Tarjouspyyntö hallitusta tietoturvapalvelusta: rakenne, kysymykset ja tarjousten vertailu

Hyvä tarjouspyyntö tietoturvapalvelusta on lyhyt mutta tarkka: se kertoo, mitä suojataan (määrät), mitä palvelun pitää tehdä (havainnointi, reagointi, raportointi), millä palvelutasolla, millä sopimuskaudella, ja pyytää hinnan eriteltynä niin, että tarjoukset voi laskea samalla kaavalla. Kun kaikki ehdokkaat vastaavat samaan pohjaan, vertailu perustuu sisältöön eikä myyntipuheeseen. Tähän oppaaseen on koottu rakenne, jonka voi kopioida sellaisenaan omaan pyyntöön. Opas kuuluu kokonaisuuteen sopivimman tietoturvakumppanin valinta.

Tarjouspyynnön rakenne

1. Yritys ja tavoite (puoli sivua)

• toimiala, henkilöstömäärä, toimipisteet
• miksi palvelu hankitaan: asiakasvaatimus, kyberturvallisuuslaki, aiempi tapaus, oma riskiarvio
• kuuluuko yritys mahdollisesti kyberturvallisuuslain piiriin

2. Ympäristö (taulukko)

3. Palvelun vaatimukset

• valvonta 24/7 vai arkisin
• saako palvelu eristää koneen ja sulkea tunnuksen ilman erillistä lupaa
• mitkä lokit kerätään ja kuinka kauan niitä säilytetään
• ilmoitus vakavasta havainnosta: kenelle, millä tavalla, missä ajassa
• kuukausiraportti ja johdon katsaus
• tuki viranomaisilmoituksille (kyberturvallisuuslaki 24 h / 72 h / kuukausi, GDPR 72 h)

4. Sopimus

• toivottu sopimuskausi ja irtisanomisaika
• henkilötietojen käsittelysopimus (GDPR 28 artikla)
• tietojen säilytysmaat ja alihankkijat
• tietojen luovutus sopimuksen päättyessä

5. Hintaerittely (alla)

6. Aikataulu: vastausten määräpäivä, kysymysten esittäminen, päätös, käyttöönoton toivottu alku.

Pyydä hinta tässä muodossa

Pyydä hinnat ilman arvonlisäveroa ja kerro, haluatko kuukausi- vai vuosilaskutuksen. Jos palveluntarjoaja on ulkomainen, pyydä tieto arvonlisäveron käsittelystä; katso ALV ja käännetty verovelvollisuus.

Vertailu: esimerkki kahdesta vastauksesta (havainnollinen)

Kaksi palveluntarjoajaa vastaa samaan pyyntöön:

Ensimmäisen vuoden kustannus:

• A: 980 × 12 + 2 000 = 13 760 €
• B: 840 × 12 = 10 080 €

Jos vuoden aikana tarvitaan 20 tuntia tutkintaa:

• A: 10 h sisältyy, 10 h lisää esimerkiksi 190 €/h → 1 900 €; yhteensä 15 660 €
• B: 20 × 190 = 3 800 €; yhteensä 13 880 €

Kolmen vuoden sitoumus: B on euroissa edullisempi, mutta sitoo 36 kuukaudeksi ilman irtisanomismahdollisuutta ja ilman korotuskattoa. Jos B korottaa 8 % vuosina 2 ja 3, kuukausimaksu on 907,20 € ja 979,78 €; kolmen vuoden maksut ovat 10 080 + 10 886 + 11 757 ≈ 32 724 € ilman tutkintaa. A:n vastaava summa indeksillä 3 %: 13 760 + 12 113 + 12 476 ≈ 38 349 €. Ero kaventuu, mutta B on yhä halvempi – jos palvelu toimii. Sopimusriski on hinta, joka ei näy taulukossa.

Laske korotukset uusimiskorotuslaskurilla ja käy sisältö läpi arviointilistalla.

Julkiset hankinnat

Jos organisaatiosi on hankintalaissa (1397/2016, 5 §) tarkoitettu hankintayksikkö, kuten valtion tai kunnan viranomainen tai julkisoikeudellinen laitos, ja hankinnan ennakoitu arvo on vähintään kansallinen kynnysarvo (palveluhankinnoissa 60 000 euroa ilman arvonlisäveroa, 25 §), kyseessä on julkinen hankinta, jossa noudatetaan hankintalain menettelyjä ja hankinnasta ilmoitetaan HILMA-palvelussa (hankintailmoitukset.fi). EU-kynnysarvot ovat korkeammat, ja komissio tarkistaa ne kahden vuoden välein. Yksityinen yritys ei tee julkista hankintaa pelkästään hankinnan suuruuden vuoksi, ellei se ole saanut hankintaan yli puolet sen arvosta tukea hankintayksiköltä. Tämä opas koskee yksityisten yritysten vapaamuotoista kilpailutusta.

Esittelypalaveri: mitä kysyä ja nähdä

Kun tarjoukset on saatu, kutsu kaksi parasta esittelemään palvelunsa. Pyydä näkemään konkreettisia asioita, ei markkinointikalvoja:

• Esimerkkiraportti anonymisoituna: miltä kuukausiraportti näyttää ja mitä se sisältää.
• Hälytyksen kulku: palveluntarjoaja kuvaa vaihe vaiheelta, mitä tapahtuu, kun klo 2.30 havaitaan epäilyttävä kirjautuminen – kuka katsoo, mitä tekee, kenelle soittaa.
• Käyttöönottosuunnitelma: viikot, tehtävät ja asiakkaan oma työmäärä.
• Palveluportaali: mitä asiakas näkee itse ja voiko sieltä ladata raportit ja lokit.
• Yhteyshenkilöt: kuka on nimetty asiakkuudesta vastaava ja kuka vastaa yöllä.

Kirjaa vastaukset samaan taulukkoon, jota käytät pisteytykseen. Jos jokin vastaus muuttaa käsitystä tarjouksen sisällöstä, pyydä täsmennys kirjallisena ja liitä se sopimukseen.

Yleisimmät tarjouspyynnön virheet

• Pelkkä "hinta 24/7-valvonnalle" ilman määriä ja vaatimuksia – tarjoukset eivät ole vertailukelpoisia.
• Kohteiden unohtaminen: pilvisähköposti, tunnukset ja etäyhteydet ovat tavallisia hyökkäysreittejä.
• Ei kysytä poissulkemisia: pyydä luettelo siitä, mikä ei sisälly.
• Ei pyydetä sopimusluonnosta: ehdot ovat yhtä tärkeitä kuin hinta.
• Liian lyhyt vastausaika: laadukas tarjous vaatii usein 2–3 viikkoa.

Lue myös: kustannusesimerkit yrityskoon mukaan ja penetraatiotestauksen hinta.

Usein kysyttyä

Pitääkö tarjouspyyntö lähettää salassapitosopimuksella?

Jos kerrot verkkoarkkitehtuurin tai haavoittuvuuksien yksityiskohtia, kyllä. Määrätiedot voi yleensä antaa ilman sitä.

Saako tarjouksista neuvotella?

Yksityisessä kilpailutuksessa saa. Kerro kaikille samat muutokset, jotta vertailu pysyy reiluna.

Mitä jos kukaan ei tarjoa sitä, mitä pyydettiin?

Tarkista, ovatko vaatimukset realistisia suhteessa budjettiin. Joskus on parempi aloittaa suppeammalla palvelulla ja laajentaa myöhemmin.

Lähteet ja lisätietoa

• Hankintailmoitukset (HILMA) – julkiset hankinnat
• Kyberturvallisuuskeskus – ohjeet palvelujen hankintaan ja toimitusketjun turvallisuuteen
• Finlex – kyberturvallisuuslaki 124/2025 ja hankintalaki 1397/2016