Sovelletaan
REMIT: Tukkumarkkinoiden eheyttä koskevat muutetut säännöt voimaan
Sisäpiiritietoalustat, algoritmisen kaupankäynnin ilmoitukset ja ACER:n vahvemmat valtuudet.
Energia & vesihuolto
Rakennamme energia- ja kaukolämpöyhtiöille, sähkön myyjille, uusiutuvan energian tuottajille ja vesihuoltolaitoksille integraatioita yhteisen tietomallin varaan, kulutus- ja mittausdatan alustoja, tietämystä kunnossapidon tiimeille sekä IT/OT-tietoturvaa, joka on suunniteltu NIS2-direktiivin ja kyberturvallisuuslain mukaan.
Energia- ja kaukolämpöyhtiöille, sähkön myyjille, uusiutuvan energian tuottajille ja vesihuoltolaitoksille, joiden on pidettävä palvelut käynnissä ja täytettävä kyberturvallisuuslain vaatimukset.

8. huhtikuuta 2025
Kyberturvallisuuslaki voimaan
Energia-alan ja vesihuollon toimijoille riskienhallinta- ja ilmoitusvelvoitteita; toimijoiden ilmoitusten määräaika oli 8. toukokuuta 2025.
LähdeKyberturvallisuuslaki 124/2025 (avautuu ulkoiselle sivustolle)
17. heinäkuuta 2026
Kriittiset toimijat tunnistetaan
Jäsenvaltiot nimeävät kriittiset toimijat energia-alalla, juomavesihuollossa ja muilla aloilla, ja ne arvioivat riskit ja toteuttavat häiriönsietotoimet.
LähdeDirektiivi (EU) 2022/2557 (avautuu ulkoiselle sivustolle)
2. joulukuuta 2027
Tekoälysäädös kriittiselle infrastruktuurille
Tekoäly, jota käytetään turvakomponenttina veden, kaasun, lämmön tai sähkön toimituksessa, on suuririskistä; soveltamispäivä vuonna 2026 muutetun säädöksen mukaan.
Lämpöpumput, sähkökattilat, lämpövarastot, aurinko- ja tuulivoima muuttavat tapaa, jolla lämpöä ja sähköä tuotetaan. Vuoden 2024 sähkömarkkinauudistus tuo joustotarpeiden kansalliset arviot ja antaa asiakkaille oikeuden sekä kiinteähintaisiin että dynaamisesti hinnoiteltuihin sopimuksiin.
Sähkön myyjät, aggregaattorit, varastojen omistajat ja tuottajat voivat tarjota joustoa markkinoille. Se edellyttää luotettavaa mittausdataa, ennusteita ja sujuvaa tiedonvaihtoa markkinaosapuolten välillä.
NIS2-direktiivi luokittelee energian erittäin kriittiseksi toimialaksi tuottajista ja myyjistä kaukolämpöön, ja myös juomavesi kuuluu sen piiriin. Suomessa velvoitteista säädetään kyberturvallisuuslaissa, ja IEC 62443 antaa insinööreille yhteisen sanaston vyöhykkeille ja yhteyskanaville.
Suuri osa kaukolämpö- ja vesijohtoverkostoista ja laitoksista on rakennettu vuosikymmeniä sitten, ja niiden erityispiirteet tuntevat asiantuntijat jäävät eläkkeelle. Investointipäätökset tarvitsevat kuntotiedot, kunnossapitohistorian ja tämän osaamisen yhteen paikkaan, seuraavan sukupolven haettavaksi.
Paikkatieto, SCADA, omaisuudenhallinta ja laskutus kuvaavat verkostot ja laitokset kukin omalla tavallaan.
Integraatiot yhteisen tietomallin ja tapahtumaväylän varaan, jotta suunnittelu, käyttö ja laskutus jakavat saman mallin yöllisten tiedostosiirtojen sijaan. Sähködatassa käytämme IEC:n CIM-mallia (IEC 61970 ja IEC 61968).
Kulutushuiput yllättävät, eikä kukaan pysty sanomaan, paljonko lämpöä tai vettä huomenna tarvitaan.
Datatuote, joka yhdistää mittausdatan, säätiedot ja tuotantotiedot kulutusennusteiksi alueittain. Jokaiselle ennusteelle kerrotaan tarkkuus ja oletukset, joihin se perustuu.
Etäluettavien mittareiden data saapuu määrinä ja käyttöoikeussääntöjen alaisena, joihin vanhoja järjestelmiä ei ole suunniteltu.
Mittausdatan alusta, joka validoi, tallentaa ja jakaa aikasarjadataa. Suostumusten hallinta, roolipohjaiset käyttöoikeudet ja lokitus palvelevat myyjiä, palveluntarjoajia, asiakkaita ja yhtiötä itseään tietosuoja-asetuksen ja kansallisten datansaantisääntöjen mukaisesti.
Jokainen uusi datavirta OT:stä IT:hen laajentaa hyökkäyspintaa.
IT/OT-arkkitehtuurit, joissa vyöhykkeet ja yhteyskanavat noudattavat IEC 62443 -standardia, yksisuuntaiset datapolut siellä, missä riski sitä vaatii, keskitetty identiteetinhallinta ja lokitus, jonka varassa kyberturvallisuuslain poikkeamailmoitukset tehdään.
Kunnossapidon tiimit etsivät piirustuksia, ohjeita ja työhistoriaa useista järjestelmistä.
Tietoavustaja kunnossapidolle ja valvomolle: ohjeet, laitetiedot, tarkastusraportit ja aiemmat työtilaukset, aina asiakirjaan ja versioon viitaten. Se antaa tietoa; se ei koskaan anna ohjauskomentoja.
Asiakaspalvelu ruuhkautuu hinnanmuutosten, muuttosesongin ja laskutuskysymysten aikaan.
Asiakaspalvelun tuki vastaa lasku-, sopimus- ja muuttokysymyksiin lähdejärjestelmien tiedoilla ja siirtää kaiken merkittävän henkilöstölle. Lisäksi asiakirjojen automaattinen käsittely tarkistaa liittymishakemukset ja asentajien todistukset ennen kuin ne päätyvät asiantuntijalle.
Ohjaustasot säilyvät ennallaan. Yhteiseen tietomalliin ja tapahtumiin perustuva dataintegraatiokerros tuo operatiivisen datan saataville vyöhykerajan yläpuolelle, jossa analytiikka-, tietämys- ja raportointipalvelut käyttävät sitä.
Operatiivinen data ylittää vyöhykerajan kerran, integraatiokerroksen kautta, ja jokainen sen yläpuolella oleva palvelu käyttää sitä uudelleen.
Kaavio näyttää viisi tasoa ylhäältä alas: taso 4 on yritystaso ERP-, omaisuudenhallinta-, asiakas- ja laskutusjärjestelmineen; taso 3 käyttötoiminta käytönvalvonnan, työnhallinnan ja mittausten keruun kanssa; taso 2 valvova ohjaus SCADA- ja laitosautomaatiojärjestelmineen; taso 1 ohjaus ja suojaus ala-asemineen, logiikoineen ja releineen; ja taso 0 prosessi eli tuotantolaitokset, pumppaamot, putkistot ja varastot.
IEC 62443 -standardiin perustuva vyöhykeraja erottaa tason 4 alemmista tasoista.
Tasot 1, 2, 3 ja 4 toimittavat dataa dataintegraatiokerrokseen, joka perustuu yhteiseen tietomalliin ja tapahtumiin. Kerros syöttää tuotanto-, mittaus- ja laitedatan alustaa, joka tukee kulutus-, kuormitus- ja kuntoanalytiikkaa, kunnossapidon ja valvomon tietoavustajaa sekä viranomaisraportointia ja markkinadatan vaihtoa.
Analytiikka ja avustajat lukevat dataa. Ohjaukset, asetusarvot ja suojausasetukset pysyvät automaatiojärjestelmässä ja vuorossa olevalla operaattorilla.
Segmentointi noudattaa IEC 62443 -standardia. Yhteyskanavat on dokumentoitu, ja data siirretään ohjausvyöhykkeeltä ulos yksisuuntaisesti siellä, missä riski sitä vaatii.
Yhteinen tietomalli on paikkatiedon, käytön, suunnittelun ja laskutuksen yhteinen sanasto, joten muutos kirjataan vain kerran.
Kulutus-, kuormitus- ja kuntomallit raportoivat virheensä. Kun data ei tue ennustetta, sanomme sen.
Kyberturvallisuus-, markkina- ja häiriönsietosäännöt tulevat tiheään tahtiin. Verkkosäännöt ja kansallinen täytäntöönpano tuovat omia päivämääriään.
Sovelletaan
Sisäpiiritietoalustat, algoritmisen kaupankäynnin ilmoitukset ja ACER:n vahvemmat valtuudet.
Sovelletaan
Riskinarviointikierrokset sekä vaikutuksiltaan merkittävien ja kriittisten toimijoiden tunnistaminen etenevät vaiheittain.
Sovelletaan
Joustotarpeiden arviot, joustavat liittymissopimukset, energian jakaminen ja asiakkaiden sopimusvalinnat.
Sovelletaan
Sähkö, kaasu, vety, öljy ja kaukolämpö kuuluvat piiriin. Suomessa kyberturvallisuuslaki tuli voimaan 8. huhtikuuta 2025.
Sovelletaan
Sovelletaan
Markkinoille pääsy pienemmille joustontarjoajille ja tiiviimpi koordinointi verkonhaltijoiden välillä. Seuraava vaihe on komission hyväksyntä.
Sovelletaan
Jäsenvaltiot kuvaavat, miten niiden menettelyt vastaavat EU:n viitemallia.
Sovelletaan
Ehdotuksia infrastruktuurin suunnittelusta ja luvituksesta sekä ohjeita oikea-aikaisista liittymistä.
Sovelletaan
Tunnistetut toimijat tekevät sen jälkeen riskiarviot ja toteuttavat häiriönsietotoimet.
Sovelletaan
Yhteiset säännöt uusiutuvan kaasun, maakaasun ja vedyn sisämarkkinoille.
Tilanne 12. lokakuuta 2026
Tulossa
Mukaan lukien tekoäly, jota käytetään turvakomponenttina sähkön, kaasun tai lämmön toimituksessa, vuonna 2026 muutetun säädöksen mukaisesti.
Säädökset, jotka useimmin muovaavat energia- ja vesihuoltoyhtiöiden data-, integraatio- ja tekoälytyötä, ja mitä kukin tarkoittaa toimitushankkeelle.
Tämä katsaus tukee suunnittelukeskusteluja. Se ei ole oikeudellinen eikä sääntelyä koskeva neuvo, ja kansallinen täytäntöönpano ja verkkosäännöt tuovat omia vaatimuksiaan. EU:n päivämäärät tarkistettu 12. lokakuuta 2026 ja Suomen tiedot 5. marraskuuta 2026.
Energia on erittäin kriittinen toimiala. Sähköalalla piiriin kuuluvat muun muassa myyjät, tuottajat, aggregointia, kysyntäjoustoa tai varastointia tarjoavat markkinaosapuolet ja latauspisteiden ylläpitäjät. Myös kaukolämpö, öljy, kaasu, vety ja juomavesi kuuluvat piiriin. Velvoitteisiin kuuluvat riskienhallinta, poikkeamailmoitukset ja toimitusketjun turvallisuus. Suomessa niistä säädetään kyberturvallisuuslaissa (124/2025), ja valvonta on jaettu toimialaviranomaisille, joihin kuuluu Energiavirasto.
OT-tietoturva, toimittajien varmistaminen ja poikkeamaprosessit tarvitsevat näyttöä, eivät vain toimintaperiaatteita. Suunnittelemme alustat ja integraatiot niin, että pääsynhallinta, lokitus ja poikkeamadata ovat valmiina alusta asti.
LähdeDirektiivi (EU) 2022/2555, EUR-Lex (avautuu ulkoiselle sivustolle)
Delegoitu asetus (EU) 2024/1366 asettaa alakohtaiset säännöt rajat ylittävien sähkönsiirtojen kyberturvallisuudelle. Se tuo toistuvat kyberturvallisuusriskien arvioinnit unionin, alueen ja jäsenvaltion tasolla, tunnistaa vaikutuksiltaan merkittävät ja kriittiset toimijat ja velvoittaa ne soveltamaan perus- ja edistyneitä kyberturvallisuuden hallintakeinoja, myös toimitusketjussaan.
Jos tuotantosi tai toimintasi on tunnistettu vaikutuksiltaan merkittäväksi tai kriittiseksi, hankkimasi tuotteet ja palvelut tulevat osaksi riskiarviotasi. Dokumentoimme arkkitehtuurin, osat ja hallintakeinot niin, että ne sopivat siihen.
LähdeDelegoitu asetus (EU) 2024/1366, EUR-Lex (avautuu ulkoiselle sivustolle)
Asetus (EU) 2024/1747 ja direktiivi (EU) 2024/1711 muuttavat sähkömarkkinoiden sääntöjä. Joustotarpeet arvioidaan kansallisesti. Asiakkaat saavat oikeuden energian jakamiseen sekä kiinteähintaisiin että dynaamisesti hinnoiteltuihin sopimuksiin, mikä muuttaa sähkön myyjien tuotteita ja laskutusta.
Jousto, sopimusvaihtoehdot ja dynaaminen hinnoittelu ovat datatuotteita. Rakennamme niiden taustalla olevat ennuste-, laskutus- ja tiedonvaihtovirrat.
LähdeAsetus (EU) 2024/1747, EUR-Lex (avautuu ulkoiselle sivustolle)
Sähködirektiivi asettaa toiminnalliset vaatimukset älykkäille mittausjärjestelmille ja edellyttää tehokasta ja turvallista tiedonhallintaa sekä syrjimätöntä pääsyä mittaus- ja kulutustietoihin. Täytäntöönpanoasetus (EU) 2023/1162 lisää yhteentoimivuusvaatimukset ja menettelyt tälle pääsylle, ja jäsenvaltiot kuvaavat ne kansallisissa käytännöissään.
Mittausdatan alustat tarvitsevat suostumusten hallinnan, standardoidut rajapinnat ja käyttölokit. Suunnittelemme ne kansallisen datansaantimenettelyn mukaan.
LähdeDirektiivi (EU) 2019/944, EUR-Lex (avautuu ulkoiselle sivustolle)
Energian tukkumarkkinoiden eheyttä ja läpinäkyvyyttä koskeva asetus kieltää markkinoiden manipuloinnin ja sisäpiirikaupat ja velvoittaa markkinaosapuolet julkistamaan sisäpiiritiedot ja ilmoittamaan liiketoimet ACER:lle. Vuoden 2024 muutos edellyttää julkistamista sisäpiiritietoalustojen kautta, tuo ilmoitusvelvollisuuden algoritmiselle kaupankäynnille ja vahvistaa ACER:n tutkintavaltuuksia.
Operatiivisten järjestelmien tiedot tuotantolaitosten käytettävyydestä ja kapasiteetista voivat olla sisäpiiritietoa. Suunnittelemme datavirrat niin, että julkistaminen ja raportointi ovat oikea-aikaisia ja jäljitettäviä.
LähdeAsetus (EU) N:o 1227/2011, EUR-Lex (avautuu ulkoiselle sivustolle)
CER-direktiivi kattaa kriittisten toimijoiden fyysisen ja organisatorisen häiriönsietokyvyn, ja energia ja juomavesi kuuluvat sen toimialoihin. Jäsenvaltiot tunnistavat kriittiset toimijat 17. heinäkuuta 2026 mennessä, minkä jälkeen toimijat arvioivat riskit ja toteuttavat teknisiä, turvallisuuteen liittyviä ja organisatorisia toimenpiteitä.
Jatkuvuussuunnittelu kattaa sekä kyber- että fyysiset tapahtumat. Rakentamillamme järjestelmillä on dokumentoidut riippuvuudet ja testatut palautumispolut.
LähdeDirektiivi (EU) 2022/2557, EUR-Lex (avautuu ulkoiselle sivustolle)
Tekoälyjärjestelmät, jotka on tarkoitettu turvakomponenteiksi veden, kaasun, lämmön tai sähkön toimituksen hallintaan ja käyttöön, ovat liitteen III mukaan suuririskisiä. Vuonna 2026 muutetun säädöksen mukaan velvoitteita sovelletaan 2. joulukuuta 2027 alkaen. Suomessa suuririskisiä järjestelmiä valvovat lain 1377/2025 mukaan toimialaviranomaiset, esimerkiksi Energiavirasto.
Luokittelemme jokaisen käyttötapauksen varhain. Ihmisille tietoa antavat avustajat ja analytiikka suunnitellaan ja dokumentoidaan eri tavalla kuin järjestelmät, jotka ohjaavat laitoksia tai verkostoja. Jälkimmäiset jäävät soveltamisalan ulkopuolelle, ellei suuririskisten järjestelmien vaatimuksia ole suunniteltu mukaan.
LähdeAsetus (EU) 2024/1689, EUR-Lex (avautuu ulkoiselle sivustolle)
Kaukolämpöyhtiön tai vesihuoltolaitoksen asentajat kysyvät omalla kielellään ja saavat ohjeen, laitehistorian ja tarvittavat piirustukset lähteineen. Ohjaukset pysyvät valvomon vastuulla.
Kaukolämpö- ja vesiliittymien hakemukset, asemapiirrokset ja asentajien todistukset luetaan ja niiden täydellisyys tarkistetaan; asiantuntija käy läpi jokaisen poikkeuksen.
Sähkön myyjän asiakkaat saavat vastaukset laskuistaan, sopimuksistaan ja muutoistaan lähdejärjestelmien tiedoilla; henkilöstö hoitaa reklamaatiot ja maksuvaikeudet.
Vanha asiakastietojärjestelmä kääritään dokumentoitujen rajapintojen taakse ja korvataan prosessi kerrallaan, kun kansalliset markkinaviestit kulkevat keskeytyksettä.
Tuuli- tai aurinkovoimalan ja lämpölaitoksen tarkastus- ja lämpökuvausraportit luetaan, yhdistetään laitteeseen ja ehdotetaan huoltoilmoituksiksi asiantuntijan vahvistettaviksi.
SAP S/4HANA Utilities mittauksesta laskutukseen ja maksuun sähkön myyjille, kaukolämpö- ja vesihuoltoyhtiöille sekä SAP:n omaisuudenhallinta laitoksille ja verkostoille.
Liittymäpyynnöt, asiakaspalvelu ja kenttähuolto energiayhtiöille ja energiapalveluyrityksille, integroituina laskutukseen ja asiakastietojärjestelmään.
Projektit, kenttähuolto, varastot ja laskutus asentajille, energiapalveluyrityksille ja pienemmille tuottajille.
Kumppanuustasot ovat FromNinen omia. Tuotenimet ovat omistajiensa tavaramerkkejä.
Suomi
Suomessa energia-alan ja vesihuollon toimijat kuuluvat kyberturvallisuuslain (124/2025) piiriin. Valvonta on jaettu toimialaviranomaisille, joihin kuuluu Energiavirasto, ja keskitettynä yhteyspisteenä toimii Traficomin Kyberturvallisuuskeskus. Tekoälysäädöksen suuririskisiä järjestelmiä valvovat lain 1377/2025 mukaan toimialaviranomaiset, esimerkiksi Energiavirasto.
Sähkömarkkinauudistus, REMIT ja NIS2-direktiivi ovat yhteisiä koko EU:ssa, mutta mittausdatan saatavuus, markkinaviestien muodot ja kansalliset kyberturvallisuuslait vaihtelevat maittain. Rakennamme integraatiot ja data-alustat eurooppalaisten standardien varaan ja pidämme kansalliset markkinaprosessit omissa sovittimissaan, jotta useassa maassa toimiva yhtiö säilyttää yhden arkkitehtuurin.
Ei. Lähtökohtaisesti analytiikka ja avustajat vain lukevat operatiivista dataa. Ohjaukset, asetusarvot ja suojausasetukset pysyvät automaatiojärjestelmässä ja niistä vastaavilla operaattoreilla muutostenhallintasi mukaisesti.
Sähködatassa käytämme IEC 61970- ja IEC 61968 -standardeja eli CIM-mallia ja markkinaviestinnässä IEC 62325 -standardia. Laitoksissa käytämme OPC UA:ta ja vyöhykkeissä IEC 62443:a. Järjestelmät, joilla on omat formaattinsa, kohdistetaan yhteiseen tietomalliin integraatiokerroksessa.
Aikasarjadata voi paljastaa, miten ihmiset elävät, joten käsittelemme sitä tietosuoja-asetuksen mukaisena henkilötietona: käyttötarkoitussidonnaisuus, roolipohjaiset käyttöoikeudet, suostumus silloin, kun kansalliset säännöt sitä edellyttävät, pseudonymisointi analyysia varten ja määritellyt säilytysajat. Myyjien ja palveluntarjoajien pääsy noudattaa kansallista datansaantimenettelyä.
Joskus. Se riippuu mittausten kattavuudesta, historiasta ja siitä, miten laitoksia ja verkostoja käytetään. Testaamme ensin, raportoimme mitatun tarkkuuden ja epävarmuuden ja suosittelemme sääntöpohjaisia ratkaisuja silloin, kun malli ei olisi luotettava.
Tietoturvallisuuden hallintajärjestelmämme on ISO/IEC 27001 -sertifioitu. Sovimme tietoturvavaatimuksista ja poikkeamailmoituksista sopimuksessa, käytämme ympäristöissäsi vähimpien oikeuksien periaatetta ja lokitettua pääsyä ja dokumentoimme osamme niin, että ne sopivat toimitusketjusi riskiarvioon.
Ei. Integroimme lähtökohtaisesti ja uudistamme vaiheittain: ensin rajapinnat nykyisen järjestelmän ympärille, sitten prosessi kerrallaan siellä, missä se kannattaa. Täsmäytys jatkuu, kunnes vanha polku poistetaan käytöstä.
Haluatko yhdistää kulutusdatan, valmistella mittausdatan uusiin saatavuussääntöihin tai suojata IT/OT-datavirrat? Aloitetaan yhdestä laitoksesta, prosessista tai datavirrasta.