mikä on kyberturvallisuuslaki ja mitä muuttuu

Kyberhyökkäysiltä suojaava turvallisuuslaki panee NIS2:n täytäntöön Suomen lainsäädännössä

Kyberhyökkäysiltä suojaava turvallisuuslaki on Suomen laki, jolla Euroopan unionin NIS2-direktiivi pannaan täytäntöön kansallisiksi säännöiksi. NIS2 on Euroopan unionin direktiivi, ja direktiivi ei ole automaattisesti voimassa kaikissa jäsenvaltioissa — siihen tarvitaan kansallinen lainsäädäntö. Suomessa kyse on kyberhyökkäysiltä suojaavasta turvallisuuslaista, joka löytyy valtioneuvoston verkkosivuilta. Pääpiirteissään laki noudattaa direktiiviä: samat sektorit, sama jako välttämättömiin ja tärkeisiin kokonaisuuksiin sekä samat velvoitteiden ydin. Joka haluaa tietää, kuuluuko hänen sektoriinsa liitteisiin kuuluu sektori liitteiden piiriinlöytää sieltä yleiskatsauksen, joka muodostaa perustan tälle laille.

Se, mikä muuttuu organisaatioille, jotka lain soveltamisalaan kuuluvat, on erityisesti velvoitteiden laajuus. Tulee huolellisuusvelvoite: asianmukaiset toimenpiteet omien digitaalisten järjestelmien turvaamiseksi. Tulee ilmoitusvelvoite valvontaviranomaiselle. Ja tulee poikkeamailmoitusvelvoite, johon liittyy kysymys siitä, milloin ja kenelle ilmoitus on tehtävä. Organisaatioille, jotka eivät lain soveltamisalaan kuulu, muuttuu epäsuorasti myös jotakin: velvoitteisiin kuuluvien organisaatioiden on arvioitava toimittajiaan, ja se tarkoittaa, että myös velvoitteisiin kuulumattomat yritykset voivat saada kyselylomakkeita ja sopimuksellisia vaatimuksia. Joka miettii, miksi nuo kysymykset silti saapuvat pohtii, miksi nuo kysymykset saapuvatlukee sieltä, kuinka tämä ketjussa eteneminen toimii.

Mistä tämä johtuu: artiklojen 21 ja 23 täytäntöönpano

Kyberhyökkäysiltä suojaavan turvallisuuslain velvoitteet johtuvat suoraan NIS2-direktiivist: Direktiivin (EU) 2022/2555 artiklan 21 kohdan 2 luettelee kymmenen toimenpidettä, jotka muodostavat huolellisuusvelvoitteen perustan, ja poikkeamailmoitusvelvoite on myös direktiivissä säädetty. Suomen laki tarkentaa nämä vaatimukset kansallisissa säännöksissä, jotka löytyvät valtioneuvoston verkkosivuilta. NCSC antaa ohjausta siitä, miten huolellisuusvelvoite ja poikkeamailmoitusvelvoite käytännössä täytetään.