Kyberturvallisuus­laki, NIS2 ja ohjelmisto­toimittajat: mitä kummankin osapuolen on tehtävä

01Missä NIS2 on syksyllä 2026

NIS2-direktiivi (avautuu ulkoiselle sivustolle), direktiivi (EU) 2022/2555, julkaistiin Euroopan unionin virallisessa lehdessä 27. joulukuuta 2022, ja se tuli voimaan 16. tammikuuta 2023. Jäsenvaltioiden oli annettava ja julkaistava kansalliset säädöksensä 17. lokakuuta 2024 mennessä ja sovellettava niitä 18. lokakuuta 2024 alkaen, jolloin ensimmäinen NIS-direktiivi kumottiin.

Suomessa direktiivi pantiin täytäntöön kyberturvallisuuslailla (avautuu ulkoiselle sivustolle) (124/2025). Eduskunta hyväksyi lain 25. maaliskuuta 2025, ja se tuli voimaan 8. huhtikuuta 2025. Lain piiriin kuuluvien toimijoiden ilmoitusten määräaika päättyi 8. toukokuuta 2025. Traficomin tiedote (avautuu ulkoiselle sivustolle) kertoo lain velvoitteista ja valvontamallista.

Koska NIS2 on direktiivi, organisaatiota sitoo sen kansallinen täytäntöönpanolaki. Täytäntöönpano on edennyt epätasaisesti: osa jäsenvaltioista sovelsi lakiaan ajallaan, osa vasta vuonna 2025 tai 2026, ja Euroopan komissio on aloittanut rikkomusmenettelyt määräajan laiminlyöneitä jäsenvaltioita vastaan. Rekisteröitymisvelvoitteet, ilmoituskanavat ja valvojat vaihtelevat siksi maittain. Tämä koskee erityisesti suomalaisia toimijoita, joilla on toimintaa myös muissa EU-maissa.

02Keskeiset ja tärkeät toimijat

NIS2 koskee julkisia ja yksityisiä toimijoita liitteen I aloilla (erittäin kriittiset alat: energia, liikenne, pankit, finanssimarkkinoiden infrastruktuurit, terveys, juomavesi, jätevesi, digitaalinen infrastruktuuri, tieto- ja viestintätekniikan palvelujen hallinta, julkishallinto ja avaruus) sekä liitteen II aloilla (muut kriittiset alat: posti- ja kuriiripalvelut, jätehuolto, kemikaalit, elintarvikkeet, valmistus, digitaaliset palveluntarjoajat ja tutkimus). Pääsääntöisesti se kattaa keskisuuret ja suuret organisaatiot. Osa kuuluu soveltamisalaan koosta riippumatta, kuten luottamuspalvelujen tarjoajat, DNS-palvelujen tarjoajat ja valtionhallinnon toimijat.

Direktiivin 3 artikla jakaa nämä organisaatiot kahteen ryhmään:

• Keskeiset toimijat: pääasiassa liitteen I alojen suuret organisaatiot sekä toimijat, jotka ovat keskeisiä koosta riippumatta, kuten hyväksytyt luottamuspalvelujen tarjoajat, aluetunnusrekisterit, DNS-palvelujen tarjoajat ja valtionhallinnon toimijat. Niitä valvotaan ennakoivasti, mihin voi kuulua auditointeja ja tarkastuksia paikan päällä.
• Tärkeät toimijat: muut liitteiden I ja II piiriin kuuluvat organisaatiot. Valvonta on jälkikäteistä: viranomainen toimii, kun on viitteitä siitä, ettei toimija noudata vaatimuksia.

Kummallakin ryhmällä on samat perusvelvoitteet: riskienhallintatoimenpiteet (21 artikla), poikkeamista ilmoittaminen (23 artikla) ja johdon vastuu (20 artikla). Ero on valvonnassa ja seuraamusmaksuissa. Direktiivin mukaan 21 tai 23 artiklan rikkomisesta on kansallisessa laissa voitava määrätä keskeisille toimijoille enimmäismäärältään vähintään 10 miljoonan euron tai 2 prosentin maailmanlaajuisesta vuosiliikevaihdosta suuruinen seuraamusmaksu ja tärkeille toimijoille vähintään 7 miljoonaa euroa tai 1,4 prosenttia, sen mukaan, kumpi on suurempi. Jäsenvaltiot päättävät, sovelletaanko seuraamusmaksuja julkishallinnon toimijoihin ja missä laajuudessa.

Kuuluuko ohjelmisto­toimittajasi itse lain piiriin?

Ohjelmistojen kirjoittaminen ei sellaisenaan ole NIS2-ala. Toimittaja voi silti kuulua soveltamisalaan suoraan. Liite I kattaa hallinnoitujen palvelujen tarjoajat, ja NIS2 määrittelee ne laajasti: toimijat, jotka asentavat, hallinnoivat, käyttävät tai ylläpitävät asiakkaidensa ICT-tuotteita, verkkoja, infrastruktuuria tai sovelluksia joko paikan päällä tai etänä. Keskisuuri tai suurempi toimittaja, joka käyttää tai ylläpitää sovelluksia asiakkailleen, voi siis kuulua NIS2:n piiriin omana itsenään, samoin pilvipalvelujen ja datakeskuspalvelujen tarjoajat. Näille tarjoajille täytäntöönpanoasetus (EU) 2024/2690 (avautuu ulkoiselle sivustolle) määrittelee tekniset vaatimukset yksityiskohtaisesti. Suomessa hallinnoitujen palvelujen tarjoajia valvoo Traficom.

Useimmat ohjelmistotoimittajat kohtaavat NIS2:n kuitenkin asiakkaidensa kautta: asiakkaat muuttavat oman toimitusketjuvelvoitteensa sopimusehdoiksi, kyselyiksi ja auditoinneiksi. Ohjelmistotuotteita koskee lisäksi kyber­kestävyys­säädös (avautuu ulkoiselle sivustolle), asetus (EU) 2024/2847: sen raportointivelvoitteita aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista sovelletaan 11. syyskuuta 2026 alkaen ja muita velvoitteita 11. joulukuuta 2027 alkaen.

0321 artiklan kymmenen vähimmäis­toimenpidettä

Direktiivin 21 artikla edellyttää asianmukaisia ja oikeasuhteisia teknisiä, operatiivisia ja organisatorisia toimenpiteitä, jotka perustuvat kaikki vaarat huomioon ottavaan lähestymistapaan. Niiden on vastattava alan viimeisintä kehitystä ja asiaankuuluvia eurooppalaisia ja kansainvälisiä standardeja, ja niiden on oltava oikeassa suhteessa toimijan riskialttiuteen, kokoon ja poikkeamien todennäköiseen vakavuuteen. Vähintään ne kattavat:

1. 01riskianalyysia ja tietojärjestelmien turvallisuutta koskevat toimintaperiaatteet;
2. 02poikkeamien käsittely;
3. 03toiminnan jatkuvuus, kuten varmuuskopioiden hallinta ja toipuminen häiriöistä, sekä kriisinhallinta;
4. 04toimitusketjun turvallisuus, mukaan lukien suhteet suoriin toimittajiin ja palveluntarjoajiin turvallisuuden näkökulmasta;
5. 05turvallisuus verkko- ja tietojärjestelmien hankinnassa, kehittämisessä ja ylläpidossa, mukaan lukien haavoittuvuuksien käsittely ja julkistaminen;
6. 06toimintaperiaatteet ja menettelyt, joilla arvioidaan näiden toimenpiteiden vaikuttavuutta;
7. 07kyberhygienian peruskäytännöt ja kyberturvallisuuskoulutus;
8. 08kryptografiaa ja tarvittaessa salausta koskevat toimintaperiaatteet ja menettelyt;
9. 09henkilöstöturvallisuus, pääsynhallintaperiaatteet ja omaisuudenhallinta;
10. 10monivaiheinen tai jatkuva todentaminen sekä suojattu puhe-, video- ja tekstiviestintä ja hätäviestintä tarvittaessa.

Kohdissa 4 ja 5 toimittajat tulevat mukaan. Direktiivin 21 artiklan 3 kohta edellyttää, että toimijat ottavat huomioon kunkin suoran toimittajan erityiset haavoittuvuudet, sen tuotteiden ja kyberturvallisuuskäytäntöjen yleisen laadun sekä sen turvallisen kehittämisen menettelyt. Asiakkaidesi odotetaan katsovan, miten rakennat ohjelmistoja, ei vain sitä, mitä toimitat.

04Johto hyväksyy, valvoo ja vastaa

Direktiivin 20 artiklan mukaan keskeisten ja tärkeiden toimijoiden hallintoelinten on hyväksyttävä kyberturvallisuuden riskienhallintatoimenpiteet ja valvottava niiden toteutusta, ja ne voidaan saattaa vastuuseen rikkomuksista. Hallintoelinten jäsenten on osallistuttava koulutukseen, ja toimijoita kannustetaan kouluttamaan myös työntekijöitään säännöllisesti. Julkisyhteisöihin sovelletaan edelleen kansallisia säännöksiä julkisten laitosten ja viranhaltijoiden vastuusta.

Tämä muuttaa keskustelua toimittajien kanssa. Hallitus, jonka on hyväksyttävä toimenpiteet, haluaa näyttöä, jota se pystyy seuraamaan: mitkä toimittajat tukevat mitäkin palvelua, mitkä riskit jäävät jäljelle ja mitä on oikeasti testattu.

05Poikkeamista ilmoittaminen: 24 tuntia, 72 tuntia, kuukausi

Direktiivin 23 artikla velvoittaa toimijat ilmoittamaan merkittävistä poikkeamista CSIRT-yksikölle tai toimivaltaiselle viranomaiselle. Poikkeama on merkittävä, jos se on aiheuttanut tai voi aiheuttaa toimijalle vakavan toiminnallisen häiriön tai taloudellisen menetyksen tai muille huomattavaa aineellista tai aineetonta vahinkoa. Ilmoittaminen etenee vaiheittain:

Tarvittaessa toimijoiden on myös ilmoitettava palvelujensa vastaanottajille ilman aiheetonta viivytystä merkittävistä poikkeamista, jotka todennäköisesti vaikuttavat palveluihin. Kansalliset lait tuovat omat lomakkeensa ja kanavansa; Suomessa tarkista oman toimialasi valvojan ja Kyberturvallisuuskeskuksen ohjeet.

Aika alkaa kulua, kun poikkeama tulee toimijan tietoon. Jos poikkeama alkaa toimittajan järjestelmästä, asiakas pystyy noudattamaan 24 tunnin määräaikaa vain, jos toimittaja havaitsee poikkeaman, tunnistaa sen ja välittää tiedon tunneissa. Havaitseminen, lokitus ja sovittu ilmoituskanava ovat siksi sopimusehtoja, eivät pelkkiä teknisiä yksityiskohtia.

06Mitä NIS2-asiakas kysyy ohjelmisto­toimittajaltaan

Käytännössä 21 artikla muuttuu teknisiksi toimenpiteiksi ja näytöksi, jotka toimittajan pitäisi pystyä esittämään käynnistämättä erillistä hanketta. Useimmin näemme nämä:

• Turvallinen kehityksen elinkaari. Uhkamallinnus merkittävissä muutoksissa, vertaiskatselmointi, automaattiset tietoturvatestit ja riippuvuuksien skannaus putkessa, allekirjoitetut koontiversiot ja ohjelmiston materiaaliluettelo (SBOM) jokaisesta julkaisusta.
• Haavoittuvuuksien käsittely ja julkistaminen. Julkaistu tapa ilmoittaa haavoittuvuuksista, vakavuuden mukaan sovitut vasteajat ja ilmoitus asiakkaalle, kun haavoittuvuus koskee sen ympäristöä.
• Toimittajan henkilöstön pääsynhallinta. Henkilökohtaiset tunnukset, monivaiheinen tunnistautuminen, vähimmät oikeudet, määräaikainen korotettu pääsy ja loki jokaisesta ylläpitotoimesta asiakkaan ympäristössä.
• Lokitus ja poikkeamanäyttö. Turvallisuuden kannalta olennaiset tapahtumat kirjataan luotettavin aikaleimoin, säilytetään sovitun ajan ja ovat vietävissä, jotta asiakas pystyy vastaamaan ennakkovaroituksen ja loppuraportin kysymyksiin.
• Yhteistyö poikkeamissa. Nimetty yhteyshenkilö ja kanava, ilmoitusaika selvästi asiakkaan 24 tunnin sisällä ja tuki perimmäisen syyn selvittämisessä.
• Jatkuvuus ja palautuminen. Varmuuskopiot, joiden toimivuus on todennettu palauttamalla, asiakkaan tavoitteisiin sovitetut palautumistavoitteet ja harjoiteltu menettely.
• Toimitusketjun dokumentaatio. Ajantasainen luettelo alihankkijoista ja hosting-sijainneista sekä tärkeimmistä kolmansien osapuolten komponenteista ja palveluista, joista ratkaisu riippuu.
• Irtautumissuunnitelma. Tietojen vienti käyttökelpoisissa muodoissa, dokumentaatio ja siirtotuki, jotta asiakas voi vaihtaa toimittajaa menettämättä palvelun hallintaa.

Mikään tästä ei ole uutta kypsille kehitystiimeille. NIS2 muuttaa sen, että asiakkaan on pystyttävä osoittamaan se. Sivumme luottamuksesta ja vaatimustenmukaisuudesta kuvaa, miten toimimme toimittajana, mukaan lukien ISO/IEC 27001 -sertifioidun tietoturvallisuuden hallintajärjestelmämme.

07Tarkistuslista sopimuksiin ja hankintoihin

1. 01Kytke toimittajat palveluihin. Kirjaa, mitkä toimittajat tukevat mitäkin lain piiriin kuuluvaa palvelua ja millä toimittajilla on pääsy järjestelmiisi tai tietoihisi.
2. 02Luokittele kriittisyyden mukaan. Kohdista raskaimmat vaatimukset toimittajiin, jotka käyttävät kriittisiä järjestelmiä tai voivat muuttaa niitä.
3. 03Kirjaa toimenpiteet sopimukseen. Turvallisuusvaatimukset, poikkeamailmoituksen aika ja kanava, haavoittuvuuksien käsittely, lokitus ja säilytys, auditointi- tai näyttöoikeudet, alihankintasäännöt ja sijainnit.
4. 04Pyydä näyttöä, älä vakuutuksia. Sertifikaatit soveltamisaloineen, testitulokset, SBOM ja viimeisimmän palautustestin päivämäärä.
5. 05Sovi irtautumisesta etukäteen. Tietojen palautus, siirtymätuki ja aika, jonka toimittaja pitää palvelun käynnissä.
6. 06Harjoittele yhdessä. Järjestä poikkeamaharjoitus kriittisten toimittajiesi kanssa, mukaan lukien 24 tunnin ennakkovaroitus.
7. 07Tarkista säännöllisesti. Toimittajat, palvelut ja uhat muuttuvat; kerran vuodessa päivitetty toimittajarekisteri on suurimman osan vuodesta vanhentunut.

08Kansallinen laki ratkaisee yksityiskohdat: Suomen malli

Rekisteröityminen, ilmoituskanavat, lomakkeet, toimivaltainen viranomainen ja mahdolliset lisävaatimukset tulevat kansallisesta laista. Suomessa kyberturvallisuuslain valvonta on jaettu toimialakohtaisille viranomaisille. Traficomin lisäksi valvojina toimii muita toimialaviranomaisia, muun muassa Energiavirasto, Turvallisuus- ja kemikaalivirasto Tukes sekä sosiaali- ja terveysalan viranomaiset. Traficomin Kyberturvallisuuskeskus (avautuu ulkoiselle sivustolle) on keskitetty yhteyspiste ja kansallinen CSIRT-yksikkö; CSIRT ei valvo toimijoita. Vuoden 2026 virastouudistus, jossa perustettiin Lupa- ja valvontavirasto ja Elinvoimakeskus, muuttaa osan valvojista, joten tarkista oman toimialasi nykyinen valvoja.

Pääsääntöisesti toimija kuuluu sen jäsenvaltion lainkäyttövaltaan, johon se on sijoittautunut. Direktiivin 26 artikla tekee poikkeuksia: yleisten sähköisten viestintäpalvelujen tarjoajat kuuluvat jokaisen maan lainkäyttövaltaan, jossa ne tarjoavat palveluja; pilvi-, datakeskus- ja hallinnoitujen palvelujen tarjoajat ja useat muut digitaaliset palveluntarjoajat päätoimipaikkansa maan lainkäyttövaltaan; ja julkishallinnon toimijat sen valtion lainkäyttövaltaan, joka on perustanut ne.

09Mitä seurata tulevina kuukausina

• Valvojasi ohjeet ja valvontakäytäntö Suomessa sekä niiden muiden maiden täytäntöönpano, joissa toimit.
• Komission 19. marraskuuta 2025 antama digitaalinen omnibus -ehdotus (avautuu ulkoiselle sivustolle), COM(2025) 837, jonka mukaan NIS2:n, tietosuoja-asetuksen, DORA:n ja muiden säädösten poikkeamailmoitukset kulkisivat ENISA:n ylläpitämän yhteisen ilmoituspisteen kautta. Lokakuussa 2026 ehdotus oli yhä Euroopan parlamentin käsittelyssä (avautuu ulkoiselle sivustolle)); kunnes se hyväksytään ja sitä sovelletaan, nykyiset kanavat ja määräajat ovat voimassa.
• Kriittisten ICT-toimitusketjujen koordinoidut EU-riskiarvioinnit 22 artiklan nojalla, jotka toimijoiden on otettava huomioon valitessaan toimittajia koskevia toimenpiteitä.
• Kyber­kestävyys­säädöksen aikataulu ohjelmistotuotteille, täysi soveltaminen 11. joulukuuta 2027 alkaen.

Finanssiyhteisöjen osalta finanssialan digitaalista häiriönsietokykyä koskeva asetus (DORA) korvaa NIS2:n säännöt tieto- ja viestintäteknisten riskien hallinnasta, poikkeamista ilmoittamisesta ja valvonnasta; ks. artikkelimme DORA:sta ja ICT-palvelujen kolmansien osapuolten tarjoajista. Komissio ylläpitää NIS2:n ja sen täytäntöönpanosäädösten yleiskatsausta NIS2-sivullaan (avautuu ulkoiselle sivustolle).