NIS2 ja kyberturvallisuuslaki

Moduuli 9: Säännöt ja organisaatio · Lukuaika: 11 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat selittää, mitä NIS2-direktiivi ja sen kansallinen täytäntöönpano säätävät, ketä se koskee ja mitä se tarkoittaa pienyrityksille asiakasketjun kautta.
Keskeiset käsitteet: NIS2, kyberturvallisuuslaki, keskeinen ja tärkeä toimija, toimiala, koko, huolehtimisvelvollisuus, ilmoitusvelvollisuus (24 tuntia, 72 tuntia, 1 kuukausi), rekisteröitymisvelvollisuus, toimitusketju, itsearviointi

EU-direktiivistä kansalliseksi laiksi

NIS2 on vuoden 2022 EU-direktiivi (direktiivi (EU) 2022/2555), jonka tavoitteena on parantaa tärkeiden organisaatioiden digitaalista kriisinkestävyyttä koko EU:ssa. Direktiivi ei ole suoraan sovellettava: jokainen jäsenmaa saattaa sen voimaan omalla lailla. Suomessa tämä on kyberturvallisuuslaki (124/2025). Alankomaissa vastaava kansallinen laki on nimeltään Cyberbeveiligingswet (Cbw), ja se tuli voimaan 15. elokuuta 2026, samaan aikaan kuin kriittisten toimijoiden selviytymiskykyä koskeva laki ja sitä tarkentava asetus; se korvasi aiemman verkko- ja tietojärjestelmien turvallisuutta koskevan lain, eikä Alankomaissa ole siirtymäaikaa. Kyberturvallisuuslaki (124/2025) tuli voimaan 8. huhtikuuta 2025.

Alankomaiden NCSC:n mukaan Alankomaissa lain piiriin kuuluu runsaat 8 000 organisaatiota. Tämä on pieni osa kaikista alankomaalaisista yrityksistä, mutta sama logiikka pätee laajemmin: useimmille pienyrityksille tärkein kysymys ei ole "mitä minun pitää tehdä lain vuoksi?" vaan "mitä asiakkaani vaativat minulta, koska he itse kuuluvat lain piiriin?". Palaamme tähän hetken kuluttua.

Suomessa kyberturvallisuuslakiin liittyvissä kysymyksissä valvovana viranomaisena toimii muun muassa Traficomin Kyberturvallisuuskeskus.

Kuuluuko sinun yrityksesi lain piiriin? Toimiala ja koko

Se, kuuluuko organisaatio lain piiriin, riippuu kahdesta kysymyksestä.

1. Toimitko laissa mainitulla toimialalla? Laissa on kaksi liitettä.

Joillekin toimialoille asettaa lisäehtoja vastaava ministeriö. Kaikki organisaatiot, jotka tekevät jotain "elintarvikkeisiin" liittyvää, eivät siis automaattisesti kuulu lain piiriin.

2. Oletko tarpeeksi suuri? Organisaatiosi lasketaan mukaan, jos:

• sinulla on 50 tai enemmän työntekijää (htv), tai
• työntekijöitä on alle 50, mutta sekä vuosiliikevaihtosi että taseesi loppusumma ylittävät 10 miljoonaa euroa.

Omistajuussuhteessa olevat ja kumppaniyritykset lasketaan mukaan. Yritys, jolla on 20 työntekijää mutta joka kuuluu 200 hengen konserniin, voi siis silti kuulua lain piiriin.

Poikkeukset: koosta riippumatta. Muutamat organisaatiotyypit kuuluvat lain piiriin aina, kuinka pieniä tahansa: DNS-palveluntarjoajat, aluetunnusrekisterit, yleisten sähköisten viestintäverkkojen ja -palvelujen tarjoajat, luottamuspalvelujen tarjoajat ja julkishallinnon organisaatiot. Myös verkkotunnusten rekisteröintipalvelujen tarjoajien on rekisteröidyttävä.

Keskeinen vai tärkeä

Lain piiriin kuuluvat organisaatiot ovat keskeisiä tai tärkeitä toimijoita. Karkeasti: suuret organisaatiot liitteen 1 toimialoilla ja muutamat koosta riippumatta nimetyt tyypit ovat keskeisiä; muut ovat tärkeitä. Ero koskee lähinnä valvontaa: keskeisten toimijoiden kohdalla valvova viranomainen voi tarkastaa myös oma-aloitteisesti, esimerkiksi tarkastuksin ja auditoinnein; tärkeiden toimijoiden kohdalla se puuttuu asiaan lähinnä jälkikäteen, jos on viitteitä siitä, että jokin on pielessä. Velvoitteet itsessään ovat suurelta osin samat. Kuulutko keskeisiin vai tärkeisiin toimijoihin, selviää alla mainitun itsearvioinnin avulla.

Tarkista itse

Alankomaissa Rijksinspectie Digitale Infrastructuur (RDI) tarjoaa ilmaisen NIS2-itsearvioinnin osoitteessa https://regelhulpenvoorbedrijven.nl/NIS-2-NL/ (alankomaalainen palvelu, hollanninkielinen). Siellä vastataan kysymyssarjaan toimialasta, koosta ja palveluista, ja lopuksi saa tuloksen. Jos olet epävarma, esimerkiksi koska yrityksesi kuuluu konserniin tai toimii useassa maassa, kannattaa olla yhteydessä valvovaan viranomaiseen oman maasi ohjeiden mukaisesti.

Mitä laki vaatii

Jos organisaatiosi kuuluu lain piiriin, sovelletaan kolmea velvollisuutta.

Rekisteröitymisvelvollisuus

Organisaatio rekisteröidään toimijarekisteriin. Alankomaissa tämä tapahtuu MijnNCSC-palvelun kautta. Näin viranomainen tietää, ketkä kuuluvat lain piiriin, ja voi tavoittaa heidät uhkatilanteessa. Suomessa rekisteröityminen tehdään valvovalle viranomaiselle.

Huolehtimisvelvollisuus

Teet riskianalyysin ja toteutat sen pohjalta asianmukaiset ja oikeasuhtaiset toimenpiteet verkko- ja tietojärjestelmiesi suojaamiseksi. Alankomaiden NCSC mainitsee vähintään kymmenen aihealuetta, jotka kaikki olet kohdannut tällä kurssilla:

1. riskianalyysi (oppitunti 1.1 ja 9.3);
2. häiriötilanteiden käsittely toimintasuunnitelman avulla (oppitunti 8.1);
3. varautuminen käyttökatkoihin: varmuuskopiot, palautussuunnitelmat, kriisinhallinta (moduuli 6);
4. toimitusketjun turvallisuus, mukaan lukien toimittajariskit (oppitunti 7.2);
5. kyberhygienia ja koulutus (oppitunti 9.2);
6. järjestelmien turvallinen hankinta, kehitys ja ylläpito, mukaan lukien päivitykset (oppitunti 5.1);
7. henkilöstö, pääsynhallinta sekä laitteiden ja ohjelmistojen hallinta (oppitunti 7.1);
8. passkeyt tai monivaiheinen tunnistautuminen ja suojattu viestintä (moduuli 2);
9. salauskäytäntö;
10. toimenpiteiden toimivuuden arviointi, esimerkiksi säännöllisin testein (oppitunti 6.3 ja 9.3).

Johto on vastuussa: se hyväksyy toimenpiteet ja valvoo niiden toteutusta. NIS2-direktiivin mukaan johdon jäsenten tulee myös suorittaa koulutus kyberriskeistä. Kyberturvallisuus ei siis ole enää pelkkä asia, jonka voi jättää IT-vastaavan hoidettavaksi.

Ilmoitusvelvollisuus

Alankomaissa merkittävä häiriötilanne ilmoitetaan Alankomaiden NCSC:lle MijnNCSC-palvelun kautta. Kyse on häiriötilanteesta, joka vakavasti häiritsee palveluntarjontaa, aiheuttaa taloudellista vahinkoa tai voi aiheuttaa suurta vahinkoa muille; tarkat kynnysarvot vaihtelevat toimialoittain. Määräajat lasketaan siitä hetkestä, kun saat tiedon häiriötilanteesta:

Alankomaissa yksi ilmoitus MijnNCSC-palvelun kautta tavoittaa sekä CSIRT-tiimin (joka auttaa häiriötilanteen hoidossa) että valvovan viranomaisen. Lisäksi direktiivin mukaan palvelujesi käyttäjille on tarvittaessa tiedotettava merkittävistä häiriötilanteista, jotka voivat vaikuttaa heihin.

Kyberturvallisuuslain ilmoitus ja tietosuoja-asetuksen ilmoitus: kaksi eri asiaa

Tämä muistuttaa tietosuoja-asetuksen (GDPR) tietoturvaloukkausten ilmoitusvelvollisuutta (oppitunti 8.2), ja "72 tuntia" esiintyy molemmissa. Silti kyse on kahdesta erillisestä velvollisuudesta.

Kiristyshaittaohjelmahyökkäys kyberturvallisuuslain piiriin kuuluvassa organisaatiossa, jossa on varastettu myös asiakastietoja, täytyy siis ilmoittaa molempiin tahoihin. Ja pienyritys, joka ei kuulu kyberturvallisuuslain piiriin, on silti velvollinen ilmoittamaan tietosuoja-asetuksen mukaisesta tietoturvaloukkauksesta, jos henkilötietoja vuotaa.

Et kuulu lain piiriin: toimitusketju

Useimmille tämän kurssin lukijoille vastaus ensimmäiseen kysymykseen on: ei, yritykseni ei kuulu kyberturvallisuuslain piiriin. Kahdentoista hengen leipomo, viiden hengen tilitoimisto, yksinyrittäjänä toimiva verkkosivujen rakentaja. Silloin sinulla ei ole laista johtuvia velvollisuuksia: ei rekisteröitymisvelvollisuutta, ei ilmoitusvelvollisuutta valvovalle viranomaiselle, ei valvontaa.

Mutta laki voi silti tavoittaa sinut asiakkaidesi kautta. Lain piiriin kuuluvien organisaatioiden täytyy suojata toimitusketjunsa: niiden täytyy ottaa huomioon suorien toimittajiensa ja palveluntarjoajiensa haavoittuvuudet. Alankomaiden NCSC kirjoittaa, ettei laki aseta velvoitteita toimittajille itselleen, mutta lain piiriin kuuluvat organisaatiot voivat silti asettaa vaatimuksia toimittajiensa digitaaliselle turvallisuudelle. Nämä vaatimukset päätyvät sitten sopimukseen tai kyselylomakkeeseen.

Esimerkki. Kuuden hengen pieni IT-yritys hallinnoi keskisuuren, 140 hengen kuljetusyrityksen kannettavia tietokoneita ja verkkoa. Kuljetusyritys kuuluu kyberturvallisuuslain piiriin (liikenne, tarpeeksi suuri). IT-yritys itse ei kuulu: "tieto- ja viestintätekniikan palvelujen hallinta" on liitteessä 1, mutta yritys on liian pieni. Silti se saa kyselylomakkeen: onko hallintatyökaluissa käytössä kaksivaiheinen tunnistautuminen, kenellä on pääsy järjestelmiimme, kuinka nopeasti häiriötilanne ilmoitetaan meille, missä varmuuskopiot sijaitsevat?

Mitä Alankomaiden NCSC sanoo tästä, ja mitä se tarkoittaa sinulle:

• Vaatimusten tulee olla oikeasuhtaisia. Asiakkaan tulee arvioida riskiä, jonka sinun palvelusi hänelle aiheuttaa. Toimittaja, jolla on pääsy järjestelmiin, saa tiukemmat vaatimukset kuin lounaan toimittava leipuri.
• Kyse on suorista toimittajista. Toimittajiesi omat toimittajat jäävät lain ulkopuolelle.
• Sertifikaatti ei ole pakollinen. Laki ei määrää tiettyä laatumerkkiä. Sertifikaatti voi helpottaa keskustelua, mutta se ei ole tae eikä lain vaatimus.
• Aloita keskustelu ajoissa. Kartoita, mitä toimenpiteitä sinulla jo on käytössä niissä kohdissa, joissa olet tekemisissä asiakkaan kanssa, ja kirjaa sovitut asiat ylös.

Älä siis liioittele asiaa. Kyberturvallisuuslaki ei tee pienestä yrityksestä "NIS2-velvoitteista organisaatiota", ja konsultti, joka väittää näin myydäkseen kallista sertifiointia, kertoo vain osan tarinasta. Mutta älä myöskään aliarvioi sitä: yritysten, jotka toimittavat suuremmille organisaatioille, täytyy yhä useammin pystyä osoittamaan, että perusasiat ovat kunnossa. Tämän kurssin peruskäytännöt ovat juuri sitä, mitä tällainen kyselylomake yleensä kysyy.

Tämä oppitunti antaa yleistä tietoa eikä ole oikeudellista neuvontaa. Katso ajantasaiset säännöt Suomessa valvovan viranomaisen sivuilta, ja Alankomaiden tilanteesta osoitteesta https://www.ncsc.nl/cyberbeveiligingswet-nis2 (alankomaalainen viranomaissivusto, hollanninkielinen) ja lakitekstistä osoitteessa https://wetten.overheid.nl/BWBR0052872/2026-08-15/0 (Alankomaiden virallinen säädöskokoelma, hollanninkielinen).

Yhteenveto

• Alankomaissa kyberturvallisuuslaki (Cyberbeveiligingswet, Cbw) on NIS2-direktiivin kansallinen täytäntöönpano, ja se tuli voimaan 15. elokuuta 2026 ilman siirtymäaikaa; Suomessa vastaava laki on kyberturvallisuuslaki (124/2025), joka tuli voimaan 8. huhtikuuta 2025.
• Lain piiriin kuulut, jos toimit liitteen 1 tai 2 toimialalla ja sinulla on 50 tai enemmän työntekijää, tai sekä vuosiliikevaihto että taseen loppusumma ylittävät 10 miljoonaa euroa; tietyt tyypit (kuten DNS-palveluntarjoajat ja julkishallinto) kuuluvat piiriin koosta riippumatta.
• Velvollisuudet: rekisteröityminen valvovalle viranomaiselle, huolehtimisvelvollisuus riskianalyysin ja asianmukaisten toimenpiteiden muodossa johdon vastuulla, sekä merkittävien häiriötilanteiden ilmoittaminen 24 tunnin, 72 tunnin ja 1 kuukauden kuluessa.
• Kyberturvallisuuslain mukainen ilmoitus valvovalle viranomaiselle on erillinen tietosuoja-asetuksen mukaisesta tietoturvaloukkausilmoituksesta tietosuojavaltuutetun toimistolle; joskus molemmat vaaditaan.
• Pienyritys ei useimmiten kuulu itse lain piiriin, mutta voi saada asianmukaisia turvallisuusvaatimuksia lain piiriin kuuluvilta asiakkailtaan.

Tietovisa

Tehtävä

Tehtävä A9.1: Kuuluuko se kyberturvallisuuslain piiriin? Saat kuusi lyhyttä kuvausta organisaatioista (toimiala, työntekijämäärä, liikevaihto, taseen loppusumma, mahdollinen konserni tai suuri asiakas). Määritä kunkin organisaation kohdalla: kuuluu lain piiriin, ei kuulu mutta saa todennäköisesti vaatimuksia asiakkaan kautta, tai ei kuulu lainkaan. Ohjelma tarkistaa vastaukset ja näyttää jokaisen organisaation kohdalla päätöksentekopuun vaiheet.

Lue lisää

Kyberturvallisuuslaista ei ole vielä artikkelia WebOkén tietopankissa; käytä virallisia lähteitä.

• Alankomaiden NCSC, Cyberbeveiligingswet (NIS2) (alankomaalainen lähde, hollanninkielinen): https://www.ncsc.nl/cyberbeveiligingswet-nis2
• Alankomaiden NCSC, Kuuluuko organisaationi kyberturvallisuuslain piiriin? (alankomaalainen lähde, hollanninkielinen): https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
• Alankomaiden NCSC, Huolehtimisvelvollisuus (alankomaalainen lähde, hollanninkielinen): https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
• Alankomaiden NCSC, Ilmoitusvelvollisuus (alankomaalainen lähde, hollanninkielinen): https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
• Alankomaiden NCSC, Kyberturvallisuuslaki ja toimittajat (alankomaalainen lähde, hollanninkielinen): https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
• Alankomaiden RDI, NIS2-itsearviointi (alankomaalainen lähde, hollanninkielinen): https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
• Alankomaiden kyberturvallisuuslain lakiteksti (alankomaalainen lähde, hollanninkielinen): https://wetten.overheid.nl/BWBR0052872/2026-08-15/0