Sudenkuopat, poistuminen ja viralliset lähteet
Kyberturvallisuuslaki ja pilvipalvelut: koskeeko NIS 2 palveluntarjoajaa ja mitä se tarkoittaa asiakkaalle
Kyberturvallisuuslaki 124/2025 pilvi- ja datakeskuspalvelujen tarjoajille ja niiden asiakkaille – soveltamisala, Traficomin valvonta, poikkeamailmoitukset ja toimitusketjun riskienhallinta.
Kyberturvallisuuslaki (124/2025) tuli voimaan 8.4.2025, ja se panee täytäntöön EU:n NIS 2 -direktiivin. Lain liitteen I kohdassa 6 (digitaalinen infrastruktuuri) mainitaan pilvipalvelun tarjoajat ja datakeskuspalvelun tarjoajat, ja kohdassa 7 TVT-palvelujen hallinta eli muun muassa hallintapalvelun tarjoajat. Lain piiriin kuuluvat näistä pääsääntöisesti vähintään keskisuuret yritykset, ja niiden valvonnasta vastaa Liikenne- ja viestintävirasto Traficom (26 §). Pk-yritykselle, joka ostaa pilvipalvelua, laki merkitsee kahta asiaa: palveluntarjoajalla voi olla lakisääteisiä velvoitteita, joista asiakas hyötyy, ja jos asiakasyritys itse kuuluu lain piiriin, sen riskienhallinnan pitää kattaa myös pilvipalvelut ja muu toimitusketju. Opas kuuluu kokonaisuuteen pilvilaskun sudenkuopat.
Ketä laki koskee pilvi- ja hostingalalla
Lain 3 §:n mukaan lakia sovelletaan toimijaan, joka harjoittaa liitteessä I tai II tarkoitettua toimintaa ja täyttää tai ylittää komission suosituksen 2003/361/EY mukaiset keskisuuren yrityksen edellytykset. Tietyt toimijat kuuluvat lain piiriin koostaan riippumatta, esimerkiksi yleisten viestintäverkkojen tarjoajat, luottamuspalvelun tarjoajat, aluetunnusrekisterin ylläpitäjät ja DNS-palveluntarjoajat.
| Toimijatyyppi | Liite | Kokoraja | Valvoja |
|---|---|---|---|
| Pilvipalvelun tarjoaja | I, kohta 6 d | Vähintään keskisuuri (pääsääntö) | Traficom |
| Datakeskuspalvelun tarjoaja | I, kohta 6 e | Vähintään keskisuuri (pääsääntö) | Traficom |
| Sisällönjakeluverkon tarjoaja | I, kohta 6 f | Vähintään keskisuuri (pääsääntö) | Traficom |
| DNS-palveluntarjoaja | I, kohta 6 b | Koosta riippumatta | Traficom |
| Hallintapalvelun tarjoaja (managed service) | I, kohta 7 | Vähintään keskisuuri (pääsääntö) | Traficom |
Lain 6 §:n mukaan pilvipalvelujen, datakeskuspalvelujen ja hallintapalvelujen tarjoajat kuuluvat Suomen lain soveltamisalaan, jos niiden päätoimipaikka tai EU:hun nimetty edustaja on Suomessa. Kansainvälistä pilvialustaa valvotaan siis tavallisesti siinä jäsenvaltiossa, jossa sen EU-päätoimipaikka on.
Pieni suomalainen hostingyritys tai ylläpitokumppani ei välttämättä kuulu lain piiriin, jos se on alle keskisuuren yrityksen rajojen. Se ei tarkoita, että sen tietoturva olisi huonompi, mutta lakisääteisiä velvoitteita ei silloin ole. Tarkista asia kysymällä palveluntarjoajalta.
Mitä laki edellyttää lain piiriin kuuluvalta tarjoajalta
- Riskienhallinta (7–9 §): toimintamalli ja oikeasuhtaiset tekniset, operatiiviset ja organisatoriset hallintatoimenpiteet, mukaan lukien pääsynhallinta, salaus, poikkeamien käsittely, varmuuskopiointi ja jatkuvuus.
- Johdon vastuu (10 §): johdon on hyväksyttävä ja valvottava riskienhallintaa.
- Poikkeamailmoitukset viranomaiselle (11–13 §): viipymättä ilmoitus merkittävästä poikkeamasta; ensi-ilmoitus 24 tunnin ja jatkoilmoitus 72 tunnin kuluessa poikkeaman havaitsemisesta sekä myöhemmin loppuraportti.
- Ilmoitus asiakkaille (14 §): toimijan on ilmoitettava viipymättä merkittävästä poikkeamasta palvelujensa vastaanottajille, jos poikkeama todennäköisesti haittaa palvelujen tarjoamista, sekä merkittävästä kyberuhkasta ja käytettävissä olevista toimenpiteistä niille vastaanottajille, joihin uhka saattaa vaikuttaa.
Asiakkaalle 14 § on hyödyllinen: lain piiriin kuuluvalta tarjoajalta voit odottaa ilmoitusta merkittävästä poikkeamasta. Kirjaa sopimukseen silti, mihin osoitteeseen ilmoitukset tulevat ja kuka yrityksessäsi vastaanottaa ne.
Jos oma yrityksesi kuuluu lain piiriin
Jos yrityksesi on itse lain tarkoittama toimija – esimerkiksi keskisuuri yritys liitteen I tai II toimialalla – riskienhallinnan on katettava myös ostetut pilvipalvelut. Lain 9 §:n 2 momentin mukaan toimintamallissa ja hallintatoimenpiteissä on otettava huomioon muun muassa toimitusketjun välittömien toimittajien ja palveluntarjoajien palvelujen laatu, häiriönsietokyky ja kyberturvallisuuskäytännöt sekä varmuuskopiointi ja palautumissuunnittelu.
Käytännössä pilvihankinnassa:
- Selvitä, kuuluuko palveluntarjoaja itse lain tai toisen jäsenvaltion vastaavan lain piiriin.
- Pyydä kuvaus tietoturvakäytännöistä ja mahdollisista sertifioinneista tai auditoinneista.
- Sovi poikkeamien ilmoittamisesta, vasteajoista ja yhteyshenkilöistä.
- Varmista, että varmuuskopiot ja palautus ovat osa omaa jatkuvuussuunnitelmaasi.
- Dokumentoi arvio osaksi riskienhallinnan toimintamallia.
Palveluja ostavan yrityksen näkökulmasta lain soveltamisala ja poikkeamailmoitukset on käsitelty Kyberturvallisuuskeskuksen NIS 2 -sivuilla. Tarkista sieltä, kuuluuko yrityksesi lain piiriin ja miten Traficomin toimijaluetteloon ilmoittaudutaan.
Vaikutus hintaan
Lakisääteiset velvoitteet näkyvät palveluntarjoajan kustannuksissa (valvonta, dokumentaatio, poikkeamien käsittely), mutta asiakkaalle niistä ei yleensä laskuteta erikseen. Hintaan vaikuttavat enemmän asiakkaan omat vaatimukset:
| Asiakkaan vaatimus | Mahdollinen kustannusvaikutus (havainnollinen) |
|---|---|
| Lokien pitkä säilytys ja vienti omaan järjestelmään | Lokitallennus €/Gt ja lähtevä liikenne |
| Vikasietoisuus kahdessa vyöhykkeessä | Laskentakulut noin kaksinkertaiset + kuormantasaaja |
| Muuttumattomat varmuuskopiot | Tallennustila varattuna koko säilytysajan |
| 24/7-päivystys hallinnoidussa palvelussa | Kuukausimaksun korotus tai erillinen päivystysmaksu |
| Säännöllinen auditointi tai raportointi | Kertamaksu tai vuosimaksu |
Havainnollinen esimerkki: yritys tallentaa palvelinten lokit 12 kuukauden ajan. Lokeja kertyy 5 Gt kuukaudessa, joten vuoden lopussa tallessa on 60 Gt. Objektitallennuksessa hinnalla 0,02 €/Gt/kk kulu on vuoden lopussa 1,20 €/kk – pieni. Jos lokit tallennetaan hallinnoituun lokianalytiikkapalveluun, joka laskuttaa esimerkiksi 0,50 €/Gt vastaanotetulta datalta, 5 Gt maksaa 2,50 €/kk; suurilla lokimäärillä erä kasvaa nopeasti. Säilytystavan valinta ratkaisee kustannuksen.
Kyberturvallisuuslaki, GDPR ja Data Act – miten ne liittyvät toisiinsa
- Kyberturvallisuuslaki koskee viestintäverkkojen ja tietojärjestelmien turvallisuutta ja lain piiriin kuuluvia toimijoita.
- Tietosuoja-asetus koskee henkilötietojen käsittelyä: käsittelijäsopimus, turvatoimet (32 artikla) ja tietoturvaloukkausten ilmoittaminen. Lue datan sijainti, GDPR ja siirrot.
- Datasäädös koskee pilvipalvelun vaihtamista ja datan siirrettävyyttä. Lue Data Act ja pilvipalvelun vaihto.
Sama tapahtuma voi laukaista ilmoitusvelvollisuuden useamman säädöksen nojalla. Siksi sopimuksessa kannattaa sopia yhdestä yhteisestä ilmoitusmenettelystä. Sopimusehdoista lisää oppaassa SLA ja sopimusehdot.
Sopimukseen lisättävät kyberturvallisuuskohdat
Riippumatta siitä, kuuluuko palveluntarjoaja lain piiriin, nämä kohdat kannattaa kirjata sopimukseen: poikkeamien ilmoittamisen määräaika ja yhteystiedot, vastuunjako päivityksissä ja haavoittuvuuksien korjaamisessa, pääkäyttäjätunnusten hallinta ja monivaiheinen tunnistautuminen, lokien säilytys ja luovutus asiakkaalle selvitystä varten sekä varmuuskopioiden ja palautuksen vastuut.
Milloin kysyä asiantuntijalta
Jos et ole varma, kuuluuko yrityksesi lain piiriin (esimerkiksi konsernin, kumppaniyritysten tai liitteiden toimialamääritelmien vuoksi), selvitä asia Kyberturvallisuuskeskuksen ohjeista tai kysy asiantuntijalta. Väärä tulkinta voi johtaa siihen, että ilmoittautuminen toimijaluetteloon tai riskienhallinnan toimintamalli jää tekemättä.
Usein kysyttyä
Koskeeko kyberturvallisuuslaki jokaista pilvipalvelun tarjoajaa?
Ei. Pilvi- ja datakeskuspalvelujen tarjoajat kuuluvat lain piiriin pääsääntöisesti, kun ne ovat vähintään keskisuuria yrityksiä ja niiden päätoimipaikka tai EU-edustaja on Suomessa. Pienet tarjoajat jäävät usein ulkopuolelle, ellei jokin koosta riippumaton peruste täyty.
Saako asiakas tiedon, jos pilvipalvelussa on tietoturvapoikkeama?
Lain piiriin kuuluvan toimijan on ilmoitettava viipymättä merkittävästä poikkeamasta palvelujensa vastaanottajille, jos se todennäköisesti haittaa palvelujen tarjoamista (14 §). Sovi lisäksi sopimuksessa ilmoitusten vastaanottajasta.
Kuuluuko pieni yritys lain piiriin, jos se käyttää pilveä?
Pilven käyttäminen ei sinänsä tuo yritystä lain piiriin. Ratkaisevaa on yrityksen oma toimiala ja koko.
Kuka valvoo kansainvälisiä pilvialustoja?
Lähtökohtaisesti sen jäsenvaltion viranomainen, jossa alustan EU-päätoimipaikka tai nimetty edustaja on. Suomessa Traficom valvoo niitä, joiden päätoimipaikka tai edustaja on Suomessa.
Lähteet
- Kyberturvallisuuskeskus — NIS 2 ja kyberturvallisuuslaki, toimijaluettelo
- Liikenne- ja viestintävirasto Traficom — digitaalisen infrastruktuurin valvonta
- Finlex — kyberturvallisuuslaki 124/2025 (3, 6, 7–14 ja 26 §, liite I)
- EUR-Lex — NIS 2 -direktiivi (EU) 2022/2555
