Palvelut, hinnoittelumallit ja 2026 sääntely
Poikkeamailmoitukset 24 h, 72 h ja kuukausi: kyberturvallisuuslaki, GDPR ja palveluntarjoajan rooli
Milloin ja kenelle tietoturvapoikkeamasta ilmoitetaan: kyberturvallisuuslain 24 h, 72 h ja kuukauden määräajat sekä GDPR:n 72 h ilmoitus tietosuojavaltuutetulle.
Tietoturvapoikkeamasta voi syntyä kaksi erillistä ilmoitusvelvollisuutta. Kyberturvallisuuslain (124/2025) piiriin kuuluvan toimijan on tehtävä merkittävästä poikkeamasta valvovalle viranomaiselle ensi-ilmoitus 24 tunnin kuluessa havaitsemisesta, jatkoilmoitus 72 tunnin kuluessa havaitsemisesta ja loppuraportti kuukauden kuluessa jatkoilmoituksesta. Kaikkien henkilötietoja käsittelevien yritysten on tietosuoja-asetuksen (GDPR) 33 artiklan mukaan ilmoitettava henkilötietojen tietoturvaloukkauksesta tietosuojavaltuutetulle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa, ellei loukkauksesta todennäköisesti aiheudu riskiä ihmisille. Sama tapaus voi laukaista molemmat. Hallitun tietoturvapalvelun arvo näkyy juuri tässä: kun palveluntarjoaja havaitsee ja dokumentoi tapahtumat nopeasti, ilmoitukset ehditään tehdä. Opas kuuluu kokonaisuuteen hallittujen kyberturvallisuuspalvelujen hinta.
Aikajana yhdellä silmäyksellä
| Ajankohta | Kyberturvallisuuslaki (lain piiriin kuuluvat) | GDPR (kaikki rekisterinpitäjät) |
|---|---|---|
| Heti | Arvio: onko poikkeama merkittävä | Arvio: onko kyse henkilötietojen tietoturvaloukkauksesta ja aiheuttaako se riskin |
| 24 h havaitsemisesta | Ensi-ilmoitus valvovalle viranomaiselle (11 §) | – |
| 72 h | Jatkoilmoitus havaitsemisesta laskien (11 §) | Ilmoitus tietosuojavaltuutetulle ilmitulosta laskien, mahdollisuuksien mukaan (33 art.) |
| Ilman aiheetonta viivytystä | Ilmoitus palvelujen vastaanottajille, jos poikkeama todennäköisesti haittaa palvelua (14 §) | Ilmoitus rekisteröidyille, jos loukkaus aiheuttaa todennäköisesti korkean riskin (34 art.) |
| Pyynnöstä | Väliraportti (12 §) | Lisätiedot vaiheittain |
| Kuukausi jatkoilmoituksesta | Loppuraportti (13 §); pitkäkestoisessa poikkeamassa kuukausi käsittelyn päättymisestä | – |
Jos GDPR-ilmoitusta ei tehdä 72 tunnissa, mukaan on liitettävä perustelu viivästykselle.
Mikä on "merkittävä poikkeama"
Kyberturvallisuuslain 11 §:n mukaan merkittävä poikkeama on sellainen, joka on aiheuttanut tai voi aiheuttaa vakavan palvelujen toimintahäiriön tai huomattavia taloudellisia tappioita toimijalle, tai joka on vaikuttanut tai voi vaikuttaa muihin aiheuttamalla huomattavaa aineellista tai aineetonta vahinkoa. Osalle digitaalisten palvelujen tarjoajista merkittävyyden kriteerit on täsmennetty komission täytäntöönpanoasetuksella.
Ensi-ilmoituksessa kerrotaan havainnosta, epäilläänkö rikosta tai muuta vihamielistä tekoa ja voiko poikkeamalla olla rajat ylittäviä vaikutuksia. Jatkoilmoituksessa annetaan arvio poikkeaman laadusta, vakavuudesta ja vaikutuksista sekä tekniset vaarantumisindikaattorit, jos niitä on. Loppuraportissa kuvataan poikkeama yksityiskohtaisesti, todennäköinen juurisyy, tehdyt toimenpiteet ja rajat ylittävät vaikutukset.
Ilmoitus tehdään valvovalle viranomaiselle, joka riippuu toimialasta. Traficomin valvomilla aloilla ilmoitukset käsittelee Kyberturvallisuuskeskus. Vapaaehtoisia ilmoituksia voivat tehdä myös lain ulkopuoliset yritykset (15 §), ja niitä kannattaa harkita, koska viranomainen voi antaa tukea ja varoittaa muita.
GDPR: henkilötietojen tietoturvaloukkaus
Henkilötietojen tietoturvaloukkaus on esimerkiksi kiristyshaittaohjelma, joka salaa asiakasrekisterin, kalastelulla kaapattu sähköpostitili, jolta on luettu viestejä, tai väärään osoitteeseen lähetetty palkkatiedosto. Ilmoitus tehdään tietosuojavaltuutetun toimistolle. Käsittelijän – esimerkiksi tietoturvapalvelun tai pilvipalvelun tarjoajan – on ilmoitettava loukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä (33 art. 2 kohta). Tämä velvollisuus kuuluu henkilötietojen käsittelysopimukseen (28 art.).
Myös loukkaukset, joista ei ilmoiteta, on dokumentoitava: mitä tapahtui, mitkä olivat vaikutukset ja mitä tehtiin (33 art. 5 kohta).
Työnjako palveluntarjoajan kanssa
Ilmoitusvelvollinen on aina yritys itse, mutta käytännössä tiedot tulevat usein palveluntarjoajalta. Kirjaa sopimukseen:
- Ilmoitusaika teille: kuinka nopeasti palvelu kertoo vakavasta havainnosta (esimerkiksi 30–60 minuutissa vakavimmassa luokassa).
- Tietopaketti: palveluntarjoaja toimittaa aikajanan, vaikutusarvion ja vaarantumisindikaattorit muodossa, jota voi käyttää ilmoituksessa.
- Luonnokset: laatiiko palveluntarjoaja ilmoituspohjan, ja sisältyykö se hintaan vai tuntiveloitukseen.
- Yhteyshenkilöt: kuka yrityksessä päättää ilmoituksesta myös yöllä ja lomalla.
- Loppuraportin tuki: juurisyyanalyysi on usein forensiikkaa, jota ei sisälly kuukausihintaan; katso häiriötilannevalmius ja retainer.
Esimerkki: kiristyshaittaohjelma perjantai-iltana (havainnollinen)
Lain piiriin kuuluvan 80 hengen jätehuoltoyrityksen MDR-palvelu havaitsee perjantaina klo 21.40 salaustoimintaa kahdella palvelimella ja eristää ne.
- Pe 21.55 palvelu soittaa yrityksen päivystäjälle.
- La 09.00 todetaan, että asiakkaiden laskutus on poikki ja asiakasrekisteriin on päästy. Poikkeama arvioidaan merkittäväksi.
- La 21.40 mennessä (24 h havaitsemisesta) ensi-ilmoitus valvovalle viranomaiselle.
- Ma 21.40 mennessä (72 h) jatkoilmoitus ja – henkilötietojen osalta – ilmoitus tietosuojavaltuutetulle; arvio rekisteröidyille ilmoittamisesta.
- Kuukauden kuluessa jatkoilmoituksesta loppuraportti.
Esimerkki näyttää, miksi viikonloppuna tavoitettava päätöksentekijä on yhtä tärkeä kuin valvonta. Jos palvelu olisi seurannut hälytyksiä vain arkisin, havainto olisi voinut viivästyä maanantaihin.
Häiriötilanneohjeen ilmoitusosio: mallirakenne
Kirjaa yrityksen häiriötilanneohjeeseen erillinen ilmoitusosio, jotta päätökset eivät jää kriisin keskellä yhden ihmisen muistin varaan:
- Päätöksentekijät: kuka arvioi, onko poikkeama merkittävä (kyberturvallisuuslaki) ja aiheuttaako henkilötietojen loukkaus riskin (GDPR). Varahenkilöt nimettyinä.
- Kellon käynnistyminen: mikä hetki kirjataan havaitsemisen hetkeksi. Kirjaa aika heti, kun palveluntarjoaja ilmoittaa vakavasta havainnosta.
- Ilmoituskanavat: valvovan viranomaisen ilmoituskanava, tietosuojavaltuutetun ilmoituslomake, poliisi, vakuutusyhtiö, asiakkaat. Valtuudet asiointipalveluun tarkistettuina etukäteen.
- Tietopohja: mitä tietoja ensi-ilmoitukseen tarvitaan (havainto, epäilty rikos, rajat ylittävät vaikutukset) ja kuka ne kokoaa.
- Dokumentointi: päätöspäiväkirja, johon kirjataan ajat, arviot ja perustelut – myös silloin, kun päätetään olla ilmoittamatta.
- Viestintä: kuka viestii henkilöstölle, asiakkaille ja tarvittaessa medialle.
| Rooli | Nimi | Varahenkilö | Tavoitettavuus |
|---|---|---|---|
| Ilmoituspäätös | Toimitusjohtaja | Talousjohtaja | 24/7 puhelin |
| Tekninen tilannekuva | Palveluntarjoaja | IT-vastaava | Sopimuksen mukaan |
| Tietosuoja-arvio | Tietosuojavastaava | Ulkoinen neuvonantaja | Arkisin + päivystys |
Ohje kannattaa harjoitella kerran vuodessa yhdessä palveluntarjoajan kanssa, esimerkiksi osana häiriötilannevalmiutta.
Lue myös: kyberturvallisuuslaki ja pk-yritys ja MSSP, MDR ja SOC: erot.
Usein kysyttyä
Lasketaanko 24 tuntia hyökkäyksen alusta vai havaitsemisesta?
Kyberturvallisuuslaissa aika lasketaan merkittävän poikkeaman havaitsemisesta. GDPR:ssä 72 tuntia lasketaan siitä, kun loukkaus on tullut rekisterinpitäjän tietoon.
Pitääkö rikoksesta ilmoittaa poliisille?
Viranomaisilmoitus ei ole rikosilmoitus. Rikosilmoitus tehdään poliisille erikseen, ja valvova viranomainen ohjeistaa tarvittaessa, jos rikosta epäillään.
Ovatko pienetkin loukkaukset ilmoitettavia GDPR:n mukaan?
Eivät, jos niistä ei todennäköisesti aiheudu riskiä ihmisille. Arvio ja perustelut on silti dokumentoitava.
Voiko palveluntarjoaja tehdä ilmoituksen puolestamme?
Käytännön tekeminen voidaan sopia, mutta vastuu pysyy yrityksellä. Varmista, että ilmoituksen tekijällä on tarvittavat valtuudet asiointipalveluun.
Lähteet ja lisätietoa
- Kyberturvallisuuskeskus – poikkeamailmoitukset ja vapaaehtoinen ilmoittaminen
- Tietosuojavaltuutetun toimisto – henkilötietojen tietoturvaloukkausilmoitus
- Finlex – kyberturvallisuuslaki 124/2025, 11–15 §
- Poliisi – rikosilmoitus
