NIS2-direktiivi ei ole suositus, vaan sitova velvoite, jonka rikkomisesta seuraa jopa 10 miljoonan euron tai 2 %:n liikevaihtoon sidottu sakko. Moni yritysjohtaja ei vieläkään täysin hahmota, että vastuu kyberturvallisuudesta on nyt henkilökohtaisesti hallituksen pöydällä. Direktiivin tavoite on yksinkertainen mutta vaativa: nostaa koko EU:n kyberturvallisuuden perustasoa ja pakottaa kriittisten alojen toimijat ottamaan riskienhallinta vakavasti. Pelkkä teknologian ostaminen ei riitä, vaan direktiivi vaatii systemaattista, johdon hyväksymää ja koko organisaation läpäisevää turvallisuuskulttuuria. Se on jatkuva prosessi, ei kertaluontoinen projekti.
Kokemuksemme mukaan suurin virhe on puutteellinen tai dokumentoimaton vaatimustenmukaisuus. Kansallisen lainsäädännön voimaantulo lähestyy, ja vaatimusten laiminlyönti altistaa organisaation paitsi kyberuhille, myös tunteville viranomaisseuraamuksille. Toinen kompastuskivi on ajatella, että kyseessä on vain IT-osaston ongelma. Väärin. NIS2-direktiivi sitoo yhteen teknisen kyberturvallisuuden, liiketoiminnan jatkuvuuden, fyysisen turvallisuuden ja toimitusketjujen hallinnan. Se on ennen kaikkea johtamisen ja riskienhallinnan kysymys. Autamme organisaatioita navigoimaan näissä vaatimuksissa ja rakentamaan kestävän pohjan CER- ja NIS-direktiivien vaatimusten täyttämiseksi.
Kaikki alkaa yhdestä kysymyksestä: kuuluuko organisaatiosi NIS2-direktiivin soveltamisalaan? Jos vastaus on kyllä, vaatimustenmukaisuuden varmistamisella on kiire.
Direktiivi jakaa toimijat kahteen kategoriaan: olennaisiin (essential) ja tärkeisiin (important). Nyrkkisääntö on, että jos yrityksesi toimii direktiivissä määritellyllä kriittisellä sektorilla ja työllistää yli 250 henkilöä tai sen liikevaihto ylittää 10 miljoonaa euroa, olet todennäköisesti soveltamisalan piirissä. Direktiivi laajentaa aiemmat sektorit kattamaan nyt muun muassa energian, liikenteen, pankki- ja finanssialan, terveydenhuollon, digitaalisen infrastruktuurin, jäte- ja vesihuollon sekä elintarviketuotannon.
Soveltamisala on kuitenkin kokorajoja laajempi. Kaikki rinnakkaisen CER-direktiivin nojalla kriittisiksi nimetyt toimijat kuuluvat automaattisesti NIS2:n piiriin koosta riippumatta. Suomessa CER-laki tulee voimaan 1.7.2025, ja viranomaiset nimeävät kriittiset toimijat 17.7.2026 mennessä, joten oman aseman selvittäminen on ajankohtaisempaa kuin koskaan. Lisäksi direktiivin vaikutus ulottuu toimitusketjuihin. Vaikka oma yrityksesi ei suoraan kuuluisi soveltamisalaan, suurasiakkaasi saattaa kuulua. Tällöin hän vaatii sinulta todistettua kyberturvallisuuden tasoa osana omaa riskienhallintaansa. Passiivisuus ei ole enää vaihtoehto.
Käytännön toimi on yksinkertainen: tee rehellinen kartoitus. Missä liiketoimintasi kohtaa direktiivin määrittelemät sektorit? Täyttyvätkö kokorajat? Oletko kriittinen alihankkija jollekin olennaiselle toimijalle? Jos olet epävarma, asia on selvitettävä – laiminlyönti voi johtaa viranomaisen yllättävään yhteydenottoon.
NIS2-direktiivin ytimessä on artikla 21, joka velvoittaa organisaatiot toteuttamaan ”asianmukaisia ja oikeasuhteisia teknisiä, operatiivisia ja organisatorisia toimenpiteitä” kyberriskien hallitsemiseksi. Tämä ei ole suositus, vaan lakiin kirjattu vaatimus, jonka noudattamista valvotaan. Johdon täytyy hyväksyä nämä toimenpiteet ja valvoa niiden toimeenpanoa.
Käytännössä tämä tarkoittaa, että satunnaiset tietoturvaskannaukset tai vuosittainen kalasteluviestitesti eivät riitä. Vaatimus edellyttää systemaattista ja dokumentoitua riskienhallinnan prosessia. Prosessi alkaa perusteellisella riskiarviolla, jossa tunnistetaan organisaation toimintaan kohdistuvat uhat ja arvioidaan niiden todennäköisyydet sekä mahdolliset vaikutukset liiketoiminnalle.
Artikla 21 luettelee vähintään seuraavat toimenpiteet:
Jokainen näistä kohdista vaatii konkreettisia, dokumentoituja ja ylläpidettyjä prosesseja. Työ on merkittävä, eikä sen aloittamista voi enää lykätä.
NIS2-direktiivi tekee lopun ajattelusta, jossa yrityksen vastuu päättyy oman verkon reunaan. Nyt vastuu kattaa koko toimitusketjun turvallisuuden. Tämä on yksi suurimmista ja työläimmistä muutoksista aiempaan verrattuna. Jos kriittinen alihankkijasi joutuu kyberhyökkäyksen kohteeksi ja se lamaannuttaa sinun palvelutuotantosi, vastuu on viime kädessä myös sinun.
Käytännössä sinun on tunnettava ja hallittava palvelutoimittajien jatkuvuudenhallinta aivan uudella tasolla. Pelkkä maininta tietoturvasta hankintasopimuksessa ei riitä. Sinun on kyettävä arvioimaan ja todentamaan kumppaneidesi kyberturvallisuuden todellinen taso.
Työ alkaa kriittisten toimittajien kartoittamisella. Ketkä ovat ne kumppanit, joiden toimintahäiriö vaikuttaisi suoraan omaan kykyysi tuottaa palveluita? Näitä voivat olla IT-infrastruktuurin toimittajat, ohjelmistokehittäjät, pilvipalveluiden tarjoajat tai logistiikkakumppanit. Kun lista on valmis, aloita arviointi:
Toimitusketjun hallinta on jatkuva prosessi. Uusia toimittajia tulee, vanhoja poistuu ja riskimaisema elää. Organisaatiolla täytyy olla selkeä malli toimittajien elinkaaren hallintaan valinnasta ja sopimusneuvotteluista säännölliseen seurantaan ja yhteistyön päättämiseen. Tämä vaatii resursseja ja osaamista, mutta se on välttämätön investointi oman toiminnan turvaamiseksi.
NIS2 iskee suoraan yrityksen johtoon. Direktiivi asettaa vastuun kyberturvallisuuden riskienhallinnasta ylimmälle johdolle, jonka jäsenet ovat henkilökohtaisesti vastuussa laiminlyönneistä. Tämä tarkoittaa, että johdon on paitsi hyväksyttävä turvallisuustoimenpiteet, myös ymmärrettävä ne, valvottava niiden toteutumista ja osallistuttava itsekin kyberturvallisuuskoulutukseen.
Kyberturvallisuus ei ole enää tekninen yksityiskohta, jonka voi delegoida IT-päällikölle ja unohtaa. Se on strateginen riski, jota hallitaan samalla vakavuudella kuin taloudellisia tai operatiivisia riskejä. Johdon on kyettävä muodostamaan selkeä tilannekuva organisaation kyberturvallisuuden tilasta ja tehtävä päätöksiä sen perusteella.
Samalla kun johto ottaa vastuun, koko henkilöstön rooli korostuu. Tehokkain palomuuri on hyödytön, jos työntekijä klikkaa varomattomasti haitallista linkkiä tai käyttää samaa heikkoa salasanaa joka paikassa. NIS2 vaatii organisaatioita tarjoamaan säännöllistä kyberturvallisuuskoulutusta koko henkilöstölle.
Hyvä koulutus ei ole kerran vuodessa pidettävä luento, vaan jatkuva prosessi, joka sisältää:
Investointi henkilöstön osaamiseen on yksi tuottavimmista tavoista parantaa organisaation kyberturvallisuutta. Se rakentaa turvallisuuskulttuuria, jossa jokainen ymmärtää oman roolinsa ja vastuunsa organisaation puolustamisessa.
NIS2-direktiivin noudattaminen ei ole kertaluontoinen projekti, vaan jatkuvan parantamisen sykli. Paperilla hyvältä näyttävät suunnitelmat ja prosessit voivat osoittautua toimimattomiksi todellisessa kriisitilanteessa. Siksi niiden toimivuus on todennettava säännöllisesti.
Testaaminen ja harjoittelu ovat ainoa tapa varmistaa, että organisaatiolla on todellinen kyky selviytyä vakavasta häiriötilanteesta. Ne paljastavat armotta puutteet suunnitelmissa, prosesseissa ja osaamisessa ennen kuin todellinen hyökkääjä tekee sen. Kokemuksemme mukaan hyvin suunnitellut kriisinjohtamisharjoitukset ovat tehokkain tapa koeponnistaa organisaation resilienssiä.
Kattava testausohjelma koostuu useista tasoista:
Jokaisen testin ja harjoituksen jälkeen tulokset on analysoitava, kehityskohteet tunnistettava ja suunnitelmat sekä prosessit päivitettävä. Tämä palaute- ja kehityssykli on jatkuvan parantamisen moottori. Se varmistaa, että organisaation kyberturvallisuus ja resilienssi eivät ainoastaan täytä NIS2-direktiivin vaatimuksia, vaan myös kehittyvät jatkuvasti vastaamaan muuttuvaan uhkaympäristöön.
Valmius ei synny itsestään. Se rakennetaan systemaattisella työllä, realistisella harjoittelulla ja sitoutumisella jatkuvaan parantamiseen. Nyt on aika ryhtyä toimeen.
Selvitä ensin, toimiiko yrityksesi direktiivissä mainitulla olennaisella tai tärkeällä sektorilla. Tarkista sen jälkeen, ylittyvätkö kokorajat (yli 250 työntekijää tai yli 10 miljoonan euron liikevaihto). Huomaa, että myös pienemmät yritykset voivat kuulua soveltamisalaan, jos ne ovat kriittisiä toimijoita tai keskeisiä alihankkijoita suuremmille toimijoille. Varmuuden saaminen vaatii usein asiantuntija-arvion toiminnan luonteesta.
Se tarkoittaa, että yrityksen ylin johto on henkilökohtaisesti vastuussa kyberturvallisuuden riskienhallinnan järjestämisestä ja valvonnasta. Johdon on hyväksyttävä toimenpiteet, osallistuttava koulutukseen ja ymmärrettävä riskit. Laiminlyönnit voivat johtaa henkilökohtaisiin sanktioihin ja jopa toimintakieltoihin. Vastuu ei ole enää siirrettävissä pelkästään IT-osastolle, vaan se on strateginen johtamiskysymys.
Ei riitä. Teknologia on vain yksi osa NIS2-direktiivin vaatimuksia. Direktiivi edellyttää kokonaisvaltaista lähestymistapaa, joka kattaa riskienhallinnan prosessit, poikkeamien käsittelyn, henkilöstön koulutuksen, toimitusketjun turvallisuuden sekä säännöllisen testauksen ja harjoittelun. Pelkkä teknologian hankinta ilman dokumentoituja prosesseja ja johdon sitoutumista ei täytä vaatimuksia ja jättää organisaation alttiiksi uhille.
NIS2-direktiivi keskittyy kyber- ja tietoturvaan, kun taas CER-direktiivi käsittelee laajemmin kriittisten toimijoiden fyysistä ja operatiivista häiriönsietokykyä. Ne täydentävät toisiaan. Keskeinen yhteys on, että kaikki CER-direktiivin nojalla kriittisiksi nimetyt toimijat kuuluvat automaattisesti myös NIS2-direktiivin soveltamisalaan, riippumatta niiden koosta. Organisaation on hallittava molempien direktiivien vaatimukset kokonaisuutena.
