Kirjoittanut asianajaja Tom Meevis Law & More
Kyberturvallisuus ei ole enää pelkästään tekninen asia. Se on myös oikeudellinen ja hallinnollinen kysymys, joka vaikuttaa käytännössä kaikkiin organisaatioihin koosta riippumatta.
Eurooppalaisen NIS2-direktiivin ja Alankomaiden kyberturvallisuuslain myötä vastuu digitaalisesta resilienssistä siirtyy vahvasti johtoryhmälle. Alankomaiden kyberturvallisuuslaki tulee voimaan 15. elokuuta 2026. Yritysten omistajien, johtajien ja vaatimustenmukaisuudesta vastaavien on siksi lyhyellä varoitusajalla vahvistettava:
- kuuluuko heidän organisaationsa uusien sääntöjen soveltamisalaan;
- mitkä velvoitteet niistä seuraavat;
- mitä toimenpiteitä tarvitaan;
- ja miten organisaatio voi täyttää nämä velvoitteet.
Tässä artikkelissa esitetään NIS2:n ja Alankomaiden kyberturvallisuuslain pääkohdat: soveltamisala, huolellisuusvelvollisuus, ilmoitusvelvollisuus, hallituksen vastuu, täytäntöönpano ja toimenpiteet, joita organisaatiot voivat nyt toteuttaa.
Mikä on NIS2?
NIS2 on direktiivin (EU) 2022/2555 virallinen nimitys. Se seuraa ensimmäistä eurooppalaista verkko- ja tietoturvadirektiiviä, jota yleensä kutsutaan nimellä NIS1.
Jäsenvaltioiden oli saatettava NIS2 osaksi kansallista lainsäädäntöä viimeistään 17. lokakuuta 2024. NIS2 korvasi virallisesti aiemman direktiivin 18. lokakuuta 2024 alkaen.
Sen tavoitteena on nostaa ja yhdenmukaistaa kyberuhkien sietokyvyn tasoa Euroopan unionissa. Tämä tapahtuu kahdella päälinjalla. Ensinnäkin laajempi soveltamisala: paljon useammat organisaatiot kuuluvat sääntöjen piiriin kuin NIS1-direktiivin piiriin. Toiseksi tiukempi valvonta ja tiukempi täytäntöönpano, laajempi työkalupakki ja selkeämmät vastuut johtajille.
Siinä missä NIS1 erotti toisistaan välttämättömien palvelujen tarjoajat ja digitaalisten palvelujen tarjoajat, NIS2 käsittelee keskeisiä ja tärkeitä toimijoita. Tämä ero ei ole pelkästään terminologinen: se määrittää muun muassa valvonnan intensiteetin ja mahdollisten sakkojen tason.
Mitkä organisaatiot kuuluvat NIS2:n piiriin?
NIS2 koskee organisaatioita, jotka toimivat kahdeksallatoista nimetyllä sektorilla, jotka on jaettu erittäin kriittisiin sektoreihin ja muihin kriittisiin sektoreihin.
Kriittisimpiä sektoreita ovat energia, liikenne, pankkitoiminta, rahoitusmarkkinoiden infrastruktuuri, terveydenhuolto, juomavesi ja jätevesi, digitaalinen infrastruktuuri, ICT-palveluiden hallinta yritysasiakkaille, julkishallinto ja avaruusala.
Muita kriittisiä sektoreita ovat posti- ja kuriiripalvelut, jätehuolto, kemikaalit, elintarvikkeet, valmistus, digitaaliset palveluntarjoajat ja tutkimuslaitokset.
Kokokynnys
Näillä toimialoilla pääsääntönä on, että organisaatio kuuluu NIS2-luokituksen piiriin, jos se täyttää keskisuuren tai suuren yrityksen vaatimukset. Kriteerinä ovat vähintään 50 työntekijää tai yli 10 miljoonan euron vuotuinen liikevaihto tai taseen loppusumma.
Tähän pääsääntöön on poikkeuksia. Tietyt organisaatiot kuuluvat soveltamisalaan koosta riippumatta, koska niiden palveluja pidetään erityisen kriittisinä:
- julkisten sähköisten viestintäverkkojen ja -palvelujen tarjoajat;
- luottamuspalvelujen tarjoajat;
- verkkotunnusten rekisteröintipalveluntarjoajat;
- ylimmän tason verkkotunnusrekisterit;
- julkisen sektorin elimet.
Uudet velvoitteet koskevat 15. elokuuta 2026 alkaen yli 8 000 organisaatiota Alankomaissa. Tämä on huomattava laajennus verrattuna nykyisen verkko- ja tietojärjestelmäturvallisuuslain kattamaan määrään.
Organisaatiot, jotka eivät aiemmin pitäneet itseään osana kriittistä sektoria, voivat siis joutua valvonnan piiriin, mukaan lukien keskisuuret valmistajat, elintarvikkeiden tuottajat, tutkimuslaitokset ja digitaalisten palvelujen tarjoajat. Tärkeää on, että organisaatiot ovat itse vastuussa sen arvioinnista, kuuluvatko ne soveltamisalaan. Valvojalta ei tule kirjettä, jossa tästä ilmoitettaisiin.
Huolenpitovelvollisuus: mitä toimenpiteitä tarvitaan?
NIS2:n ja Alankomaiden kyberturvallisuuslain ydin on huolellisuusvelvollisuus. Olennaisten ja tärkeiden toimijoiden on toteutettava asianmukaiset ja oikeasuhteiset tekniset, operatiiviset ja organisatoriset toimenpiteet verkko- ja tietojärjestelmiinsä kohdistuvien riskien hallitsemiseksi.
Säännöt määrittelevät aiheet, joita politiikan on joka tapauksessa käsiteltävä:
- riskianalyysi ja tietoturvapolitiikka;
- tapahtumien käsittely;
- liiketoiminnan jatkuvuus, varmuuskopioiden hallinta ja katastrofien palautus;
- toimitusketjun turvallisuus;
- kyberhygienia ja henkilöstön koulutus;
- haavoittuvuuksien käsittelypolitiikka;
- monivaiheinen todennus;
- suojattu viestintä;
- kryptografia;
- toimenpiteiden tehokkuuden säännöllinen arviointi.
Toimenpiteiden on oltava oikeassa suhteessa organisaation kokoon ja riskeihin, joille se tosiasiallisesti altistuu. Pienemmän tärkeän yksikön ei siis tarvitse toteuttaa samoja toimenpiteitä kuin suuren, olennaisen yksikön korkean riskin alalla.
Tämä ei tee huolellisuusvelvollisuudesta valinnaista. Organisaatioiden on kyettävä perustelemaan, mitkä riskit ne ovat tunnistaneet, mitä toimenpiteitä ne ovat toteuttaneet ja miksi kyseiset toimenpiteet ovat asianmukaisia. Valvonnan alaisena ovat paitsi itse toimenpiteet myös tapa, jolla niitä punnitaan, kirjataan ja arvioidaan säännöllisesti.
Ilmoitusvelvollisuus tapahtuman jälkeen
Huolenpitovelvollisuuden ohella NIS2-laki asettaa vaiheittaisen ilmoitusvelvollisuuden merkittävistä poikkeamista. Jos poikkeamalla on tai voi olla merkittävä vaikutus palvelujen jatkuvuuteen, sovelletaan karkeasti ottaen seuraavia määräaikoja:
- 24 tunnin kuluessa ennakkovaroitus kansalliselle tietoturvahäiriöihin reagointiryhmälle tai toimivaltaiselle viranomaiselle;
- 72 tunnin kuluessa virallinen ilmoitus, jossa on alustava arvio tilanteen vakavuudesta ja vaikutuksista;
- viimeistään kuukauden kuluessa loppuraportin, jossa kuvataan tapahtuma, sen todennäköinen perimmäinen syy, toteutetut toimenpiteet ja mahdolliset rajat ylittävät vaikutukset.
Näiden määräaikojen vuoksi on tarpeen laatia selkeät menettelytavat etukäteen. Organisaation on tiedettävä, milloin tapahtumasta on ilmoitettava, kenellä on valtuudet ilmoittaa, mitä tietoja on oltava saatavilla, kuka koordinoi ja miten hallitusta ja esimiestä informoidaan.
Organisaatio, joka yrittää ottaa käyttöön ilmoitusprosessin vasta tapahtuman aikana, ottaa huomattavan riskin siitä, ettei se pysty raportoimaan ajoissa tai täydellisesti.
Hallituksen vastuu
Tärkeä osa NIS2:ta on, että vastuu kyberriskien hallinnasta on nimenomaisesti johtoryhmällä. Johtoryhmän on hyväksyttävä turvatoimenpiteet, valvottava niiden toteuttamista, kyettävä arvioimaan organisaation kyberriskejä ja itse suoritettava riittävä koulutus.
Kyberturvallisuutta ei siksi voida enää pitää pelkästään IT-osaston vastuulla. Se on hallintotapaan liittyvä asia, jonka on oltava osa säännöllistä päätöksentekoa ja riskienhallintaa.
Direktiivissä käsitellään myös nimenomaisesti ylimmän johdon henkilökohtaista vastuuta, jos organisaatio ei noudata sitä. Kirjaa hallituksen osallistuminen asianmukaisesti esimerkiksi dokumentoimalla suoritettu koulutus, hallituksen päätökset, hyväksytyt käytännöt, riskinarvioinnit, raportoinnin ja toteutuksen valvonnan.
Alankomaiden täytäntöönpano
NIS2-direktiivin täytäntöönpano Alankomaissa on viivästynyt huomattavasti. Osaksi kansallista lainsäädäntöä asetettua määräaikaa, 17. lokakuuta 2024, ei noudatettu.
Euroopan komissio päätti 8. heinäkuuta 2026 haastaa Alankomaat, Irlannin, Espanjan ja Ranskan Euroopan unionin tuomioistuimeen, koska ne eivät olleet ilmoittaneet täytäntöönpanotoimista. Alankomaat oli näin ollen yksi Euroopan unionin neljästä jäljessä olevasta maasta.
Ajoitus on silmiinpistävä. Päivää aiemmin, 7. heinäkuuta 2026, senaatti oli hyväksynyt kyberturvallisuuslain ja kriittisten yhteisöjen sietokykyä koskevan lain. Jää nähtäväksi, vaikuttaako lain hyväksyminen ennen asian käsittelyä oikeudenkäynnin lopputulokseen; se on oikeuden päätettävissä.
Molemmat lait tulevat voimaan 15. elokuuta 2026. Kyberturvallisuuslaki panee täytäntöön NIS2-direktiivin; kriittisten toimijoiden sietokykyä koskeva laki panee täytäntöön eurooppalaisen CER-direktiivin, jonka tavoitteena on kriittisen infrastruktuurin sietokyky. Jälkimmäisen soveltamisalaan kuuluvat organisaatiot nimetään virallisesti kriittisiksi toimijoiksi 15. elokuuta 2026 alkaen.
Nykyinen verkko- ja tietojärjestelmäturvallisuuslaki (Wbni) raukeaa voimaan tullessaan. Sen jo piiriin kuuluville organisaatioille tämä tarkoittaa raskaampia velvoitteita; ensimmäistä kertaa soveltamisalaan tuleville organisaatioille se tarkoittaa täysin uutta järjestelmää.
Rekisteröityminen NCSC:hen
Tärkeä uusi velvoite on rekisteröityminen kansalliseen kyberturvallisuuskeskukseen. Olennaiset ja tärkeät yhteisöt on merkittävä kansalliseen yhteisörekisteriin. Rekisteröityminen on pakollista 15. elokuuta 2026 alkaen, ja se tapahtuu MijnNCSC-portaalin kautta käyttäen eHerkenning-järjestelmää tavallisille organisaatioille ja SSOnRijk-järjestelmää julkisen sektorin elimille. Rekisteröityjen tietojen muutokset on ilmoitettava neljäntoista päivän kuluessa.
Rekisteröityminen ei ole pelkkä hallinnollinen muodollisuus. Rekisteröitymisen jälkeen organisaatiot voivat muodostaa yhteyden CSIRT-ryhmänsä palveluihin, jotka tarjoavat tuotteita ja palveluita sietokyvyn parantamiseksi sekä tukea häiriötilanteissa. Valmistele rekisteröinti hyvissä ajoin, jotta täytäntöönpano ei ala vasta voimaantulon jälkeen.
Valvonta ja täytäntöönpano
Kyberturvallisuuslaki säätää eriytetystä valvontajärjestelmästä. Olennaiset toimijat ovat ennakoivan valvonnan alaisia: valvoja voi tehdä tarkastuksia jatkuvasti ja oma-aloitteisesti ilman erityistä tapahtumaa tai signaalia. Tärkeät toimijat ovat reaktiivisen valvonnan alaisia, jossa valvoja toimii lähtökohtaisesti reaktiona tapahtumaan, valitukseen tai muuhun konkreettiseen signaaliin.
Valvonta on jaettu useiden viranomaisten kesken. 15. elokuuta 2026 alkaen Alankomaiden digitaalisen infrastruktuurin viranomainen valvoo organisaatioita yhdeksällä sektorilla; muille sektoreille on nimetty muita valvojia. Selvitä, mikä valvoja on toimivaltainen organisaatiosi osalta.
Valvontavälineistö on laaja ja sisältää:
- tietoturvaskannaus tai tietoturvatarkastus;
- sitova ohje;
- hallinnollinen täytäntöönpanomääräys tai uhkasakon määräämistä koskeva määräys;
- rikkomuksen julkistaminen;
- hallinnollinen sakko;
- keskeisten toimijoiden osalta: sertifioinnin, toimiluvan tai hallituksen jäsenen toiminnan keskeyttäminen.
Olennaisten toimijoiden enimmäissakko on vähintään 10 miljoonaa euroa tai 2 % maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta, sen mukaan kumpi on suurempi. Tärkeiden toimijoiden osalta sakko on vähintään 7 miljoonaa euroa tai 1.4 % maailmanlaajuisesta vuotuisesta liikevaihdosta, jälleen sen mukaan, kumpi on suurempi. Lopullinen taso riippuu tapauksen olosuhteista, mukaan lukien rikkomuksen luonne, vakavuus ja kesto, syyllisyyden aste ja toteutetut toimenpiteet.
Mitä organisaatiosi voi tehdä nyt?
- Tee itsearviointi. Selvitä, toimiiko organisaatio tietyllä toimialalla ja täyttääkö se kokorajan.
- Määritä oikea kategoria. Selvitä, voidaanko organisaatio luokitella olennaiseksi tai tärkeäksi yksiköksi ja mikä esimies on pätevä.
- Valmistele rekisteröinti. Kerää NCSC:hen rekisteröitymiseen tarvittavat tiedot MijnNCSC:n kautta.
- Testaa huolellisuusvelvollisuuteen liittyviä toimenpiteitä. Arvioi olemassa olevia toimenpiteitä riskianalyysin, tietoturvaloukkaustenhallinnan, liiketoiminnan jatkuvuuden, toimitusketjun turvallisuuden, kyberhygienian, haavoittuvuuksien, monivaiheisen todennuksen ja kryptografian osalta.
- Määritä ilmoitusprosessi. Kirjaa ylös, kuka arvioi, onko tapahtuma ilmoitettava, kuka ilmoittaa ja miten 24 tunnin, 72 tunnin ja yhden kuukauden määräaikoja noudatetaan.
- Ota hallitus osoitettavasti mukaan. Kirjaa ylös hallituksen tekemät päätökset, järjestetty koulutus ja miten täytäntöönpanoa valvotaan.
- Sisällytä toimitusketju. Suuri osa haavoittuvuuksista ei synny itse organisaation sisällä, vaan toimittajilla ja palveluntarjoajilla. Tarkista sopimuksesi turvallisuusjärjestelyjen, ilmoitusvelvollisuuksien ja tarkastusoikeuksien osalta.
Lopuksi
Kyberturvallisuuslaki ja kriittisten yhteisöjen kriisinsietokykyä koskeva laki tiukentaa huomattavasti kyberturvallisuusvelvoitteita. Laajempi soveltamisala, konkreettiset huolellisuusvelvollisuustoimenpiteet, tiukat ilmoitusajat, johtajien henkilökohtainen vastuu ja laaja täytäntöönpanovälineistö tarkoittavat, että organisaatiot eivät voi jättää tätä aihetta huomiotta. Lain tultua voimaan 15. elokuuta 2026, valmisteluaika on lyhyt.
Law & More avustaa yrityksiä, johtajia ja compliance-vastaavia määrittämään asemansa NIS2:n ja Alankomaiden kyberturvallisuuslain mukaisesti, laatimaan ja testaamaan huolellisuusvelvollisuustoimenpiteitä, valmistelemaan rekisteröintiä NCSC:hen ja säätämään kyberturvallisuuspolitiikan oikeudellisesti.
Haluatko arvioida organisaatiosi asemaa uusien sääntöjen mukaisesti? Ota rohkeasti yhteyttä keskustellaksesi asiasta ilman sitoumuksia.
Usein kysyttyjä kysymyksiä
Alla vastaamme useimmin kysyttyihin kysymyksiin tästä aiheesta.
Milloin Alankomaiden kyberturvallisuuslaki tulee voimaan?
15. elokuuta 2026. Senaatti hyväksyi kyberturvallisuuslain ja kriittisten yhteisöjen sietokykyä koskevan lain 7. heinäkuuta 2026. Lain tullessa voimaan nykyinen verkko- ja tietojärjestelmien turvallisuutta koskeva laki (Wbni) raukeaa.
Kuuluuko organisaationi NIS2-asetuksen piiriin?
Se riippuu toimialastasi ja koostasi. NIS2 kattaa kahdeksantoista nimettyä toimialaa ja näiden toimialojen sisällä pääsääntöisesti organisaatiot, joilla on vähintään 50 työntekijää tai joiden vuotuinen liikevaihto tai taseen loppusumma ylittää 10 miljoonaa euroa. Tietyt tahot kuuluvat sen piiriin koosta riippumatta.
Saanko ilmoituksen, jos organisaationi kuuluu soveltamisalaan?
Ei. Organisaatiot ovat itse vastuussa sen arvioinnista, kuuluvatko ne kyberturvallisuuslain piiriin. Odottaminen voi johtaa velvoitteiden soveltamiseen ennen arvioinnin tekemistä.
Mitä eroa on välttämättömällä ja tärkeällä yksiköllä?
Se määrittää valvonnan tehokkuuden ja mahdollisten sakkojen tason. Olennaiset toimijat ovat ennakoivan valvonnan alaisia, jossa valvoja voi tehdä tarkastuksia omasta aloitteestaan. Tärkeät toimijat ovat reaktiivisen valvonnan alaisia, joka perustuu tapahtumaan, valitukseen tai muuhun signaaliin.
Mitä huolenpitovelvollisuus pitää sisällään?
Toteuta asianmukaiset ja oikeasuhteiset tekniset, operatiiviset ja organisatoriset toimenpiteet verkko- ja tietojärjestelmiisi kohdistuvien riskien hallitsemiseksi, mukaan lukien riskianalyysi, häiriöiden käsittely, liiketoiminnan jatkuvuus, toimitusketjun turvallisuus, kyberhygienia, haavoittuvuudet, monivaiheinen todennus ja kryptografia. Sinun on kyettävä perustelemaan, miksi valitut toimenpiteet ovat asianmukaisia.
Mitä ilmoitusaikoja sovelletaan tapahtuman jälkeen?
Ennakkovaroitus 24 tunnin kuluessa, virallinen ilmoitus 72 tunnin kuluessa alustavan vakavuuden ja vaikutusten arvioinnin kera ja loppuraportti viimeistään kuukauden kuluessa. Määrittele ilmoitusprosessi etukäteen.
Pitääkö organisaationi rekisteröityä?
Kyllä. Rekisteröityminen kansalliseen yksikkörekisteriin on pakollista 15. elokuuta 2026 alkaen, ja se tapahtuu MijnNCSC:n kautta käyttäen eHerkenningiä tai julkisen sektorin elinten osalta SSOnRijkiä. Muutokset on ilmoitettava neljäntoista päivän kuluessa. Rekisteröitymisen jälkeen voit muodostaa yhteyden CSIRT-ryhmäsi palveluihin.
Mikä vastuu hallitukselle kuuluu?
Hallituksen on hyväksyttävä turvatoimenpiteet, valvottava niiden toteuttamista, kyettävä arvioimaan kyberriskejä ja itse suoritettava koulutus. Direktiivi käsittelee ylimmän johdon henkilökohtaista vastuuta vaatimustenvastaisuudesta, joten päätökset, koulutus ja valvonta on dokumentoitava osoitettavasti.
Kuinka korkeita sakot ovat?
Olennaisten toimijoiden osalta vähintään 10 miljoonaa euroa tai 2 % maailmanlaajuisesta vuotuisesta liikevaihdosta; tärkeiden toimijoiden osalta vähintään 7 miljoonaa euroa tai 1.4 %, sen mukaan kumpi on suurempi. Lopullinen taso riippuu tekijöistä, kuten rikkomuksen luonteesta, vakavuudesta ja kestosta sekä syyllisyyden asteesta.
Kuka valvoo vaatimustenmukaisuutta?
Tämä vaihtelee toimialoittain. 15. elokuuta 2026 alkaen Alankomaiden digitaalisen infrastruktuurin viranomainen valvoo organisaatioita yhdeksällä toimialalla; muille toimialoille on nimetty muita valvojia. Selvitä, mikä valvoja on toimivaltainen organisaatiosi osalta.
Miksi Alankomaat on viety EU-tuomioistuimeen?
NIS2-direktiivin myöhästyneen täytäntöönpanon vuoksi. Euroopan komissio päätti 8. heinäkuuta 2026 haastaa Alankomaat, Irlannin, Espanjan ja Ranskan unionin tuomioistuimeen täytäntöönpanotoimenpiteiden ilmoittamatta jättämisen vuoksi. Se, että kyberturvallisuuslaki hyväksyttiin päivää aiemmin, ei sinänsä lopeta kyseisiä menettelyjä.
Koskeeko tämä myös toimittajiani?
Toimitusketjun turvallisuus on yksi huolellisuusvelvollisuuden aiheista. Suuri osa haavoittuvuuksista syntyy toimittajilla ja palveluntarjoajilla. Tarkista sopimuksesi turvallisuusjärjestelyjen, ilmoitusvelvollisuuksien ja tarkastusoikeuksien osalta.
