Kyberturvallisuus: Suomi (2026)
Suomessa on voimassa yleinen kyberturvallisuusjärjestelmä: EU:n NIS2-direktiivin täytäntöönpanosta annettu kyberturvallisuuslaki (124/2025) tuli voimaan 8. huhtikuuta 2025, ja siinä kootaan ensimmäistä kertaa yhteen eri aloilla aiemmin hajallaan olleet velvoitteet, jotka olivat aiemmin hajallaan eri alakohtaisissa laeissa. Valvonta on jaettu Traficomin/NCSC-FI:n (yhtenäinen yhteyspiste) ja erikoistuneiden sääntelyviranomaisten (Energiavirasto, Tukes, Valvira, Fimea) kesken, ja GDPR:n mukaiset henkilötietoturvaloukkausten ilmoitukset käsitellään tietosuojavaltuutetun kautta.
Peruskehys
Kyberturvallisuuslaki (124/2025), jolla saatetaan voimaan EU:n NIS2-direktiivi ja jonka valvonnasta vastaa Traficomin alainen Suomen kansallinen kyberturvallisuuskeskus (NCSC-FI) yhdessä alakohtaisten sääntelyviranomaisten kanssa; jota täydentävät GDPR, tietohallintolaki ja sähköisten viestintäpalvelujen laki.
Keskeiset kohdat
NIS2-direktiivin saattaminen osaksi kansallista lainsäädäntöä on tullut voimaan
Kyberturvallisuuslaki 124/2025 tuli voimaan 8. huhtikuuta 2025, ja sillä saatettiin voimaan direktiivi (EU) 2022/2555 (NIS2) osana Suomen ensimmäistä kyberturvallisuutta koskevaa horisontaalista lakia, joka kattaa NIS2-sektoreiden keskeiset ja merkittävät toimijat (lukuun ottamatta pankkitoimintaa, rahoitusmarkkinainfrastruktuuria ja julkishallintoa, joita säännellään erillisillä säännöksillä).
Toimivaltaiset viranomaiset
Traficomin NCSC-FI toimii kansallisena yhteyspisteenä ja CSIRT-yksikkönä sekä valvoo suoraan muun muassa digitaalisen infrastruktuurin, hallinnoitujen palvelujen tarjoajien, posti- ja kuriiripalvelujen, avaruusalan, tutkimuksen sekä liikennevälineiden valmistuksen aloja; Energiavirasto, Tukes, Valvira ja Fimea toimivat alakohtaisina valvontaviranomaisina energia-, teollisuus-, terveys- ja lääkealalla.
Tapahtumien ilmoittamisvelvollisuudet (NIS2)
Soveltamisalaan kuuluvien tahojen on toimitettava toimivaltaiselle viranomaiselle kolmivaiheinen raportti: ennakkovaroitus 24 tunnin kuluessa siitä, kun merkittävästä tapahtumasta on saatu tieto, virallinen tapahtumailmoitus 72 tunnin kuluessa sekä loppuraportti yhden kuukauden kuluessa (tai pitkäkestoisten tapahtumien osalta yhden kuukauden kuluessa tapahtuman ratkaisemisesta).
Riskienhallinta ja rekisteröintivelvollisuudet
Keskeisten ja tärkeiden toimijoiden oli rekisteröidyttävä asianomaiselle valvontaviranomaiselle 8. toukokuuta 2025 mennessä ja otettava käyttöön ajantasainen kyberturvallisuuden riskienhallinnan toimintamalli 8. heinäkuuta 2025 mennessä. Mallin on katettava hallinto, toimitusketjun turvallisuus, poikkeustilanteiden käsittely, liiketoiminnan jatkuvuus sekä johdon vastuu NIS2-direktiivin 21 artiklan mukaisesti.
Pakotteet ja täytäntöönpano
Valvontaviranomaisilla on NIS2-asetuksen mukaiset valtuudet, joihin kuuluvat korjaavat määräykset, paikan päällä tehtävät tarkastukset ja hallinnolliset sakot; NIS2-asetuksen mukaan keskeisille toimijoille määrättävät enimmäisrangaistukset voivat olla jopa 10 miljoonaa euroa tai 2 % maailmanlaajuisesta vuosiliikevaihdosta, ja suomalaisessa selityksessä korostetaan, että riskinä on jopa 7 miljoonan euron sakko sekä toiminnalliset ja maineeseen kohdistuvat vaikutukset.
Rinnakkaiset ja alakohtaiset velvoitteet
GDPR:n mukaiset henkilötietoturvaloukkaukset on ilmoitettava tietosuojavaltuutetun toimistolle 72 tunnin kuluessa; televiestintäoperaattorit ilmoittavat lisäksi merkittävistä tietoturvapoikkeamista Traficomille sähköisten viestintäpalvelujen lainsäädännön mukaisesti; rahoitusala noudattaa EU:n DORA-asetusta kyberturvallisuuslain sijaan.
Tämä sivu on käännös, joka on tarkoitettu helpottamaan lukemista; englanninkielinen versio on virallinen, eikä tämä ole oikeudellista neuvontaa.