NIS2 ja kyberturvallisuuslaki: koskeeko se yritystäsi?
Alankomaissa on 15. elokuuta 2026 alkaen voimassa Cyberbeveiligingswet eli kyberturvallisuuslaki. Olet ehkä kuullut termin NIS2 asiakkaalta, toimittajalta tai konsultilta. Tässä artikkelissa kerrotaan lyhyesti, mikä laki on, ketä se koskee ja mitä se tarkoittaa pienelle yritykselle, joka ei itse kuulu lain piiriin.
Tämä artikkeli tarjoaa yleistä tietoa eikä ole oikeudellista neuvontaa. Ajantasaiset säännöt löytyvät NCSC:ltä ja lain tekstistä.
Mikä se on?
NIS2 on vuoden 2022 eurooppalainen direktiivi (Direktiivi (EU) 2022/2555), jonka tarkoituksena on parantaa tärkeillä toimialoilla toimivien organisaatioiden digitaalista kriisinkestävyyttä. Jokainen maa saattaa direktiivin voimaan omalla lailla. Alankomaissa tämä laki on Cyberbeveiligingswet eli kyberturvallisuuslaki (Cbw). Laki on ollut voimassa 15. elokuuta 2026 alkaen, ilman siirtymäaikaa, ja se korvaa aiemman verkko- ja tietojärjestelmien turvallisuutta koskevan lain (Wbni). NCSC:n mukaan lain piiriin kuuluu yli 8 000 organisaatiota. NCSC toimii yhteyspisteenä.
Kuuluuko yritykseni lain piiriin?
Tämä riippuu kahdesta asiasta: toimialastasi ja yrityksesi koosta.
1. Toimitko laissa mainitulla toimialalla?
| Liite 1 | Liite 2 |
|---|---|
| Energia, liikenne, pankkitoiminta, rahoitusmarkkinoiden infrastruktuuri, terveydenhuolto, juomavesi, jätevesi, digitaalinen infrastruktuuri, ICT-palvelujen hallinta, julkishallinto, avaruusala | Posti- ja kuriiripalvelut, jätehuolto, kemikaalit, elintarvikkeet, valmistusteollisuus, digitaaliset palveluntarjoajat, tutkimus |
Joillekin toimialoille pätee lisäehtoja. Esimerkiksi kaikki elintarvikealalla toimivat yritykset eivät automaattisesti kuulu lain piiriin.
2. Onko yrityksesi tarpeeksi suuri? Lyhyesti sanottuna lain piiriin kuuluvat keskisuuret ja suuret organisaatiot. Yrityksesi lasketaan mukaan, jos:
- sinulla on 50 tai enemmän työntekijää (htv), tai
- sinulla on alle 50 työntekijää, mutta sekä vuosiliikevaihtosi että taseesi loppusumma ylittävät molemmat 10 miljoonaa euroa.
Myös kumppaniyritykset ja sidosyritykset lasketaan mukaan. Näin ollen 20 työntekijän yritys, joka kuuluu 200 hengen konserniin, voi silti kuulua lain piiriin.
Poikkeukset koosta riippumatta. Jotkin organisaatiotyypit kuuluvat lain piiriin aina, oli yritys kuinka pieni tahansa. Näitä ovat esimerkiksi DNS-palveluntarjoajat, aluetunnusten rekisterit, julkisten sähköisten viestintäverkkojen ja -palvelujen tarjoajat, luottamuspalvelujen tarjoajat ja julkishallinnon organisaatiot. Jos sinut on nimetty kriittisten toimijoiden kriisinkestävyyttä koskevan lain (Wet weerbaarheid kritieke entiteiten) mukaisesti, kuulut myös Cyberbeveiligingswetin piiriin.
Tarkista asia itsearvioinnilla
Alankomaiden digitaalisen infrastruktuurin valtiollisella tarkastusvirastolla (Rijksinspectie Digitale Infrastructuur, RDI) on ilmainen NIS2-itsearviointi. Vastaat kysymyksiin toimialastasi, yrityksesi koosta ja palveluistasi, ja saat tuloksen. Tuloksesta näkyy myös, oletko olennainen vai tärkeä toimija. Ero liittyy ennen kaikkea valvontaan: olennaisten toimijoiden kohdalla valvontaviranomainen voi tarkastaa myös omasta aloitteestaan, tärkeiden toimijoiden kohdalla valvonta tapahtuu lähinnä jälkikäteen. Kuuluuko yrityksesi konserniin tai toimitko useassa maassa? Silloin NCSC:n monimutkaisten liiketoimintamallien opas auttaa.
Mitä sinun on tehtävä, jos kuulut lain piiriin?
- Rekisteröityminen. Ilmoitat organisaatiosi MijnNCSC-palvelun kautta.
- Huolehtimisvelvollisuus. Teet riskianalyysin ja ryhdyt asianmukaisiin ja oikeasuhtaisiin toimenpiteisiin. NCSC mainitsee vähintään kymmenen aihealuetta, muun muassa häiriöiden käsittelyn, varmuuskopioinnin ja palautumisen, toimitusketjun turvallisuuden, koulutuksen, päivitykset, pääsynhallinnan, monivaiheisen tunnistautumisen tai pääsyavaimet, salauksen sekä toimenpiteiden toimivuuden testaamisen. Hallitus hyväksyy toimenpiteet ja valvoo niitä.
- Ilmoitusvelvollisuus. Merkittävästä häiriöstä ilmoitat MijnNCSC-palvelun kautta: 24 tunnin sisällä ensimmäinen varoitus, 72 tunnin sisällä ilmoitus, jossa on alustava arvio vakavuudesta ja vaikutuksesta, ja kuukauden sisällä loppuraportti.
Tämä ilmoitusvelvollisuus on erillinen yleisen tietosuoja-asetuksen (GDPR) mukaisesta tietoturvaloukkausten ilmoitusvelvollisuudesta. Se koskee kaikkia henkilötietoja käsitteleviä, myös yksinyrittäjiä, ja ilmoitus tehdään Alankomaiden tietosuojaviranomaiselle (Autoriteit Persoonsgegevens). Jos hyökkäyksessä on varastettu myös asiakastietoja, ilmoitus voi olla tehtävä molemmille tahoille.
Etkö kuulu lain piiriin? Toimitusketju voi silti koskettaa sinua
Suurin osa pienistä yrityksistä ei kuulu lain piiriin. Silloin sinulla ei ole rekisteröitymisvelvollisuutta, ilmoitusvelvollisuutta NCSC:lle eikä valvontaa. Mutta lain piiriin kuuluvien organisaatioiden on otettava huomioon myös suorien toimittajiensa ja palveluntarjoajiensa riskit. NCSC:n mukaan laki ei aseta velvoitteita toimittajille itselleen, mutta asiakkaat voivat silti asettaa vaatimuksia niiden digitaaliselle turvallisuudelle. Nämä vaatimukset kirjataan tyypillisesti sopimukseen tai kyselylomakkeeseen.
Toimitatko palveluja suuremmalle organisaatiolle, esimerkiksi verkkosivujen rakentajana, IT-ylläpitäjänä tai tilitoimistona? Silloin saatat saada kysymyksiä, kuten: käytättekö kaksivaiheista tunnistautumista, kenellä on pääsy tietoihimme, missä varmuuskopiot sijaitsevat ja kuinka nopeasti ilmoitatte häiriöstä?
- Vaatimusten tulee olla oikeassa suhteessa palvelusi riskiin. Toimittaja, jolla on pääsy järjestelmiin, saa tiukemmat vaatimukset kuin leipuri, joka tuo lounaan.
- Kyse on suorista toimittajista. Toimittajiesi omat toimittajat jäävät tämän ulkopuolelle.
- Laki ei edellytä sertifikaattia. Se voi auttaa keskustelussa, mutta ei ole tae.
- Aloita ajoissa: kartoita, mitä toimenpiteitä sinulla jo on, ja kirjaa sopimukset asiakkaasi kanssa ylös.