästään.
Jokainen organisaatio on erilainen. Sektorit ovat erilaisia. Koot ovat erilaisia. Nykyinen kyberturvallisuuden taso on erilainen. Siksi valmis ratkaisu ei toimi.
Miten työ etenee
Aloitamme palaverilla. Kerrot tilanteestasi ja me kysymme kysymyksiä. Tämä ei maksa mitään.
Sen jälkeen teemme kartoituksen. Käymme läpi nykytilan ja tunnistamme puutteet. Tämä vie yleensä muutaman viikon riippuen organisaation koosta.
Kartoituksen perusteella teemme suunnitelman. Suunnitelmassa lukee, mitä pitää tehdä ja missä järjestyksessä.
Sitten aloitamme toteutuksen. Teemme sen, mikä on sovittu, ja raportoimme edistymisestä.
Kun vaatimukset on täytetty, siirrymme seurantaan. Käymme läpi tilanteen säännöllisesti ja päivitämme tarvittaessa.
Mitä tämä maksaa
NIS2-konsultoinnin hinta riippuu organisaation koosta ja nykytilasta. Organisaatio, joka on jo tehnyt paljon, tarvitsee vähemmän työtä kuin organisaatio, joka aloittaa nollasta.
Kartoitus maksaa yleensä muutaman tuhannen euron. Se antaa kuvan siitä, mitä pitää tehdä.
Toteutuksen tuki maksaa sen mukaan, kuinka paljon työtä tarvitaan. Se voi olla kymmeniä tuhansia, jos puutteita on paljon.
Jatkuva seuranta maksaa kuukausittain. Se on yleensä muutama tuhat euroa kuukaudessa.
Emme anna tarkkoja hintoja tässä, koska ne riippuvat liikaa yksityiskohdista. Annamme aina tarjouksen ennen kuin työ alkaa.
Miksi tehdä tämä meidän kanssa
➠ Olemme tehneet tietoturvatyötä vuosia. Tiedämme, mitkä asiat toimivat ja mitkä eivät. Tiedämme, missä vaiheessa projektit yleensä kaatuvat, ja osaamme varautua siihen.
➠ Kerromme rehellisesti, jos jokin ei ole realistista. Jos organisaatiollasi ei ole resursseja hoitaa kaikkea kerralla, sanomme sen. Jos jokin vaatimus ei koske sinua, sanomme sen.
➠ Emme myy sinulle palveluita, joita et tarvitse. Se ei aina tuota meille eniten rahaa, mutta se tuottaa sinulle parhaan lopputuloksen.