Palvelut, hinnoittelumallit ja 2026 sääntely
Kyberturvallisuuslaki 124/2025 ja NIS 2: koskeeko laki pk-yritystäsi ja mitä se vaatii
Kenelle kyberturvallisuuslaki (124/2025) kuuluu, mitä riskienhallinta, johdon vastuu, toimijaluetteloon ilmoittautuminen ja poikkeamailmoitukset tarkoittavat ja mitä seuraamusmaksuja laki tuntee.
Kyberturvallisuuslaki (124/2025) tuli voimaan 8.4.2025, ja sillä pannaan Suomessa täytäntöön EU:n NIS 2 -direktiivi (EU) 2022/2555. Laki koskee pääsääntöisesti yrityksiä, jotka toimivat lain liitteissä I tai II luetelluilla toimialoilla ja ovat vähintään keskisuuria komission pk-yrityssuosituksen 2003/361/EY mukaan. Osa toimijoista kuuluu lain piiriin koosta riippumatta. Lain piiriin kuuluvan on hallittava kyberriskejä, laadittava riskienhallinnan toimintamalli, ilmoittauduttava valvovan viranomaisen toimijaluetteloon ja ilmoitettava merkittävistä poikkeamista 24 tunnin, 72 tunnin ja kuukauden aikarajoissa. Useimmat pienyritykset eivät kuulu lain piiriin, mutta lain vaatimukset ulottuvat niihin usein asiakkaiden sopimusten kautta. Opas kuuluu kokonaisuuteen hallittujen kyberturvallisuuspalvelujen hinta.
Kuuluuko yrityksesi lain piiriin: kaksi ehtoa
Lain 3 §:n pääsäännön mukaan lakia sovelletaan toimijaan, joka
- harjoittaa liitteessä I tai II tarkoitettua toimintaa, ja
- täyttää tai ylittää keskisuuren yrityksen edellytykset ja tarjoaa palvelujaan EU:ssa.
Komission suosituksen mukaan yritys on pieni, jos sillä on alle 50 työntekijää ja vuosiliikevaihto tai taseen loppusumma on enintään 10 miljoonaa euroa. Yritys on siis vähintään keskisuuri, jos sillä on vähintään 50 työntekijää tai jos sekä liikevaihto että taseen loppusumma ylittävät 10 miljoonaa euroa. Henkilöstö lasketaan vuosityöyksikköinä, ja luvut otetaan viimeiseltä päättyneeltä tilikaudelta; asema muuttuu vasta, kun raja ylittyy tai alittuu kahtena peräkkäisenä tilikautena (suosituksen liitteen 4 ja 5 artikla). Konserniin kuuluvan yrityksen luvuissa on huomioitava kumppani- ja sidosyritykset: sidosyritysten (esimerkiksi äänienemmistö tai määräysvalta) luvut lisätään kokonaan ja omistusyhteysyritysten (yleensä 25–50 % omistus) luvut omistusosuuden mukaisesti (liitteen 3 ja 6 artikla). Lain 3 §:n mukaan suosituksen liitteen 3 artiklan 4 kohtaa, jonka mukaan vähintään 25-prosenttisesti julkisyhteisön omistama yritys ei ole pk-yritys, ei sovelleta. Tarkista laskenta suosituksesta tai asiantuntijalta.
Liitteiden toimialoja ovat esimerkiksi:
| Liite I (kriittisemmät alat) | Liite II (muut kriittiset alat) |
|---|---|
| Ilma-, raide-, vesi- ja tieliikenne | Posti- ja kuriiripalvelut |
| Digitaalinen infrastruktuuri (pilvi-, datakeskus-, DNS-palvelut ym.) | Verkon markkinapaikat, hakukoneet, verkkoyhteisöalustat |
| TVT-palvelujen hallinta: hallintapalvelun ja tietoturvapalvelun tarjoajat | Moottoriajoneuvojen ja muiden kulkuneuvojen valmistus |
| Sähkö, kaukolämpö, kaasu, öljy, vety | Kemikaalien valmistus ja jakelu |
| Terveydenhuolto ja lääkevalmistus | Elintarvikkeiden tukkukauppa, teollinen tuotanto ja jalostus |
| Juomavesi ja jätevesi | Jätehuolto, lääkinnällisten laitteiden valmistus, tutkimusorganisaatiot |
Taulukko on tiivistelmä; lakitekstin liitteissä on tarkat määritelmät.
Koosta riippumatta lain piiriin kuuluvat muun muassa yleisten viestintäverkkojen ja -palvelujen tarjoajat, luottamuspalvelujen tarjoajat, aluetunnusrekisterin ylläpitäjät, DNS-palveluntarjoajat ja kriittisen infrastruktuurin laissa (310/2025) kriittisiksi määritetyt toimijat. Lisäksi pienempikin toimija voi kuulua piiriin, jos sen palvelu on yhteiskunnan kannalta erityisen merkittävä (3 § 3 mom.).
Huomio: palveluntarjoajasi voi itse olla lain piirissä
Liitteen I kohta 7 mainitsee hallintapalvelun tarjoajat ja tietoturvapalvelun tarjoajat. Vähintään keskisuuri MSSP- tai MDR-yritys on siis itse lain velvoittama toimija, jota valvoo Liikenne- ja viestintävirasto Traficom. Ostajalle tämä on hyvä kysymys tarjousvaiheessa: palveluntarjoaja, joka on itse joutunut laatimaan riskienhallinnan toimintamallin ja ilmoitusprosessit, pystyy usein tukemaan asiakkaitaan paremmin. Se ei kuitenkaan siirrä asiakkaan omia velvollisuuksia palveluntarjoajalle.
Mitä laki vaatii lain piiriin kuuluvalta
- Riskienhallinta (7–9 §): riskit on tunnistettava, arvioitava ja hallittava, ja käytössä on oltava kirjallinen riskienhallinnan toimintamalli. Lain 9 § luettelee 12 osa-aluetta, muun muassa poikkeamien havainnoinnin ja käsittelyn, varmuuskopioinnin ja jatkuvuuden, pääsynhallinnan, salauksen, henkilöstön koulutuksen sekä toimitusketjun ja palveluntarjoajien turvallisuuden.
- Johdon vastuu (10 §): johto – hallitus, toimitusjohtaja ja vastaavat – vastaa riskienhallinnan järjestämisestä, hyväksyy toimintamallin ja valvoo sen toteuttamista. Johdolla on oltava riittävä perehtyneisyys kyberriskien hallintaan.
- Poikkeamailmoitukset (11–14 §): ensi-ilmoitus 24 tunnissa, jatkoilmoitus 72 tunnissa ja loppuraportti kuukauden kuluessa; lisäksi ilmoitus palvelujen vastaanottajille, jos poikkeama todennäköisesti haittaa palvelua. Katso poikkeamailmoitukset 24 ja 72 tunnissa.
- Toimijaluettelo (41 §): toimijan on ilmoitettava valvovalle viranomaiselle muun muassa nimi, yhteystiedot, IP-osoitealueet, toimiala ja tieto siitä, onko se keskeinen toimija. Siirtymäsäännöksen (47 §) mukaan ilmoitus tehdään kuukauden kuluessa siitä, kun toimijan kriteerit täyttyvät, ja toimintamalli on laadittava kolmen kuukauden kuluessa. Muutoksista ilmoitetaan pääosin kahden viikon kuluessa.
Kuka valvoo
Valvova viranomainen riippuu toimialasta (26 §). Traficom valvoo muun muassa liikennettä, digitaalista infrastruktuuria, TVT-palvelujen hallintaa, postia ja digitaalisia palveluja. Muita valvojia ovat esimerkiksi Energiavirasto, Turvallisuus- ja kemikaalivirasto (Tukes), Lupa- ja valvontavirasto, elinvoimakeskus, Ruokavirasto ja Lääkealan turvallisuus- ja kehittämiskeskus (Fimea); ydinlaitosten osalta valvojaksi tulee Säteilyturvakeskus 1.1.2027 alkaen (laki 785/2026). Traficomin Kyberturvallisuuskeskus toimii keskitettynä yhteyspisteenä ja CSIRT-yksikkönä. Traficomin valvomien alojen toimijat ilmoittautuvat toimijaluetteloon Traficomin sähköisessä asiointipalvelussa Suomi.fi-tunnistautumisella ja Suomi.fi-valtuudella "Kyberturvallisuuteen liittyvien toimijatietojen ilmoittaminen"; muiden alojen toimijat oman valvojansa ohjeiden mukaan.
Seuraamukset
Valvova viranomainen voi antaa valvontapäätöksen ja varoituksen, asettaa uhkasakon ja määräajaksi kieltää johtoon kuuluvaa toimimasta tehtävässään (31–34 §). Hallinnollinen seuraamusmaksu voidaan määrätä, jos toimija tahallaan tai törkeästä huolimattomuudesta laiminlyö riskienhallinnan, ilmoitukset tai toimijaluettelon tiedot (35 §). Enimmäismäärä on keskeiselle toimijalle 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta ja muulle toimijalle 7 miljoonaa euroa tai 1,4 %, sen mukaan kumpi on suurempi (38 §).
Mitä tämä tarkoittaa palvelun ostamiselle
- Selvitä ensin, kuulutteko lain piiriin. Se ratkaisee, tarvitaanko kirjallinen toimintamalli, ilmoittautuminen ja ilmoitusprosessi.
- Kirjaa palveluntarjoajan rooli ilmoituksissa. Palveluntarjoaja tuottaa usein havainnot, mutta ilmoitusvelvollinen on toimija itse.
- Dokumentoi toimittajan arviointi. Toimitusketjun turvallisuus on 9 §:n osa-alue; arviointilista auttaa.
- Varaa johdon koulutukseen aikaa ja rahaa. Ulkoistettu CISO voi auttaa toimintamallissa: ulkoistetun CISO:n hinta.
Rahoitusalan toimijoihin sovelletaan kyberturvallisuuslain sijaan pääosin EU:n asetusta finanssialan digitaalisesta häiriönsietokyvystä (DORA, (EU) 2022/2554, sovellettu 17.1.2025 alkaen), ja julkishallinnossa tiedonhallintalakia (906/2019); näitä tämä opas ei käsittele.
Lue myös: MSSP, MDR ja SOC: erot ja ALV ja käännetty verovelvollisuus.
Usein kysyttyä
Meillä on 30 työntekijää ja toimimme elintarviketukussa. Koskeeko laki meitä?
Jos liikevaihto ja tase eivät molemmat ylitä 10 miljoonaa euroa, ette pääsäännön mukaan ole keskisuuri yritys, eikä laki yleensä koske teitä. Tarkista kuitenkin konsernisuhteet ja Ruokaviraston ohjeet. Asiakkaanne voivat silti edellyttää vastaavia toimia sopimuksissa.
Onko pienelle yritykselle hyötyä lain vaatimuksista?
On. Lain 12 osa-aluetta ovat käyttökelpoinen tarkistuslista kenelle tahansa, ja Kyberturvallisuuskeskuksen Kybermittari auttaa arvioimaan tasoa.
Voiko vastuun siirtää palveluntarjoajalle sopimuksella?
Ei. Johdon vastuu ja ilmoitusvelvollisuus ovat toimijalla. Sopimuksella voi sopia, kuka tekee käytännön työn ja missä ajassa.
Mistä tiedän, olemmeko keskeinen vai tärkeä toimija?
Jako riippuu toimialasta ja koosta. Tarkista luokittelu lakitekstistä ja valvovan viranomaisen ohjeista.
Lähteet ja lisätietoa
- Finlex – kyberturvallisuuslaki 124/2025 ajantasaisena, liitteet I ja II
- Kyberturvallisuuskeskus – NIS 2 ja kyberturvallisuuslaki, ilmoittautuminen Traficomin toimijaluetteloon
- Traficom – valvonta Traficomin toimialoilla
- ENISA – NIS 2 -direktiivin eurooppalainen tausta
