Mitä tietoturvapoikkeamasta pitää ilmoittaa ja milloin?

Lyhyesti

Kyberturvallisuuslain 124/2025 mukaan merkittävästä tietoturvapoikkeamasta ilmoitetaan valvovalle viranomaiselle viipymättä. Ensi-ilmoitus tehdään 24 tunnin kuluessa poikkeaman havaitsemisesta. Jatkoilmoitus tehdään 72 tunnin kuluessa poikkeaman havaitsemisesta. Loppuraportti annetaan kuukauden kuluessa jatkoilmoituksesta, tai pitkäkestoisessa poikkeamassa kuukauden kuluessa käsittelyn päättymisestä.

Milloin poikkeama on merkittävä?

Kaikki häiriöt eivät ole lain tarkoittamia merkittäviä poikkeamia. Kyberturvallisuuslain 11 § määrittää, milloin ilmoitusvelvollisuus alkaa.

Poikkeama on merkittävä, jos se on aiheuttanut tai voi aiheuttaa vakavan palvelujen toimintahäiriön. Arjessa tämä tarkoittaa tilannetta, jossa organisaation palvelu ei toimi normaalisti ja vaikutus voi olla vakava.

Poikkeama on merkittävä myös silloin, jos se on aiheuttanut tai voi aiheuttaa huomattavia taloudellisia tappioita toimijalle. Kyse ei siis ole vain teknisestä viasta. Kyse on myös sen taloudellisesta vaikutuksesta.

Kolmas merkittävyysperuste koskee muita ihmisiä tai organisaatioita. Poikkeama on merkittävä, jos se on vaikuttanut tai voi vaikuttaa muihin luonnollisiin henkilöihin tai oikeushenkilöihin aiheuttamalla huomattavaa aineellista tai aineetonta vahinkoa. Luonnollinen henkilö tarkoittaa ihmistä. Oikeushenkilö tarkoittaa esimerkiksi yritystä tai muuta organisaatiota.

NIS2-direktiivin 23 artikla käyttää samaa perusajatusta. Merkittävä poikkeama liittyy vakavaan palvelujen toimintahäiriöön, taloudellisiin tappioihin tai huomattavaan vahinkoon muille. Suomen kyberturvallisuuslaki kertoo kotimaisen ilmoitusketjun ja määräajat.

24 tunnin ensi-ilmoitus kertoo, että merkittävä poikkeama on havaittu

Kyberturvallisuuslain 11 §:n mukaan ensi-ilmoitus tehdään 24 tunnin kuluessa merkittävän poikkeaman havaitsemisesta. Määräaika alkaa siis siitä, kun merkittävä poikkeama on havaittu.

Ensi-ilmoitus ei ole täydellinen tutkintaraportti. Sen tarkoitus on antaa viranomaiselle nopea tieto siitä, että merkittävä poikkeama on olemassa.

Kyberturvallisuuslain 11 § vaatii ensi-ilmoitukseen kolme tietoa:

• merkittävän poikkeaman havaitseminen
• epäily siitä, johtuuko poikkeama rikoksesta tai muusta lainvastaisesta tai vihamielisestä teosta
• rajat ylittävien vaikutusten mahdollisuus ja todennäköisyys sekä niitä koskevat ennakointitiedot

Rajat ylittävä vaikutus tarkoittaa vaikutusta, joka voi ulottua Suomen ulkopuolelle. Se voi koskea esimerkiksi palvelua tai asiakasta toisessa jäsenvaltiossa. Lain mukaan tätä mahdollisuutta arvioidaan jo ensi-ilmoituksessa.

NIS2-direktiivin 23 artikla puhuu ennakkovaroituksesta. Se annetaan ilman aiheetonta viivytystä ja joka tapauksessa 24 tunnin kuluessa siitä, kun toimija on tullut tietoiseksi poikkeamasta. Suomen kyberturvallisuuslaissa vastaava vaihe on ensi-ilmoitus.

72 tunnin jatkoilmoitus antaa ensimmäisen arvion vaikutuksista

Kyberturvallisuuslain 11 §:n mukaan jatkoilmoitus tehdään 72 tunnin kuluessa merkittävän poikkeaman havaitsemisesta. Jatkoilmoitus täydentää ensi-ilmoitusta.

Tässä vaiheessa viranomaiselle annetaan ensimmäinen arvio poikkeamasta. Arvio voi vielä tarkentua myöhemmin. Laki ei edellytä, että kaikki syyt ovat tässä vaiheessa lopullisesti selvillä.

Jatkoilmoituksessa ilmoitetaan:

• arvio merkittävän poikkeaman laadusta
• arvio poikkeaman vakavuudesta
• arvio poikkeaman vaikutuksista
• tekniset vaarantumisindikaattorit, jos niitä on saatavilla
• mahdolliset päivitykset ensi-ilmoituksen tietoihin

Tekninen vaarantumisindikaattori tarkoittaa teknistä merkkiä, jonka avulla poikkeamaa voidaan tunnistaa tai selvittää. Se voi auttaa viranomaista ja muita toimijoita arvioimaan, mitä on tapahtunut. Kyberturvallisuuslaki edellyttää niiden ilmoittamista vain, jos niitä on saatavilla.

NIS2-direktiivin 23 artikla kuvaa saman 72 tunnin vaiheen poikkeamailmoituksena. Sen mukaan ilmoituksessa esitetään ensimmäinen arvio merkittävästä poikkeamasta, sen vakavuudesta ja vaikutuksista sekä vaarantumisindikaattorit, jos niitä on saatavilla.

Luottamuspalvelun tarjoajalla on poikkeus. Kyberturvallisuuslain 11 §:n mukaan sen on tehtävä jatkoilmoitus 24 tunnin kuluessa merkittävän poikkeaman havaitsemisesta, jos poikkeama vaikuttaa sen luottamuspalvelujen tarjontaan.

Kuukauden raportti kokoaa syyt, vaikutukset ja lieventävät toimet

Kyberturvallisuuslain 13 § koskee loppuraporttia. Loppuraportti annetaan kuukauden kuluessa jatkoilmoituksen toimittamisesta. Jos kyseessä on pitkäkestoinen poikkeama, loppuraportti annetaan kuukauden kuluessa sen käsittelyn päättymisestä.

Loppuraportti on eri asia kuin 24 tunnin tai 72 tunnin ilmoitus. Se kokoaa poikkeaman käsittelyn tulokset. Siinä kuvataan, mitä tapahtui, miten vakavaa se oli ja mitä vaikutuksia sillä oli.

Kyberturvallisuuslain 13 § vaatii loppuraporttiin neljä kokonaisuutta:

• yksityiskohtainen kuvaus poikkeamasta, sen vakavuudesta ja vaikutuksista
• selvitys poikkeaman todennäköisesti aiheuttaneen uhkan tai juurisyyn tyypistä
• selvitys tehdyistä ja meneillään olevista toimista, joilla vaikutuksia lievennetään
• selvitys mahdollisista rajat ylittävistä vaikutuksista

Juurisyy tarkoittaa todennäköistä perimmäistä syytä. Se ei ole vain havaittu oire. Jos palvelu ei toimi, oire on palvelun häiriö. Juurisyy on se tekijä, joka todennäköisesti johti häiriöön.

Kyberturvallisuuslain 12 § lisää väliraportin kahteen tilanteeseen. Valvova viranomainen voi pyytää lisätietoja tai väliraportin. Jos merkittävä poikkeama on pitkäkestoinen, toimijan on annettava väliraportti viimeistään kuukauden kuluttua jatkoilmoituksen antamisesta.

Ilmoitusten määräajat ja sisällöt rinnakkain

Seuraava taulukko kokoaa kyberturvallisuuslain 11–13 §:n vaiheet.

Vaihe	Määräaika	Mitä ilmoitetaan
Ensi-ilmoitus	24 tunnin kuluessa havaitsemisesta	Poikkeaman havaitseminen, epäily rikoksesta tai muusta lainvastaisesta tai vihamielisestä teosta, rajat ylittävien vaikutusten mahdollisuus ja todennäköisyys
Jatkoilmoitus	72 tunnin kuluessa havaitsemisesta	Arvio laadusta, vakavuudesta ja vaikutuksista, tekniset vaarantumisindikaattorit jos saatavilla, päivitykset ensi-ilmoitukseen
Väliraportti	Viranomaisen pyynnöstä tai pitkäkestoisessa poikkeamassa viimeistään kuukauden kuluttua jatkoilmoituksesta	Tilannepäivitykset ja käsittelyn eteneminen
Loppuraportti	Kuukauden kuluessa jatkoilmoituksesta tai pitkäkestoisessa poikkeamassa kuukauden kuluessa käsittelyn päättymisestä	Yksityiskohtainen kuvaus, juurisyyn tyyppi, lieventävät toimet ja rajat ylittävät vaikutukset

Taulukko näyttää tärkeän käytännön eron. Ensimmäiset ilmoitukset eivät odota täydellistä varmuutta. Loppuraportissa tiedot ovat jo yksityiskohtaisempia.

Henkilötietojen tietoturvaloukkaus voi tuoda toisen 72 tunnin ilmoituksen

Tietoturvapoikkeama voi olla myös henkilötietojen tietoturvaloukkaus. Henkilötieto on tieto, joka liittyy tunnistettuun tai tunnistettavissa olevaan ihmiseen. Esimerkiksi asiakas- tai työntekijätieto voi olla henkilötietoa.

Yleisen tietosuoja-asetuksen 33 artikla koskee henkilötietojen tietoturvaloukkauksesta ilmoittamista valvontaviranomaiselle. Rekisterinpitäjän on ilmoitettava loukkauksesta ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta. Poikkeus on tilanne, jossa loukkauksesta ei todennäköisesti aiheudu riskiä luonnollisten henkilöiden oikeuksille ja vapauksille.

Rekisterinpitäjä tarkoittaa tahoa, joka päättää henkilötietojen käsittelyn tarkoitukset ja keinot. Henkilötietojen käsittelijä käsittelee henkilötietoja rekisterinpitäjän puolesta. Yleisen tietosuoja-asetuksen 33 artiklan mukaan henkilötietojen käsittelijä ilmoittaa loukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä saatuaan sen tietoonsa.

Yleisen tietosuoja-asetuksen 33 artikla vaatii ilmoitukseen muun muassa kuvauksen loukkauksesta, yhteyspisteen tiedot, todennäköiset seuraukset ja tehdyt tai ehdotetut toimet haittojen lieventämiseksi. Jos kaikkia tietoja ei voida antaa samaan aikaan, tiedot voidaan antaa vaiheittain ilman aiheetonta viivytystä.

Yleisen tietosuoja-asetuksen 34 artikla koskee ilmoitusta rekisteröidylle eli henkilölle, jonka tiedoista on kyse. Jos loukkaus todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille, rekisterinpitäjän on ilmoitettava siitä rekisteröidylle ilman aiheetonta viivytystä. Ilmoitusta rekisteröidylle ei vaadita kaikissa tilanteissa, koska artikla sisältää erilliset poikkeukset.

Tietosuojaosaamisen perusvaatimuksia käsitellään lisää artikkelissa Mitä tietosuojaosaamista jokaiselta työntekijältä vaaditaan?.

Johto vastaa siitä, että poikkeamien käsittely on järjestetty

NIS2-direktiivin 21 artikla edellyttää keskeisiltä ja tärkeiltä toimijoilta kyberturvallisuusriskien hallintatoimenpiteitä. Niihin sisältyy poikkeamien käsittely. Tämä tarkoittaa, että poikkeamiin ei reagoida vain teknisenä hätätilanteena. Niihin varaudutaan ennalta.

Sama artikla mainitsee myös riskianalyysit, toiminnan jatkuvuuden hallinnan, toimitusketjun turvallisuuden, henkilöstöturvallisuuden, pääsynhallinnan ja kyberturvallisuuskoulutuksen. Poikkeamailmoitus toimii parhaiten silloin, kun nämä asiat on sovittu ennen häiriötä.

NIS2-direktiivin 20 artikla kytkee asian johtoon. Hallintoelimet hyväksyvät riskienhallintatoimenpiteet ja valvovat niiden toteutusta. Artikla edellyttää myös hallintoelinten jäsenten koulutusta. Johdon koulutusvelvoitteesta kerrotaan tarkemmin artikkelissa NIS2 ja kyberturvallisuuslaki: johdon koulutusvelvoite ja henkilöstön kyberhygienia.

Käytännössä poikkeamien ilmoitusvelvollisuus vaatii selkeän työnjaon. Jonkun pitää tunnistaa, voiko kyse olla merkittävästä poikkeamasta. Jonkun pitää koota 24 tunnin tiedot. Jonkun pitää täydentää 72 tunnin arvio. Jonkun pitää varmistaa, että loppuraportti valmistuu määräajassa.

Mitä velvollisuus ei tarkoita?

Ilmoitusvelvollisuus ei tarkoita, että jokainen pieni tekninen häiriö olisi aina ilmoitettava kyberturvallisuuslain 11 §:n mukaisena merkittävänä poikkeamana. Laki kytkee ilmoitusvelvollisuuden merkittävyyteen. Merkittävyys perustuu palvelun vakavaan toimintahäiriöön, huomattaviin taloudellisiin tappioihin tai huomattavaan vahinkoon muille.

Velvollisuus ei myöskään tarkoita, että 24 tunnin kohdalla pitää tietää kaikki. Ensi-ilmoitus kertoo havaitsemisesta, epäillystä rikoksesta tai vihamielisestä teosta sekä rajat ylittävistä vaikutuksista. Tarkempi arvio tulee jatkoilmoituksessa ja loppuraportissa.

Velvollisuus ei poista tietosuojan erillisiä sääntöjä. Jos poikkeama koskee henkilötietoja, yleisen tietosuoja-asetuksen 33 ja 34 artiklat voivat tulla rinnalle. Sama tapahtuma voi siis vaatia arviointia sekä kyberturvallisuuslain että tietosuojasääntelyn perusteella.

Kyberturvallisuuslain 11 § antaa valvovalle viranomaiselle mahdollisuuden antaa tarkempia teknisiä määräyksiä ilmoituksen, tiedotuksen tai raportin tietosisällöstä, teknisestä muodosta ja menettelystä. Siksi organisaation oma prosessi ei voi jäädä vain yleisten määräaikojen varaan. Sen pitää pystyä seuraamaan myös toimialan tarkempia määräyksiä, jos niitä annetaan.

Kyberturvallisuuden perustaitoja henkilöstölle käsitellään lisää artikkelissa Mitä kyberturvallisuuslaki vaatii henkilöstön kyberhygienialta?.