NIS 2 -direktiivi ja kyberturvallisuuslaki yrityksissä : kyberturvallisuutta koskevat velvoitteet ja riskienhallinnan toimintamalli

Abstract

Opinnäytetyössä käsiteltiin NIS 2 -direktiiviä ja sen Suomessa toimeenpanevan kyberturvallisuuslain mukaista kyberturvallisuutta koskevaa riskienhallintaa yrityksissä. Työn tarkoituksena oli selvittää, mitä kyberturvallisuuslain 7–10 §:n mukainen kyberriskienhallinta NIS 2 -toimijoilta edellyttää sekä perehtyä riskienhallinnan perusteisiin.

Työssä esiteltiin, mistä verkko- ja tietojärjestelmät koostuvat, mitä tarkoitetaan riskillä ja mitkä ovat yleisimpiä kyberuhkia. Lisäksi perehdyttiin tietoturvan ja kyberturvallisuuden käsitteisiin, yrityksen sisäiseen ja ulkoiseen toimintaympäristöön sekä kybertoimintaympäristöön. NIS 2 -direktiivin ja kyberturvallisuuslain keskeiset velvoitteet yrityksille kerättiin yhteen. Tarkasteltiin, mitkä yritykset kuuluvat NIS 2 -direktiivin soveltamisalaan, toimijaluetteloon ilmoittautumista, merkittävien poikkeamien ilmoitusvelvollisuutta, valvontaa sekä johdon vastuuta kyberturvallisuutta koskevasta riskienhallinnasta.

Työssä tarkasteltiin ja tulkittiin NIS 2 -direktiiviä, kyberturvallisuuslakia sekä aiheeseen liittyvää kirjallisuutta, kuten riskienhallinnan oppaita ja ISO-standardeja. Riskienhallintaa tarkasteltiin sekä yleistä riskienhallintaa käsittelevän ISO 31000 -standardin että tietoturvallisuuden hallintajärjestelmää käsittelevän ISO/IEC 27000 -standardisarjan avulla.

Edellä mainittujen toimien pohjalta koottiin malli kyberturvallisuutta koskevasta riskienhallinnan toimintamallista, jonka ytimessä ovat toimintaperiaatteet viestintäverkkojen ja tietojärjestelmien turvallisuudelle sekä kyberturvallisuutta koskevalle riskienhallinnalle. Mallia täydennettiin käytännön menetelmillä, kuten riskirekisterillä ja riskimatriisilla. Dokumentoitu ja systemaattinen riskienhallinta edistää kyberturvallisuuslain velvoitteiden täyttämistä.

The NIS 2 Directive was implemented in Finland through the Cybersecurity Act in 2025, bringing many entities within the scope of new obligations. The purpose of this thesis was to describe the cyber risk management obligations for NIS 2 entities under this legislation and to review the basic principles of risk management.

The thesis described which sectors fall within the scope of the NIS 2 Directive and summarised other main obligations, such as NIS 2 entity registration, incident notification, supervision and the responsibilities of management in managing cyber risks. In addition, the thesis provided background on key topics such as the definitions of risk, information security, cybersecurity and network and information systems and described the operating environment.

The NIS 2 Directive, the Cybersecurity Act and literature on risk management and ISO standards were studied. Based on the ISO 31000 and the ISO/IEC 27000 series, risk management was described and supported with practical methods and tools such as a risk register and a risk matrix. Systematic and documented risk management helps companies comply with the law.