Tietoturvatietoisuuskoulutus Pohjoismaissa: mitä laki nyt vaatii

Kahdenkymmenen vuoden ajan tietoturvatietoisuuskoulutus oli harkinnanvarainen meno, joka perusteltiin riskiargumenteilla ja jonka ostivat ihmiset, joiden oli vakuutettava talousjohtaja. Yhdeksän kuukauden aikana vuosina 2025 ja 2026 siitä tuli lakisääteinen velvoite sekä Suomessa että Ruotsissa, nimetyllä velvollisella ja henkilökohtaisilla seurauksilla laiminlyönnistä.

Se on muutos, joka kannattaa ymmärtää, koska se siirsi ostopäätöksen IT:ltä hallitukselle, ja koska suurin osa aiheesta julkaistusta sisällöstä on edelleen ennen mitään tästä kirjoitettua tietojenkalastelusimulaatioalustojen markkinointia.

Mikä todella muuttui

Suomi saattoi NIS2:n voimaan kyberturvallisuuslailla 124/2025, joka tuli voimaan 8. huhtikuuta 2025. Soveltamisalaan kuuluvien toimijoiden oli rekisteröidyttävä toimialansa valvovalle viranomaiselle 8. toukokuuta 2025 mennessä ja laadittava kyberturvallisuuden riskienhallinnan toimintamalli 8. heinäkuuta 2025 mennessä. Traficomin Kyberturvallisuuskeskus toimii kansallisena yhteyspisteenä ja CSIRT-toimijana toimialakohtaisten viranomaisten rinnalla. Ylimmän johdon on hyväksyttävä riskienhallintatoimenpiteet, valvottava niitä ja osallistuttava koulutukseen, ja se voidaan saattaa henkilökohtaisesti vastuuseen, vakavissa tapauksissa väliaikaisella kiellolla toimia johtotehtävissä, kunnes puutteet on korjattu.

Ruotsi saattoi direktiivin voimaan cybersäkerhetslagenilla (2025:1506), joka tuli voimaan 15. tammikuuta 2026 ja kattaa toimijoita kahdeksallatoista toimialalla, MSB:n koordinoidessa kansallisesti ja toimialaviranomaisten valvoessa. Ruotsin lainvalmistelussa tehtiin koulutuksesta tietoinen valinta: valmisteleva selvitys oli ehdottanut laajempaa velvoitetta, joka ulottuisi laajempiin työntekijäryhmiin, ja hyväksytty laki rajasi pakollisen kyberturvallisuuskoulutusvelvoitteen johtoelimeen, eli hallitukseen ja toimitusjohtajaan.

Tilanne on siis nyt se, että molemmissa maissa johtoelimellä on koulutusvelvoite, joka on nimenomainen, henkilökohtainen ja dokumentoitava, kun taas henkilöstötason koulutus sisältyy laajempaan riskienhallintavelvoitteeseen ja sen laajuuden määrää oma riskiarvionne eikä yleinen lakisääteinen vaatimus.

Jokainen, joka kertoo, että NIS2 velvoittaa vuosittaiseen tietoisuuskoulutukseen kaikille työntekijöille, liioittelee. Jokainen, joka kertoo, että hallituksenne voi ohittaa sen, vähättelee huomattavasti.

Velvoite, johon kukaan ei ollut varautunut

Hallitustason kyberturvallisuuskoulutus on Pohjoismaissa aidosti uusi tuotevaatimus, eikä useimpia organisaatioita ollut rakennettu toimittamaan sitä.

Sitä ei voi täyttää laittamalla hallituksen jäsenet samaan moduuliin kuin henkilöstö. Hallitusmoduulissa ei ole kyse tietojenkalastelun tunnistamisesta. Siinä on kyse kyvystä kyseenalaistaa organisaation riskikuva, ymmärtää, mitä lainsäädännön riskienhallintatoimenpiteet todella edellyttävät, tuntea poikkeamailmoitusten määräajat ja se, mitä tapahtuu, kun ne ylitetään, sekä ymmärtää se erityinen henkilökohtainen vastuu, joka liittyy toimenpiteiden hyväksymiseen ilman valvontaa.

Se on toimitettava omana istuntonaan, dokumentoitava yksilöllisesti ja nimeltä eikä osana koostettua suoritusprosenttia, ja toistettava hallituksen kokoonpanon muuttuessa. Suoritusraportti, joka näyttää 96 prosentin työntekijöistä saaneen koulutuksen, ei osoita, että tietty hallituksen jäsen sai tietyn koulutuksen, ja juuri sitä valvoja kysyy.

Miksi simuloitu tietojenkalastelu ei yksin muuta käyttäytymistä

Tietojenkalastelusimulaatio on tämän markkinan hallitseva tuote, ja se on aidosti hyödyllinen, mutta se mittaa alttiutta eikä tuota osaamista, ja tapa, jolla useimmat organisaatiot toteuttavat sen, toimii aktiivisesti haluttua lopputulosta vastaan.

Kolme ongelmaa toistuu. Klikkausprosentti on huono mittari, koska sitä on helppo manipuloida tekemällä simulaatioista helpompia, ja koska klikkaus on yksittäinen tietopiste yhdestä henkilöstä yhtenä päivänä. Rankaiseva kehystys tukahduttaa ilmoittamisen, joka on se käyttäytyminen, jota todella tarvitsette, koska työntekijä, joka pelkää klikkaamisen seurauksia, pysyy hiljaa, ja organisaatio menettää ne tunnit, joilla on eniten merkitystä. Ja simulaatio opettaa tunnistamaan simuloitua tietojenkalastelua, joka on historiallisesti ollut aitoa karkeampaa ja on nyt huomattavasti karkeampaa kuin se, mitä generatiiviset työkalut tuottavat.

Seurattavat mittarit ovat sen sijaan ilmoitusprosentti, eli epäilyttävistä viesteistä ilmoitettujen osuus, ja ilmoitusaika, eli kuinka kauan kestää vastaanottamisesta siihen, että joku nostaa asian esiin. Molemmat mittaavat vahinkoa rajoittavaa käyttäytymistä.

Organisaatio, jonka klikkausprosentti on 12 ja ilmoitusajan mediaani viisi minuuttia, on paljon paremmassa kunnossa kuin organisaatio, jonka klikkausprosentti on 4 ja jossa kukaan ei ilmoita mitään.

Suunnittele työnkulkuun, ei uhkaluetteloon

Useimpien tietoisuusohjelmien rakenteellinen virhe on sisällön järjestäminen hyökkäystyypin mukaan. Työntekijöille opetetaan tietojenkalastelu, sitten kiristyshaittaohjelmat, sitten sosiaalinen manipulointi, sitten sisäpiiriuhka. Näin tietoturva-ammattilainen ajattelee maailmaa, eikä se ole se, miten työntekijä kohtaa sen.

Työntekijät kohtaavat tietoturvapäätökset työnsä sisällä. Talousassistentti saa pyynnön muuttaa toimittajan pankkitiedot. Rekrytoija avaa vieraan lähettämän liitteen, mikä on hänen työtään. Kehittäjä tarvitsee testidataa. Myyjä haluaa työstää asiakaslistaa henkilökohtaisella laitteella junassa. Jokainen näistä on tietty hetki, jolla on tietty oikea vastaus, ja hetkeen kohdistuva koulutus tuottaa käyttäytymistä, kun taas uhkakategoriaan kohdistuva koulutus tuottaa tietoisuutta kategoriasta.

Rakenna opetussuunnitelma kysymällä jokaiselta toiminnolta, mitä he todella tekevät, ja tunnistamalla sitten ne kolme tai neljä päätöskohtaa, joissa väärä valinta luo todellisen riskin. Tuloksena olevat moduulit ovat lyhyempiä, täsmällisempiä ja huomattavasti hyödyllisempiä kuin kattava uhkakatsaus.

Roolikohtainen syvyys

Koko henkilöstö tarvitsee lyhyen yhteisen kerroksen: tunnistautuminen ja miksi salasanojen uudelleenkäyttö on merkityksellistä, epäilyttävän yhteydenoton tunnistaminen ja siitä ilmoittaminen, tietojen pitäminen hyväksytyissä järjestelmissä, fyysinen tarkkaavaisuus yhteisissä tiloissa ja ennen kaikkea, miten ja kuinka nopeasti ilmoitetaan. Pidä se olennaisessa ja toista sitä usein sen sijaan, että toimittaisit sen kattavasti kerran vuodessa.

Talous tarvitsee maksupetosmoduulin, koska yrityssähköpostin kaappaus ja laskupetokset kohdistuvat nimenomaan heihin ja tappiot ovat välittömiä ja usein peruuttamattomia. Varmistusmenettely kaikille maksutietojen muutoksille, erillistä kanavaa ja tunnettua numeroa käyttäen, on yksittäinen arvokkain kontrolli, jonka tietoisuusohjelma voi juurruttaa.

HR ja rekrytointi avaavat jatkuvasti tuntemattomien lähettäjien liitteitä ja pitävät hallussaan organisaation arkaluonteisinta tietoa.

IT ja kehittäjät tarvitsevat syvyyttä pääsynhallinnassa, salaisuuksien käsittelyssä, testidatassa ja turvallisessa konfiguroinnissa.

Jokainen, joka saattaa huomata poikkeaman ensimmäisenä, tarvitsee ilmoitusaikataulun harjoittelua, koska NIS2:n ennakkovaroitus mitataan 24 tunnissa havaitsemisesta, ja työntekijä, joka odottaa seuraavaan aamuun, on kuluttanut huomattavan osan siitä.

Johtoelin tarvitsee oman istuntonsa, kuten edellä.

Todentaminen

Valvojat etsivät järjestelmää eivätkä todistusta. Säilytä riskiarvio, joka määritti, kuka tarvitsee mitäkin. Säilytä johtoelimen koulutus erikseen ja nimeltä dokumentoituna, koska Ruotsissa se vastaa tiettyyn lakisääteiseen velvoitteeseen. Säilytä sisältö versiopäivämäärineen. Säilytä toimitustiedot uudet työntekijät ja asiaankuuluvat alihankkijat mukaan lukien. Säilytä arviointisykli, joka osoittaa, milloin ohjelma viimeksi tarkistettiin nykyistä uhkakuvaa vasten ja mikä muuttui.

Kun päätitte, että jokin ryhmä tarvitsee vähemmän, kirjatkaa miksi. Dokumentoitu oikeasuhtainen päätös on puolustettavissa. Dokumentoimaton aukko ei ole.

Toimittajakysymys

Jos ette kuulu NIS2:n soveltamisalaan, saatatte silti olla sen ulottuvilla. Toimitusketjun turvallisuus on yksi riskienhallintatoimenpiteistä, jotka soveltamisalaan kuuluvien toimijoiden on toteutettava, ja ne täyttävät sen siirtämällä vaatimuksia alaspäin sopimusten kautta. Tuloksena pienemmät pohjoismaiset yritykset, joilla ei ole lakisääteistä velvoitetta, saavat tietoturvakyselyitä ja sopimusehtoja, jotka olettavat koulutetun henkilöstön.

Jos tämä kuvaa teitä, käytännön vastaus on kyetä todentamaan samat asiat, jotka soveltamisalaan kuuluva toimija todentaa. Se on myös kaupallinen etu, koska toimittaja, joka pystyy vastaamaan tietoturvakyselyyn nopeasti, voittaa tarjouskilpailuja niiltä, jotka eivät pysty.

Tiheys

Kumpikaan kansallinen laki ei aseta aikaväliä henkilöstön koulutukselle. Molemmat kehykset edellyttävät, että toimenpiteet ovat asianmukaisia ja ajantasaisia.

Vuosittainen moduuli on käytäntö, ja se on yksinään heikko, koska tunnistuskyky heikkenee ja uhkakuva liikkuu nopeammin kuin kaksitoista kuukautta. Toimiva malli on sisällöllinen moduuli perehdytyksessä, lyhyt vahvistaminen vuoden mittaan, kohdennettu sisältö, kun jokin muuttuu olennaisesti, ja dokumentoitu vuosittainen arviointi siitä, vastaako ohjelma edelleen riskiä. Johtoelimen koulutus tulisi toistaa nimityksen yhteydessä ja kerrata määritellyllä syklillä.

Usein kysytyt kysymykset