Mitä yritysten tulee tietää NIS 2 -direktiivistä?
NIS 2 -direktiivi laajentaa kyberturvallisuusvaatimukset koskemaan aiempaa useampia yrityksiä ja toimialoja. Direktiivi velvoittaa konkreettisiin toimenpiteisiin, jotka keskeisten ja tärkeiden toimijoiden on toteutettava määräajassa. Kyse ei ole pelkästä lainsäädännön päivityksestä, vaan kyberturvallisuus on johdon vastuulla osana organisaation riskienhallintaa.
Direktiivi on Euroopan unionin vastaus kasvaviin kyberuhkiin ja tarpeeseen suojata kriittistä infrastruktuuria yhtenäisesti koko EU:n alueella. Direktiivi lisää valvontaa ja selkeyttää velvoitteita.
Keitä NIS 2 -direktiivi koskee?
NIS 2 -direktiivi koskee kriittisiä ja erittäin kriittisiä toimialoja, jotka luokitellaan toimijan koon perusteella joko keskeisiksi tai tärkeiksi toimijoiksi. NIS 2 -direktiivi koskee joissain tapauksissa myös pienempiä toimijoita riskiperusteisesti.
Kyberturvallisuuskeskus on julkaissut selkeän taulukon, josta organisaatiot voivat tarkistaa sääntelyn kohdentumisen. Lisäksi toimialakohtaiset valvovat viranomaiset tarjoavat ohjeistusta ja neuvontaa.
Mitä vaatimuksia NIS 2 asettaa?
Direktiivi määrittelee useita velvoitteita, jotka liittyvät riskienhallintaan, teknisiin kontrolleihin ja organisaation hallintamalleihin.
Keskeisiä vaatimuksia ovat:
- riskien arviointi ja hallintakeinot
- tietoturvapolitiikat ja tekniset suojaukset
- lokienhallinta ja järjestelmien valvonta
- häiriönsieto- ja palautumiskyky
- poikkeamien raportointi
- toimitusketjujen ja palvelujentarjoajien tietoturvariskien hallinta
Näiden vaatimusten taustalla on ajatus siitä, että organisaatioiden tulee pystyä tunnistamaan ja hallitsemaan keskeisiä kyberriskejä ennen kuin ne tapahtuvat. Tavoitteena on pienentää häiriöiden vaikutuksia ja parantaa kykyä palautua normaaliin toimintaan.
Johtoryhmän vastuut
Direktiivi korostaa johdon vastuuta kyberturvallisuudesta. Organisaation johto on vastuussa siitä, että riittävät resurssit, osaaminen ja prosessit ovat käytössä, jotta direktiivin vaatimukset voidaan täyttää. Tämä sisältää riskien tunnistamisen, arvioinnin ja hallinnan osana organisaation strategista johtamista.
Lisäksi organisaation on varmistettava, että työntekijät ymmärtävät roolinsa kyberturvallisuuden ylläpitämisessä. Säännöllinen koulutus, harjoitukset ja tietoisuuden lisääminen ovat keskeisiä keinoja kyberriskien hallinnassa.
Raportointivelvoitteet ja seuraamusmaksut
Merkittävistä poikkeamista raportointi on pakollista kaikille NIS 2 -toimijoille. Raportointivelvollisuus on kolmivaiheinen:
- ensi-ilmoitus 24 tunnin kuluessa poikkeaman havaitsemisesta
- jatkoilmoitus 72 tunnin kuluessa (ja mahdollinen väliraportti)
- loppuraportti yhden kuukauden kuluessa
Jos organisaatio tarvitsee apua poikkeaman selvittämiseen, se voi pyytää tukea tietoturvaloukkausten tutkimiseen ja koordinointiin erikoistuneelta CSIRT-yksiköltä.
Direktiivi sisältää myös seuraamusmaksut laiminlyönneistä. Suurin mahdollinen seuraamus on 10 miljoonaa euroa tai 2 % yrityksen vuotuisesta liikevaihdosta, riippuen kumpi on suurempi.
NIS 2 ja toimitusketju
Direktiivi korostaa toimitusketjujen merkitystä. Organisaation on tunnistettava, arvioitava ja hallittava toimitusketjujen ja palveluntarjoajien riskejä. Tämä tarkoittaa, että yritysten tulee kartoittaa kriittiset palveluntuottajat ja alihankkijat sekä dokumentoida mahdolliset riskit. Tämä on tärkeää erityisesti aloilla, joilla palveluita ulkoistetaan laajasti.
Kuinka yritykset voivat valmistautua käytännössä?
Yritykset voivat valmistautua direktiivin velvoitteisiin seuraavasti:
- perehtymällä Kyberturvallisuuslakiin ja NIS 2 -direktiiviin
- ilmoittautumalla toimijaluetteloon
- laatimalla ja toteuttamalla riskienhallintamallin
- raportoimalla merkittävät poikkeamat määräajassa
- seuraamalla alan hyviä kyberturvallisuuskäytäntöjä
Valmistautuminen edellyttää systemaattista lähestymistapaa, jossa nykyiset käytännöt arvioidaan ja tunnistetaan mahdolliset puutteet.
Yhteenveto
NIS 2 ei ole pelkästään uusi sääntely, vaan mahdollisuus vahvistaa organisaatioiden kykyä toimia digitaalisessa ympäristössä. Direktiivin noudattaminen lisää organisaation häiriönsietokykyä, parantaa toimintavarmuutta ja vahvistaa luottamusta niin asiakkaiden kuin yhteistyökumppanienkin suuntaan. Monet direktiivin vaatimuksista ovat sellaisia, joita organisaatioiden olisi hyvä toteuttaa joka tapauksessa osana normaalia riskienhallintaa.
Lähteet :
Kuva: vectorjuice (Freepik)
Kyberturvallisuuslaki 4.4.2025/124. Viitattu 10.12.2025. https://www.finlex.fi/fi/lainsaadanto/2025/124
Kyberturvallisuuskeskus 2025. Viitattu 10.12.2025.
- https://www.kyberturvallisuuskeskus.fi/fi/toimintamme/saantely-ja-valvonta/nis-2-euroopan-unionin-kyberturvallisuusdirektiivi
- https://www.kyberturvallisuuskeskus.fi/fi/toimintamme/saantely-ja-valvonta/nis-2-euroopan-unionin-kyberturvallisuusdirektiivi/tarkeaa-tietoa
- https://www.kyberturvallisuuskeskus.fi/fi/ajankohtaista/huomio-hankintojen-ja-toimitusketjujen-turvallisuuteen-nis2-direktiivissa-uusia
- https://www.kyberturvallisuuskeskus.fi/fi/ajankohtaista/millaiseen-kyberpoikkeamaan-organisaatiosi-varautunut-tutustu-nis2-direktiivin
Lehtinen, M. 2025. Tietoturvan ja tietosuojan kehittäminen : tietoturvaharjoittelijan oppimispäiväkirja. Viitattu 12.12.2025. URN:NBN:fi:amk-2025121135187
Traficom 2025. Kyberturvallisuuslaki on hyväksytty eduskunnassa – NIS2-direktiivin mukaiset velvoitteet astuvat voimaan 8.4.2025. Viitattu 11.12.2025. https://www.traficom.fi/fi/ajankohtaista/kyberturvallisuuslaki-hyvaksytty-eduskunnassa-nis2-direktiivin-mukaiset-velvoitteet