Kyberturvallisuuskeskus varoittaa 2026 – mitä NIS2-laki vaatii yritykseltäsi?

Suomen Kyberturvallisuuskeskus (NCSC-FI) julkaisi vuoden 2026 kansallisessa turvallisuuskatsauksessaan vakavan varoituksen: Venäjän ja Kiinan valtiollinen kybertiedustelu kohdistuu yhä aggressiivisemmin suomalaisiin yrityksiin ja kriittiseen infrastruktuuriin. Samaan aikaan kyberturvallisuuslaki on voimassa – ja se asettaa tiukkoja oikeudellisia velvoitteita sadoille suomalaisille yrityksille.

Tiedätkö, koskeeko laki myös sinun yritystäsi?

Mitä kyberturvallisuuslaki vaatii yrityksiltä?

Suomen eduskunta hyväksyi kyberturvallisuuslain, joka pannaan täytäntöön EU:n NIS2-direktiivi, huhtikuussa 2025. Laki astui voimaan 8. huhtikuuta 2025, ja suurten toimijoiden tuli ilmoittautua valvovan viranomaisen ylläpitämään toimijaluetteloon 8. toukokuuta 2025 mennessä.

Laki koskee pääasiassa kahta yritysryhmää:

Suuret toimijat: Yritykset, joiden palveluksessa on vähintään 250 henkilöä tai joiden vuosiliikevaihto ylittää 50 miljoonaa euroa.

Keskisuuret toimijat: Yritykset, joissa työskentelee 50–249 henkilöä tai joiden liikevaihto ja taseen loppusumma ylittävät 10 miljoonaa euroa.

Kriittisillä aloilla – energia, liikenne, pankkiala, terveydenhuolto, digitaalinen infrastruktuuri ja julkinen hallinto – velvoitteet ovat erityisen tiukat riippumatta yrityksen koosta. Vuoden 2026 aikana myös kriittisiksi luokiteltavien toimijoiden nimeäminen on käynnissä useilla toimialoilla.

Mitä lain rikkominen maksaa?

Hallinnolliset sanktiot voivat NIS2-direktiivin mukaan nousta jopa 10 miljoonaan euroon tai 2 prosenttiin yrityksen koko maailmanlaajuisesta vuotuisesta liikevaihdosta – sen mukaan, kumpi on suurempi. Erityisen kriittisiksi luokitelluille toimijoille sakot voivat nousta 20 miljoonaan euroon tai 4 prosenttiin liikevaihdosta.

Kyse ei ole teoreettisesta uhkakuvasta. EU-tasolla valvontaviranomaiset ovat vuonna 2026 alkaneet kohdistaa resursseja aktiivisesti NIS2-lain toimeenpanon valvontaan. Euroopassa on jo langetettu merkittäviä sakkoja muun muassa energia- ja terveyssektorin toimijoille. Suomessa Kyberturvallisuuskeskus toimii keskeisimpänä valvovana viranomaisena useilla sektoreilla ja sillä on valtuudet tarkastaa yritysten kyberturvallisuustoimenpiteet pyynnöstä tai viranomaisaloitteesta.

Kyberturvallisuuskeskuksen varoitukset: miksi nyt on kiireellistä toimia?

Kansallinen turvallisuuskatsaus 2026 on nostanut esiin vakavan uhan: Venäjän ja Kiinan valtiollinen toiminta kohdistuu järjestelmällisesti suomalaisyrityksiin. Kyberturvallisuuskeskuksen viikoittaisissa katsauksissa on dokumentoitu muun muassa Microsoft 365 -tilien tietomurtoja, phishing-kampanjoita sekä automatisoidulla puheella toteutettuja pankkihuijauksia.

Näissä tapauksissa yrityksen oikeudellinen vastuu voi nousta esille heti: jos tieto turvapoikkeamasta jäi ilmoittamatta viranomaisille lain edellyttämässä 24 tunnin määräajassa, seurauksena voi olla sanktio – riippumatta siitä, kuka hyökkäyksen teki.

Lisäksi EU:n Kyberresilienssilaki (Cyber Resilience Act) tuo vuodesta 2026 alkaen uusia velvoitteita erityisesti digitaalisia tuotteita valmistaville yrityksille. Tietyt verkkoyhteydellä varustetut tuotteet vaativat nyt CE-merkinnän, johon sisältyy kyberturvallisuusvaatimukset – ja niiden täyttyminen tulee pystyä dokumentoimaan. Suomessa kansallinen laki, joka täydentää EU:n asetusta, astui voimaan 1. kesäkuuta 2026, joten velvoitteet koskevat jo nyt digitaalisia laitteita ja ohjelmistoja myyvien yritysten toimintaa.

Suomalaisyritysten kannattaa myös huomata, että Venäjän kyberuhat suomalaisille yrityksille ovat vuoden 2026 katsausten mukaan kasvaneet merkittävästi – ja lain velvoitteita tarkasteltaessa on oleellista, että riskikartoitus on tehty ajanmukaisesti.

Mitä laki käytännössä edellyttää?

Kyberturvallisuuslain velvoitteet voidaan tiivistää kuuteen kokonaisuuteen:

1. Riskienhallintatoimet – Yrityksellä on oltava kirjallinen kyberriskien hallintapolitiikka ja sen on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet.
2. Poikkeamien ilmoittaminen – Merkittävistä turvapoikkeamista on tehtävä ennakkoilmoitus Kyberturvallisuuskeskukselle 24 tunnin kuluessa ja täydellinen ilmoitus 72 tunnin kuluessa.
3. Toimitusketjun turvallisuus – Yritys on vastuussa myös alihankkijoidensa tietoturvallisuustasosta sopimusjärjestelyjen kautta.
4. Johdon vastuu – Yrityksen johto on henkilökohtaisesti vastuussa kyberturvallisuustoimenpiteiden toteutuksesta ja valvonnasta.
5. Jatkuvuussuunnitelmat – Yrityksellä on oltava dokumentoidut suunnitelmat toiminnan jatkamiseksi ja palauttamiseksi kyberpoikkeaman aikana.
6. Rekisteröityminen – Toimijoiden on ilmoittauduttava valvovan viranomaisen ylläpitämään luetteloon.

Juridinen riski, johon monet yritykset eivät ole varautuneet

Asiantuntijoiden mukaan yleinen virheolettama on, että kyberturvallisuus on puhtaasti IT-osaston vastuulla. Todellisuudessa kyberturvallisuuslaki asettaa nimenomaan oikeudellisia velvoitteita, joiden rikkomisesta voi seurata sekä organisaatiolle kohdistuvia sakkoja että yrityksen johdolle henkilökohtainen vastuu. Lain johdon vastuuta koskeva kohta on yksi merkittävimmistä muutoksista verrattuna vanhaan lainsäädäntöön: toimitusjohtaja ja hallituksen jäsenet voivat olla henkilökohtaisesti vastuussa, jos osoitetaan, että asianmukaisia kyberturvallisuustoimia ei ole toteutettu.

"Asianajajana törmään usein tilanteisiin, joissa yritysjohto ei ole tietoinen siitä, että NIS2-laki koskee juuri heidän yritystään. Laki on voimassa – ja valvonta tiivistyy 2026 aikana", kertoo IT-lainsäädäntöön erikoistunut asiantuntija.

Erityistä huomiota vaatii toimitusketjun vastuu: suuri yritys, joka käyttää pk-alihankkijaa, on vastuussa myös tämän kyberturvallisuustasosta sopimuskäytäntöjen kautta. Heikko linkki toimitusketjussa voi altistaa koko organisaation vastuulle.

Lisäriskejä tuo myös kaksivaiheinen tunnistautuminen ja Microsoft 365 -tietomurrot: ilman asianmukaisia teknisiä suojauksia yritys ei täytä lain edellyttämää riskienhallintavelvoitetta, mikä voi tulla esiin valvontakäynnillä.

Erityisen ongelmallinen tilanne syntyy, kun yrityksessä tapahtuu tietoturvaloukkaus mutta sitä ei havaita, tai havaitseminen viivästyy niin kauan, että lakisääteinen 24 tunnin ilmoitusaika ylittyy. Puutteellinen monitorointi voi tässä tilanteessa olla sekä tekninen että oikeudellinen ongelma samanaikaisesti. Asianajaja, joka tuntee sekä kyberturvallisuuslain sisällön että GDPR-velvoitteet, pystyy auttamaan yritystä rakentamaan prosessit siten, että compliance säilyy myös poikkeamatilanteessa.

Mitä yrityksesi pitäisi tehdä nyt?

Jos yrityksesi täyttää NIS2-lain soveltamisedellytykset, toimi seuraavasti:

• Selvitä soveltamisala – Toimiala ja koko ratkaisevat. Epäselvissä tilanteissa lakimies pystyy arvioimaan yrityskohtaisesti.
• Arvioi nykytilanne – Onko yrityksessäsi kirjallinen riskienhallintapolitiikka ja dokumentoidut jatkuvuussuunnitelmat?
• Tarkista rekisteröityminen – Oletko ilmoittautunut valvovan viranomaisen luetteloon?
• Laadi sopimusmuutokset – Alihankkijasopimuksissa on syytä huomioida kyberturvallisuusvelvoitteet.
• Konsultoi asiantuntijaa – Oikeudellinen neuvonta auttaa tunnistamaan vastuukysymykset ja minimoimaan sanktioriskin.

Kyberturvallisuuskeskus tarjoaa ohjeistusta lain tulkintaan, mutta yrityskohtainen vastuuarviointi edellyttää usein lakimiehen apua. Asianajaja pystyy auttamaan sinua selvittämään organisaatiosi juridiset riskit, laatimaan compliance-dokumentaation ja valmistautumaan mahdolliseen valvontakäyntiin.

Haluatko selvittää, miten NIS2-laki vaikuttaa juuri sinun yritykseesi? ExpertZoomin kautta voit tavoittaa IT-lainsäädäntöön perehtyneen asianajajan nopeasti – ja saada konkreettisen arvion tilanteestasi.

Tämä artikkeli on tarkoitettu yleiseen tiedottamiseen eikä korvaa henkilökohtaista oikeudellista neuvontaa. Ota yhteyttä asiantuntijaan arvioidaksesi yrityksesi tilanne.