ICT- ja kyberturvallisuussääntely – koskeeko se myös teidän organisaatiotanne?

Kyberturvallisuus, data, tekoäly sekä digitaaliset toimintaympäristöt ovat nousseet vauhdilla kehittyvän sääntelyn ytimeen ja vaatimukset kohdistuvat laajasti eri toimialojen organisaatioihin – muun muassa ICT-palveluntarjoajiin, teollisuusyrityksiin, laitevalmistajiin ja elintarvikesektoriin. Kehittyvä sääntely näkyy myös toimitusketjuun kohdistuvina uusina vaatimuksina, joten lähes kaikki organisaatiot ovat sen vaikutuspiirissä. 

ICT- ja kyberturvallisuusasioita koskevien vaatimusten tunnistamisen ja niiden integroimisen osaksi organisaation strategiaa, riskienhallintaa ja arjen toimintoja tulisi viimeistään nyt olla vastuutahojen työpöydällä. Vaikka kyseessä on suhteellisen tuore ja monitahoinen sääntely- ja vaatimuskokonaisuus teknisellä termistöllä höystettynä, se on mahdollista ottaa haltuun askel kerrallaan. Vaatimustenmukaisuuden arvioinnin aloittaminen edellyttää lopulta vain oman organisaation, erityisesti sen toimialan ja tarjonnan, hyvää tuntemusta. 

Kokonaisuutta voi lähestyä alla oleviin kysymyksiin ja vastauksiin tutustumalla.  

Millaisia organisaatioita ICT- ja kyberturvallisuussääntely käytännössä koskee?

Soveltamisala on huomattavasti laajempi kuin usein ajatellaan. Lakisääteiset velvoitteet voivat koskea suoraan esimerkiksi:

•    teollisuusyrityksiä
•    energia-alan toimijoita
•    liikenne- ja logistiikkayrityksiä
•    terveydenhuoltosektorin toimijoita
•    finanssialan yrityksiä
•    ohjelmisto- ja SaaS-palveluntarjoajia
•    julkisen sektorin organisaatioita
•    digitaalisten palvelujen tarjoajia
•    erilaisten tuotteiden valmistajia, maahantuojia ja jakelijoita

Sääntelyn soveltuminen ei siis riipu siitä, pidetäänkö organisaatiota puhtaasti ICT- tai kyberturva-alan toimijana, vaan vaatimuksia sovelletaan organisaatioihin kautta toimialojen. Vaatimusten soveltumisen kannalta ratkaisevaa on siis enemmänkin se, millaista toimintaa organisaatio harjoittaa, millaisia tuotteita tai palveluja se tarjoaa ja miten se käsittelee tai hyödyntää dataa. Keskeisiä, laajasti eri toimialoihin tai toimijoihin vaikuttavia vaatimuksia löytyy esimerkiksi kyberturvallisuuslaista (124/2025) sekä EU:n data-asetuksesta (EU, 2023/2854) ja kyberkestävyyssäädöksestä (EU 2024/2847). Tekoälytyökalujen yleistyessä on syytä korostaa erityisesti tekoälyasetusta, jossa asetetaan vaatimuksia sekä tekoälyjärjestelmien tarjoajille että niille toimijoille, joiden arjessa tekoälyjärjestelmiä tavalla tai toisella hyödynnetään. 

Olemme pienyritys – vaikuttaako sääntely meihin?

Hyvin todennäköisesti, ainakin jossain määrin.

Toki yrityskoko voi vaikuttaa siihen, kuuluuko toimija suoraan lakisääteisten velvoitteiden soveltamisalaan, sillä osa velvoitteista koskee vain suuren kokoluokan toimijoita. On kuitenkin hyvä huomioida, että monet vaatimukset vyöryvät tavalla tai toisella koko toimitusketjuun – esimerkiksi kyberturvallisuuslaissa edellytetään soveltamisalaan kuuluvilta toimijoilta toimitusketjun riskienhallinnan varmistamista. Siispä myös pienempien tai soveltamisalan ulkopuolelle rajautuvien toimittajien tai alihankkijoiden on valmistauduttava vastaamaan kyberturvavaatimuksiin ja tarvittaessa kyettävä osoittamaan vaatimustenmukaisuus potentiaalisille sopimuskumppaneille.

Yhä useampi yritys voi edellyttää toimittajiltaan esimerkiksi:
•    tietoturvakäytäntöjen dokumentointia
•    riskienhallintamenettelyitä
•    kyberturvallisuutta koskevia sopimusvelvoitteita
•    vaatimustenmukaisuuden osoittamista
•    auditointeihin osallistumista

ICT- ja kyberturvallisuusasioita koskeva sääntelykokonaisuus ei ole meille tuttu – mistä vaatimusten arviointityössä kannattaa lähteä liikkeelle?

Alkuun pääseminen on todennäköisesti tämän sääntelykokonaisuuden osalta vaatimustenmukaisuustyön haastavin vaihe. Moni organisaatio lähtee luonnollisesti selvittämään, mitä uusia velvoitteita esimerkiksi kyberturvallisuuslaki, tekoälyasetus tai data-asetus sisältävät. Käytännössä vaatimusten arviointityössä kannattaa kuitenkin aloittaa vielä perustavanlaatuisemmasta kysymyksestä: mitä sääntelyä organisaation toimintaan ylipäätään sovelletaan?

ICT- ja kyberturvallisuussääntely muodostuu lopulta useista eri säädöksistä, joiden soveltamisalat poikkeavat toisistaan. Osa sääntelystä kohdistuu tiettyihin toimialoihin, osa taas koskee tarkemmin määriteltyjä tuotteita, palveluita tai teknologioita. Toimija voi tulla ICT- ja kyberturvallisuussääntelyn piiriin monen eri kulman kautta. Esimerkiksi yritys, joka valmistaa verkkoon liitettäviä laitteita, voi joutua samanaikaisesti huomioimaan toiminnassan sekä data-asetuksen että kyberturvallisuuslain ja kyberkestävyyssäädöksen vaatimukset. 

Vaatimusten arviointityössä kannattaakin ensin muodostaa selkeä kokonaiskuva organisaation toiminnasta ja tarjonnasta kokonaisuutena. Tässä kannattaa hyödyntää eri liiketoiminnoissa ja prosesseissa työskenteleviä vastuuhenkilöitä. Arviointityö saa alkusysäyksen esimerkiksi seuraavia teemoja pohtimalla: 

•    Millaisia palveluita tai tuotteita organisaatiomme tarjoaa?
•    Millä toimialalla tai toimialoilla organisaatiomme toimii?
•    Miten tarjoamaa halutaan kehittää – onko vaatimukset arvioitu suhteessa strategiaan?
•    Hyödynnetäänkö organisaatiossamme tekoälyjärjestelmiä – esimerkiksi tuotantoprosessin, hallinnon tai työntekijöiden päivittäisen työn tukena?
•    Käsitelläänkö tai jaetaanko dataa osana liiketoimintaa?
•    Toimiiko organisaatio osana sellaista toimitusketjua, johon kohdistuu esimerkiksi kyberturvallisuusvaatimuksia?

Kun on luotu hyvä kokonaiskuva organisaation toiminnasta, voidaan lähestyä varsinaista vaatimuskokonaisuutta eli selvitetään mitä säädöksiä juuri kyseiseen toimijaan sovelletaan, ja minkälaisia konkreettisia velvoitteita niiden pohjalta syntyy. Velvoitteiden seulomisessa kannattaa olla tarkkana – usein yksittäisen säädöksen sisältä löytyy poikkeuksia ja rajoituksia. Osa velvoitteista voi kohdistua esimerkiksi vain tiettyyn toimijatyyppiin, kuten valmistajaan. Samalla toisaalla saatetaan asettaa vaatimuksia myös vaikkapa maahantuojalle tai palveluntarjoajalle. Toisaalta tietyn kokoluokan toimijat, kuten pienyritykset, saattavat rajautua tietyn vaatimuksen soveltamisalan ulkopuolelle. 

Onko lähiaikoina odotettavissa uutta sääntelyä?

ICT ja kyberturvallisuus -kokonaisuuden sääntely kehittyy edelleen – alta löytyy koonti uudistuksista, jotka kannattaa ottaa seurantaan.

Kyberkestävyyssäädöksen soveltaminen alkaa portaittain

Digitaalisten tuotteiden kyberturvallisuutta koskevassa kyberkestävyyssäädöksessä (CRA), jossa asetetaan erityyppisiä velvoitteita paitsi valmistussektorille myös tuotteiden maahantuojille ja jakelijoille. Säädöksen soveltaminen alkaa portaittain vuosien 2026–2027 aikana. 
Säädöksen kansallinen toimeenpano saatiin maaliin juuri toukokuun lopussa, ja tässä yhteydessä annettiin muun muassa uusi laki eriäiden tuotteiden kyberkestävyydestä sekä kyberturvallisuussertifioinnista. Laki tuli voimaan 1. kesäkuuta. Digituotteiden valmistusta, maahantuontia tai myyntiä harjoittavien yritysten kannattaa aloittaa vaatimuksiin valmistautuminen. 

Komission digipaketilla muutoksia tekoäly- ja datasääntelyyn

EU-sääntelyyn on tulossa muutoksia myös loppuvuodesta 2025 julkaistun digipaketin myötä. Niin kutsutun Digiomnibus-säädöspaketin uudistukset kohdistuvat erityisesti tekoäly- ja datasääntelyyn. Muutoksia on luvassa myös tietosuojasääntelyyn. 

Valmisteilla on muun muassa seuraavia muutoksia:

Tekoälyasetuksen yksinkertaistaminen 

Suuririskisiä tekoälyjärjestelmiä koskevien vaatimusten soveltamisajankohta lykätään. Soveltamisajankohta haluttiin sitoa standardien ja ohjeistusten saatavuuteen, jotta asetuksen vaatimusten noudattaminen on eri organisaatioiden näkökulmasta mahdollisimman mutkatonta. 
Lisäksi tarkoituksena on ulottaa pk-yrityksiä koskevat kevennykset myös pieniin midcap-yrityksiin, tarkentaa tekoälylukutaitoa koskevaa vaatimusta ja vähentää rekisteröintitaakkaa. Valmisteilla on lisäohjeistusta tekoälysäädöksen soveltamisesta. 

Data-asetuksen yksinkertaistaminen

Liikesalaisuuksien suojaamista vahvistetaan lisäämällä data-asetukseen peruste kieltäytyä datan jakamisesta tietyissä tilanteissa. Ehdotettu suojamistoimenpide liittyy datan jakamiseen kolmansiin maihin, joissa liikesalaisuuksien suojan taso on riittämätön. 

Muuta datasääntelyä, kuten nykyinen datanhallinta-asetus (EU 2022/868), liitetään osaksi data-asetusta. Tällä yksinkertaistetaan sääntely-ympäristöä ja sujuvoitetaan vaatimusten soveltamista. Lisäksi kevennetään datan välityspalveluja koskevia ilmoitusmenettelyjä ja midcap-kokoluokan datankäsittelypalveluita koskevia vaatimuksia. 

Kyberturvallisuuspaketti tuo uusia vaatimuksia toimitusketjuihin

EU:ssa valmistellaan parhaillaan myös kyberturvallisuuspakettia, joka sisältää muun muassa kyberturvallisuusasetuksen (EU 2019/881, CSA) uudistamisen. Tavoitteena on vahvistaa EU:n kyberturvatasoa erityisesti riskienhallinnan, sertifioinnin ja toimitusketjujen turvallisuuden näkökulmasta. Myös NIS 2 -direktiiviin (EU 2022/2555) on valmisteilla muutoksia – luvassa on muun muassa täsmennyksiä määritelmiin ja soveltamisalaan sekä midcap-yrityskategorian käyttöönotto. Jatkossa NIS 2 -vaatimustenmukaisuus voitaisiin osoittaa eurooppalaisella kyberturvallisuussertifioinnilla. 

Kyberturvallisuusasetuksen uudistamisen myötä kyberturvallisuuden sertifiointijärjestelmien merkitystä korostetaan entisestään. Keskeinen muutos on myös toimitusketjujen vaatimusten vahvistaminen, mikä voi merkitä yrityksille entistä laajempaa velvollisuutta arvioida ja hallita myös alihankkijoihin ja muihin kumppaneihin liittyviä kyberturvallisuusriskejä. Käytännössä kyberturvallisuuden vaatimustenmukaisuuden osoittamisesta voi muodostua keskeinen vaatimus läpi toimitusketjun, johon eri toimialojen ja kokoluokkien organisaatioiden kannattaa varautua. 
Kehityssuunta on selvä: kyberturvallisuutta ei tarkastella enää yksittäisen organisaation näkökulmasta, vaan koko toimitusketjuun ulottuvana kokonaisuutena. Yritysten kannattaa jo nyt varautua siihen, että vähitellen kyberturvavaatimukset, auditoinnit ja sertifioinnit lisääntyvät toimittajasuhteissa. 

Organisaatiotasi ja sen toimitusketjuja koskevien vaatimusten tunnistaminen ja arviointi kannattaa aloittaa nyt

Vaatimuskenttä laajenee ja organisaatioilta edellytetään kykyä ottaa haltuun uusia teemoja ja kokonaisuuksia. Sääntelytilanteen eläessä muuttuvia vaatimuksia on pidettävä silmällä säännöllisesti ja johdonmukaisesti, jotta voidaan mahdollistaa oikea-aikainen reagointi ja varmistaa, että organisaatio voi mukautua saumattomasti uusiin vaatimuksiin.

Organisaatioilta odotetaan yhä enemmän kykyä osoittaa oma vaatimustenmukaisuutensa sekä asiakkaille, viranomaisille että yhteistyökumppaneille. Kyky tunnistaa ja hallita vaatimuksia vaikuttaa riskienhallintaan, asiakkaiden ja yhteistyökumppaneiden luottamukseen, tarjouskilpailuissa menestymiseen sekä organisaation mahdollisuuksiin toimia osana toimitusketjuja. Vaatimustenmukaisuus onkin yhä vahvemmin paitsi juridinen velvollisuus myös liiketoimintaedellytys ja tärkeä kilpailukykytekijä. 

Tiesithän, että ICT-  ja kyberturvallisuussääntelyä koskeva kokonaisuus on osa Legal compliance -verkkopalveluamme? Sen avulla on helppo seurata sääntelyn kehittymistä ja tunnistaa organisaatiotanne koskevat vaatimukset sekä jakaa tieto vastuuhenkilöillenne. Verkkopalvelun ohella tarjoamme myös Vaatimusten täyttymisen arviointi -työpajoja compliance-työnne tueksi. Jos kokonaisuus ei vielä ole käytössänne, pyydä tarjous tästä.