Marko NovakEU:n parlamentti äänesti kesäkuussa 2026 päätöslauselman, joka vaatii unionilta konkreettisia toimia drooni- ja hybridiuhkiin. Suomalainen europarlamentaarikko Pekka Toveri (EPP), entinen kenraalimajuri ja Suomen puolustusvoimien tiedusteluosaston pitkäaikainen johtaja, toimi EPP-ryhmän pääneuvottelijana. Varoitus ei kohdistu enää pelkästään valtioihin tai armeijalle — se koskee suoraan suomalaisia yrityksiä, jotka toimivat kriittisessä infrastruktuurissa tai alihankintaketjuissa.
EU:n parlamentti vaatii toimia: mitä päätöslauselma tarkoittaa suomalaisyrityksille
Euroopan parlamentin turvallisuus- ja puolustuskomitea äänesti 12. kesäkuuta 2026 päätöslauselman, joka velvoittaa EU:ta vastaamaan drooni- ja hybridiuhkiin aiempaa nopeammin ja yhtenäisemmin. Pekka Toveri on korostanut toistuvasti, ettei Euroopalla ole varaa ylläpitää 27 erillistä kansallista puolustusversiota: yhteishankinta ja yhteinen varautuminen ovat ainoa kustannustehokas ratkaisu myös kyberturvallisuuden saralla.
Hybridiuhka on laajempi käsite kuin moni arjessa ymmärtää. Euroopan parlamentin mukaan hybridivaikuttamiseksi luokiteltuja tapauksia raportoidaan EU:ssa jo yli 2 000 vuodessa. Kyse voi olla kyberhyökkäyksistä, teollisuusvakoilusta, valeinformaatiokampanjoista tai fyysisestä sabotaasista — esimerkiksi droonikuvauksesta kriittisen infrastruktuurin alueella. Kaikkia yhdistää yksi tekijä: ne kohdistavat paineensa yhä useammin yksityisiin yrityksiin, eivät vain valtioihin.
Suomi on erityisessä asemassa. Pitkä maaraja Venäjän kanssa, korkea digitalisaatioaste ja NATO-jäsenyys tekevät Suomesta kiinnostavan kohteen hybridivaikuttamiselle. Traficomin kyberturvallisuuskeskus on raportoinut tasaisesti kasvavasta tietomurtomäärästä suomalaisiin yrityksiin — varsinkin energia-, logistiikka- ja terveydenhuoltosektoreilla. Vuoden 2026 ensimmäisellä puoliskolla tietomurtoyrityksiä suomalaisyrityksiin kirjattiin merkittävästi enemmän kuin vuotta aiemmin, Traficomin tilastojen mukaan.
Toverin johtaman prosessin tuloksena EU:n lainsäädäntö tulee kiristymään entisestään vuosina 2026–2027. Parlamentin päätöslauselmassa edellytetään muun muassa yhtenäistä EU-tason droontorjuntakapasiteettia, selkeämpää vastuunjakoa kyberpoikkeamien ilmoittamisessa sekä yhteisiä standardeja kriittisen infrastruktuurin suojaamiselle. Kaikki nämä tavoitteet valuvat suoraan yritysten arjen velvoitteisiin.
Miksi Toverin varoitus koskee juuri suomalaisia pk-yrityksiä
On helppoa ajatella, että drooniuhkat ja hybridioperaatiot koskevat ainoastaan puolustusvoimia tai suuria valtiollisia toimijoita. Todellisuus on toinen, ja se on tunnistettava ajoissa.
Modernit kyberoperaatiot käyttävät ns. toimitusketjuhyökkäyksiä. Sen sijaan että murretaan suoraan suuri ja hyvin suojattu kohde, hyökkääjä tavoittelee pieniä alihankkijoita, joilla on luvallinen pääsy suurempaan järjestelmään. Tämä tarkoittaa, että 30 hengen koneteknologiayritys, joka toimittaa komponentteja energia-alan suuryritykselle, voi olla tiedusteluoperaation todellinen ensisijainen kohde. Sama logiikka koskee IT-palveluntarjoajia, tilitoimistoja ja kaikkia tahoja, joilla on pääsy asiakkaidensa järjestelmiin.
NIS2-direktiivi, joka astui täysimääräisesti voimaan Suomessa vuoden 2024 loppuun mennessä, asettaa lakisääteisiä tietoturvavelvoitteita kasvavalle joukolle toimijoita. Velvoitteet koskevat muun muassa:
- Energia-alan yrityksiä (mukaan lukien uusiutuva energia ja energianjakelu)
- Digitaalisen infrastruktuurin tarjoajia (datakeskukset, pilvipalvelut, sisällönjakeluverkot)
- Terveydenhuollon toimijoita (myös yksityiset klinikat ja laboratoriot)
- Logistiikka- ja kuljetusyrityksiä
- Finanssialan toimijoita (pankit, vakuutusyhtiöt, maksunvälittäjät)
Jos yrityksesi toimii jollakin näistä aloista tai on kriittisen sektorin alihankkija, sinulla on lakisääteinen velvoite huolehtia tietoturvasta. Laiminlyönnin sanktiot ovat tuntuvia: jopa 10 miljoonaa euroa tai 2 % vuotuisesta liikevaihdosta. EU:n parlamentin drooniuhkapäätöslauselma enteilee, että sääntely tulee vain tiukentumaan. Toverin neuvotteluiden tulokset siirtyvät vaiheittain kansalliseen lainsäädäntöön, ja jokainen yritys, joka toimii alihankintaketjuissa, on tämän kehityksen kanssa tekemisissä tavalla tai toisella.
Lisäksi Toverin aiemmin luotsaaman puolustushankintadirektiivin yksinkertaistamispaketin myötä EU-tason puolustushankintaketjuihin kohdistuu kasvavaa turvallisuusauditointipainetta. Käytännössä tämä tarkoittaa, että alihankkijan on pystyttävä osoittamaan tietoturvastandardien täyttyminen dokumentoidusti, ei pelkästään suullisesti. Ostajat voivat vaatia NIS2-yhteensopivuustodistuksen osaksi hankintaprosessia jo vuoden 2026 aikana.
Tamperelaisyrityksen tapaus: mitä hybridiuhka maksaa käytännössä
Tässä on konkreettinen esimerkki, joka heijastaa todellisia skenaarioita, joita Traficomin kyberturvallisuuskeskus on raporteissaan kuvannut.
Jukka Mäkinen pyörittää 28 hengen koneteknologiayritystä Tampereella. Yhtiö valmistaa tarkkuuskomponentteja energia-alan ja logistiikkasektorin suuryrityksille. Jukalla on voimassa olevat sopimukset kolmen merkittävän suomalaisen yhtiön kanssa, ja sitä kautta epäsuora pääsy kriittiseen infrastruktuuriin — juuri se tekijä, joka tekee hänestä kiinnostavan kohteen toimitusketjuhyökkäykselle. Jukan yritys ei ole listannut itseään NIS2-velvoitteiden piiriin, koska se uskoi rajan menevän vain suoriin toimijoihin.
Heinäkuussa 2026 Traficom varoittaa suomalaisyrityksiä lisääntyneestä toimitusketjuhyökkäysaallosta. Elokuussa Jukan yrityksen IT-järjestelmissä havaitaan poikkeava verkkokäyttäytyminen. Forensiikkatutkimuksessa selviää, että haittaohjelma on ollut piilossa verkossa jo neljä kuukautta ja siirtänyt dataa ulkopuoliselle palvelimelle. Varastettu data käsittää tuotannonohjausjärjestelmän dokumentaation, asiakaskohtaiset tarjouspohjat ja kahden avainasiakkaan sopimustiedot.
Seuraukset ovat konkreettiset ja laskettavissa:
- IT-forensiikkatutkimus ja järjestelmien palauttaminen: 45 000 €
- Oikeudellinen neuvonta NIS2-ilmoitusvelvoitteista ja mahdollisesta vastuusta: 8 000 €
- Asiakassuhteiden hallinta, sopimustarkastelut ja maineenkorjaus: 12 000 €
- Kolmen viikon tuotantokeskeytys ja myöhästymissakot: 35 000 €
- Yhteensä: noin 100 000 €
Jos Jukan yrityksellä olisi ollut voimassa oleva IT-turvallisuusauditointi — tyypillinen hinta suomalaiselle pk-yritykselle on 3 000–8 000 euroa vuodessa — haittaohjelma olisi todennäköisesti tunnistettu poikkeamadetektion yhteydessä jo ensimmäisen viikon aikana. Neljän kuukauden piiloleikkauksen sijaan kyse olisi ollut muutaman päivän tapahtumasta, jonka kokonaiskulut olisivat jääneet alle 10 000 euron.
Vertailu on iskevä: 3 000–8 000 euron vuotuinen ennaltaehkäisevä investointi versus 100 000 euron reaktiivinen kriisi. Lisäksi: jos NIS2-ilmoitusvelvoite laiminlyödään — esimerkiksi koska ei tiedetä 24 tunnin ilmoitusajasta — sanktio voi nousta 50 000–200 000 euroon tilanteen vakavuudesta riippuen. Laskukaava on yksinkertainen, mutta se vaatii toimia ennen kuin kriisi iskee.
Droonit ja kyberuhkat — miksi molemmat koskevat yritysten IT-turvallisuutta?
Monelle drooniuhka saattaa tuntua kaukaiselta, lähinnä sotilasoperaatioihin liittyvältä käsitteeltä. Käytännössä drooniuhkat ja kyberuhat ovat kuitenkin yhä tiiviimmin kytkeytyneitä toisiinsa. Teollisuusdrooni, joka lentää tuotantolaitoksen yläpuolella, voi kerätä visuaalista tiedustelutietoa ja samalla häiritä lähialueiden langatonta verkkoliikennettä. Rakennuksiin kohdistettu droonikuvaus on todettu edeltävän fyysistä murtautumista tai kyberoperaatioita — ja molemmat tähtäävät samaan: arvokkaaseen tietoon.
Tämä on se syy, miksi Pekka Toveri ja turvallisuus- ja puolustuskomitea käsittelevät drooniuhkia nimenomaan osana laajempaa kyberturvallisuuden kokonaiskuvaa, eivät erillisenä sotilaallisena asiana. Yritysten IT-infrastruktuuri on droonioperaatioiden mahdollinen kohde siinä missä palomuurit ja käyttäjätunnuksetkin. Tästä näkökulmasta IT-turvallisuusasiantuntija on nykyään yhtä keskeinen kumppani kuin kiinteistöturvallisuuden toimittaja.
Milloin IT-asiantuntijaan kannattaa ottaa yhteyttä?
Pekka Toverin johtaman EU-prosessin myötä ja NIS2-direktiivin täytäntöönpanon tiukennuttua, on tiettyjä tilanteita, joissa IT-turvallisuusasiantuntijan konsultointi on jo lähes välttämätöntä:
Olet NIS2:n piirissä — toimit energia-, terveys-, liikenne-, finanssi- tai digitaalisen infrastruktuurin alalla, tai olet kriittisen toimialan alihankkija. Epävarmuus omista velvollisuuksistasi ei vapauta niistä.
Viimeisestä tietoturvakartoituksesta on yli 12 kuukautta — uhkat muuttuvat nopeasti, ja vanhentunut kartoitus on käytännössä arvoton. Toverin varoittaman hybridioperaatioaallon myötä vuoden 2025 kartoitus ei enää kata nykytilannetta.
Olet hankkinut IoT-laitteita tai verkkoon kytkettyjä laitteita — jokainen uusi laite on potentiaalinen hyökkäyspinta. Tehdassalit, sensorit ja etäkäyttölaitteet ovat yhä useammin hyökkäyksen ensimmäinen sisääntulopiste.
Asiakkaasi vaatii tietoturvasertifikaattia tai NIS2-yhteensopivuusdokumentaatiota — tämä on kasvava trendi erityisesti puolustussektorin ja julkishallinnon alihankintaketjuissa. Jos et pysty osoittamaan vaatimustenmukaisuutta, saatat menettää sopimuksia.
Epäilet tietovuotoa tai olet saanut poikkeamailmoituksen — NIS2 velvoittaa ilmoittamaan viranomaisille merkittävästä häiriöstä 24 tunnin sisällä. Asiantuntija auttaa prosessissa ja minimoi juridisen altistuksen.
Mitä tehdä nyt: kolme käytännön askelta
EU:n päätöslauselma, Pekka Toverin jatkuvat varoitukset ja NIS2:n velvoitteet muodostavat yhdessä selkeän signaalin: IT-turvallisuus ei ole enää IT-osaston sisäinen asia vaan strateginen liiketoimintapäätös, joka koskee koko yritystä johdosta lattiatyöntekijöihin.
Askel 1 — Selvitä NIS2-velvoitteesi. Traficomin kyberturvallisuuskeskus tarjoaa maksuttomia oppaita ja tarkistuslistoja NIS2-velvoitteiden kartoittamiseen suomalaisyrityksille. Tarkista ensin, kuuluuko yrityksesi direktiivin piiriin — vastaus saattaa yllättää sekä suoraan velvoitettujen että epäsuoran alihankkija-aseman kautta. Monet yritykset ovat oivaltaneet NIS2-velvoitteensa vasta asiakkaan vaatimuksesta.
Askel 2 — Tilaa IT-turvallisuusauditointi. Vuotuinen auditointi paljastaa haavoittuvuudet ennen kuin ulkopuolinen löytää ne. Pk-yritykselle sopiva perusauditointi maksaa 3 000–8 000 euroa — murto-osa mahdollisesta vahingosta, ja kirjanpidossa vähennyskelpoinen kulu. Auditointi kannattaa hankkia riippumattomalta asiantuntijalta, ei omalta IT-toimittajalta, jonka ratkaisuja arvioidaan.
Askel 3 — Varmista alihankintaketjusi turvallisuus. Jos toimitat tuotteita tai palveluita kriittiselle sektorille, asiakkaasi saattaa jo vaatia NIS2-yhteensopivuuden dokumentointia. Sertifioitu IT-turvallisuusasiantuntija auttaa rakentamaan tarvittavan vaatimustenmukaisuusraportin sekä tukee sinua mahdollisissa asiakasauditoinneissa — tilanne, joka on yleistymässä kaikilla puolustussektorin alihankintaketjuissa.
Pekka Toverin EU-parlamentissa ajaman politiikan viesti on selvä: hybridivaikuttamisen torjuminen on koko yhteiskunnan asia, ja yritykset ovat sen keskeinen osa. EU:n puolustuspolitiikan kehitys vaikuttaa Suomen turvallisuusympäristöön laajasti, ja IT-turvallisuuden kasvava rooli on siitä konkreettisin esimerkki yritysten arjessa. Suomalainen pk-yritys, joka investoi tietoturvaan tänään, suojaa paitsi omaa liiketoimintaansa — myös laajempaa kansallista turvallisuusrakennetta.
Tämä artikkeli on informatiivinen eikä muodosta oikeudellista neuvontaa. IT-turvallisuuden lakisääteisistä velvoitteistasi saat tarkimman neuvon sertifioidulta IT-turvallisuusasiantuntijalta tai NIS2-vaatimuksia tuntevilta ammattilaisilta.
