Laskelmat, esimerkit ja valintamenetelmä
Tietoturvapalvelun kuukausi- ja vuosikustannus: esimerkkilaskelmat 10, 30 ja 70 hengen yrityksille
Kolme havainnollista laskuesimerkkiä hallitun tietoturvapalvelun kuukausi- ja vuosikustannuksesta pk-yrityksille välivaiheineen – EDR, MDR, palomuuri, SOC, vCISO, testaus ja häiriötilannevalmius.
Tämän oppaan kolme esimerkkiä näyttävät, miten hallitun tietoturvapalvelun kustannus kasvaa yrityksen koon ja riskien mukaan. Havainnollisilla hinnoilla 10 hengen yrityksen perussuojaus voi maksaa noin 2 200–3 800 euroa vuodessa, 30 hengen yrityksen 24/7-valvonta testauksineen ja häiriötilannevalmiuksineen noin 15 000–27 000 euroa ja 70 hengen, mahdollisesti kyberturvallisuuslain piiriin kuuluvan yrityksen laaja kokonaisuus noin 64 000–109 000 euroa vuodessa ilman arvonlisäveroa. Luvut eivät ole kenenkään palveluntarjoajan hintoja, vaan ne on laskettu tämän sivuston havainnollisilla yksikköhinnoilla, jotta näet rakenteen. Korvaa luvut saamiesi tarjousten hinnoilla kustannusarviossa. Opas kuuluu kokonaisuuteen sopivimman tietoturvakumppanin valinta.
Esimerkki 1: 10 hengen tilitoimisto
Lähtötilanne: kaikki pilvessä, 12 kannettavaa, ei palvelimia, pieni toimisto ilman omaa palomuuria (operaattorin reititin). Suurin riski on kaapattu sähköpostitili ja sen kautta tehtävä laskutuspetos sekä asiakastietojen vuoto.
| Erä | Laskenta | €/v (alv 0 %) |
|---|---|---|
| Hallittu EDR | 12 × 6–10 € × 12 kk | 864–1 440 |
| Pilvisähköpostin ja tunnusten suojaus ja seuranta | 10 × 5–8 € × 12 kk | 600–960 |
| Käyttöönotto (kertamaksu, jaettuna 3 vuodelle) | 1 200–2 400 € ÷ 3 | 400–800 |
| Kalastelukoulutus verkossa | 10 × 3–5 € × 12 kk | 360–600 |
| Yhteensä | 2 224–3 800 |
Kuukautta kohden se on noin 185–317 €. Tässä ei ole 24/7-reagointia. Jos se lisätään, EDR korvataan MDR:llä esimerkiksi 12 × 12–20 € × 12 = 1 728–2 880 €/v, jolloin kokonaisuus on noin 3 100–5 200 €/v.
Ilmaiset tai halvat perusasiat ensin: monivaiheinen tunnistautuminen kaikille tunnuksille, varmuuskopiot pilvipalvelun ulkopuolelle ja maksuliikenteen tarkistusmenettely (soitto tunnettuun numeroon, kun tilinumero muuttuu). Näissä palveluntarjoaja voi auttaa, mutta ne voi tehdä myös itse.
Esimerkki 2: 30 hengen asiantuntijayritys
Lähtötilanne: 34 päätelaitetta, kaksi palvelinta, yksi toimiston palomuuri, pilvisähköposti. Asiakkaat edellyttävät sopimuksissa "asianmukaista tietoturvaa" ja ilmoitusta tietoturvaloukkauksista.
| Erä | Laskenta | €/v (alv 0 %) |
|---|---|---|
| MDR 24/7 | 34 × 10–25 € × 12 kk | 4 080–10 200 |
| Palvelimet MDR:ssä | 2 × 30–45 € × 12 kk | 720–1 080 |
| Hallinnoitu palomuuri | 150–250 € × 12 kk | 1 800–3 000 |
| Raportointi | 100–150 € × 12 kk | 1 200–1 800 |
| Käyttöönotto (jaettuna 3 v) | 3 000–6 000 € ÷ 3 | 1 000–2 000 |
| Häiriötilannevalmius, pieni tuntipankki | 3 000–4 000 €/v | 3 000–4 000 |
| Penetraatiotestaus joka toinen vuosi (jaettuna) | 6 000–9 000 € ÷ 2 | 3 000–4 500 |
| Yhteensä | 14 800–26 580 |
Kuukautta kohden noin 1 233–2 215 €, työntekijää kohden noin 41–74 € kuukaudessa. Ilman penetraatiotestausta ja retaineria summa on 8 800–18 080 €/v. Penetraatiotestauksen hinnoittelu: penetraatiotestauksen hinta; retainer: häiriötilannevalmius.
Esimerkki 3: 70 hengen elintarvikkeiden jalostaja
Lähtötilanne: 85 päätelaitetta, 10 palvelinta, kaksi toimipistettä, tuotantoverkko ja toiminnanohjausjärjestelmä. 70 työntekijällä yritys on vähintään keskisuuri, ja elintarvikkeiden teollinen tuotanto ja jalostus kuuluu kyberturvallisuuslain liitteeseen II, joten yritys todennäköisesti kuuluu lain piiriin (tarkista: kyberturvallisuuslaki ja pk-yritys).
| Erä | Laskenta | €/v (alv 0 %) |
|---|---|---|
| MDR 24/7 päätelaitteille | 85 × 10–20 € × 12 kk | 10 200–20 400 |
| Palvelimet | 10 × 30–45 € × 12 kk | 3 600–5 400 |
| SOC palveluna, keskeiset lokit (vähimmäismaksu) | 1 800–3 000 € × 12 kk | 21 600–36 000 |
| Hallinnoidut palomuurit | 2 × 200–300 € × 12 kk | 4 800–7 200 |
| Ulkoistettu CISO, 1 päivä/kk | 1 000–1 500 € × 12 | 12 000–18 000 |
| Häiriötilannevalmius | 6 000–10 000 €/v | 6 000–10 000 |
| Penetraatiotestaus vuosittain | 6 000–12 000 € | 6 000–12 000 |
| Yhteensä | 64 200–109 000 |
Kuukautta kohden noin 5 350–9 083 €, työntekijää kohden noin 76–130 € kuukaudessa. Ensimmäisenä vuonna tulevat lisäksi käyttöönotto ja riskienhallinnan toimintamallin laatiminen, esimerkiksi 5–10 CISO-päivää. SOC-osuus on suurin yksittäinen erä; sen tarve kannattaa perustella riskiarviossa eikä ostaa varmuuden vuoksi. Ulkoistetusta CISO:sta: ulkoistetun CISO:n hinta.
Mitä esimerkeistä voi päätellä
- Kiinteät maksut painavat pienellä yrityksellä. Käyttöönotto ja vähimmäislaskutus nostavat työntekijäkohtaista hintaa.
- 24/7-reagointi on usein suurin yksittäinen hyppy. Se kannattaa perustella keskeytyksen hinnalla.
- Lokipohjainen SOC kasvattaa kustannusta nopeasti. Aloita usein MDR:llä ja lisää lokilähteitä tarpeen mukaan.
- Projektit ja retainer kannattaa budjetoida erikseen. Ne vaihtelevat vuosittain.
Ensimmäinen vuosi vs. seuraavat vuodet
Ensimmäinen vuosi on usein kallein, koska siihen osuvat käyttöönotto, vanhojen järjestelmien siivous ja dokumentaatio. Esimerkin 2 yrityksen (30 henkeä) jakauma voisi näyttää havainnollisesti tältä, kun käyttöönotto maksetaan kerralla eikä jaeta:
| Vuosi 1 | Vuosi 2 | Vuosi 3 | |
|---|---|---|---|
| Jatkuvat palvelut (MDR, palvelimet, palomuuri, raportointi) | 7 800 | 8 190 | 8 600 |
| Käyttöönotto | 3 000 | – | – |
| Häiriötilannevalmius | 3 000 | 3 000 | 3 000 |
| Penetraatiotestaus | 6 000 | – | 6 000 |
| Yhteensä (€, alv 0 %) | 19 800 | 11 190 | 17 600 |
Jatkuville palveluille on oletettu 5 %:n vuosikorotus (7 800 × 1,05 = 8 190; 8 190 × 1,05 ≈ 8 600). Kolmen vuoden summa on 48 590 €, keskimäärin noin 16 200 € vuodessa. Taulukko näyttää, miksi budjetti kannattaa tehdä kolmelle vuodelle: yksittäisen vuoden luku voi johtaa harhaan.
Muunna vuosikustannus verolliseksi ja uusimiskorotukselle
Arvonlisäverovelvollinen yritys budjetoi verottomin hinnoin. Jos vähennysoikeutta ei ole, kerro 1,255:llä: esimerkiksi 20 000 € → 25 100 € (ALV-laskuri). Toisen vuoden budjettiin lisää arvioitu korotus: 20 000 € ja 7 % → 21 400 € (uusimiskorotuslaskuri).
Usein kysyttyä
Ovatko luvut keskiarvoja markkinasta?
Eivät. Ne ovat havainnollisia esimerkkejä, jotka on laskettu tämän sivuston esimerkkiyksikköhinnoilla. Niiden tarkoitus on näyttää rakenne ja suhteet.
Miksi työntekijäkohtainen hinta vaihtelee niin paljon?
Koska palvelujen laajuus vaihtelee. Pieni yritys ilman 24/7-valvontaa maksaa vähän, kun taas sääntelyn piirissä olevan yrityksen lokivalvonta ja johtamistyö lisäävät kustannuksia.
Mitä jos budjetti ei riitä kaikkeen?
Priorisoi riskin mukaan: tunnusten suojaus, varmuuskopiot ja päätelaitesuojaus ensin, sitten 24/7-reagointi ja häiriötilannevalmius, lokivalvonta ja testaus vasta sen jälkeen, ellei sääntely tai asiakas vaadi muuta.
Lähteet ja lisätietoa
- Kyberturvallisuuskeskus – perustason suojausten ohjeet ja Kybermittari
- Finlex – kyberturvallisuuslaki 124/2025, liite II
- Ruokavirasto – elintarvikealan valvova viranomainen kyberturvallisuuslaissa
- Verohallinto – arvonlisäverokannat
