Maksuton kahden minuutin tarkistus
NIS2-soveltuvuuden tarkistin
Suomi 124/2025Ruotsi 2025:1506Ei rekisteröitymistä
Eikö työkalu lataudu? Avaa tarkistin uudessa välilehdessä. Vaihda kieleksi suomi valitsemalla työkalun yläreunasta FI.
Koskeeko NIS2-direktiivi yritystäsi? Kyberturvallisuuslain soveltamisala Suomessa ja Ruotsissa
Koskeeko NIS2-direktiivi teitä? Suomessa ja Ruotsissa vastaus ratkeaa kolmella testillä: toimiiko organisaatio jollakin direktiivin 18 toimialasta, onko se vähintään keskisuuri ja missä se on sijoittautunut.
Suomi pani NIS2-direktiivin täytäntöön kyberturvallisuuslailla (124/2025), jonka velvoitteet tulivat voimaan 8.4.2025. Ruotsissa vastaava cybersäkerhetslag (2025:1506) on ollut voimassa 15.1.2026 alkaen. Molemmat lait edellyttävät, että organisaatio arvioi asemansa itse, joten ”viranomainen ei ole ottanut yhteyttä” ei ole vastaus.
Keitä NIS2-direktiivi koskee: kolme testiä
Pääsääntöisesti yksityinen yritys kuuluu NIS2:n piiriin, kun kaikki kolme ehtoa täyttyvät:
Toimiala. Yritys harjoittaa toimintaa, joka on lueteltu direktiivin liitteessä I tai II.
Koko. Yritys on vähintään keskisuuri EU:n pk-yritysmääritelmän mukaan.
Sijoittautuminen. Yritys on sijoittautunut Suomeen tai Ruotsiin (tai tiettyjen digitaalisten palvelujen osalta sen päätoimipaikka on siellä).
Joissakin tärkeissä poikkeuksissa koolla ei ole merkitystä, ja ne käsitellään alla. Ruotsin kansallinen kyberturvallisuuskeskus korostaa, että organisaation on tehtävä arvio itse käymällä läpi toiminnan laatu, koko ja lainkäyttöalue.
Testi 1: Toimitteko NIS2-toimialalla?
NIS2 luettelee 18 toimialaa kahdessa liitteessä. Liitteessä I ovat erittäin kriittiset toimialat ja liitteessä II muut kriittiset toimialat. Liitteellä on merkitystä myöhemmin, koska se vaikuttaa siihen, oletteko keskeinen vai tärkeä toimija.
Liite I, erittäin kriittiset toimialat. Energia, liikenne, pankkitoiminta, finanssimarkkinoiden infrastruktuuri, terveydenhuolto, juomavesi, jätevesi, digitaalinen infrastruktuuri, tieto- ja viestintätekniikan palvelujen hallinta (yritysten välinen), julkishallinto ja avaruus.
Liite II, muut kriittiset toimialat. Posti- ja kuriiripalvelut, jätehuolto, kemikaalit, elintarvikkeiden tuotanto, jalostus ja jakelu, valmistus (muun muassa lääkinnälliset laitteet, elektroniikka, sähkölaitteet, koneet ja ajoneuvot), digitaalisten palvelujen tarjoajat (verkossa toimivat markkinapaikat, hakukoneet ja sosiaaliset verkostot) sekä tutkimus.
Lue liitteitä toiminnan tasolla, älä toimialan nimikkeen. Koneiden valmistaja kuuluu soveltamisalaan, mutta yritys, joka vain käyttää koneita, ei kuulu, ellei jokin muu toiminta tuo sitä piiriin.
Testi 2: Oletteko vähintään keskisuuri yritys?
NIS2 koskee pääsääntöisesti keskisuuria ja suuria yrityksiä. Sekä Suomi että Ruotsi käyttävät komission suosituksen 2003/361/EY määritelmää:
Pieni (yleensä soveltamisalan ulkopuolella). Alle 50 työntekijää, ja liikevaihto tai taseen loppusumma enintään 10 miljoonaa euroa.
Keskisuuri (soveltamisalassa). 50–249 työntekijää, tai sekä liikevaihto että taseen loppusumma yli 10 miljoonaa euroa, kun suuren yrityksen rajat eivät ylity.
Suuri. Vähintään 250 työntekijää, tai liikevaihto yli 50 miljoonaa euroa ja taseen loppusumma yli 43 miljoonaa euroa.
Älä laske vain omaa yhtiötä. Ruotsin ohjeiden mukaan kumppani- ja sidosyritykset on otettava huomioon, joten suuren konsernin pieni tytäryhtiö voi NIS2:n kannalta olla keskisuuri tai suuri.
Osa toimijoista kuuluu soveltamisalaan koosta riippumatta. Traficom mainitsee yleisten sähköisten viestintäverkkojen tai -palvelujen tarjoajat, luottamuspalvelujen tarjoajat ja CER-direktiivin nojalla kriittisiksi nimetyt toimijat. Ruotsin laki kattaa myös alueet ja kunnat niiden koosta riippumatta, ja aluetunnusrekisterit ja DNS-palvelujen tarjoajat ovat keskeisiä toimijoita.
Testi 3: Missä olette sijoittautuneet?
Pääsääntö on, että teihin sovelletaan sen maan lakia, johon olette sijoittautuneet. Suomalainen yhtiö noudattaa Suomen kyberturvallisuuslakia ja ruotsalainen Ruotsin lakia. Tietyt digitaaliset palvelut, kuten pilvipalvelut ja verkossa toimivat markkinapaikat, käsitellään sen sijaan päätoimipaikan mukaan.
Pohjoismaisille konserneille tällä on käytännön seuraus: jokainen tytäryhtiö arvioidaan omassa maassaan, oman lakinsa ja valvojansa mukaan. Konsernilla, jolla on yhtiöt Helsingissä ja Tukholmassa, voi olla kaksi rekisteröintiä, kaksi valvojaa ja kaksi aikataulua.
Keskeinen vai tärkeä toimija?
Jokainen soveltamisalaan kuuluva organisaatio on joko keskeinen tai tärkeä toimija. Ruotsin laki määrittelee keskeiset toimijat ja toteaa, että muut ovat tärkeitä. Ruotsin kansallisen kyberturvallisuuskeskuksen mukaan käytännössä:
Keskeinen toimija. Liitteen I toimialojen suuret yritykset sekä erityistapaukset, kuten hyväksytyt luottamuspalvelujen tarjoajat, aluetunnusrekisterit, DNS-palvelujen tarjoajat ja tietyt julkiset toimijat.
Tärkeä toimija. Liitteen I toimialojen keskisuuret yritykset sekä liitteen II toimialojen keskisuuret ja suuret yritykset.
Velvoitteet ovat pitkälti samat. Erot ovat valvonnassa ja seuraamuksissa. Keskeisiä toimijoita valvotaan ennakoivasti ja suunnitelmallisesti, tärkeitä lähinnä jälkikäteen esimerkiksi poikkeaman jälkeen. Ruotsin laissa seuraamusmaksu voi olla enintään 10 miljoonaa euroa tai 2 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta keskeisille toimijoille ja 7 miljoonaa euroa tai 1,4 prosenttia tärkeille toimijoille, sen mukaan kumpi on suurempi. Suomen laissa enimmäismäärät ovat samat.
Suomi ja Ruotsi rinnakkain
Suomi: kyberturvallisuuslaki 124/2025. Velvoitteet voimassa 8.4.2025 alkaen. Ilmoittaudu oman toimialasi valvovan viranomaisen ylläpitämään toimijaluetteloon; alusta asti soveltamisalaan kuuluneiden määräaika oli 8.5.2025, ja kyberturvallisuuden riskienhallinnan toimintamallin piti olla valmis 8.7.2025 mennessä. Valvonta on toimialakohtaista, esimerkiksi Traficom, Finanssivalvonta, Energiavirasto, Valvira, Fimea, Tukes ja Ruokavirasto.
Ruotsi: cybersäkerhetslag 2025:1506. Voimassa 15.1.2026 alkaen. Toimijan on ilmoittauduttava ”niin pian kuin mahdollista” ja ilmoitettava muutoksista 14 päivän kuluessa. Ilmoitus tehdään yhteiseen yhteyspisteeseen, joka on kyberturvallisuusasetuksen (2025:1507) mukaan Försvarets radioanstalt (FRA). Valvonta on toimialakohtaista, esimerkiksi Finansinspektionen, Energimyndigheten, Transportstyrelsen, IVO, Läkemedelsverket, Livsmedelsverket, PTS ja kuusi lääninhallitusta.
Poikkeamailmoitukset noudattavat direktiivin rytmiä. Ruotsin laki edellyttää ensi-ilmoitusta merkittävästä poikkeamasta 24 tunnin kuluessa, poikkeamailmoitusta 72 tunnin kuluessa ja loppuraporttia kuukauden kuluessa.
Mitä NIS2-direktiivi vaatii johdolta
NIS2 tuo kyberturvallisuuden hallituksen ja johdon pöydälle. Ruotsin laissa todetaan suoraan, että toimijan johtoon kuuluvien on osallistuttava koulutukseen turvallisuustoimenpiteistä. Suomen laki edellyttää, että johto hyväksyy kyberturvallisuuden riskienhallinnan toimintamallin, valvoo sen toteuttamista ja ylläpitää riittävää perehtyneisyyttä kyberturvallisuuden riskienhallintaan.
NIS2 ei vaadi koulutusta jokaiselle työntekijälle. Se vaatii johdon koulutusta ja mainitsee kyberhygienian perusteet ja kyberturvallisuuskoulutuksen riskienhallintatoimenpiteiden joukossa, jolloin henkilöstökoulutuksen laajuus ja muoto jäävät riskiperusteisen päätöksen varaan.
Ero on tärkeä suunnittelussa. Johdon koulutus on henkilökohtainen velvoite, joka alkaa nimityksestä. Henkilöstön tietoisuus on osa riskienhallintatoimenpiteitä, ja se mitoitetaan riskien mukaan. Oppaamme tietoturvatietoisuuskoulutuksesta Pohjoismaissa käsittelee molempia tarkemmin.
Jos kuulutte soveltamisalaan: ensimmäiset askeleet
Dokumentoi arvio. Kirjaa, mikä liitteen toiminta koskee teitä, kokolaskelma sidos- ja kumppaniyrityksineen sekä se, oletteko keskeinen vai tärkeä toimija. Säilytä se hallituksen asiakirjojen kanssa.
Ilmoittaudu. Suomessa toimialasi valvojalle, Ruotsissa yhteiseen yhteyspisteeseen. Jos olette myöhässä, ilmoittautukaa nyt.
Kouluta johto. Suunnittele ja kirjaa koulutus kaikille johtoon kuuluville ja toista se, kun kokoonpano muuttuu.
Ota riskienhallintatoimenpiteet käyttöön. Muun muassa poikkeamien käsittely, toiminnan jatkuvuus, toimitusketjun turvallisuus, pääsynhallinta sekä kyberhygienia ja koulutus.
Valmistaudu poikkeamailmoituksiin. Päätä, kuka voi tehdä 24 tunnin ilmoituksen sunnuntai-iltana, ja testaa se.
Jos ette kuulu soveltamisalaan: toimitusketju
Vaikka NIS2 ei koskisi teitä suoraan, se vaikuttaa silti. Soveltamisalaan kuuluvien on hallittava toimitusketjunsa turvallisuutta, joten niiden vaatimukset siirtyvät toimittajille sopimusten ja kyselyjen kautta. Ruotsin kansallinen kyberturvallisuuskeskus huomauttaa, että toimittajien kannattaa tutustua lain vaatimuksiin, vaikka laki ei koskisi niitä itseään.
Tarkista asemanne uudelleen aina, kun jotain muuttuu: uusi liiketoiminta, yritysosto, 50 työntekijän raja tai 10 miljoonan euron liikevaihto ja tase. Soveltamisala ei ole kertaluonteinen päätös.
Tarkista organisaatiosi nyt: NIS2 Applicability Checker vie noin kaksi minuuttia, ei vaadi rekisteröitymistä ja kattaa sekä Suomen että Ruotsin lain.
Usein kysytyt kysymykset
Keitä NIS2-direktiivi koskee?
Keskisuuria ja suuria organisaatioita, jotka harjoittavat direktiivin liitteessä I tai II lueteltua toimintaa ja ovat sijoittautuneet EU-maahan, sekä eräitä toimijoita koosta riippumatta, kuten luottamuspalvelujen tarjoajia, DNS-palvelujen tarjoajia ja julkishallinnon toimijoita.
Koskeeko NIS2 pieniä yrityksiä?
Pääsääntöisesti ei. Yritykset, joilla on alle 50 työntekijää ja liikevaihto tai taseen loppusumma enintään 10 miljoonaa euroa, ovat soveltamisalan ulkopuolella, elleivät ne kuulu koosta riippumattomaan ryhmään. Laske sidos- ja kumppaniyritykset mukaan ennen johtopäätöstä.
Mikä ero on keskeisellä ja tärkeällä toimijalla?
Lähinnä valvonta ja seuraamukset. Keskeisiä toimijoita valvotaan suunnitelmallisesti ja ennakoivasti, ja seuraamusmaksu voi olla enintään 10 miljoonaa euroa tai 2 prosenttia liikevaihdosta; tärkeitä valvotaan lähinnä jälkikäteen, ja enimmäismäärä on 7 miljoonaa euroa tai 1,4 prosenttia.
Milloin NIS2 tuli voimaan Suomessa ja Ruotsissa?
Suomessa kyberturvallisuuslain velvoitteet tulivat voimaan 8.4.2025. Ruotsissa cybersäkerhetslag tuli voimaan 15.1.2026.
Täytyykö NIS2-toimijan ilmoittautua?
Kyllä, jos kuulutte soveltamisalaan. Suomessa ilmoittaudutaan oman toimialan valvovalle viranomaiselle, Ruotsissa yhteiseen yhteyspisteeseen FRA:han niin pian kuin mahdollista, ja muutoksista ilmoitetaan 14 päivän kuluessa.
Vaatiiko NIS2 kyberturvallisuuskoulutusta kaikille työntekijöille?
Ei. Se vaatii johdon koulutusta ja mainitsee kyberhygienian ja kyberturvallisuuskoulutuksen riskienhallintatoimenpiteenä määräämättä kurssia jokaiselle työntekijälle. Useimmat organisaatiot valitsevat silti laajan tietoisuuskoulutuksen osana riskiperusteisia toimenpiteitään.
Miten NIS2 koskee konsernia, jolla on yhtiöt Suomessa ja Ruotsissa?
Jokainen yhtiö arvioidaan ja rekisteröidään siinä maassa, johon se on sijoittautunut, sen maan lain ja valvojan mukaan. Konsernin koko vaikuttaa jokaisen yhtiön arvioon, koska sidosyritykset lasketaan mukaan.
Kuinka suuria NIS2-seuraamukset ovat?
Enintään 10 miljoonaa euroa tai 2 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta keskeisille toimijoille ja 7 miljoonaa euroa tai 1,4 prosenttia tärkeille toimijoille, sen mukaan kumpi on suurempi.
Lähteet ja lisälukemista
- Direktiivi (EU) 2022/2555 (NIS2) – EUR-Lex: soveltamisala, liitteet I ja II, johdon velvoitteet
- Komission suositus 2003/361/EY – EUR-Lex: mikroyritysten sekä pienten ja keskisuurten yritysten määritelmä
- Kyberturvallisuuslaki 124/2025 – Finlex
- Kyberturvallisuuslain keskeiset velvoitteet – Traficom: kokorajat, ilmoittautumisen määräaika ja valvojat
- NIS 2 – Euroopan unionin kyberturvallisuusdirektiivi – Traficomin Kyberturvallisuuskeskus: velvoitteet voimaan 8.4.2025
- Cybersäkerhetslag (2025:1506) – Ruotsin valtiopäivät: Ruotsin kyberturvallisuuslaki
- Cybersäkerhetsförordning (2025:1507) – Ruotsin valtiopäivät: ilmoittautuminen ja valvontaviranomaiset
- Omfattas verksamheten av cybersäkerhetslagen? – NCSC Ruotsi: itsearviointi, koko sekä keskeinen ja tärkeä toimija
- Tietoturvatietoisuuskoulutus Pohjoismaissa – Datafisher