Sudenkuopat, sopimusriskit ja viralliset lähteet
Viralliset lähteet kyberturvallisuuspalvelun hankintaan: Kyberturvallisuuskeskus, Kybermittari, Finlex ja tuet
Viralliset lähteet: Kyberturvallisuuskeskus ja Kybermittari, Traficom ja muut valvojat, tietosuojavaltuutettu, Verohallinto, Finlex ja tuet.
Kun hankit tietoturvapalvelua tai selvität velvoitteitasi, tärkeimmät viralliset lähteet ovat Traficomin Kyberturvallisuuskeskus (kyberturvallisuuslaki, poikkeamailmoitukset, ohjeet ja maksuton Kybermittari), tietosuojavaltuutetun toimisto (henkilötietojen tietoturvaloukkaukset), Verohallinto (arvonlisävero), Finlex (lakitekstit ajantasaisina) sekä toimialasi valvova viranomainen, jos yrityksesi kuuluu kyberturvallisuuslain piiriin. Tukia tietoturvan kehittämiseen voi selvittää elinvoimakeskuksista ja Business Finlandista, mutta tavanomaisen palvelun kuukausimaksuihin tukea ei yleensä saa. Tämä opas kokoaa lähteet ja kertoo, mitä kustakin kannattaa tarkistaa. Opas kuuluu kokonaisuuteen tietoturvapalvelun hankinnan sudenkuopat.
Lähteet aiheittain
| Aihe | Lähde | Mitä tarkistaa |
|---|---|---|
| Kyberturvallisuuslaki ja NIS 2 | Kyberturvallisuuskeskus, Finlex | Soveltamisala, toimijaluettelo, ilmoitukset |
| Poikkeamailmoitukset | Kyberturvallisuuskeskus tai toimialan valvoja | Ilmoituskanava ja lomakkeet |
| Kypsyysarvio | Kyberturvallisuuskeskuksen Kybermittari | Oman tason arviointi ennen hankintaa |
| Henkilötietojen tietoturvaloukkaukset | Tietosuojavaltuutetun toimisto | Ilmoitus 72 tunnin kuluessa, ohjeet |
| Arvonlisävero | Verohallinto | Verokanta 25,5 %, käännetty verovelvollisuus |
| Lakitekstit | Finlex | Ajantasaiset versiot ja muutokset |
| Rikokset | Poliisi | Rikosilmoitus tietomurrosta tai kiristyksestä |
| Vakuutukset | Finanssiala, Finanssivalvonta | Yleistieto ja valvonta |
| Tuet | Elinvoimakeskus, Business Finland | Kehittämishankkeiden rahoitus |
Kyberturvallisuuskeskus
Kyberturvallisuuskeskus toimii Liikenne- ja viestintävirasto Traficomin yhteydessä. Kyberturvallisuuslain (124/2025) mukaan se on NIS 2 -direktiivin keskitetty yhteyspiste, ja Traficomissa toimii kansallinen CSIRT-yksikkö, joka seuraa uhkia, antaa varoituksia ja tukee poikkeamien käsittelyssä. Sen sivuilta löydät muun muassa:
- NIS 2 ja kyberturvallisuuslaki -ohjeet ja ohjeen ilmoittautumisesta Traficomin toimijaluetteloon (koskee Traficomin valvomia toimialoja; ilmoittautuminen tehdään maksuttomassa sähköisessä asiointipalvelussa Suomi.fi-tunnuksilla ja Suomi.fi-valtuudella "Kyberturvallisuuteen liittyvien toimijatietojen ilmoittaminen")
- poikkeamailmoitukset ja mahdollisuuden vapaaehtoiseen ilmoittamiseen myös lain ulkopuolisille organisaatioille
- varoitukset ja haavoittuvuustiedotteet
- Kybermittari, maksuton arviointityökalu organisaation kyberturvallisuuden kypsyydestä
Kybermittari pohjautuu pääosin C2M2-kypsyysmalliin (Cybersecurity Capability Maturity Model), ja siinä on ristiinviittaukset NIST CSF -viitekehykseen. Se arvioi kypsyyttä useilla osa-alueilla, kuten riskienhallinnassa, pääsynhallinnassa, tilannetietoisuudessa, häiriöihin reagoinnissa sekä alihankkijoiden ja palveluntarjoajien riskien hallinnassa. Arvioinnin voi tehdä itsearviointina tai palveluntarjoajan tukemana. Pk-yritykselle se on hyvä tapa muodostaa lähtötaso ennen tarjouspyyntöä: kun tiedät, missä olet heikoin, voit kohdistaa palvelun sinne. Katso sopivimman tietoturvakumppanin valinta.
Valvovat viranomaiset
Kyberturvallisuuslain 26 §:n mukaan valvoja riippuu toimialasta:
| Valvoja | Esimerkkejä toimialoista |
|---|---|
| Traficom | Liikenne, digitaalinen infrastruktuuri, TVT-palvelujen hallinta (myös tietoturvapalvelun tarjoajat), posti, digitaaliset palvelut, valmistus (kulkuneuvot), tutkimusorganisaatiot |
| Energiavirasto | Sähkö, kaukolämpö, kaasu (osin), vety (osin) |
| Turvallisuus- ja kemikaalivirasto Tukes | Osa kaasu-, öljy- ja vetytoiminnasta, kemikaalit, osa valmistuksesta |
| Lupa- ja valvontavirasto | Terveydenhuollon palveluntuottajat ja EU:n vertailulaboratoriot, jätehuolto |
| Elinvoimakeskus | Juomavesi ja jätevesi |
| Ruokavirasto | Elintarvikeyritykset |
| Fimea | Lääkkeet ja lääkinnälliset laitteet |
Taulukko on tiivistelmä, ja lakia on muutettu (esimerkiksi ydinlaitoksia koskeva muutos tulee voimaan 1.1.2027). Tarkista oma valvojasi lakitekstistä ja ohjeista; katso kyberturvallisuuslaki ja pk-yritys.
Tietosuojavaltuutettu
Tietosuojavaltuutetun toimisto on tietosuojalain (1050/2018) mukainen kansallinen valvontaviranomainen. Sille ilmoitetaan henkilötietojen tietoturvaloukkaukset tietosuoja-asetuksen 33 artiklan mukaisesti, ja sen sivuilta löytyvät ohjeet rekisterinpitäjille ja käsittelijöille. Katso poikkeamailmoitukset 24 ja 72 tunnissa.
Finlex
Finlex on oikeusministeriön ylläpitämä säädöstietopankki. Käytä ajantasaista lainsäädäntöä, koska esimerkiksi kyberturvallisuuslakia on muutettu useita kertoja voimaantulon jälkeen. Tämän sivuston kannalta keskeiset säädökset:
- kyberturvallisuuslaki 124/2025
- tietosuojalaki 1050/2018 ja EU:n yleinen tietosuoja-asetus (EU) 2016/679
- rikoslaki 39/1889, 38 luku (tietomurto 8 §)
- arvonlisäverolaki 1501/1993 (9, 65 ja 84 §)
- oikeustoimilaki 228/1929 (36 §) ja laki elinkeinonharjoittajien välisten sopimusehtojen sääntelystä 1062/1993
Verohallinto
Verohallinnon sivuilta tarkistat arvonlisäverokannat, käännetyn verovelvollisuuden ja ulkomailta ostettujen palvelujen ilmoittamisen. Katso ALV ja käännetty verovelvollisuus.
Tuet ja rahoitus (tarkista ajantasaisuus)
- Elinvoimakeskukset (1.1.2026 alkaen ELY-keskusten yritystehtävien jatkajat) myöntävät kehittämisavustusta pk-yritysten kehittämishankkeisiin. Tietoturva voi olla osa laajempaa kehittämishanketta, esimerkiksi digitalisaatiota. Avustuksen ehdot, kuten tukiprosentti, vähimmäiskoko ja haun aikataulu, vaihtelevat; hanketta ei yleensä saa aloittaa ennen hakemista.
- Business Finland rahoittaa pääasiassa tutkimus-, kehitys- ja innovaatiotoimintaa sekä kasvua ja kansainvälistymistä. Tavanomaisen tietoturvapalvelun ostoon rahoitusta ei yleensä ole tarjolla, mutta tietoturva voi olla osa rahoitettavaa kehityshanketta.
- Traficomin Kyberturvallisuuskeskus: tietoturvan kehittämisen tuen (ns. tietoturvaseteli) haku päättyi 31.12.2024. Keskuksen nykyiset EU-rahoitteiset rahoitustuet on suunnattu pääosin pk-yrityksille, jotka kehittävät tai ottavat käyttöön kyberturvallisuusratkaisuja tai toimeenpanevat uusia kybersäädöksiä hakuilmoituksen ehdoin; esimerkiksi syksyn 2026 haku koskee kyberturvallisuusratkaisujen kaupallistamista. Tavanomaisen palvelun kuukausimaksuihin niistä ei yleensä saa tukea.
Rahoitusohjelmat muuttuvat usein. Tarkista ehdot rahoittajan sivuilta ennen kuin sitoudut hankintaan.
Lähteiden käyttö hankinnan eri vaiheissa
| Vaihe | Mitä tarkistaa | Lähde |
|---|---|---|
| 1. Lähtötaso | Kypsyysarvio ja suurimmat puutteet | Kybermittari (Kyberturvallisuuskeskus) |
| 2. Velvoitteet | Kuuluuko yritys kyberturvallisuuslain piiriin, kuka valvoo | Finlex, Kyberturvallisuuskeskus, toimialan valvoja |
| 3. Tietosuoja | Käsittelysopimuksen sisältö, loukkausten ilmoittaminen | Tietosuojavaltuutetun toimisto, GDPR |
| 4. Budjetti | Arvonlisävero ja ulkomaiset palvelut | Verohallinto |
| 5. Rahoitus | Onko hanke tuettava kehittämishanke | Elinvoimakeskus, Business Finland |
| 6. Sopimus | Sopimusehtojen kohtuullisuus | Finlex (oikeustoimilaki, laki 1062/1993), juristi |
| 7. Käyttö | Varoitukset ja haavoittuvuudet | Kyberturvallisuuskeskuksen tiedotteet |
| 8. Häiriötilanne | Ilmoituskanavat | Valvoja, tietosuojavaltuutettu, poliisi |
Tallenna linkit ja tarkistuspäivät hankinta-asiakirjoihin. Kun sopimusta uusitaan tai laki muuttuu, tiedät, mitkä tiedot on tarkistettava uudelleen. Jos yritys kuuluu kyberturvallisuuslain piiriin, dokumentointi on samalla näyttöä toimitusketjun riskienhallinnasta.
Kuinka luotettavaa muu tieto on
Palveluntarjoajien blogit, vertailusivut ja raportit voivat olla hyödyllisiä, mutta ne ovat usein markkinointia. Tarkista lakeja, määräaikoja ja velvoitteita koskevat väitteet aina virallisesta lähteestä. Tämän sivuston hinnat ovat havainnollisia esimerkkejä, eivät markkinatietoa.
Lue myös: kybervakuutuksen perusteet ja penetraatiotestauksen lupa ja rikoslaki.
Usein kysyttyä
Onko Kybermittari maksullinen?
Ei. Kyberturvallisuuskeskus ilmoittaa Kybermittarin sähköisen asioinnin maksuttomaksi. Jos käytät arvioinnin tukena palveluntarjoajaa, sen työ on tavallisesti maksullista. Tarkista käyttöohjeet keskuksen sivuilta.
Mistä löydän ajantasaisen kyberturvallisuuslain?
Finlexistä kohdasta ajantasainen lainsäädäntö. Tarkista myös voimaantulosäännökset: osa muutoksista tulee voimaan myöhemmin.
Kenelle soitan, jos hyökkäys on käynnissä?
Oma palveluntarjoaja ja häiriötilannevalmius ensin. Kyberturvallisuuskeskukselle voi ilmoittaa ja siltä voi pyytää neuvoja; rikoksesta ilmoitetaan poliisille.
Lähteet ja lisätietoa
- Kyberturvallisuuskeskus – kyberturvallisuuslaki, ilmoitukset, Kybermittari
- Traficom – valvonta Traficomin toimialoilla
- Tietosuojavaltuutetun toimisto – tietoturvaloukkausilmoitukset
- Verohallinto – arvonlisävero
- Finlex – ajantasainen lainsäädäntö
- Elinvoimakeskus – yrityksen kehittämisavustus
- Business Finland – kehitys- ja innovaatiorahoitus
- Poliisi – rikosilmoitukset
