Sudenkuopat, poistuminen ja viralliset lähteet
Viralliset lähteet pilvi- ja hostinghankintaan: viranomaiset, lait ja EU-säädökset
Viralliset lähteet pilvi- ja hostinghankintaan Suomessa – Traficom, Kyberturvallisuuskeskus, tietosuojavaltuutettu, Verohallinto, Finlex ja EU-säädökset – ja mitä niistä tarkistetaan.
Pilvi- ja hostinghankinnan säännöt löytyvät muutamasta virallisesta lähteestä: Finlex (Suomen lait), EUR-Lex (EU-asetukset ja -direktiivit), Traficom ja Kyberturvallisuuskeskus (datasäädöksen ja kyberturvallisuuslain valvonta sekä tietoturvaohjeet), tietosuojavaltuutetun toimisto (henkilötiedot), Verohallinto (arvonlisävero ja verotus) ja kirjanpitolautakunta (kirjanpidon ohjeet). Tähän oppaaseen on koottu, mitä kustakin lähteestä kannattaa tarkistaa ja mitkä säädökset koskevat pk-yrityksen pilvihankintaa vuonna 2026. Tarkista aina ajantasainen tieto lähteestä itsestään, koska säädöksiä muutetaan. Opas kuuluu kokonaisuuteen pilvilaskun sudenkuopat.
Viranomaiset ja mitä niiltä tarkistetaan
| Viranomainen | Rooli pilvihankinnassa | Tarkista |
|---|---|---|
| Liikenne- ja viestintävirasto Traficom | Datasäädöksen datakoordinaattori ja valvoja (laki 1148/2025); kyberturvallisuuslain valvoja digitaalisen infrastruktuurin ja TVT-palvelujen hallinnan osalta | Datasäädöksen valvonta, ilmoitukset, ohjeet |
| Kyberturvallisuuskeskus (osa Traficomia) | Tietoturvaohjeet, NIS 2 -tieto, toimijaluettelo, poikkeamailmoitukset | Kuuluuko yritys lain piiriin, varmuuskopiointi- ja pilviohjeet |
| Tietosuojavaltuutetun toimisto | Kansallinen tietosuojan valvontaviranomainen (tietosuojalaki 1050/2018) | Käsittelijäsopimukset, siirrot EU:n ulkopuolelle, tietoturvaloukkaukset |
| Verohallinto | Arvonlisävero ja tuloverotus | Verokanta 25,5 %, käännetty verovelvollisuus, ulkomaan valuutan muuntaminen, poistot |
| Kirjanpitolautakunta | Kirjanpitolain soveltamisohjeet ja lausunnot | Sähköinen säilyttäminen, aineiston siirto |
| Valtiovarainministeriö | Julkisen hallinnon tiedonhallinnan ohjaus | Vain, jos asiakas on viranomainen |
Suomen lait (Finlex)
- Arvonlisäverolaki 1501/1993: 84 § (yleinen verokanta 25,5 %), 9 § (ostaja verovelvollinen ulkomaisen myyjän palveluista), 65 § (yritykselle myydyn palvelun myyntimaa). Lue pilvipalvelun alv ja dollarihinnat.
- Laki datan hallinnan ja jakamisen valvonnasta 1148/2025: voimaan 1.1.2026; Traficom datakoordinaattorina ja toimivaltaisena viranomaisena (2 §); seuraamusmaksut datankäsittelypalvelun tarjoajille (18 §). Lue Data Act ja pilvipalvelun vaihto.
- Kyberturvallisuuslaki 124/2025: voimaan 8.4.2025; pilvi- ja datakeskuspalvelujen tarjoajat liitteen I kohdassa 6; Traficom valvoo (26 §). Lue kyberturvallisuuslaki ja pilvipalvelut.
- Kirjanpitolaki 1336/1997: 2 luvun 7 § (selväkielinen muoto), 9 § (tarkastelu Suomesta käsin), 10 § (säilytysajat 10 ja 6 vuotta). Lue kirjanpitoaineisto pilvessä.
- Tietosuojalaki 1050/2018: tietosuoja-asetusta täydentävä kansallinen laki.
- Oikeustoimilaki 228/1929, 36 §: kohtuuttoman sopimusehdon sovittelu. Lue SLA ja sopimusehdot.
- Elinkeinoverolaki 360/1968: hankitun palvelinlaitteiston poistot (esim. koneiden ja kaluston menojäännöspoisto ja lyhytikäisten hankintojen kertapoisto). Tarkista soveltaminen Verohallinnon ohjeista tai kirjanpitäjältä.
- Laki julkisen hallinnon tiedonhallinnasta 906/2019: koskee viranomaisia. Jos asiakkaasi on viranomainen, se voi asettaa palveluntarjoajalle tietoturva- ja sijaintivaatimuksia tämän lain ja omien ohjeidensa perusteella. Tämä sivusto ei käsittele julkisen sektorin hankintoja tarkemmin.
EU-säädökset (EUR-Lex)
| Säädös | Mitä se koskee | Keskeiset kohdat |
|---|---|---|
| Datasäädös (EU) 2023/2854 | Pilvipalvelun vaihtaminen ja datan siirrettävyys | 23–31 artikla; sovelletaan 12.9.2025 alkaen; vaihtomaksut poistuvat 12.1.2027 (29 artikla); rinnakkaiskäyttö (34 artikla) |
| Tietosuoja-asetus (EU) 2016/679 | Henkilötietojen käsittely | 28 artikla (käsittelijä), 32 artikla (turvallisuus), V luku (siirrot) |
| Komission päätös (EU) 2023/1795 | EU–US-tietosuojakehys | Riittävyyspäätös sertifioituneille yhdysvaltalaisille organisaatioille |
| NIS 2 -direktiivi (EU) 2022/2555 | Kyberturvallisuuden vähimmäistaso | Pantu täytäntöön kyberturvallisuuslailla 124/2025 |
Unionin yleinen tuomioistuin hylkäsi 3.9.2025 kanteen, jolla vaadittiin EU–US-tietosuojakehyksen kumoamista (asia T-553/23). Tuomiosta on valitettu unionin tuomioistuimeen 31.10.2025 (asia C-703/25 P), ja asia oli lokakuussa 2026 vielä vireillä. Seuraa ratkaisua.
Keskeiset päivämäärät 2024–2027
Pilvihankintaa koskevat säännöt ovat muuttuneet nopeasti. Alla olevaan aikajanaan on koottu päivämäärät, jotka vaikuttavat vuoden 2026 hankintoihin ja sopimuksiin.
| Päivämäärä | Muutos | Merkitys pilviasiakkaalle |
|---|---|---|
| 11.1.2024 | Datasäädös tuli voimaan; alennettujen vaihtomaksujen kausi alkoi | Vaihtomaksut saavat olla enintään vaihdon välittömien kustannusten suuruisia |
| 1.9.2024 | Arvonlisäveron yleinen verokanta nousi 25,5 %:iin | Verollinen hinta = veroton × 1,255 |
| 8.4.2025 | Kyberturvallisuuslaki 124/2025 voimaan | Pilvi- ja datakeskuspalvelujen tarjoajat voivat kuulua lain piiriin |
| 12.9.2025 | Datasäädöstä alettiin soveltaa | Vaihtamisen sopimusehdot (25 artikla), tiedonantovelvoitteet ja avoimuus |
| 1.1.2026 | Laki 1148/2025 voimaan | Traficom datakoordinaattorina ja valvojana Suomessa |
| 12.1.2027 | Vaihtomaksut poistuvat | Vaihtoon liittyviä maksuja, mukaan lukien datan poistomaksut, ei saa periä |
Kun luet vanhempaa ohjetta, blogia tai tarjousta, tarkista, onko se kirjoitettu ennen näitä päivämääriä. Esimerkiksi ennen syyskuuta 2024 laaditut laskelmat käyttävät vanhaa 24 %:n verokantaa, ja ennen syyskuuta 2025 tehdyistä pilvisopimuksista voivat puuttua datasäädöksen edellyttämät vaihtoehdot. Myös EU–US-tietosuojakehyksen asema on ollut tuomioistuimen arvioitavana, joten tarkista sen tilanne ennen kuin nojaat siihen siirtoperusteena.
Miten luet lähteitä tehokkaasti
- Aloita viranomaisen ohjeesta, ei lakitekstistä. Traficomin, Kyberturvallisuuskeskuksen ja tietosuojavaltuutetun ohjeet selittävät säännöt käytännön kielellä.
- Tarkista lakiteksti Finlexistä ajantasaisena versiona, kun tarvitset tarkan pykälän. Katso, mistä päivästä alkaen muutokset ovat voimassa.
- EU-asetukset ovat suoraan sovellettavaa oikeutta. Lue suomenkielinen versio EUR-Lexistä ja tarkista artiklan numero.
- Kirjaa lähde ja päivämäärä omaan hankintadokumentaatioosi.
- Erota sitova ja ohjeellinen. Laki ja EU-asetus sitovat; viranomaisen ohje kertoo, miten viranomainen soveltaa sääntöä; Euroopan tietosuojaneuvoston suositukset ja komission usein kysytyt kysymykset auttavat tulkinnassa, mutta eivät ole lakia.
Finlexissä kannattaa lukea ajantasainen säädös eikä alkuperäistä säädöskokoelman versiota, koska esimerkiksi arvonlisäverolakia ja kyberturvallisuuslakia on muutettu useaan kertaan. Ajantasaisen version yhteydessä näkyvät muutossäädökset ja niiden voimaantulopäivät. Jos jokin muutos tulee voimaan vasta myöhemmin, Finlex näyttää myös aiemman sanamuodon, mikä on tärkeää, kun sopimus kestää usean vuoden.
Hinnat eivät tule viranomaisilta
Viranomaiset eivät julkaise pilvi- tai hostingpalvelujen hintoja. Hinnat tarkistetaan palveluntarjoajien omista hinnastoista ja tarjouksista. Kirjaa hinnan lähde, päivämäärä, alue ja valuutta, koska pilvihinnat vaihtelevat alueittain ja muuttuvat. Tämän sivuston luvut ovat havainnollisia, ja niiden tarkoitus on auttaa ymmärtämään laskun rakennetta. Valuuttakurssit voit tarkistaa Suomen Pankin tai Euroopan keskuspankin sivuilta. Laskurit: kuukausiarvio, ALV-laskuri, korotus- ja valuuttapuskuri ja takaisinmaksu.
Milloin kysyä asiantuntijalta
Viralliset lähteet kertovat säännöt, mutta eivät ratkaise yksittäistapausta. Käänny juristin, tietosuojavastaavan, tilitoimiston tai tietoturva-asiantuntijan puoleen, jos käsittelet erityisiä henkilötietoja, yrityksesi kuuluu kyberturvallisuuslain piiriin, sopimukseen sovelletaan ulkomaista lakia tai palvelu on liiketoimintakriittinen.
Usein kysyttyä
Mistä löydän datasäädöksen suomeksi?
EUR-Lexistä hakemalla asetusta (EU) 2023/2854. Suomessa sen valvonnasta kertoo Traficom.
Mistä näen, onko yhdysvaltalainen palveluntarjoaja sertifioitunut tietosuojakehykseen?
Yhdysvaltain viranomaisten ylläpitämältä Data Privacy Framework -sivustolta, jossa on sertifioituneiden organisaatioiden luettelo.
Mistä tarkistan arvonlisäverokannan?
Verohallinnon sivuilta ja arvonlisäverolain 84 §:stä Finlexissä. Yleinen verokanta on 25,5 % 1.9.2024 alkaen.
Antaako Traficom neuvoja yksittäisen sopimuksen tulkintaan?
Viranomainen antaa yleistä ohjausta ja valvoo, mutta ei yleensä toimi yksittäisen yrityksen sopimusneuvojana. Yksittäistapauksessa käänny juristin puoleen.
Lähteet
- Finlex — Suomen lait ajantasaisina
- EUR-Lex — EU-asetukset, -direktiivit ja komission päätökset
- Liikenne- ja viestintävirasto Traficom — datasäädöksen ja kyberturvallisuuslain valvonta
- Kyberturvallisuuskeskus — tietoturvaohjeet ja NIS 2
- Tietosuojavaltuutetun toimisto — tietosuoja
- Verohallinto — arvonlisävero ja verotus
- Kirjanpitolautakunta — kirjanpitolain soveltamisohjeet
- Valtiovarainministeriö — julkisen hallinnon tiedonhallinta
- Data Privacy Framework — sertifioituneet yhdysvaltalaiset organisaatiot
- Suomen Pankki — valuuttakurssit
