Kyberturvallisuuslaki edellyttää toimia kaikilta keskisuurilta yrityksiltä

Sakari Aalto

Blogit Teknologia ja data

22.10.2026

Hakkerit näyttävät ottaneen käyttöön tekoälyn mahdollisuudet nopeammin kuin hyökkäysten kohteena olevat organisaatiot. Vahingollisten ja näyttävien tietomurtojen määrä näyttää lisääntyneen viime kuukausien aikana. Vaikuttaa myös siltä, että tietomurron kohteeksi voi joutua, vaikka organisaatio noudattaa tavanomaisia tietoturvamenettelyjä.

EU on reagoinut jo vuosia kasvaneeseen tietoturvauhkaan tavoilleen uskollisesti lisäämällä sääntelyä. Tietoturvan osalta merkittävin säännös on ns. NIS2 -direktiivi, joka Suomessa on implementoitu kyberturvallisuuslailla (124/2025). Lain mukaan sen piiriin kuuluvien yritysten tulee ottaa käyttöön ja ylläpitää lain vaatimukset täyttävät tietoturvamenettelyt ja ilmoittaa tietoturvaloukkauksista valvovalle viranomaiselle.

Laki tuli voimaan jo 8.4.2025, mutta vaikuttaa siltä, että suuri osa suomalaisista keskisuurista yrityksistä ei ole ottanut sen sisältöä huomioon toiminnassaan. Jokaisen yrityksen, jonka palveluksessa on yli 50 työntekijää ja jonka taseen loppusumma tai liikevaihto ylittää 10 miljoonaa euroa pitäisi vähintään arvioida ja dokumentoida päätös siitä, kuuluuko organisaatio kyberturvallisuuslain soveltamisalaan. Jos yritys kuuluu lain soveltamisalaan, valvova viranomainen voi antaa huomautuksia, määrätä sen toimintaan liittyviä kieltoja ja lisäksi määrätä erittäin huomattavia seuraamusmaksuja.

Kyberturvallisuuslain edellyttämät sisällölliset menettelyt ovat lähes poikkeuksetta suositeltavia, vaikka yritys ei kuuluisi lain soveltamisalaan. Tietoturvamenettelyjen arvioiminen kokonaisuutena on hyödyllistä, vaikka yritykseen ei kohdistuisi sakkoriskiä.

Asianajotoimisto Edelle auttaa mielellään kyberturvallisuuslain soveltamiseen liittyvien kysymysten arvioinnissa. Lisäksi autamme mielellämme myös muissa lain soveltamiseen liittyvissä juridisissa kysymyksissä.

Sakari Aalto