Koskeeko NIS2 ja kyberturvallisuuslaki organisaatiota?

Lyhyesti

NIS2 ja kyberturvallisuuslaki koskevat organisaatiota, jos se on lain tarkoittama toimija toimialansa, kokonsa tai palvelunsa kriittisyyden takia. Kyberturvallisuuslaki 124/2025 soveltuu toimijaan, joka harjoittaa lain liitteessä I tai II tarkoitettua toimintaa ja täyttää keskisuuren yrityksen edellytykset tai ylittää ne. Laki voi koskea toimijaa myös koosta riippumatta, jos toiminta on erikseen mainittu tai palvelu on yhteiskunnan tai talouden kannalta kriittinen. Kuntaa laki koskee vain siltä osin kuin kunta harjoittaa liitteessä I tai II tarkoitettua toimintaa.

Soveltamisala alkaa toiminnasta, ei organisaation nimestä

Kyberturvallisuuslaki 124/2025 säätää kyberturvallisuutta koskevien riskien hallinnasta. Se panee Suomessa täytäntöön NIS2-direktiivin. Lain soveltaminen ei siis ala siitä, kutsutaanko organisaatiota yritykseksi, viranomaiseksi, konserniksi tai kunnalliseksi toimijaksi.

Ensimmäinen kysymys on toiminta. Kyberturvallisuuslain 3 § kohdistaa lain toimijaan, joka harjoittaa lain liitteessä I tai II tarkoitettua toimintaa tai on niissä tarkoitettu toimija. Tämä tarkoittaa käytännössä sitä, että organisaation on verrattava omia palvelujaan ja tehtäviään lain liitteisiin.

Toinen kysymys on koko. Sama pykälä liittää pääsäännön keskisuuren yrityksen edellytyksiin. Lain teksti viittaa komission suositukseen 2003/361/EY, jonka raja-arvoilla keskisuuri yritys määritellään.

Kolmas kysymys on palvelun merkitys. Kyberturvallisuuslain 3 § voi tuoda toimijan lain piiriin koosta riippumatta. Näin voi käydä, jos toimija tarjoaa palvelua, joka on yhteiskunnan tai talouden kriittisten toimintojen ylläpitämisen kannalta keskeinen. Sama koskee tilanteita, joissa häiriö voisi vaikuttaa merkittävästi yleiseen järjestykseen, yleiseen turvallisuuteen tai kansanterveyteen.

Soveltamisala voidaan tiivistää näin:

Kysymys	Mitä tarkistetaan	Miksi sillä on väliä
Onko toiminta lain liitteessä I tai II?	Palvelu tai toimiala	Ilman tätä pääsääntö ei yleensä käynnisty
Täyttyykö keskisuuren yrityksen edellytys tai ylittyykö se?	Organisaation koko	Kyberturvallisuuslain 3 § käyttää tätä pääsääntönä
Onko toimija mainittu koosta riippumatta?	Esimerkiksi viestintäverkko, luottamuspalvelu, aluetunnusrekisteri tai DNS-palvelu	Laki voi koskea myös pienempää toimijaa
Onko palvelu kriittinen?	Palvelun vaikutus yhteiskuntaan tai talouteen	Kriittisyys voi tuoda toimijan lain piiriin koosta riippumatta

Keskeinen ja tärkeä toimija eivät tarkoita samaa asiaa

NIS2-direktiivin 3 artikla jakaa toimijat keskeisiin ja tärkeisiin toimijoihin. Jaottelu vaikuttaa siihen, miten toimijaa käsitellään NIS2-järjestelmässä. Se ei kuitenkaan poista peruskysymystä soveltamisalasta. Ensin on selvitettävä, kuuluuko organisaatio lain piiriin.

Keskeisiä toimijoita ovat NIS2-direktiivin 3 artiklan mukaan tietyt liitteessä I tarkoitetut toimijat, jotka ylittävät keskisuurten yritysten määrittelyssä käytettävät kynnysarvot. Keskeisiä ovat myös hyväksytyt luottamuspalvelun tarjoajat, aluetunnusrekisterit ja DNS-palveluntarjoajat koosta riippumatta. Lisäksi artikla mainitsee yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat, jos ne täyttävät keskisuuren yrityksen edellytykset.

NIS2-direktiivin 3 artikla käsittelee myös julkishallintoa. Keskeisiä toimijoita ovat ne keskustason julkishallinnon toimijat, jotka jäsenvaltio on määritellyt kansallisen lainsäädäntönsä mukaisesti. Suomessa kyberturvallisuuslain 1 § sanoo, että NIS2-direktiivin täytäntöönpanosta julkishallinnon toimialalla säädetään julkisen hallinnon tiedonhallinnasta annetussa laissa.

Tärkeitä toimijoita ovat NIS2-direktiivin 3 artiklan mukaan liitteessä I tai II tarkoitetut toimijat, joita ei pidetä keskeisinä toimijoina. Mukaan luetaan myös toimijat, jotka jäsenvaltio määrittää tärkeiksi NIS2-direktiivin soveltamisalan perusteella.

Tämä ero on johdolle käytännöllinen. Keskeinen kysymys ei ole vain se, kuuluuko organisaatio sääntelyn piiriin. Kysymys on myös siitä, miten organisaatio dokumentoi oman päätelmänsä. Jos päätelmä myöhemmin kyseenalaistetaan, pelkkä suullinen tulkinta ei yleensä riitä.

Kunta kuuluu lain piiriin vain rajatulta osin

Kuntien kohdalla tärkein sääntö löytyy kyberturvallisuuslain 4 §:stä. Sen mukaan lakia sovelletaan kuntalaissa tarkoitettuun kuntaan vain liitteessä I tai II tarkoitetun toiminnan osalta.

Tämä tarkoittaa, että kuntaa ei pidä käsitellä yhtenä kyllä tai ei -vastauksena. Kunnalla voi olla toimintaa, joka kuuluu lain piiriin. Sillä voi olla myös toimintaa, joka ei kuulu lain piiriin tämän lain perusteella. Arvio tehdään toiminnan mukaan.

Kunnan arjessa tämä tarkoittaa palvelukartan tekemistä. Ensin tunnistetaan palvelut ja tehtävät. Sen jälkeen arvioidaan, vastaavatko ne lain liitteissä tarkoitettua toimintaa. Lopuksi kirjataan, mikä osa toiminnasta on lain piirissä ja mikä osa jää sen ulkopuolelle.

Kyberturvallisuuslain 1 § tuo mukaan toisen tärkeän rajauksen. NIS2-direktiivin täytäntöönpanosta julkishallinnon toimialalla säädetään julkisen hallinnon tiedonhallinnasta annetussa laissa. Tämä tarkoittaa, että kunnan ei pidä tehdä päätelmää vain yhden pykälän perusteella, jos kyse on julkishallinnon toimialasta.

Kunnalle hyödyllinen päätöspolku on seuraava:

• Onko kyse kunnan toiminnasta vai erillisestä oikeushenkilöstä?
• Onko kyse liitteessä I tai II tarkoitetusta toiminnasta?
• Onko kyse julkishallinnon toimialasta, jonka sääntelyä ohjaa myös tiedonhallintalaki?
• Onko palvelu yhteiskunnan tai talouden kriittisten toimintojen kannalta keskeinen?
• Onko päätelmä kirjattu niin, että johto voi hyväksyä sen?

Jos laki soveltuu, johto ei voi ulkoistaa vastuutaan

Kyberturvallisuuslain 10 § tekee johdon roolista selkeän. Johto vastaa kyberturvallisuutta koskevan riskienhallinnan toteuttamisen ja valvonnan järjestämisestä. Johto hyväksyy riskienhallinnan toimintamallin ja valvoo sen toteuttamista.

Sama pykälä selittää, ketä johdolla tarkoitetaan. Siihen kuuluvat toimijan hallitus, hallintoneuvosto ja toimitusjohtaja. Mukaan kuuluvat myös niihin rinnastettavassa asemassa olevat henkilöt, jotka tosiasiallisesti johtavat toimintaa.

Tämä ei tarkoita, että hallitus tai toimitusjohtaja tekisi tekniset asetukset itse. Se tarkoittaa, että johto varmistaa vastuut, päätökset ja seurannan. Esimerkiksi varmuuskopioinnin tekninen toteutus voi olla asiantuntijoilla. Päätös jatkuvuuden tärkeydestä ja seurannan tavasta kuuluu johdon vastuukokonaisuuteen.

NIS2-direktiivin 20 artikla täydentää tätä. Sen mukaan keskeisten ja tärkeiden toimijoiden hallintoelimet hyväksyvät riskienhallintatoimenpiteet ja valvovat niiden täytäntöönpanoa. Artikla myös edellyttää, että hallintoelinten jäsenillä on velvollisuus osallistua koulutukseen.

Kyberturvallisuuslain 10 § sanoo lisäksi, että johdolla tulee olla riittävä perehtyneisyys kyberturvallisuutta koskevaan riskienhallintaan. Perehtyneisyys ei ole sama asia kuin tekninen asiantuntijuus. Se tarkoittaa kykyä ymmärtää riskejä, kysyä oikeita kysymyksiä ja hyväksyä oikeasuhtaisia toimia.

Johdon koulutusvelvoitteesta tarkemmin jatkaa artikkeli NIS2 ja kyberturvallisuuslaki: johdon koulutusvelvoite ja henkilöstön kyberhygienia.

Riskienhallinta on vähintään tekninen, toiminnallinen ja organisatorinen kokonaisuus

NIS2-direktiivin 21 artikla kuvaa riskienhallintatoimenpiteet. Keskeisten ja tärkeiden toimijoiden on toteutettava asianmukaiset ja oikeasuhteiset tekniset, operatiiviset ja organisatoriset toimenpiteet. Arkikielellä tämä tarkoittaa, että pelkkä tekninen suojaus ei riitä.

Tekninen toimi voi olla pääsynhallinta. Toiminnallinen toimi voi olla poikkeaman käsittelyprosessi. Organisatorinen toimi voi olla päätös siitä, kuka hyväksyy riskit ja kuka raportoi niistä johdolle.

NIS2-direktiivin 21 artikla luettelee vähimmäisalueet. Niihin kuuluvat riskianalyysit ja tietojärjestelmien turvallisuutta koskevat politiikat. Mukana ovat myös poikkeamien käsittely, toiminnan jatkuvuus, varmuuskopiointi, palautumissuunnittelu ja kriisinhallinta.

Toimitusketju on oma kohtansa. Organisaation on huomioitava välittömien toimittajien ja palveluntarjoajien turvallisuusnäkökohdat. Tämä on tärkeää, koska häiriö voi alkaa kumppanin palvelusta mutta vaikuttaa organisaation omaan palveluun.

Artikla mainitsee myös perustason kyberhygieniakäytännöt ja kyberturvallisuuskoulutuksen. Kyberhygienia tarkoittaa arjen perusasioita. Esimerkkejä ovat tunnusten suojaaminen, epäilyttävien viestien tunnistaminen ja oikea ilmoitustapa, kun palvelu käyttäytyy oudosti. Henkilöstön näkökulmaa käsittelee lisää artikkeli Mitä kyberturvallisuuslaki vaatii henkilöstön koulutukselta?.

Merkittävä poikkeama käynnistää ilmoitusketjun

NIS2-direktiivin 23 artikla koskee raportointivelvoitteita. Se koskee merkittävää poikkeamaa. Poikkeama on merkittävä, jos se on aiheuttanut tai voi aiheuttaa palvelujen vakavan toimintahäiriön tai taloudellisia tappioita. Se on merkittävä myös, jos se on vaikuttanut tai voi vaikuttaa muihin henkilöihin tai oikeushenkilöihin aiheuttamalla huomattavaa aineellista tai aineetonta vahinkoa.

Aineellinen vahinko voi olla rahallinen menetys. Aineeton vahinko voi olla esimerkiksi luottamuksen menetys tai muu haitta, jota ei voi suoraan mitata laskulla.

Ilmoitusten aikataulu on tiukka. Ennakkovaroitus on annettava ilman aiheetonta viivytystä ja joka tapauksessa 24 tunnin kuluessa siitä, kun toimija on tullut tietoiseksi poikkeamasta. Poikkeamailmoitus on annettava ilman aiheetonta viivytystä ja joka tapauksessa 72 tunnin kuluessa siitä, kun toimija on tullut tietoiseksi merkittävästä poikkeamasta.

Lopullinen raportti annetaan viimeistään kuukauden kuluttua poikkeamailmoituksesta. Jos poikkeama on vielä meneillään, toimija antaa tuolloin edistymisraportin ja lopullisen raportin kuukauden kuluessa siitä, kun poikkeama on käsitelty.

Ilmoitus tehdään CSIRT-yksikölle tai toimivaltaiselle viranomaiselle sen mukaan, mitä sääntely ja kansallinen järjestelmä edellyttävät. Käytännön kannalta olennaista on, että organisaatio tietää jo etukäteen, kuka tekee arvion, kuka hyväksyy ilmoituksen ja mistä tiedot saadaan. Ilmoitusaikataulua käsittelee lisää artikkeli Mitä tietoturvapoikkeamasta pitää ilmoittaa ja milloin?.

Soveltamisalan rajat ovat yhtä tärkeitä kuin velvoitteet

Kaikki toiminta ei kuulu kyberturvallisuuslain piiriin. Kyberturvallisuuslain 4 § rajaa lain ulkopuolelle toimintaa ja palveluja, joita tarjotaan maanpuolustuksen, kansallisen turvallisuuden, yleisen järjestyksen ja turvallisuuden tai rikosten ennalta estämisen, rikostutkinnan ja syytetoimien toteuttamiseksi. Jos toimija tarjoaa ainoastaan tällaista toimintaa tai palvelua, lakia ei sovelleta siihen.

Tähän on kuitenkin poikkeus. Luottamuspalvelun tarjoajaan lakia sovelletaan tästä rajauksesta huolimatta.

Lakia ei myöskään sovelleta toimijaan, jonka liitteessä I tai II tarkoitettu toiminta on satunnaista ja vähäistä. Tämä on tärkeä rajaus esimerkiksi organisaatiolle, jonka päätoiminta on muuta kuin lain piiriin kuuluvaa toimintaa.

Kyberturvallisuuslain 4 § sisältää myös tiedon antamista koskevan rajan. Lain tiedonantovelvoitteita ei sovelleta, jos tiedon luovuttaminen vaarantaisi maanpuolustusta tai kansallista turvallisuutta tai olisi vastoin siihen liittyvää tärkeää etua.

Avoimeksi voi jäädä ainakin kaksi asiaa. Ensimmäinen on se, miten organisaation monialainen toiminta suhteutuu lain liitteisiin. Toinen on se, miten koosta riippumaton kriittisyys arvioidaan yksittäisessä tapauksessa. Siksi soveltamisalapäätelmä kannattaa käsitellä johdon päätöksenä, ei vain asiantuntijan muistiinpanona.

Kyberturvallisuus liittyy myös tietosuojaan ja tekoälyyn

NIS2 ei korvaa muuta sääntelyä. NIS2-direktiivin 2 artikla sanoo, ettei direktiivin soveltaminen rajoita yleisen tietosuoja-asetuksen soveltamista. Tämä on tärkeää, jos poikkeama koskee myös henkilötietoja.

Yleisen tietosuoja-asetuksen 39 artikla antaa tietosuojavastaavalle tehtäviä. Niihin kuuluu muun muassa neuvojen antaminen rekisterinpitäjälle, henkilötietojen käsittelijälle ja henkilötietoja käsitteleville työntekijöille. Artikla mainitsee myös henkilöstön koulutuksen seurannan osana tietosuojavastaavan tehtäviä.

Tekoälyasetus tuo oman osaamisvelvoitteensa. Tekoälyasetuksen 4 artikla koskee tekoälylukutaitoa. Tekoälyjärjestelmien tarjoajien ja käyttöönottajien on parhaansa mukaan toteutettava toimenpiteitä, joilla varmistetaan henkilöstön ja muiden puolesta toimivien henkilöiden riittävä tekoälylukutaito.

Johdon näkökulmasta nämä muodostavat yhteisen vaatimustenmukaisuuden kokonaisuuden. Kyberturvallisuus suojaa verkko- ja tietojärjestelmiä. Tietosuoja suojaa henkilötietojen käsittelyä. Tekoälysääntely ohjaa tekoälyjärjestelmien vastuullista käyttöä. Henkilöstön tietosuojaosaamista käsittelee lisää artikkeli Mitä tietosuojaosaamista jokaiselta työntekijältä vaaditaan?, ja tekoälyosaamista artikkeli Tekoälyasetuksen 4 artikla: mitä henkilöstön tekoälyosaamisesta vaaditaan.