NIS2 ja kyberturvallisuuslaki: johdon koulutusvelvoite ja henkilöstön kyberhygienia

Lyhyesti

NIS2-direktiivi on EU:n kyberturvallisuussääntely, joka Suomessa pantiin täytäntöön kyberturvallisuuslailla (124/2025) huhtikuussa 2025. Laki koskee keskeisiä ja tärkeitä toimijoita energiasta ja vesihuollosta terveydenhuoltoon ja julkishallintoon. Koulutuksen osalta se sanoo kaksi asiaa: toimijan johdon on itse hankittava riittävä osaaminen kyberturvallisuusriskien hallintaan ja valvottava sitä, ja henkilöstön kyberhygienia ja koulutus on yksi riskienhallinnan vähimmäistoimenpiteistä. Laiminlyönnistä voi seurata hallinnollinen seuraamusmaksu, ja johto vastaa velvoitteiden täyttämisestä henkilökohtaisesti.

Mikä NIS2 on ja miten se tuli Suomeen

NIS2 on direktiivi (EU) 2022/2555 toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi. Se korvasi vuoden 2016 NIS-direktiivin, laajensi soveltamisalan uusille sektoreille ja teki velvoitteista yhdenmukaiset koko unionissa. Jäsenvaltioiden piti saattaa se voimaan 17. lokakuuta 2024 mennessä.

Suomessa direktiivi pantiin täytäntöön kyberturvallisuuslailla (124/2025), joka tuli voimaan 8. huhtikuuta 2025. Laki säätää riskienhallinnasta, poikkeamailmoituksista, valvonnasta ja seuraamuksista, ja se korvasi aiemman sektorikohtaisen sääntelyn yhdellä yleislailla. Valvontaa koordinoi Liikenne- ja viestintävirasto Traficom ja sen Kyberturvallisuuskeskus; sektoriviranomaiset, kuten Energiavirasto ja Valvira, valvovat omia alojaan.

Ketä laki koskee

Laki jakaa toimijat keskeisiin ja tärkeisiin. Jako seuraa sektoria ja kokoa: keskeisiä ovat tyypillisesti suuret toimijat erittäin kriittisillä sektoreilla, tärkeitä keskisuuret ja muiden sektoreiden toimijat. Kokoraja on pääsääntöisesti keskisuuri yritys, eli vähintään 50 työntekijää tai 10 miljoonan euron liikevaihto, mutta eräillä aloilla velvoitteet koskevat toimijaa koosta riippumatta.

Sektoreita on yli kymmenen. Erittäin kriittisiä ovat muun muassa energia, liikenne, pankki- ja finanssiala, terveydenhuolto, vesihuolto, digitaalinen infrastruktuuri, tieto- ja viestintätekniikan palvelut ja julkishallinto. Muita kriittisiä ovat esimerkiksi posti, jätehuolto, kemikaalit, elintarvikkeet, valmistava teollisuus ja tutkimus.

Julkisen sektorin osalta kysymys kuuluu usein: koskeeko tämä kuntaa? Valtionhallinnon organisaatiot ovat soveltamisalassa. Kuntaa ei ole nimetty toimijaksi kuntana, mutta kunnan tai kuntayhtymän toiminta kuuluu lain piiriin, kun se toimii luetelluilla sektoreilla: vesihuoltolaitos, energiayhtiö, satama. Hyvinvointialueet ovat terveydenhuollon toimijoina lain piirissä. Rajanveto kannattaa tehdä toiminnoittain, ei organisaation nimen perusteella.

Soveltamisalan ulkopuolellakin laki vaikuttaa: keskeisen toimijan on hallittava toimitusketjunsa riskit, ja se siirtää vaatimuksia sopimuksiin. Pieni IT-toimittaja tai suunnittelutoimisto kohtaa NIS2:n asiakkaansa sopimusehtoina.

Johdon velvoitteet: hyväksy, valvo, kouluttaudu

Direktiivin 20 artikla ja kyberturvallisuuslaki asettavat velvoitteet nimenomaan toimijan johdolle, eivät tietohallinnolle. Johdon on hyväksyttävä kyberturvallisuusriskien hallinnan toimintamalli, valvottava sen toteuttamista ja se voidaan asettaa vastuuseen, jos velvoitteita ei täytetä.

Koulutuksesta direktiivi sanoo, että johdon jäsenten on osallistuttava koulutukseen ja että toimijan on kannustettava tarjoamaan vastaavaa koulutusta säännöllisesti henkilöstölleen. Tavoite on nimetty: johdon on kyettävä tunnistamaan riskit ja arvioimaan riskienhallinnan käytäntöjä ja niiden vaikutusta toimijan palveluihin.

Tämä muuttaa kyberturvallisuuskoulutuksen luonnetta. Se ei ole enää IT-osaston asia, jonka johto hyväksyy budjetissa, vaan johdon oma velvoite, jonka täyttäminen on osoitettava. Hallituksen jäsen, joka ei ole käynyt koulutusta, on itse lain kannalta puute.

Kyberhygienia ja koulutus riskienhallintatoimenpiteenä

Direktiivin 21 artiklan 2 kohta luettelee kymmenen toimenpidettä, jotka jokaisen toimijan on vähintään toteutettava. Yksi niistä on perustason kyberhygieniakäytännöt ja kyberturvallisuuskoulutus. Muut yhdeksän ovat riskianalyysi ja tietojärjestelmien turvallisuuspolitiikat, poikkeamien käsittely, toiminnan jatkuvuus ja varmuuskopiointi, toimitusketjun turvallisuus, järjestelmien hankinnan ja ylläpidon turvallisuus, toimenpiteiden tehokkuuden arviointi, salaus, henkilöstöturvallisuus ja pääsynhallinta sekä monivaiheinen tunnistautuminen.

Koulutus on listan ainoa toimenpide, joka kohdistuu jokaiseen työntekijään. Perustason kyberhygienia tarkoittaa arkisia asioita: salasanat ja monivaiheinen tunnistautuminen, päivitykset, tietojenkalastelun tunnistaminen, laitteiden ja tietojen käsittely, poikkeamasta ilmoittaminen. Suurin osa toteutuneista tietomurroista alkaa näistä, ei järjestelmän haavoittuvuudesta.

Siksi koulutus on myös se toimenpide, jonka toteutumista on vaikeinta osoittaa. Politiikka on dokumentti, salaus on asetus, mutta koulutus on tapahtuma, joka on toistettava jokaiselle uudelle työntekijälle ja uudelleen, kun uhka muuttuu. Toimija, jonka ainoa näyttö on kahden vuoden takainen koulutuspäivä, ei pysty osoittamaan säännöllisyyttä.

Valvonta ja seuraamukset

Valvova viranomainen voi tehdä tarkastuksia, pyytää selvityksiä ja antaa määräyksiä puutteiden korjaamiseksi. Keskeisiä toimijoita valvotaan ennakolta, tärkeitä jälkikäteen, esimerkiksi poikkeaman tai ilmoituksen perusteella.

Seuraamusmaksun enimmäismäärät tulevat suoraan direktiivistä: keskeiselle toimijalle enintään 10 miljoonaa euroa tai 2 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta sen mukaan, kumpi on suurempi, tärkeälle toimijalle enintään 7 miljoonaa euroa tai 1,4 prosenttia. Kyberturvallisuuslaki säätää vastaavasta hallinnollisesta seuraamusmaksusta Suomessa.

Johdon vastuu on uusi kerros. Direktiivi edellyttää, että johdon jäsenet voidaan asettaa vastuuseen riskienhallintavelvoitteiden rikkomisesta, ja antaa viranomaiselle keinoja, jotka kohdistuvat henkilöihin, ei vain organisaatioon. Koulutusvelvoitteen täyttäminen on sen takia johdon oma etu, ei vain organisaation.

Miten koulutusvelvoite täytetään ja osoitetaan

1. Johdolle oma koulutus. Lain soveltamisala ja velvoitteet, riskienhallinnan toimintamalli, kymmenen toimenpidettä, poikkeamailmoitusten määräajat ja johdon oma vastuu. Suoritus kirjataan jokaisen jäsenen kohdalle.
2. Koko henkilöstölle kyberhygienia. Tietojenkalastelu ja sosiaalinen manipulointi, salasanat ja monivaiheinen tunnistautuminen, turvallinen etätyö, haittaohjelmat, tietojen luokittelu ja poikkeamasta ilmoittaminen. Esimerkit omasta työstä, ei yleisistä kalvoista.
3. Rooleille syvempi osaaminen. IT:lle ja tietoturvasta vastaaville riskianalyysi, jatkuvuus ja toimitusketju; hankinnalle toimittajavaatimukset; esihenkilöille henkilöstöturvallisuus.
4. Säännöllisyys rakennetaan sisään. Koulutus ei ole vuosittainen tapahtuma vaan jatkuva: uusi työntekijä saa sen aloittaessaan, ja kaikille se palaa kertauksena, kun uhkakuva muuttuu. Mikro-oppiminen on tähän luonteva muoto, koska se on säännöllistä itsestään.
5. Näyttö on valmiina ennen kuin sitä kysytään. Kuka on käynyt mitä, milloin, ja millä tuloksella. Koe erottaa koulutetun katsojasta. Kun valvoja pyytää selvityksen, se tulostetaan, ei koota.

Viimeinen kohta on se, jossa kyberturvallisuuslaki ja tekoälyasetuksen osaamisvelvoite kohtaavat. Molemmat kysyvät lopulta samaa: miten organisaatio huolehtii siitä, että ihmiset osaavat, ja miten se sen osoittaa. Sama koulutusjärjestelmä vastaa molempiin, jos se kirjaa jokaisen askeleen.