CER- ja NIS-direktiivit

CER-direktiivi parantaa häiriönsietokykyä yhteiskunnan kriittisissä palveluissa

CER-direktiivin (Critical Entities Resilience Directive, EU 2022/2557) tavoitteena on parantaa yhteiskunnan toiminnan kannalta kriittisten palveluiden häiriönsietokykyä eli varmistaa niiden mahdollisimman häiriötön ja jatkuva toiminta. Direktiivi korvasi aiemman ECI-direktiivin (2008). Suomessa direktiivi on pantu täytäntöön lailla yhteiskunnan kriittisen infrastruktuurin suojaamisesta ja häiriönsietokyvyn parantamisesta (310/2025, "CER-laki"), joka tuli voimaan 1.7.2025.

‍Laki kattaa 11 toimialaa, joiden palveluiden häiriöillä olisi merkittäviä yhteiskuntaa heikentäviä vaikutuksia: energia, liikenne, pankkiala, finanssimarkkinoiden infrastruktuuri, terveydenhuolto, juomavesi, jätevesi, digitaalinen infrastruktuuri, julkishallinto, avaruusala sekä elintarvikkeiden tuotanto, jalostus ja jakelu

Häiriönsietokykyä parannetaan jatkuvuussuunnittelulla

Lain vaatimuksiin vastataan toimialasta riippumatta parhaiten perusteellisella jatkuvuussuunnittelulla ja jatkuvuudenhallinnalla. Jokainen kriittisiä palveluita tarjoava organisaatio tarvitsee ajantasaisen ja parhaisiin käytäntöihin pohjautuvan jatkuvuussuunnitelman, joka kattaa riskienhallinnan, varautumisen sekä toiminnan palauttamisen häiriö- ja poikkeustilanteissa.

Vaikka CER-velvoitteet koskevat vain kriittisiksi nimettyjä toimijoita, varautuminen, riskienhallinta ja henkilöstön turvallisuudesta huolehtiminen ovat hyödyllisiä jokaiselle elintärkeitä palveluita tuottavalle organisaatiolle.

Direktiivi tuo pakollisia velvoitteita

CER-laki muuttaa varautumisen luonnetta: aiemmin kriittisten toimialojen osallistuminen häiriönsietokyvyn parantamiseen perustui pitkälti vapaaehtoisuuteen, kun taas CER-laki asettaa kriittisiksi nimetyille toimijoille sitovia velvoitteita.Velvoitteet koskevat niitä toimijoita, jotka kunkin toimialan vastuuministeriö nimeää kriittisiksi. Nimeäminen perustuu kansalliseen CER-riskiarvioon ja valtakunnalliseen suunnitelmaan (CER-strategia), ja soveltamisalaa rajataan toimialoittain esimerkiksi toimijan koon tai roolin perusteella. Ensimmäiset nimeämispäätökset tehdään 17.7.2026 mennessä, ja ne päivitetään tämän jälkeen neljän vuoden välein. Nimettyjen kriittisten toimijoiden lista ei ole julkinen.

Kun toimija on nimetty kriittiseksi, sille syntyy konkreettisia ja määräaikaan sidottuja velvoitteita. Toimijan on laadittava riskiarvio yhdeksän kuukauden kuluessa nimeämisestä, ja häiriönsietokykyä koskeva suunnitelma on laadittava vuoden kuluessa oman riskiarvion valmistumisesta. Lisäksi toimijan on toteutettava käytännön toimenpiteitä, kuten häiriöiden ennaltaehkäisy, kriittisen infrastruktuurin fyysinen suojaaminen, riskien- ja kriisinhallinnan järjestelyt sekä henkilöstön turvallisuusselvitykset, ja huolehdittava siitä, että johto ja henkilöstö harjoittelevat kriisitilanteita. Merkittävistä poikkeamista on ilmoitettava valvovalle viranomaiselle, ja ensi-ilmoitus on tehtävä 24 tunnin kuluessa poikkeaman havaitsemisesta.

Fyysinen ja digitaalinen varautuminen kannattaa suunnitella yhtenä kokonaisuutena

Direktiivin soveltamisen perusteina ovat direktiivin kriteeristö sekä kansallinen riskiarvio. Soveltamiseen tulee toimialoittain rajauksia esimerkiksi yrityksen koon tai organisaation roolin mukaan.

Avainasemassa ovat organisaatioiden omien riskiarvioiden ja kriisinkestävyyssuunnitelmien eli toiminnan jatkuvuussuunnitelmien laatiminen.Organisaatioiden kriisinsietokykyyn tulee konkreettisia vaatimuksia, kuten häiriöiden ehkäisy, infrastruktuurin fyysinen suojaaminen, riskin- ja kriisinhallintajärjestelyt sekä jatkuvuudenhallinta ja henkilöstön turvallisuusselvitykset. Lisäksi viranomaisille tulee direktiivin perusteella uusia velvoitteita.

Yritysten kannattaa ottaa huomioon myös valmiuslain soveltamisalan tuleva laajeneminen sekä julkishallinnon jatkossa yksityisen sektorin kumppaneiltaan edellyttämä varautuminen. Tätä koskeva lainsäädäntö tulee voimaan aikaisintaan vuonna 2026.

Varaudu myös laajenevaan sääntelyyn

‍CER-lain rinnalla on hyvä seurata valmiuslain kokonaisuudistusta, jonka myötä myös yrityksille kohdistuvat varautumisvelvoitteet ovat laajenemassa. Lisäksi julkishallinto edellyttää yhä useammin yksityisen sektorin kumppaneiltaan varautumista ja jatkuvuudenhallintaa.

Kun jatkuvuussuunnittelu on kunnossa, organisaatio täyttää CER-lain velvoitteet ja on samalla valmis vastaamaan muuttuvaan sääntely-ympäristöön.

‍

‍

NIS2-direktiivi parantaa kyberturvallisuuden perustasoa EU:ssa

Uuden NIS2-direktiivin tavoitteena on parantaa koko Euroopan unionin kyberturvallisuuden perustasoa, ja siinä asetetaan direktiivin alaisille toimialoille minimitaso kyberturvallisuusriskien hallintaan. NIS2-direktiivi astui voimaan 14. joulukuuta 2022, ja siirtymäaika kansalliseen on käynnissä. NIS2 korvaa aiemman NIS-direktiivin.

Direktiivin sovelluskohteisiin kuuluvat lukuisat sektorit ja toimialat: energia-ala, liikenne, finanssiala, vesihuolto, terveydenhuolto, digitaalinen infrastruktuuri, tietoverkkopalvelut, julkishallinto, avaruusalan toimijat, posti- ja kuriiripalvelut, elintarvikkeiden valmistus, tuotanto ja jakelu, valmistava teollisuus, kemianteollisuus, jätehuolto, digitaalisten palveluiden tarjoajat sekä tutkimustoiminta.

Direktiivi koskee yrityksiä, joissa on enemmän kuin 250 työntekijää, tai joiden liikevaihto ylittää 10 miljoonaa euroa. NIS2-direktiivi koskee lisäksi kaikkia CER-direktiivin perusteella kriittisiksi luokiteltuja toimijoita.

Ihmisiä istumassa pöydän ääressä, tutkimassa ja keskustelemassa asiakirjoja ja graafeja.

Direktiivi lisää raportointivelvollisuutta ja antaa vähimmäisvaatimukset

Keskeiset uudistukset aiempaan NIS-direktiivin verrattuna ovat toimialojen lukumäärän kasvu sekä artikla 21, joka velvoittaa toimijat raportoimaan tietoturvan riskienhallinnastaan.

Artikla 21 sisältää luettelon toimenpiteistä, jotka yrityksessä on otettava käyttöön. Luettelo kuvaa vähimmäisstandardit muun muassa riskianalyysille, turvallisuuskonsepteille, tietoturvaloukkausten ehkäisemiselle, kyberturvallisuuskoulutukselle sekä kriisinhallinnalle.
‍
Vaatimukset liittyvät tietoturvanhallintaan ja sen hallintajärjestelmään, "tietoturvahygieniaan" sekä raportointiin. Vaatimukset eivät niinkään kosketa tietoturvan

Direktiivi painottaa jatkuvuussuunnittelua ja kriisinsietokykyä

teknistä toteutusta, vaikka yksittäisenä asiana edellytetään monivaiheisen tunnistautumisen käyttöä aina kun se on mahdollista.

Direktiivi tähtää kyberturvallisuuden riman nostoon

Keskeisiä vähimmäisvaatimuksia ovat:

raportointivelvollisuus tietoturvapoikkeamista (mukaan lukien määritellyt aikarajat)
riskiarvioiden tuottaminen
tietojärjestelmiä koskevat turvallisuuspolitiikat
poikkeamahallintamenetelmät
toiminnan jatkuvuusvalmistelut
määrittely johdon vastuista
tietoturvatietoisuuden lisääminen koulutuksella

Direktiivin noudattaminen on sanktioitu, ja rangaistus on enimmillään 10 miljoonaa euroa tai 2 prosenttia yrityksen kansainvälisestä liikevaihdosta. Direktiiviin liittyvä uusi laki on lausuntokierroksella, ja tullessaan voimaan laki asettaa minimitason, joka kaikkien toimialojen on toteutettava NIS2-direktiivin osalta. Laki määrittelee mitä on tehtävä, ei miten. Toimialakohtaisesti voidaan säätää lisäksi tiukempia ja yksityiskohtaisempia määräyksiä.

ISO/IEC 27001 -standardi vastaa hyvin NIS2-direktiiviin vaatimuksiin, mutta esimerkiksi jatkuvuudenhallinta voi vaatia ISO/IEC 27001 -standardia laajempia toimia.

Hyvin toteutetut liiketoiminnan jatkuvuudenhallinta- ja tietoturvanhallintajärjestelmä luovat pohjan CER- ja NIS2-direktiivien toimeenpanevien lakien vaatimusten täyttämiseen.

‍Autamme selvitämään organisaationne tilanteen ja kehityskohteet liiketoiminnan jatkuvuudenhallinnan, valmiussuunnittelun, CER-direktiivin ja NIS2/Kyberturvallisuuslain vaatimusten osalta.

Käytämme laatimiamme laajoja CER-direktiivin ja NIS2/Kyberturvallisuuslain vaatimusten ja toimialakohtaisesti täydennettyjä tarkistuslistoja organisaation tilanteen selvittämiseksi.

Lisätietoa CER-direktiivistä:

‍

EUR Lex - Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON DIREKTIIVI kriittisten toimijoiden häiriönsietokyvystä

‍CER Direktiivi: DIRECTIVE (EU) 2022/2557 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 14 December 2022

Huoltovarmuuskeskus - CER-direktiivin valmistelu

‍Valtioneuvosto - CER-laki, lainsäädäntöhanke, säädösvalmistelu

Lisätietoa NIS2-direktiivistä:

‍

‍Euroopan komissio - Direktiivi toimenpiteistä yhteisen korkeatasoisen kyberturvallisuuden varmistamiseksi koko unionissa

‍Valtioneuvosto - NIS2-direktiiviin kansallista toimeenpanoa tukeva työryhmä

‍EUR Lex - NIS2 Direktiivi suomeksi

‍
‍

REFERENSSEJÄ

Mitä asiakkaamme sanovat

"Monipuolinen ja vaativakin harjoitus koeponnisti suunnitelmiamme ja osoitti, kuinka tärkeää suunnitelmia on testata käytännön harjoittelulla. Harjoituksen tuloksena syntyi paljon uusia ajatuksia, joiden pohjalta kehitämme toimintaamme."

TOIMITUSJOHTAJA

Sähköverkkoyritys

"Jatkuvuuskonsultointi Oy järjesti meille harjoituksen, jossa testattiin konsernijohdon ja sairaanhoitoalueen yhteistoimintaa, kriisiviestinnän järjestelyjä sekä valmiuskäytäntöjemme toimivuutta. Saimme päivän aikana paljon kehitysideoita eri organisaatiotasojen suunnitelmien kehittämiseen."

JOHTAJAYLILÄÄKÄRI

Sairaanhoitopiiri

"Harjoitukseen Jatkuvuuskonsultointi loi tilanteen mukaisen harjoituskehyksen, joka testasi erinomaisesti organisaatiomme kykyä toimia kriisissä ja oli innostava kaikille osallistujille."

TOIMITUSJOHTAJA

Vesihuoltolaitos