NIS2 ja Alankomaiden kyberturvallisuuslaki (Cyberbeveiligingswet): koskevatko ne yritystäni?

Alankomaissa on 15. elokuuta 2026 alkaen ollut voimassa kyberturvallisuuslaki (Cyberbeveiligingswet). Olet ehkä jo kuullut termin NIS2 asiakkaalta, toimittajalta tai neuvonantajalta. Tässä artikkelissa kerromme lyhyesti, mikä laki on, keitä se koskee ja mitä se tarkoittaa pienelle yritykselle, jota laki ei itse koske.

Tämä artikkeli on yleinen selvitys eikä oikeudellista neuvontaa. Ajantasaiset säännöt löydät NCSC:n sivuilta ja lakitekstistä.

Mistä on kyse?

NIS2 on vuonna 2022 annettu EU-direktiivi (direktiivi (EU) 2022/2555), jonka tavoitteena on parantaa tärkeiden alojen organisaatioiden digitaalista häiriönsietokykyä. Jokainen maa saattaa direktiivin voimaan omalla lailla. Alankomaissa se on kyberturvallisuuslaki (Cbw). Laki on ollut voimassa 15. elokuuta 2026 alkaen ilman siirtymäaikaa, ja se korvaa vanhan verkko- ja tietojärjestelmien turvallisuutta koskevan lain (Wbni). NCSC:n mukaan laki koskee yli 8.000 organisaatiota. NCSC toimii yhteyspisteenä.

Koskeeko laki yritystäni?

Se riippuu kahdesta asiasta: toimialastasi ja yrityksesi koosta.

1. Toimitko lain mainitsemalla alalla?

Joillakin aloilla on lisäehtoja. Laki ei siis automaattisesti koske jokaista yritystä, joka tekee jotain elintarvikkeisiin liittyvää.

2. Onko yrityksesi tarpeeksi suuri? Lyhyesti sanottuna laki koskee keskisuuria ja suuria organisaatioita. Kuulut joukkoon, jos:

• sinulla on 50 tai enemmän työntekijää (henkilötyövuotta), tai
• sinulla on alle 50 työntekijää, mutta liikevaihtosi ja taseesi loppusumma ovat kumpikin yli 10 miljoonaa euroa.

Myös kumppaniyritykset ja sidosyritykset lasketaan mukaan. Yritys, jolla on 20 työntekijää ja joka kuuluu 200 hengen konserniin, voi siis kuitenkin kuulua lain piiriin.

Poikkeukset koosta riippumatta. Muutamat organisaatiotyypit kuuluvat aina lain piiriin, olivatpa ne kuinka pieniä tahansa. Esimerkiksi DNS-palveluntarjoajat, ylätason verkkotunnusten rekisterit, yleisten sähköisten viestintäverkkojen ja -palvelujen tarjoajat, luottamuspalvelujen tarjoajat ja julkishallinnon organisaatiot. Jos sinut on nimetty kriittisten toimijoiden häiriönsietokykyä koskevan lain nojalla, kuulut myös kyberturvallisuuslain piiriin.

Tarkista itse itsearvioinnilla

Alankomaiden digitaalisen infrastruktuurin valvontavirasto (RDI) tarjoaa maksuttoman NIS2-itsearvioinnin. Vastaat kysymyksiin toimialastasi, koostasi ja palveluistasi ja saat tuloksen. Siitä selviää myös, oletko keskeinen vai tärkeä toimija. Ero näkyy lähinnä valvonnassa: keskeisiä toimijoita valvova viranomainen saa tarkastaa myös omasta aloitteestaan, tärkeitä toimijoita lähinnä jälkikäteen. Kuuluuko yrityksesi konserniin tai toimitko useassa maassa? Silloin apua saat NCSC:n ohjeesta monimutkaisille liiketoimintamalleille.

Mitä sinun pitää tehdä, jos laki koskee sinua?

• Rekisteröidy. Rekisteröit organisaatiosi MijnNCSC-palvelun kautta.
• Huolellisuusvelvoite. Teet riskianalyysin ja otat käyttöön asianmukaiset ja oikeasuhteiset toimenpiteet. NCSC mainitsee vähintään kymmenen aihealuetta, kuten poikkeamien käsittelyn, varmuuskopiot ja palautuksen, toimitusketjusi turvallisuuden, koulutuksen, päivitykset, käyttöoikeuksien hallinnan, monivaiheisen tunnistautumisen tai pääsyavaimet, salauksen sekä sen testaamisen, toimivatko toimenpiteesi. Johto hyväksyy toimenpiteet ja valvoo niitä.
• Ilmoitusvelvollisuus. Merkittävästä poikkeamasta ilmoitetaan MijnNCSC-palvelun kautta: 24 tunnin kuluessa ennakkovaroitus, 72 tunnin kuluessa ilmoitus, jossa on ensimmäinen arvio vakavuudesta ja vaikutuksista, ja kuukauden kuluessa loppuraportti.

Tämä ilmoitus on erillinen tietosuoja-asetuksen (GDPR) mukaisesta tietoturvaloukkausten ilmoitusvelvollisuudesta. Se koskee kaikkia, jotka käsittelevät henkilötietoja, myös yksinyrittäjiä, ja ilmoitus tehdään Alankomaiden tietosuojaviranomaiselle. Milloin kyse on tietoturvaloukkauksesta ja pitääkö siitä ilmoittaa, kerromme artikkelissa Onko tämä tietoturvaloukkaus ja pitääkö siitä ilmoittaa? Hyökkäyksestä, jossa myös asiakastietoja on varastettu, voi siis joutua ilmoittamaan molempiin paikkoihin.

Eikö laki koske sinua? Toimitusketju voi silti vaikuttaa sinuun

Useimmat pienet yritykset eivät kuulu lain piiriin. Silloin sinulla ei ole rekisteröitymisvelvollisuutta, ilmoitusvelvollisuutta NCSC:lle eikä valvontaa. Lain piiriin kuuluvien organisaatioiden on kuitenkin otettava huomioon myös suorien toimittajiensa ja palveluntarjoajiensa riskit. NCSC:n mukaan laki ei aseta velvoitteita toimittajille itselleen, mutta asiakkaat saavat asettaa vaatimuksia niiden digitaaliselle turvallisuudelle. Vaatimukset tulevat silloin sopimukseen tai kyselyyn.

Toimitatko palveluja suuremmalle organisaatiolle, esimerkiksi verkkosivujen tekijänä, IT-ylläpitäjänä tai tilitoimistona? Silloin voit saada kysymyksiä kuten: käytättekö kaksivaiheista tunnistautumista, kenellä on pääsy tietoihimme, missä varmuuskopiot ovat ja kuinka nopeasti ilmoitatte poikkeamasta?

• Vaatimusten pitää olla oikeassa suhteessa palvelusi riskiin. Toimittaja, jolla on pääsy järjestelmiin, saa tiukemmat vaatimukset kuin leipuri, joka tuo lounaan.
• Kyse on suorista toimittajista. Toimittajiesi toimittajat jäävät ulkopuolelle.
• Laki ei edellytä sertifikaattia. Siitä voi olla apua keskustelussa, mutta se ei ole tae.
• Aloita ajoissa: kartoita, mitä toimenpiteitä sinulla jo on, ja sovi asioista kirjallisesti asiakkaasi kanssa.

Lue lisää

• NCSC: Kyberturvallisuuslaki (NIS2)
• NCSC: Koskeeko kyberturvallisuuslaki organisaatiotani?
• NCSC: Huolellisuusvelvoite
• NCSC: Ilmoitusvelvollisuus
• NCSC: Kyberturvallisuuslaki ja toimittajat
• RDI: NIS2-itsearviointi
• Kyberturvallisuuslain lakiteksti

Haluatko oppia lisää? Suorita maksuton kurssi Turvallisesti verkossa yrittäjille, oppitunti 9.1 NIS2 ja kyberturvallisuuslaki.