--- title: "NIS2-direktiivi: vaatimukset ja ketä se koskee" url: https://resahost.net/blogit/nis2-direktiivi/ canonical: https://resahost.net/blogit/nis2-direktiivi/ language: fi description: "NIS2-direktiivin soveltaminen Suomessa: kyberturvallisuuslaki, toimialat, riskienhallinta ja poikkeamailmoitukset. Näin erotat lain ja sopimuksen vaatimukset." author: "Olli Junes" author_url: https://resahost.net/tiimi/olli-junes/ datePublished: 2026-08-26 dateModified: 2026-09-10 related: - "NIS2 alihankkijalle: toimitusketjun tietoturvavaatimukset — https://resahost.net/blogit/nis2-alihankkija-toimitusketju/" - "NIS2-riskienhallinnan toimintamalli: mitä siihen kirjataan? — https://resahost.net/blogit/nis2-riskienhallinnan-toimintamalli/" - "NIS2-poikkeamailmoitus: 24 tuntia, 72 tuntia ja loppuraportti — https://resahost.net/blogit/nis2-poikkeamailmoitus/" --- # NIS2-direktiivi: vaatimukset ja ketä se koskee NIS2 on EU:n kyberturvallisuusdirektiivi. Suomessa sen velvoitteista säädetään kyberturvallisuuslaissa ja julkishallinnon osalta tiedonhallintalaissa. Soveltuminen pitää selvittää oman toiminnan perusteella. [Olli Junes](https://resahost.net/tiimi/olli-junes/) · Päivitetty 10.9.2026 - Kyberturvallisuuslaki tuli voimaan 8.4.2025. - Toimiala, koko ja poikkeukset ratkaisevat suoran soveltumisen. - Asiakkaan tietoturvaehto voi velvoittaa sopimuksen kautta. - Ylläpitosopimus kattaa vain sovitut tehtävät. ## Mikä on NIS2-direktiivi? NIS2 eli direktiivi (EU) 2022/2555 vahvistaa yhteisiä kyberturvallisuusvaatimuksia EU:ssa. Se laajensi aiemman NIS-direktiivin sääntelyä. Suomen kyberturvallisuuslaki 124/2025 tuli voimaan 8.4.2025. Julkishallinnon NIS2-velvoitteista säädetään tiedonhallintalaissa. Sääntely edellyttää soveltamisalaan kuuluvilta toimijoilta riskienhallintaa ja merkittävien poikkeamien ilmoittamista. [Traficomin NIS2-ohje](https://www.kyberturvallisuuskeskus.fi/fi/toimintamme/saantely-ja-valvonta/nis-2-euroopan-unionin-kyberturvallisuusdirektiivi/tarkeaa-tietoa-euroopan-unionin-kyberturvallisuusdirektiivista-nis2) kokoaa toimialat ja valvovien viranomaisten tiedot. ## Ketä NIS2 koskee? Kyberturvallisuuslain lähtökohtana ovat liitteiden I ja II toimijat, jotka täyttävät tai ylittävät keskisuuria yrityksiä koskevat edellytykset. Mukana on esimerkiksi energia-, vesi- ja terveyspalveluja sekä tiettyä valmistusta, liikennettä ja digitaalisia palveluja. Tarkka toimijatyyppi ratkaisee; pelkkä laaja toimialanimike ei riitä. Kokoehdoissa huomioidaan henkilöstö ja taloustiedot sekä tarvittaessa omistussuhteet. Tietyt toimijat kuuluvat mukaan koosta riippumatta. Tällaisia ovat esimerkiksi DNS-palveluntarjoajat, aluetunnusrekisterien ylläpitäjät, luottamuspalveluntarjoajat ja yleisen sähköisen viestinnän tarjoajat. Myös laissa määritellyt kriittisyyspoikkeukset voivat tulla kyseeseen. [Pk-yrityksen soveltamisalaopas](https://resahost.net/oppaat/nis2-pk-yritys-2026-kuuluuko-yritykseni/) auttaa kokoamaan arvioon tarvittavat tiedot. Epäselvä tapaus selvitetään oman toimialan valvojan kanssa. Lähde: [Kyberturvallisuuslaki, 3–4 § ja liitteet](https://www.finlex.fi/fi/lainsaadanto/2025/124). ## Kunnat, verkkokaupat ja rakennusliikkeet Julkishallinnon NIS2-sääntelyä ei lähtökohtaisesti sovelleta kuntiin. Kunnan harjoittama lain liitteissä tarkoitettu toiminta, kuten vesihuolto, voi kuitenkin kuulua kyberturvallisuuslain piiriin. Helsingin kaupungin asemaan liittyy hyvinvointialueiden tehtäviä koskeva erityisrajaus. Oma verkkokauppa ei automaattisesti ole laissa tarkoitettu verkossa toimiva markkinapaikka. Rakennusliike tai infrarakentaja ei puolestaan kuulu lakiin vain siksi, että asiakas on julkinen toimija. Muun oman toiminnan ja lain poikkeusten vaikutus selvitetään erikseen. Tutustu [verkkokauppojen](https://resahost.net/toimialat/verkkokaupat/), [rakennusliikkeiden](https://resahost.net/toimialat/rakennusliikkeet/) ja [infrarakentajien](https://resahost.net/toimialat/infrarakentaminen/) verkkopalvelujen ylläpitoon. Lähde: [Traficom: julkishallinnon soveltamisala](https://kyberturvallisuuskeskus.fi/fi/toimintamme/saantely-ja-valvonta/julkishallinto-ja-tutkimusorganisaatiot). ## Miksi asiakas pyytää NIS2-selvitystä? Lain piiriin kuuluvan asiakkaan pitää arvioida välittömien toimittajiensa tietoturvaa. Se voi pyytää palvelukuvausta, selvitystä käyttöoikeuksista, palautumissuunnitelmaa tai sovittua häiriöilmoitusaikaa. Alihankintasuhde ei yksin muuta toimittajaa lain tarkoittamaksi NIS2-toimijaksi. Sopimusehdot voivat silti sitoa toimittajaa. [NIS2 alihankkijalle](https://resahost.net/blogit/nis2-alihankkija-toimitusketju/) kertoo, miten vaatimukset rajataan ja millaista näyttöä kannattaa koota. ## Mitä riskienhallinnassa pitää tehdä? Lain piiriin kuuluvan toimijan pitää tunnistaa ja hallita toiminnassa käytettävien verkkojen ja tietojärjestelmien riskejä. Ajantasaisessa toimintamallissa kuvataan tavoitteet, menettelyt ja vastuut. Toimiin kuuluvat muun muassa turvallinen ylläpito, haavoittuvuuksien käsittely, toimitusketju, käyttöoikeudet, koulutus, salaus, poikkeamien käsittely, varmuuskopiointi sekä fyysinen turvallisuus. Johto hyväksyy toimintamallin ja valvoo sen toteuttamista. [Riskienhallinnan toimintamalli käytännössä](https://resahost.net/blogit/nis2-riskienhallinnan-toimintamalli/) avaa rakennetta esimerkin avulla. Lähde: [Kyberturvallisuuslaki, 7–10 §](https://www.finlex.fi/fi/lainsaadanto/2025/124). ## Milloin poikkeamasta ilmoitetaan? Merkittävästä poikkeamasta ilmoitetaan viipymättä oman toimialan valvojalle. Yleissäännön mukaan ensi-ilmoituksen takaraja on 24 tuntia ja jatkoilmoituksen 72 tuntia merkittävän poikkeaman havaitsemisesta. Luottamuspalveluilla on jatkoilmoitusta koskeva poikkeus. Loppuraportti annetaan yleensä kuukauden kuluessa jatkoilmoituksesta. Pitkäkestoisessa poikkeamassa toimitetaan väliraportti ja loppuraportti kuukauden kuluessa käsittelyn päättymisestä. [Poikkeamailmoituksen aikataulu ja sisältö](https://resahost.net/blogit/nis2-poikkeamailmoitus/) on koottu omaan artikkeliinsa. Lähde: [Kyberturvallisuuslaki, 11–13 §](https://www.finlex.fi/fi/lainsaadanto/2025/124). ## Miten ResaHost auttaa? ResaHost hoitaa sovitut verkkopalvelut: hostingin, WordPress-päivitykset, varmuuskopiot, domainin ja sähköpostin. Palvelukuvaus ja ylläpidon dokumentaatio auttavat kuvaamaan toimittajan osuuden omassa riskienhallinnassa. Premium sisältää tietoturvaraportin neljä kertaa vuodessa. Se ei korvaa poikkeamailmoitusta tai koko organisaation riskienhallintaa. NIS2 ei myöskään ole yksi yleinen sertifikaatti, jonka hostingin ostaja saisi sopimuksen mukana. [Vertaa ylläpitopaketteja](https://resahost.net/hinnoittelu/) ja [käy palvelun vastuut läpi kanssamme](https://resahost.net/yhteystiedot/). Jos tarvitset ympärivuorokautista häiriöpäivystystä tai erityistä palautumisaikaa, vaatimukset selvitetään erikseen ennen sopimusta. ## Usein kysyttyä ## Koskeeko NIS2 kaikkia yrityksiä? Ei. Suora soveltuminen riippuu toimijatyypistä, koosta, lain poikkeuksista ja rajauksista. Asiakkaan sopimusvaatimukset arvioidaan erikseen. ## Tuleeko yrityksestä NIS2-yhteensopiva hostingia vaihtamalla? Hosting voi auttaa toteuttamaan sovittuja teknisiä toimenpiteitä. Se ei yksin osoita koko yrityksen vaatimusten täyttymistä. ## Koskeeko NIS2 kaikkia kuntia? Julkishallinnon NIS2-sääntelyä ei lähtökohtaisesti sovelleta kuntiin. Kunnan lain liitteissä tarkoitettua toimintaa arvioidaan erikseen. ## Lue lisää - [NIS2 alihankkijalle: toimitusketjun tietoturvavaatimukset](https://resahost.net/blogit/nis2-alihankkija-toimitusketju/)↗ - [NIS2-riskienhallinnan toimintamalli: mitä siihen kirjataan?](https://resahost.net/blogit/nis2-riskienhallinnan-toimintamalli/)↗ - [NIS2-poikkeamailmoitus: 24 tuntia, 72 tuntia ja loppuraportti](https://resahost.net/blogit/nis2-poikkeamailmoitus/)↗