NIS 2 Suomessa: kyberturvallisuus­laki

Ketä tämä koskee?

Usein kysytyt kysymykset

Onko NIS 2 pantu täytäntöön Suomessa?

On. Kyberturvallisuuslaki 124/2025 julkaistiin 7. huhtikuuta 2025, ja se tuli voimaan 8. huhtikuuta 2025 (47 §:n 1 momentti). Liitännäislait 125–140/2025 muuttivat toimialakohtaisia lakeja. Julkishallinnon toimialalla täytäntöönpanosta säädetään julkisen hallinnon tiedonhallinnasta annetussa laissa (906/2019), kuten kyberturvallisuuslain 1 § toteaa. Kyberturvallisuuslaki on julkaistu suomeksi ja ruotsiksi, ja molemmat tekstit ovat yhtä virallisia: tämä sivu lainaa suomenkielistä tekstiä. Euroopan komission rikkomusmenettely INFR(2024)0272 oli 28. lokakuuta 2026 edelleen avoinna perustellun lausunnon vaiheessa (7. toukokuuta 2025).

Ketä kyberturvallisuuslaki koskee?

Lakia sovelletaan liitteessä I tai II tarkoitettua toimintaa harjoittavaan toimijaan, joka täyttää tai ylittää mikroyritysten sekä pienten ja keskisuurten yritysten määritelmästä annetun komission suosituksen 2003/361/EY liitteen 2 artiklan mukaiset keskisuuria yrityksiä koskevat edellytykset (3 §:n 1 momentti). Koko ei ratkaise sähköisen viestinnän verkkojen ja palvelujen tarjoajien, luottamuspalvelun tarjoajien, aluetunnusrekisterin ylläpitäjien, DNS-palveluntarjoajien eikä kriittisten toimijoiden kohdalla (3 §:n 2 momentti). Lakia ei sovelleta toimijaan, jonka harjoittama liitteessä I tai II tarkoitettu toiminta on satunnaista ja vähäistä (4 §:n 5 momentti). Tämä sivu ei toista suosituksen raja-arvoja eikä liitteiden toimialaluetteloa.

Mitä ovat keskeinen toimija ja muu kuin keskeinen toimija?

Kyberturvallisuuslaki nimeää yhden luokan, keskeisen toimijan (27 §:n 2 momentti), ja valvonta on kohdistettava keskeisiin toimijoihin (27 §:n 1 momentti). Muut soveltamisalaan kuuluvat toimijat ovat muita kuin keskeisiä toimijoita, eikä laki käytä niistä direktiivin sanaa tärkeä toimija. Julkishallinnon toimialalla laki 906/2019 sen sijaan nimeää molemmat luokat (laki 906/2019, 18 a §:n 1 momentti). Toimija ilmoittaa itse, onko se keskeinen toimija (41 §:n 2 momentti).

Miten ja milloin toimija ilmoittautuu toimijaluetteloon?

Lain 41 §:ssä tarkoitettu ilmoitus on tehtävä viimeistään kuukauden kuluessa lain voimaantulosta tai siitä, kun 3 §:n mukaiset toimijan kriteerit täyttyvät (47 §:n 2 momentti). Ilmoituksessa kerrotaan toimijan nimi, yhteystiedot, IP-osoitealueet, toimiala, jäsenvaltiot, tiedonjakoon osallistuminen ja tieto siitä, onko se keskeinen toimija (41 §:n 2 momentti). Muutoksesta 2 momentissa tarkoitettuihin tietoihin on ilmoitettava valvovalle viranomaiselle kahden viikon kuluessa ja 3 momentissa tarkoitettuihin tietoihin kolmen kuukauden kuluessa muutoshetkestä (41 §:n 4 momentti). Kyberturvallisuuskeskuksen sivulla (päivitetty 13.10.2026) sanotaan: ”Voit ilmoittautua sähköisesti Traficomin ylläpitämään toimijaluetteloon.” Tämä koskee Traficomin toimialoja. Muiden valvovien viranomaisten kanavia ei ole Reglyzen aineistossa, joten tämä sivu ei nimeä niitä.

Mihin ja milloin merkittävästä poikkeamasta on ilmoitettava?

Toimijan on viipymättä ilmoitettava valvovalle viranomaiselle merkittävästä poikkeamasta (11 §:n 1 momentti), ei CSIRT-yksikölle. Valvovan viranomaisen on toimitettava ilmoitukset ja raportit CSIRT-yksikölle välittömästi (17 §:n 1 momentti), ja CSIRT-yksikkö toimii Liikenne- ja viestintävirastossa (19 §:n 1 momentti). Ensi-ilmoitus on tehtävä 24 tunnin kuluessa ja jatkoilmoitus 72 tunnin kuluessa merkittävän poikkeaman havaitsemisesta (11 §:n 2 momentti). Loppuraportti annetaan kuukauden kuluessa jatkoilmoituksen toimittamisesta tai, jos kyseessä on pitkäkestoinen poikkeama, kuukauden kuluessa sen käsittelyn päättymisestä (13 §:n 1 momentti). Merkittävällä poikkeamalla tarkoitetaan poikkeamaa, joka on aiheuttanut tai voi aiheuttaa vakavan palvelujen toimintahäiriön tai huomattavia taloudellisia tappioita asianomaiselle toimijalle, sekä poikkeamaa, joka on vaikuttanut tai voi vaikuttaa muihin luonnollisiin henkilöihin tai oikeushenkilöihin aiheuttamalla huomattavaa aineellista tai aineetonta vahinkoa. Valvovien viranomaisten teknisiä määräyksiä ilmoitusten sisällöstä ja muodosta (11 §:n 5 momentti) ei ole Reglyzen aineistossa, joten tämä sivu ei nimeä ilmoituskanavaa.

Mistä hetkestä määräajat lasketaan?

Merkittävän poikkeaman havaitsemisesta (11 §:n 2 momentti). NIS 2 -direktiivin suomenkielinen teksti sanoo toisin: ”24 tunnin kuluessa siitä, kun ne ovat tulleet tietoisiksi poikkeamasta” (23 artiklan 4 kohdan a alakohta). Laki poikkeaa siis direktiivin sanamuodosta, ja Reglyze noudattaa lakia: se laskee suomalaisen toimijan ensi-ilmoituksen ja jatkoilmoituksen määräajat poikkeamalle kirjatusta havaitsemisajasta, joten ne eivät voi päättyä lain määräaikaa myöhemmin. Hallituksen esitystä HE 57/2024 ei ole luettu tältä osin.

Mitä laki vaatii riskienhallinnasta?

Toimijalla on oltava riskienhallinnan toimintamalli (8 §). Lain 8 §:ssä tarkoitettu riskienhallinnan toimintamalli oli laadittava kolmen kuukauden kuluessa lain voimaantulosta (47 §:n 3 momentti). Tämä sivu ei lainaa momentin loppuosaa, joten myöhemmin soveltamisalaan tulevan toimijan kannattaa lukea se laista. Myöskään 8 §:n sanamuotoa tai riskienhallintatoimenpiteitä koskevia säännöksiä ei lainata täällä: Reglyze arvioi organisaatiot NIS 2 -direktiivin vaatimusten pohjalta, ei toimenpide toimenpiteeltä suomalaista säädöstekstiä vasten.

Mitä laki vaatii johdolta?

Toimijan johdolla tulee olla riittävä perehtyneisyys kyberturvallisuutta koskevaan riskienhallintaan, ja johto hyväksyy ja valvoo riskienhallintaa (10 §:n 1 momentti). ”Johdolla tarkoitetaan toimijan hallitusta, hallintoneuvostoa ja toimitusjohtajaa” (10 §:n 2 momentti). Laki ei säädä johdolle koulutusvelvollisuutta samalla tavalla kuin direktiivin 20 artiklan 2 kohta. Valvova viranomainen voi kieltää määräajaksi henkilöä toimimasta keskeisen toimijan hallituksen jäsenenä (32 §), mutta ei julkishallinnossa.

Koskeeko NIS 2 valtion toimijoita, hyvinvointialueita ja kuntia?

Se riippuu hallinnon tasosta, ja säännökset ovat eri laissa. Julkishallinnon toimialasta säädetään julkisen hallinnon tiedonhallinnasta annetussa laissa (906/2019), ei kyberturvallisuuslaissa (1 §). Velvollisuudet ovat sen 4 a luvussa, jonka laki 125/2025 lisäsi. Luvun soveltamisalaan kuuluvat tiedonhallintayksiköt ovat julkishallinnon toimialan keskeisiä toimijoita: näin on esimerkiksi valtion toimijoiden kohdalla. Hyvinvointialueet ja hyvinvointiyhtymät sekä Helsingin kaupunki ovat kuitenkin tärkeitä toimijoita (laki 906/2019, 18 a §:n 1 momentti). Kokokriteerejä ei ole. Luku ei koske muun muassa tasavallan presidentin kansliaa, eduskunnan virastoja, Puolustusvoimia, poliisiyksiköitä, Rajavartiolaitosta, Syyttäjälaitosta, tuomioistuimia, Suomen Pankkia, yliopistoja eikä ammattikorkeakouluja (laki 906/2019, 3 §:n 3 momentti). Kunnalliset viranomaiset jäävät luvun ulkopuolelle lukuun ottamatta Helsingin kaupunkia, johon sovelletaan 4 a lukua sen hoitaessa hyvinvointialueiden järjestämisvastuulle lailla säädettyjä tehtäviä (laki 906/2019, 3 §:n 3 momentin 4 kohta). Kunta ei silti ole kokonaan NIS 2:n ulkopuolella: kyberturvallisuuslakia sovelletaan siihen liitteessä I tai II tarkoitetun toiminnan osalta sekä siltä osin, kun kunta on kriittinen toimija (4 §:n 6 momentti). Valvova viranomainen on Liikenne- ja viestintävirasto (laki 906/2019, 18 h §:n 1 momentti). Hyvinvointialueeseen, hyvinvointiyhtymään tai Helsingin kaupunkiin se voi kohdistaa valvontaa vain, jos on perusteltu syy epäillä, että mainittu ei ole noudattanut säädettyä (laki 906/2019, 18 h §:n 2 momentti). Ensi-ilmoitus on toimitettava viimeistään 24 tunnin kuluttua ja jatkoilmoitus viimeistään 72 tunnin kuluttua merkittävän poikkeaman havaitsemisesta (laki 906/2019, 18 d §:n 1 ja 2 momentti), ja loppuraportti annetaan kuukauden kuluessa jatkoilmoituksen toimittamisesta (laki 906/2019, 18 d §:n 3 momentti). Tietojen muutoksesta ilmoitetaan viimeistään kahden viikon kuluttua (laki 906/2019, 18 a §:n 3 momentti). Avoinna on, koskeeko 4 kohta maakunnan liittoa, joka on muodoltaan kuntayhtymä: sitä ei ole luettu. Traficomin julkishallinnon toimijaluettelon kanavaa ei myöskään ole Reglyzen aineistossa. Laki 906/2019 on luettu 5. marraskuuta 2026 Finlexin ajantasaistettuna tekstinä (16. kesäkuuta 2026).

Koskeeko laki pientä IT-yritystä?

Se riippuu siitä, mitä yritys tarjoaa. Luottamuspalvelun tarjoajiin, aluetunnusrekisterin ylläpitäjiin, DNS-palveluntarjoajiin sekä sähköisen viestinnän verkkojen ja palvelujen tarjoajiin lakia sovelletaan koostaan riippumatta (3 §:n 2 momentti). Hyväksytyt luottamuspalvelun tarjoajat, aluetunnusrekisterin ylläpitäjät ja DNS-palveluntarjoajat ovat keskeisiä toimijoita koostaan riippumatta (27 §:n 2 momentti). Muussa liitteissä I ja II tarkoitetussa toiminnassa yritys kuuluu soveltamisalaan vasta, kun se täyttää tai ylittää keskisuuria yrityksiä koskevat edellytykset (3 §:n 1 momentti). Silloin ilmoitus on tehtävä viimeistään kuukauden kuluessa siitä, kun 3 §:n mukaiset toimijan kriteerit täyttyvät (47 §:n 2 momentti).

Kuka valvoo?

Valvovia viranomaisia on seitsemän: Liikenne- ja viestintävirasto (Traficom), Energiavirasto, Tukes, Lupa- ja valvontavirasto, Elinvoimakeskus, Ruokavirasto ja Fimea (26 §:n 1 momentti). Liikenne- ja viestintävirasto valvoo liitteen I kohdissa 1–7 ja liitteen II kohdissa 1–5 tarkoitettuja toimijoita (26 §:n 1 momentin 1 kohta). Muiden viranomaisten vastuukohtia tämä sivu ei toista, joten tarkista oma valvova viranomaisesi laista. Säteilyturvakeskus tulee niiden joukkoon 1.1.2027 alkaen (laki 785/2026). Liikenne- ja viestintäviraston Kyberturvallisuuskeskus toimii keskitettynä yhteyspisteenä (18 §:n 1 momentti). Julkishallinnon toimialalla valvova viranomainen on Liikenne- ja viestintävirasto (laki 906/2019, 18 h §:n 1 momentti).

Miten Reglyze auttaa organisaatiota Suomessa?

Reglyze arvioi Suomessa toimivat organisaatiot NIS 2 -direktiivin vaatimusten pohjalta, laatii asiakirjoja, joissa viitataan kyberturvallisuuslakiin, sen määräaikoihin ja oikeaan vastaanottajaan, ja seuraa ensi-ilmoituksen ja jatkoilmoituksen määräaikoja merkittävän poikkeaman havaitsemisesta lukien. Julkishallinnon toimijan asiakirjat viittaavat lain 906/2019 4 a lukuun. Toimijaluetteloilmoituksen ja ilmoitukset merkittävästä poikkeamasta teet itse. Soveltamisalan arviointi Reglyzessä noudattaa direktiivin kriteerejä ja lain 906/2019 sääntöjä julkishallinnosta. Valtion toimija on keskeinen toimija ilman kokokriteerejä. Hyvinvointialue tai hyvinvointiyhtymä on tärkeä toimija ilman kokokriteerejä: laissa ei ole sanaa alueelliselle tasolle, joten arviointi rinnastaa ne siihen, ja tämä on Reglyzen tulkinta. Kunta jää julkishallinnon sääntöjen ulkopuolelle: ilmoita myös liitteen toimiala, jolla kunta toimii, niin se arvioidaan toimialan ja koon mukaan. Helsingin kaupunkia koskeva poikkeus ja lain 906/2019 4 a luvun ulkopuolelle jätetyt valtion toimijat näkyvät vain tuloksen perusteluissa. Arviointi ei kysy, onko liitteessä tarkoitettu toiminta satunnaista ja vähäistä (4 §:n 5 momentti). Tulos käyttää direktiivin luokkia: tärkeä toimija tarkoittaa kyberturvallisuuslaissa muuta kuin keskeistä toimijaa. Tulos kertoo, missä todennäköisesti olet, eikä korvaa lain tekstiä.

• Finlex: Kyberturvallisuuslaki 124/2025, Suomen säädöskokoelma
  Taso 1
• Finlex: Kyberturvallisuuslaki 124/2025, julkaistu teksti (PDF)
  Taso 1
• Finlex: Kyberturvallisuuslaki 124/2025, ajantasainen teksti
  Taso 1

Viimeksi tarkistettu: 2026-11-05 · seuraava tarkistus suunniteltu päivän 2026-12-31 jälkeen.