Sudenkuopat, sopimusriskit ja viralliset lähteet
Tietoturvapalvelun sopimusehdot: vuosisopimus, automaattinen jatko, vastuunrajoitus ja tietojen palautus
Mitkä sopimusehdot hallitun tietoturvapalvelun sopimuksessa kannattaa lukea tarkasti – sopimuskausi, irtisanominen, vastuunrajoitus, henkilötietojen käsittelysopimus, alihankkijat ja poistuminen.
Hallitun tietoturvapalvelun sopimuksessa kannattaa lukea erityisen tarkasti kuusi kohtaa: sopimuskausi ja automaattinen jatko, irtisanominen, hinnanmuutokset, vastuunrajoitus, henkilötietojen käsittelysopimus sekä sopimuksen päättyminen ja tietojen luovutus. Yritysten välisissä sopimuksissa on laaja sopimusvapaus, eikä kuluttajansuojalaki suojaa yritysostajaa. Siksi neuvotteluvara on käytettävä ennen allekirjoitusta: jälkikäteen kohtuuttoman ehdon sovittelu oikeustoimilain 36 §:n perusteella on poikkeuksellista ja vaatii yleensä riidan. Opas kuuluu kokonaisuuteen tietoturvapalvelun hankinnan sudenkuopat. Tämä ei ole oikeudellista neuvontaa; monivuotiset ja suuret sopimukset kannattaa käydä läpi juristin kanssa.
1. Sopimuskausi ja automaattinen jatko
| Ehto | Mitä tarkistaa | Neuvotteluehdotus |
|---|---|---|
| Kiinteä kausi | 12, 24 vai 36 kk? | Ensimmäiseksi kaudeksi 12 kk, jos palvelu on uusi |
| Automaattinen jatko | Jatkuuko samanmittaiseksi kaudeksi vai toistaiseksi? | Jatko toistaiseksi voimassa olevana, lyhyellä irtisanomisajalla |
| Irtisanomisaika | Montako kuukautta ennen kauden loppua? | 1–3 kuukautta |
| Ilmoitusmuoto | Kirjallisesti, sähköpostilla, portaalissa? | Sähköposti riittää |
Havainnollinen esimerkki: sopimus alkaa 1.1.2026, kausi 36 kk, jatkuu automaattisesti 12 kk kerrallaan, irtisanomisaika kuusi kuukautta. Viimeinen irtisanomispäivä ennen jatkoa on 30.6.2028. Jos sitä ei huomata, sopimus jatkuu 31.12.2029 asti. Merkitse päivä kalenteriin heti.
2. Hinnanmuutokset
Tarkista, saako palveluntarjoaja muuttaa hintaa kesken kauden, mihin muutos sidotaan (indeksi, hinnasto, kustannusten nousu), kuinka paljon etukäteen siitä ilmoitetaan ja onko asiakkaalla oikeus irtisanoa sopimus korotuksen takia. Laske vaikutus uusimiskorotuslaskurilla ja lue hinnankorotus uusimisessa.
3. Vastuunrajoitus
Lähes kaikissa palvelusopimuksissa palveluntarjoaja rajoittaa vastuutaan. Tyypillisiä rakenteita:
- enimmäismäärä, esimerkiksi 3–12 kuukauden palvelumaksut
- välillisten vahinkojen poissulku: liikevaihdon menetys, tuotantokatko, tietojen menetys
- poikkeukset rajoitukseen: tahallisuus ja törkeä huolimattomuus, usein myös salassapidon ja tietosuojan rikkominen
Havainnollinen esimerkki: kuukausimaksu 1 200 €, vastuu rajattu kuuden kuukauden maksuihin eli 7 200 €:een, ja välilliset vahingot suljettu pois. Jos palvelu laiminlyö kriittisen hälytyksen ja yritys menettää viikon tuotannon, korvaus on enintään 7 200 € – ja välillisenä vahinkona tuotantokatko voi jäädä kokonaan korvaamatta.
Mitä tehdä:
- Neuvottele korkeampi enimmäismäärä tietosuoja- ja salassapitorikkomuksille.
- Pyydä tieto palveluntarjoajan vastuuvakuutuksesta.
- Arvioi, kattaako oma kybervakuutus jäljelle jäävän riskin: kybervakuutuksen perusteet.
Elinkeinonharjoittajien välisten sopimusehtojen sääntelystä annetun lain (1062/1993) nojalla markkinaoikeus voi kieltää käyttämästä yleisesti kohtuuttomia ehtoja, mutta yksittäisen yrityksen riitaa se ei ratkaise.
4. Henkilötietojen käsittelysopimus (GDPR 28 artikla)
Tietoturvapalvelu käsittelee lähes aina henkilötietoja: käyttäjätunnuksia, IP-osoitteita, sähköpostin otsikkotietoja ja lokeja. Palveluntarjoaja on silloin henkilötietojen käsittelijä, ja yritys rekisterinpitäjä. Tietosuoja-asetuksen 28 artiklan mukaan sopimuksessa on määriteltävä muun muassa käsittelyn kohde ja kesto, luonne ja tarkoitus, henkilötietojen tyyppi ja rekisteröityjen ryhmät sekä rekisterinpitäjän oikeudet ja velvollisuudet. Lisäksi tarkista:
- käsitelläänkö tietoja EU:n ulkopuolella ja millä siirtoperusteella
- alihankkijat (alikäsittelijät) ja oikeus vastustaa uusia
- tietoturvaloukkauksista ilmoittaminen rekisterinpitäjälle ilman aiheetonta viivytystä
- auditointioikeus ja tietojen poistaminen sopimuksen päättyessä
5. Alihankkijat ja palvelun toteutuspaikka
Monet palvelut käyttävät valvonnassa kansainvälisiä alustoja ja vuorotyössä eri maissa olevia tiimejä. Se ei ole sinänsä ongelma, mutta asiakkaan pitää tietää, missä tietoja käsitellään ja kuka niihin pääsee. Jos yritys kuuluu kyberturvallisuuslain piiriin, toimitusketjun turvallisuus on riskienhallinnan osa-alue (124/2025, 9 §), joten dokumentoi alihankkijat.
6. Sopimuksen päättyminen ja poistuminen
| Kysymys | Miksi tärkeää |
|---|---|
| Luovutetaanko lokit, raportit ja tapausten historia? Missä muodossa? | Uusi palveluntarjoaja tarvitsee historian; tutkinta voi vaatia vanhoja lokeja |
| Kuinka kauan tiedot säilytetään päättymisen jälkeen? | Poistetaanko heti vai sovitun ajan kuluttua |
| Kuka poistaa agentit ja palauttaa laitteet? | Agentit voivat estää uuden palvelun asennuksen |
| Siirtymäapu: hinta ja kesto? | Päällekkäisyys vanhan ja uuden välillä |
| Kenen omaisuutta konfiguraatiot ja säännöt ovat? | Palomuurisäännöt ja politiikat ovat työtä, jota ei kannata tehdä uudelleen |
Neuvottelulista (tiivistelmä)
- Ensimmäinen kausi 12 kk, sitten toistaiseksi, irtisanomisaika enintään 3 kk.
- Korotukset vain kauden vaihtuessa, katto ja irtisanomisoikeus korotuksen takia.
- Vastuun enimmäismäärä vähintään vuoden maksut, korkeampi tietosuoja- ja salassapitorikkomuksille.
- Käsittelysopimus liitteeksi, alikäsittelijät lueteltuina.
- SLA-rikkomuksista irtisanomisoikeus: SLA ja palvelutaso.
- Poistumissuunnitelma ja tietojen luovutus ilman erillistä maksua tai sovitulla hinnalla.
Salassapito, pääsyoikeudet ja aineisto
Tietoturvapalvelu näkee yrityksen arkaluonteisimmat tiedot: verkon rakenteen, haavoittuvuudet, ylläpitotunnukset ja tapahtuneet poikkeamat. Siksi sopimukseen kuuluu myös:
- Salassapito: kattaa myös haavoittuvuustiedot ja raportit, ja jatkuu sopimuksen päättymisen jälkeen.
- Pääsyoikeudet: palveluntarjoajan tunnukset ovat henkilökohtaisia, monivaiheisella tunnistautumisella suojattuja ja lokitettuja. Asiakas voi tarkistaa, kuka niitä käyttää.
- Henkilöstön taustat: onko palveluntarjoajalla käytäntö henkilöstön luotettavuuden varmistamiseen, ja kuka pääsee asiakkaan ympäristöön.
- Aineiston omistus: raportit, säännöt, politiikat ja tapausten dokumentaatio kuuluvat asiakkaalle, vaikka palveluntarjoajan työkalut ja menetelmät pysyvät palveluntarjoajalla.
- Palveluntarjoajan oma tietoturvapoikkeama: miten ja missä ajassa palveluntarjoaja ilmoittaa, jos sen omat järjestelmät vaarantuvat. Hallintapalvelun tarjoajan murto voi antaa hyökkääjälle pääsyn moniin asiakkaisiin samanaikaisesti.
Viimeinen kohta on kasvava riski koko toimialalla. Kyberturvallisuuslaki tunnistaa sen nimeämällä hallintapalvelun ja tietoturvapalvelun tarjoajat omaksi toimijaryhmäkseen, ja lain piiriin kuuluvien on hallittava toimitusketjunsa riskejä. Pyydä palveluntarjoajaa kuvaamaan, miten se suojaa omat hallintayhteytensä asiakasympäristöihin.
Usein kysyttyä
Voiko palveluntarjoajan vakioehtoja muuttaa?
Usein voi, erityisesti sopimuskauden, irtisanomisajan ja korotusehtojen osalta. Isommat kansainväliset palvelut muuttavat vakioehtoja harvemmin, jolloin neuvottelu kohdistuu hintaan ja sopimuskauteen.
Mitä jos palveluntarjoaja menee konkurssiin?
Varmista, että lokit ja konfiguraatiot ovat saatavilla tai varmuuskopioitu, ja että laitteiden omistus on selvä. Jatkuvuus kannattaa ottaa huomioon toimittajan valinnassa.
Sovelletaanko kuluttajansuojalakia, jos olen yksinyrittäjä?
Ei yleensä, kun palvelu ostetaan yritystoimintaa varten. Yritysostajan suojana ovat sopimus ja yleiset sopimusoikeudelliset periaatteet.
Lähteet ja lisätietoa
- Finlex – oikeustoimilaki 228/1929, laki 1062/1993, kyberturvallisuuslaki 124/2025
- Tietosuojavaltuutetun toimisto – käsittelysopimus ja käsittelijän velvollisuudet
- Markkinaoikeus – elinkeinonharjoittajien välisten sopimusehtojen valvonta
- Suomen Yrittäjät – sopimusmallit ja neuvonta jäsenille
