Mitä kyberturvallisuuslaki vaatii henkilöstön koulutukselta?

Lyhyesti

Kyberturvallisuuslaki vaatii, että lain piirissä oleva organisaatio sisällyttää henkilöstöturvallisuuden ja kyberturvallisuuskoulutuksen kyberturvallisuuden riskienhallintaan. NIS2-direktiivin 21 artikla taustoittaa vaatimusta ja mainitsee perustason kyberhygieniakäytännöt sekä kyberturvallisuuskoulutuksen. Laki ei määrää tiettyä kurssia, tuntimäärää tai koetta. Se vaatii, että koulutus ja arjen työtavat ovat ajantasaisia, oikeasuhtaisia ja riittäviä suhteessa organisaation riskeihin.

Kyberhygienia on arjen turvallisia työtapoja

Kyberhygienia tarkoittaa perustason tapoja, joilla ihminen vähentää tietoturvariskiä työssään. Arkinen esimerkki on se, että käyttäjä tunnistaa epäilyttävän viestin, käyttää vahvaa tunnistautumista ja lukitsee laitteen, kun poistuu työpisteeltä.

Kyberturvallisuuslain 9 § ei käytä sanaa kyberhygienia samalla tavalla kuin NIS2-direktiivin 21 artikla. Lain sisältö on silti samaan suuntaan käytännön työn kannalta. Lain mukaan riskienhallinnan toimintamallissa ja siihen perustuvissa hallintatoimenpiteissä on pidettävä ajan tasalla esimerkiksi henkilöstöturvallisuus, kyberturvallisuuskoulutus, pääsynhallinta, todentaminen, perustason tietoturvakäytännöt sekä fyysisen ympäristön ja tilojen turvallisuus.

NIS2-direktiivin 21 artikla sanoo suoraan, että toimenpiteisiin sisältyvät vähintään ”perustason kyberhygieniakäytännöt ja kyberturvallisuuskoulutus”. Tämä tarkoittaa käytännössä, että koulutus ei ole irrallinen henkilöstöetu. Se on osa riskienhallintaa.

Kyberhygienia näkyy työpaikalla usein näissä tilanteissa:

• käyttäjä varmistaa, että kirjautuminen tapahtuu oikeaan palveluun;
• käyttäjä tunnistaa viestin, jossa pyydetään kiireellä salasanaa tai maksua;
• työntekijä käsittelee tietoa sen luokan mukaan;
• etätyössä käytetään turvallisia yhteyksiä ja organisaation ohjeita;
• laite pidetään hallinnassa myös matkoilla ja julkisissa tiloissa;
• epäilyttävä tapahtuma ilmoitetaan organisaation omien ohjeiden mukaan.

Laki ei luettele näitä esimerkkejä yksitellen. Ne ovat käytännön esimerkkejä siitä, miten lain mainitsemat henkilöstöturvallisuus, pääsynhallinta, todentaminen, perustason tietoturvakäytännöt ja poikkeamien käsittely näkyvät työntekijän arjessa.

Koulutus on osa riskienhallinnan toimintamallia, ei erillinen kampanja

Kyberturvallisuuslain 7 § asettaa perustan. Toimijan on tunnistettava, arvioitava ja hallittava riskejä, jotka kohdistuvat sen viestintäverkkojen ja tietojärjestelmien turvallisuuteen. Riskienhallinnan tarkoitus on estää tai minimoida poikkeamien vaikutus toimintaan, jatkuvuuteen, palvelujen vastaanottajiin ja muihin palveluihin.

Kyberturvallisuuslain 8 § vaatii ajantasaisen riskienhallinnan toimintamallin. Siinä määritetään tavoitteet, menettelyt ja vastuut. Lisäksi siinä kuvataan hallintatoimenpiteet, joilla verkkoja, tietojärjestelmiä ja niiden fyysistä ympäristöä suojataan kyberuhkilta ja poikkeamilta.

Koulutus liittyy tähän siksi, että henkilöstö käyttää järjestelmiä joka päivä. Yksi työntekijä voi avata vaarallisen liitteen. Toinen voi huomata poikkeaman ajoissa. Kolmas voi käsitellä luottamuksellista aineistoa väärässä palvelussa. Sama järjestelmä voi olla teknisesti suojattu, mutta riski jää korkeaksi, jos käyttäjät eivät tunne perusohjeita.

Kyberturvallisuuslain 9 § vaatii oikeasuhtaisia teknisiä, operatiivisia tai organisatorisia hallintatoimenpiteitä. Henkilöstön koulutus on organisatorinen hallintatoimi. Se ei korvaa teknisiä suojauksia. Se täydentää niitä.

Koulutuksen pitää sopia organisaation riskiin. Pieni, rajattua palvelua tuottava toimija ei välttämättä tarvitse samaa koulutuksen laajuutta kuin organisaatio, jonka palvelun häiriö vaikuttaa laajaan käyttäjäjoukkoon. Lain näkökulma on suhteellisuus. Toimenpiteet suhteutetaan toiminnan laatuun ja laajuuteen, poikkeaman vaikutuksiin, riskialttiuteen, todennäköisyyteen, vakavuuteen, kustannuksiin ja käytettävissä oleviin teknisiin mahdollisuuksiin.

Lisää koulutuksen rytmittämisestä käsitellään artikkelissa Mikro-oppiminen työpaikalla: miksi lyhyt ja toistuva voittaa koulutuspäivän.

Mitä henkilöstön pitää osata lain näkökulmasta

Kyberturvallisuuslaki ei anna valmista koulutusohjelmaa. Se antaa osa-alueet, jotka organisaation pitää huomioida riskienhallinnassa. Henkilöstön osaaminen kannattaa kytkeä niihin, koska työntekijöiden toiminta vaikuttaa monen osa-alueen onnistumiseen.

Lain osa-alue	Mitä se tarkoittaa työssä
Henkilöstöturvallisuus ja kyberturvallisuuskoulutus	Työntekijä tuntee perusuhat ja organisaation omat toimintatavat.
Pääsynhallinta ja todentaminen	Käyttäjä ymmärtää, miksi oikeudet rajataan ja miksi kirjautuminen pitää suojata.
Perustason tietoturvakäytännöt	Työntekijä osaa toimia turvallisesti tiedon, laitteen ja yhteyksien kanssa.
Poikkeamien havainnointi ja käsittely	Epäilyttävä tapahtuma tunnistetaan ja viedään oikeaan käsittelyyn.
Varmuuskopiointi, palautuminen ja jatkuvuus	Henkilöstö tietää, että häiriötilanteessa toimitaan sovitun mallin mukaan.
Fyysinen ympäristö ja tilaturvallisuus	Työtilat, laitteet ja näytöt suojataan myös fyysisiltä riskeiltä.

Pääsynhallinta tarkoittaa sitä, että käyttäjällä on vain sellaiset oikeudet, joita työ vaatii. Todentaminen tarkoittaa käyttäjän varmistamista kirjautumisen yhteydessä. Monivaiheinen tunnistautuminen on esimerkki todentamisen vahvistamisesta. NIS2-direktiivin 21 artikla mainitsee tarvittaessa monivaiheisen todennuksen tai jatkuvan todennuksen ratkaisut.

Poikkeama tarkoittaa tilannetta, jossa palvelun, järjestelmän tai tiedon turvallisuus voi vaarantua. Esimerkki on haittaohjelmaepäily tai luvaton kirjautuminen. Kyberturvallisuuslain 11 § vaatii ilmoituksen valvovalle viranomaiselle merkittävästä poikkeamasta. Ensi-ilmoitus on tehtävä 24 tunnin kuluessa havaitsemisesta ja jatkoilmoitus 72 tunnin kuluessa havaitsemisesta. Henkilöstön koulutus ei yksin täytä ilmoitusvelvollisuutta, mutta se auttaa poikkeamien havaitsemisessa ajoissa.

Johdon rooli on erillinen mutta liittyvä vaatimus. Kyberturvallisuuslain 10 §:n mukaan johto vastaa riskienhallinnan toteuttamisen ja valvonnan järjestämisestä. Johdon pitää myös hyväksyä riskienhallinnan toimintamalli ja valvoa sen toteutumista. Saman pykälän mukaan johdolla pitää olla riittävä perehtyneisyys kyberturvallisuuden riskienhallintaan. Johdon koulutusvelvoitteesta on lisää artikkelissa NIS2 ja kyberturvallisuuslaki: johdon koulutusvelvoite ja henkilöstön kyberhygienia.

Ketä vaatimus koskee

Kyberturvallisuuslain 3 § määrittää, mihin toimijoihin lakia sovelletaan. Laki koskee oikeushenkilöä tai luonnollista henkilöä, joka harjoittaa lain liitteessä I tai II tarkoitettua toimintaa tai on niissä tarkoitettu toimija. Lisäksi toimijan on täytettävä tai ylitettävä keskisuuria yrityksiä koskevat edellytykset ja tarjottava palveluja tai harjoitettava toimintaa jossakin Euroopan unionin jäsenvaltiossa.

Lakia sovelletaan myös koosta riippumatta tiettyihin toimijoihin. Kyberturvallisuuslain 3 § mainitsee yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat, luottamuspalvelun tarjoajat, aluetunnusrekisterin ylläpitäjät ja DNS-palveluntarjoajat.

Lisäksi laki voi koskea koosta riippumatta toimijaa, joka harjoittaa liitteessä I tai II tarkoitettua toimintaa ja täyttää laissa mainitut merkittävyyden kriteerit. Näissä kriteereissä korostuvat esimerkiksi palvelun keskeisyys yhteiskunnan tai talouden kriittisille toiminnoille, vaikutus yleiseen järjestykseen, yleiseen turvallisuuteen tai kansanterveyteen sekä merkittävä systeeminen riski.

Kunnan osalta rajaus on tärkeä. Kyberturvallisuuslain 4 § sanoo, että lakia sovelletaan kuntalaissa tarkoitettuun kuntaan vain lain liitteessä I tai II tarkoitetun toiminnan osalta. Tämä tarkoittaa, että kunnan kaikkia tehtäviä ei voi käsitellä yhtenä kokonaisuutena ilman soveltamisalan tarkistamista.

Mitä laki ei vaadi ja mikä jää organisaation ratkaistavaksi

Kyberturvallisuuslaki ei määrää yhtä koulutusmuotoa. Se ei sano, että koulutuksen pitää olla luokkahuoneessa, verkkokurssina tai kokeena. Se ei anna koulutukselle vähimmäistuntimäärää. Se ei myöskään nimeä tiettyjä koulutusaiheita, kuten tietojenkalastelua, kaikille toimijoille pakollisena erillisenä oppituntina.

Laki ei myöskään tee yksittäisestä työntekijästä ilmoitusvelvollista valvovalle viranomaiselle. Kyberturvallisuuslain 11 § asettaa ilmoitusvelvollisuuden toimijalle. Työntekijän rooli syntyy organisaation omista menettelyistä. Jos työntekijä huomaa epäilyttävän tapahtuman, sisäinen ilmoitusketju ratkaisee, miten tieto päätyy oikeille henkilöille.

Lain soveltamisala ei kata kaikkea toimintaa. Kyberturvallisuuslain 4 § rajaa pois muun muassa toimintaa ja palveluja, joita tarjotaan maanpuolustuksen, kansallisen turvallisuuden, yleisen järjestyksen ja turvallisuuden taikka rikosten ennalta estämisen, rikostutkinnan ja syytetoimien toteuttamiseksi. Laki ei myöskään koske toimijaa, jonka liitteessä I tai II tarkoitettu toiminta on satunnaista ja vähäistä.

Seuraamusmaksuissakin on rajauksia. Kyberturvallisuuslain 35 §:n mukaan seuraamusmaksua ei voi määrätä esimerkiksi valtion viranomaisille, hyvinvointialueille eikä kunnallisille viranomaisille. Tämä ei poista lain velvoitteita niiltä osin kuin laki muuten soveltuu. Se kertoo vain, että kyseinen seuraamusmaksu ei ole käytössä näille tahoille.

Avoimeksi jää käytännön mitoitus. Organisaation on itse arvioitava, mikä koulutuksen taso on sen riskeihin nähden riittävä. Tätä arviota ohjaavat kyberturvallisuuslain 7, 8 ja 9 § sekä mahdolliset valvovan viranomaisen toimialakohtaiset tekniset määräykset.

Näyttö koulutuksesta kannattaa kytkeä riskienhallintaan

Koulutuksesta on hyötyä vasta, kun se näkyy riskienhallinnan toimintamallissa. Pelkkä osallistujalista ei kerro, mitä riskiä koulutus pienensi. Parempi näyttö yhdistää koulutuksen lain osa-alueeseen, henkilöstöryhmään ja suoritukseen.

Käytännössä organisaatio tarvitsee tiedon siitä, mitä koulutus käsitteli, mihin velvoitteeseen se liittyi ja ketkä sen suorittivat. Tämä tukee johdon valvontaa. Se auttaa myös osoittamaan, että henkilöstöturvallisuus ja kyberturvallisuuskoulutus eivät ole satunnainen kampanja, vaan osa riskienhallinnan toimintamallia.

Kyberturvallisuuslain 35 § tekee asiasta vakavan. Seuraamusmaksu voidaan määrätä, jos toimija tahallaan tai törkeästä huolimattomuudesta laiminlyö riskienhallinnan, toimintamallin laatimisen tai 9 §:n osa-alueiden huomioimisen. Kyberturvallisuuslain 38 § määrittää seuraamusmaksun enimmäismäärät. Keskeiselle toimijalle enimmäismäärä on 10 000 000 euroa tai kaksi prosenttia edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta. Muulle kuin keskeiselle toimijalle enimmäismäärä on 7 000 000 euroa tai 1,4 prosenttia edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta.

Koulutus ei yksin tee organisaatiosta vaatimustenmukaista. Se on yksi hallintatoimi muiden joukossa. Sen arvo kasvaa, kun se liittyy tunnistettuihin riskeihin, ajantasaisiin ohjeisiin ja johdon hyväksymään toimintamalliin.

Henkilöstön muut perusosaamiset voivat liittyä samoihin arjen tilanteisiin. Esimerkiksi henkilötietojen käsittelyä käsitellään artikkelissa Mitä tietosuojaosaamista jokaiselta työntekijältä vaaditaan?. Tekoälyn turvallista käyttöä käsitellään artikkelissa Tekoälyasetuksen 4 artikla: mitä henkilöstön tekoälyosaamisesta vaaditaan.