NIS2-direktiivi on pantu Ruotsissa täytäntöön kyberturvallisuuslailla (cybersäkerhetslagen 2025:1506), joka tuli voimaan 15. tammikuuta 2026. Se koskee arviolta 8 000:ta organisaatiota kahdeksallatoista yhteiskunnan kannalta tärkeällä toimialalla — muun muassa energia, liikenne, terveys, vesi, jätehuolto, elintarvikkeet, valmistus ja digitaalinen infrastruktuuri. Laki asettaa vastuun johdolle ja kirjaa auki, että johto on koulutettava.
11. syyskuuta 2026: CRA:n mukainen ilmoitusvelvollisuus
Digitaalisia osia sisältävien tuotteiden valmistajien on silloin ilmoitettava aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista — ennakkovaroitus 24 tunnin ja täydellinen ilmoitus 72 tunnin kuluessa. Tämä koskee myös tuotteita, jotka ovat jo markkinoilla, kauan ennen joulukuun 2027 täysimääräisiä vaatimuksia.
Mistä johto vastaa
- Riskienhallintatoimien hyväksymisestä ja seurannasta — vastuuta ei voi delegoida IT:lle.
- Siitä, että johto itse käy koulutuksen ja tarjoaa vastaavaa koulutusta henkilöstölle.
- Siitä, että poikkeamat ilmoitetaan ajoissa valvontaviranomaiselle.
- Siitä, että vaatimukset ulottuvat toimitusketjuun, eivät vain omaan organisaatioon.
- Seuraamusmaksut voivat olla jopa 2 prosenttia maailmanlaajuisesta liikevaihdosta tai 10 miljoonaa euroa.
NIS2 ja CRA ovat kaksi eri asiaa
Kyberturvallisuuslaki koskee sitä, miten toimintaa johdetaan: hallintoa, riskienhallintaa, jatkuvuutta ja ilmoittamista. Cyber Resilience Act koskee sitä, mitä myytte: digitaalisia osia sisältävien tuotteiden on oltava itsessään turvallisia, pysyttävä päivitettyinä ja niillä on oltava hallittu haavoittuvuusprosessi. Jos valmistatte jotain verkkoon kytkettyä ja harjoitatte yhteiskunnan kannalta tärkeää toimintaa, molemmat koskevat teitä, ja ne kohdistuvat organisaation eri osiin.
Usein kysyttyä kyberturvallisuuslaista
Mikä ratkaisee, koskeeko laki teitä, ja mitä se vaatii, jos koskee.
- Koskeeko kyberturvallisuuslaki meitä?
- Sen ratkaisevat toimiala ja koko. Toimijat jollakin kahdeksastatoista toimialasta, joilla on vähintään 50 työntekijää tai 10 miljoonan euron liikevaihto, kuuluvat yleensä lain piiriin, ja osa pienemmistäkin toimijoista kuuluu siihen yhteiskunnallisen roolinsa vuoksi. Ilmoitus tehdään valvontaviranomaiselle.
- Mitä laki vaatii johdolta?
- Että se hyväksyy riskienhallintatoimet, seuraa niiden toteutumista ja kouluttautuu itse kyberturvallisuuteen. Johto voidaan asettaa vastuuseen, kun puutteita ilmenee.
- Mitä eroa on NIS2:lla ja Cyber Resilience Actilla?
- NIS2 eli kyberturvallisuuslaki asettaa vaatimuksia toiminnalle. CRA asettaa vaatimuksia EU:n markkinoille saatettaville tuotteille, joissa on digitaalisia osia. Toinen säätelee sitä, miten työskentelette, toinen sitä, mitä myytte.
- Milloin poikkeamasta on ilmoitettava?
- CRA:n mukaan aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista poikkeamista on annettava ennakkovaroitus 24 tunnin ja täydellinen ilmoitus 72 tunnin kuluessa 11. syyskuuta 2026 alkaen. Kyberturvallisuuslaissa on omat määräaikansa samalla logiikalla: ensin hälytys, sitten selvitys.
Kouluttakaa johto ennen kuin valvoja kysyy
Verkkokursseja tietokokeineen ja kurssitodistuksineen — dokumentaatio siitä, että koulutusvaatimus täyttyy, tulee mukana.
Katso kaikki kurssit