Euroopan unionin CER-direktiivi (Critical Entities Resilience) muuttaa tapaa, jolla yhteiskunnan kriittisiä palveluita tuottavat organisaatiot varautuvat häiriöihin. Suomessa direktiivi tuli voimaan 1.7.2025 alkaen lailla yhteiskunnan kriittisen infrastruktuurin suojaamisesta ja häiriönsietokyvyn parantamisesta (310/2025), joka tunnetaan myös nimellä CER-laki.
Direktiivin ja kansallisen lainsäädännön tavoite on varmistaa, että elintärkeät palvelut toimivat myös vakavien häiriöiden, kuten luonnonkatastrofien, sabotaasin, terrorismin tai pandemioiden aikana. Se on rinnakkainen NIS2-direktiivin ja sen toimeenpanevan Kyberturvallisuuslain kanssa. Yhdessä ne muodostavat kokonaisvaltaisen kehyksen yhteiskunnan toimintavarmuuden parantamiselle.
CER-laki ei koske kaikkia yrityksiä, vaan ainoastaan viranomaisten nimeämiä kriittisiä toimijoita. Nämä toimijat tuottavat palveluita, joiden häiriintymisellä olisi merkittäviä vaikutuksia kansalliseen turvallisuuteen, talouteen tai väestön hyvinvointiin. Suomessa laki kattaa 11 tarkasti määriteltyä toimialaa:
Viranomaiset tekivät päätökset kriittisiksi toimijoiksi nimeämisestä 17. heinäkuuta 2026 mennessä. Vaikka organisaatiotasi ei olisi nimetty, direktiivin vaikutukset voivat ulottua myös teihin alihankkijaketjun kautta. Jos olette merkittävä alihankkija tai kumppani nimetyille kriittisille toimijoille, on todennäköistä, että myös teiltä aletaan vaatia todisteita omasta häiriönsietokyvystänne.
Nimeämisen jälkeen toimijan on ryhdyttävä konkreettisiin toimiin määräaikojen puitteissa.
Ensimmäinen velvoite on laatia kattava riskiarvio yhdeksän kuukauden kuluessa siitä kun toimija on saanut tiedon nimeämisestä. Arvion tulee kattaa kaikki merkitykselliset luonnon ja ihmisen aiheuttamat riskit, jotka voivat johtaa poikkeamaan sekä perustuttava kansalliseen riskiarvioon ja muihin merkittäviin tietolähteisiin. Pelkkä oman tontin tarkastelu ei riitä, vaan on otettava huomioon myös toimintaympäristön riskit ja riippuvuudet muista toimijoista.
Riskiarvion pohjalta organisaation on laadittava suunnitelma ja toteutettava tarvittavat tekniset, turvallisuuteen liittyvät ja organisatoriset toimenpiteet. Tämä häiriönsietokykyä koskeva suunnitelma tulee laatia vuoden kuluessa riskiarvion valmistumisesta. Toimenpiteiden tavoitteena on ennaltaehkäistä häiriöitä, suojata kriittistä infrastruktuuria, vastata häiriötilanteisiin ja palautua niistä.
Käytännön toimenpiteitä ovat esimerkiksi:
Kriittiseksi nimetyn toimijan on ilmoitettava valvovalle viranomaiselle kaikista merkittävistä poikkeamista, jotka voivat tai ovat jo aiheuttaneet häiriön kriittisen palvelun tuottamisessa. Ennakkoilmoitus on tehtävä 24 tunnin kuluessa häiriön havaitsemisesta ja yksityiskohtainen raportti viimeistään kuukauden kuluttua. Nämä velvoitteet parantavat viranomaisten tilannekuvaa ja mahdollistaa nopean reagoinnin laajoissa kriiseissä.
CER-direktiiviä ei voi tarkastella erillään sen sisardirektiivistä NIS2. Siinä missä CER keskittyy palvelun tuottamisen häiriönsietokykyyn, NIS2 asettaa vaatimukset kyberturvallisuuden riskienhallinnalle. Nämä kaksi direktiiviä ovat toisiaan täydentäviä ja niiden vaatimuksissa on paljon päällekkäisyyksiä, erityisesti riskienhallinnan, poikkeamien käsittelyn ja jatkuvuudenhallinnan osalta.
Kaikki CER-direktiivin soveltamisalaan kuuluvat kriittiset toimijat kuuluvat automaattisesti myös NIS2-lainsäädännön piiriin. Siksi on tarkoituksenmukaisinta ja kustannustehokkainta lähestyä molempien direktiivien vaatimuksia yhtenäisenä kokonaisuutena. Tämä vähentää päällekkäistä työtä ja varmistaa, että organisaation häiriönsietokyky on katsottu kokonaisvaltaisesti.
Verkottuneessa maailmassa organisaation toimintakyky on harvoin pelkästään sen omissa käsissä. Kriittinen palvelu voi keskeytyä, koska avainasemassa olevan komponenttitoimittajan, logistiikkakumppanin tai palveluntarjoajan häiriön takia.
CER-laki edellyttää, että kriittiset toimijat tunnistavat ja hallitsevat myös toimitusketjuihinsa liittyviä riskejä. Oman organisaation varautumisen lisäksi on varmistettava, että keskeisimmät kumppanit ovat riittävän kyvykkäitä selviytymään häiriöistä. Palvelutoimittajien jatkuvuudenhallinnan arviointi ja auditointi nousevat entistä tärkeämpään rooliin.
Vaikka oman organisaation nimeämisestä ei olisi vielä tietoa, varautuminen on syytä aloittaa heti.
CER-direktiivin myötä varautuminen on lakisääteinen velvollisuus yhteiskunnan kannalta kriittisille toimijoille. Huolellisesti toteutettuna se ei ole kuitenkaan pelkkä kuluerä, vaan investointi organisaation toimintavarmuuteen, kilpailukykyyn ja luotettavuuteen kaikkina aikoina.
Suoraan laki koskee vain viranomaisen nimeämiä kriittisiä toimijoita. Epäsuorasti se voi kuitenkin vaikuttaa teihin, jos olette kriittisen toimijan keskeinen alihankkija. Tällöin asiakkaanne tulee todennäköisesti asettamaan teille uusia vaatimuksia liittyen omaan varautumiseenne ja häiriönsietokykyynne.
Riskiarvio on vaihe, jossa tunnistetaan ja arvioidaan organisaatioon kohdistuvia uhkia ja niiden mahdollisia vaikutuksia. Häiriönsietokyvyn suunnitelma on puolestaan dokumentti, joka määrittelee konkreettiset toimenpiteet, joilla tunnistettuihin riskeihin varaudutaan ja niistä aiheuttamista häiriöistä toivutaan.
Olemassa oleva jatkuvuussuunnitelma on erinomainen lähtökohta, mutta se ei todennäköisesti kata kaikkia CER-lain vaatimuksia. Laki edellyttää erityistä keskittymistä kriittisen infrastruktuurin suojaamiseen, kattavaa riskiarviota kaikkia uhkatyyppejä vastaan sekä määriteltyjä ilmoitusvelvollisuuksia. Suunnitelma on päivitettävä vastaamaan lain kirjaimia.
