NIS2-vaatimustenmukaisuuden
dokumentaatio 5 päivässä
EU:n NIS2-direktiivi (EU) 2022/2555 velvoittaa 18 sektorin olennaiset ja tärkeät toimijat hallitsemaan kyberriskejä, ja välillisesti myös niiden toimittajat. SYAGA NIS2-Express toimittaa teille valmiin ja toimivan viiteasiakirjan (tietoturvapolitiikka PSSI + vaatimustenmukaisuuskartoitus) ilman, että tiiminne joutuvat sitoutumaan kuukausiksi.
Kuulunko yrityksemme NIS2-direktiivin soveltamisalaan?
Enintään kahdeksan kysymystä, yksi kerrallaan. Laskenta tehdään selaimessanne: vastauksianne ei lähetetä eikä tallenneta.
Tulos on suuntaa antava eikä muodosta oikeudellista neuvontaa. Ratkaiseva teksti on Euroopan unionin virallisessa lehdessä julkaistu direktiivi (EU) 2022/2555 ja sen täytäntöönpano jäsenvaltiossanne.
Mikä NIS2 on?
Vastaus minuutissa johtajalle, joka ei ole IT-ammattilainen.
NIS2 on EU-direktiivi: direktiivi (EU) 2022/2555. Se velvoittaa 18 kriittiseksi katsotun sektorin organisaatiot hallitsemaan kyberriskinsä ja ilmoittamaan vakavista häiriöistään kansallisille viranomaisille. Kyse ei ole merkistä eikä sertifikaatista, joka hankitaan kerran, vaan pysyvästä velvoitteesta, ja direktiivi asettaa vastuuseen johdon, ei pelkästään IT-osastoa.
Kuka sen on laatinut ja mistä lähtien se on voimassa
Kyseessä on Euroopan parlamentin ja neuvoston 14. joulukuuta 2022 antama säädös, joka on julkaistu Euroopan unionin virallisessa lehdessä 27. joulukuuta 2022. Euroopan komissio toteaa sen ”tulleen voimaan tammikuussa 2023” ja korvanneen aiemman NIS1-säädöksen (direktiivi 2016/1148), joka on ”kumottu 18. lokakuuta 2024 alkaen”.
Lähde: ANSSI, Euroopan komissio, DG CONNECT, EUR-Lex, Euroopan unionin julkaisutoimistoMitä se vaatii, selkokielellä
Kaksi keskeistä velvoitetta Euroopan komission sanoin: toteuttaa ”asianmukaiset kyberturvallisuuden riskienhallintatoimenpiteet” ja ”ilmoittaa merkittävistä häiriöistä toimivaltaisille kansallisille viranomaisille”. Kolmas velvoite muuttaa asian luonteen: direktiivi ”asettaa myös ylimmän johdon vastuuseen, jos kyberturvallisuuden riskienhallintatoimenpiteitä ei noudateta, mikä nostaa kyberturvallisuuden hallituksen asialistalle”. ANSSI viittaa tältä osin direktiivin 20 ja 21 artiklaan.
Lähde: Euroopan komissio, DG CONNECT, ANSSIKoskeeko se minua?
Luokkia on kaksi, olennaiset toimijat ja tärkeät toimijat, jotka määräytyvät sektorin, koon ja liikevaihdon mukaan. ANSSI:n julkaisemat kynnysarvot: olennainen on toimija, jolla ”on vähintään 250 työntekijää tai vuotuinen liikevaihto yli 50 miljoonaa euroa ja vuotuinen taseen loppusumma yli 43 miljoonaa euroa”; tärkeä on toimija, joka ei ole olennainen mutta jolla ”on vähintään 50 työntekijää tai liikevaihto ja vuotuinen taseen loppusumma yli 10 miljoonaa euroa”. ANSSI tiivistää kohderyhmän: ”Pääosin nämä toimijat ovat keskisuuria ja suuria yrityksiä sekä alue- ja paikallishallinnon yksiköitä ja viranomaisia.” Näiden kynnysarvojen alapuolella ette lähtökohtaisesti ole NIS2-toimija, mikä ei tarkoita, ettei aihe koskisi teitä: katso tämän sivun alempana oleva osio ”Heijastusvaikutus”. Oman tilanteenne ratkaisemiseksi ANSSI tarjoaa julkisen simulaattorin ”Suis-je concerné ?” monEspaceNIS2-palvelussa.
Lähde: ANSSI, ANSSI (cyber.gouv.fr)Missä Ranska on tänään
Täytäntöönpano ei ole valmis. ANSSI kirjoittaa suoraan: ”NIS 2 -direktiivin täytäntöönpano Ranskassa on käynnissä” ja puhuu yhä ”tulevista olennaisista ja tärkeistä toimijoista”. Täytäntöönpanon välineenä on kriittisten infrastruktuurien kestävyyttä ja kyberturvallisuuden vahvistamista koskeva lakiehdotus (ns. ”Résilience-lakiehdotus”, Légifrance-viite PRMD2412608L), joka esiteltiin ministerineuvostossa 15. lokakuuta 2024, jonka Senaatti hyväksyi 11. ja 12. maaliskuuta 2025 ja josta kansalliskokouksen erityisvaliokunta äänesti 10. syyskuuta 2025. ANSSI täsmentää seurauksen: ”NIS 2 tulee siis voimaan Ranskassa, kun kaikki täytäntöönpanosäädökset (laki, asetukset, määräykset) on annettu.”
Lähde: ANSSI, ANSSI (cyber.gouv.fr), ANSSIRanskan viivästys on virallisesti todettu
EU:n määräaika on umpeutunut: ”Jäsenvaltioilla oli aikaa 17. lokakuuta 2024 asti saattaa SRI 2 -direktiivi osaksi kansallista lainsäädäntöä”. Euroopan komissio ilmoitti 8. heinäkuuta 2026 ”nostavansa Euroopan unionin tuomioistuimessa kanteen Irlantia, Espanjaa, Ranskaa ja Alankomaita vastaan, koska ne eivät ole ilmoittaneet täytäntöönpanotoimenpiteistään”, kun virallinen varoitus oli lähetetty 28. marraskuuta 2024 ja perusteltu lausunto 7. toukokuuta 2025. Kanteeseen sisältyy ”pyyntö, että tuomioistuin määrää taloudellisia seuraamuksia”. Kanne kohdistuu Ranskaan valtiona, ei ranskalaisiin yrityksiin; johtajalle se kertoo, että Ranskan aikataulu on paineen alla ja että odottaminen ei ole strategia.
Lähde: Euroopan komissio, DG CONNECT, Euroopan komissio, DG CONNECTMitä voi tehdä ennen lain valmistumista?
Kaksi asiaa on jo saatavilla ja maksutta. Selvittää, koskeeko NIS2 teitä: monEspaceNIS2:n simulaattori ”Suis-je concerné ?”. Selvittää, minkä perusteella teitä arvioidaan: ANSSI julkaisee 17. maaliskuuta 2026 alkaen Référentiel Cyber France (ReCyF) -viitekehystä, joka ”luettelee ANSSI:n suosittelemat toimenpiteet NIS 2:n asettamien turvallisuustavoitteiden saavuttamiseksi”. ANSSI jakaa sen ”tässä vaiheessa työasiakirjana” ja täsmentää sen vastaavan ”Résilience-lakiehdotuksen 14 artiklassa mainittua kyberturvallisuuden viitekehystä”, joka on ”oletusarvoisesti ei-velvoittava” ja johon tulevat velvoitetut toimijat voivat ”vedota ANSSI:n suorittaman valvonnan yhteydessä”.
Lähde: ANSSI (cyber.gouv.fr), ANSSIMitä NIS2 ei ole
Se ei ole ostettava sertifikaatti, eikä mikään verkkosivu (tämä mukaan lukien) ole oikeudellisesti sitova. ANSSI toteaa omissa UKK:issaan, että se ”on vailla oikeudellista voimaa eikä sido ANSSI:a millään tavoin” ja että ”direktiivi 2022/2555 [...] sellaisena kuin se on julkaistu Euroopan unionin virallisessa lehdessä on ainoa viite, jonka perusteella voidaan määrittää kaikki kyseisen direktiivin soveltamista koskevat edellytykset”. Sama periaate pätee tässä: tämä sivu auttaa ymmärtämään, teksti on ratkaiseva, ja oikeudellisesti sitova osuus kuuluu oikeusalan ammattilaiselle.
Lähde: ANSSI, EUR-Lex, Euroopan unionin julkaisutoimistoAihe on liikkeessä: yllä olevat tiedot on tarkistettu viranomaislähteistä 7. elokuuta 2026. Jokaisen lähteen yhteydessä on sen tarkistuspäivä, jotta voitte tarkistaa tiedot itse.
Tämän lohkon lähteet ja niiden tarkistuspäivät
- FAQ monEspaceNIS2, exigences de cybersécurité (articles 20 et 21), ANSSI, tarkistettu 2026-08-07
https://aide.monespacenis2.cyber.gouv.fr/fr/ - Avancement de la transposition de la directive NIS 2 (FAQ monEspaceNIS2), ANSSI, tarkistettu 2026-08-07 (sivu päivitetty 19.9.2025)
https://aide.monespacenis2.cyber.gouv.fr/fr/article/avancement-de-la-transposition-de-la-directive-nis-2-1b3j1da/ - Directive NIS 2, monEspaceNIS2 / MesServicesCyber, ANSSI, tarkistettu 2026-08-07
https://monespacenis2.cyber.gouv.fr/ - La directive NIS 2, ANSSI (cyber.gouv.fr), tarkistettu 2026-08-07
https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/directives-nis-nis2-et-dispositif-saiv/directive-nis-2/ - Directive SRI 2 (NIS2), page de politique publique, Euroopan komissio, DG CONNECT, tarkistettu 2026-08-07 (sivu päivitetty 2. heinäkuuta 2026)
https://digital-strategy.ec.europa.eu/fr/policies/nis2-directive - La Commission saisit la Cour de justice d'un recours contre l'Irlande, l'Espagne, la France et les Pays-Bas pour défaut de transposition des règles en matière de cybersécurité, Euroopan komissio, DG CONNECT, tarkistettu 2026-08-07 (julkaistu 8. heinäkuuta 2026)
https://digital-strategy.ec.europa.eu/fr/news/commission-refers-ireland-spain-france-and-netherlands-court-justice-failing-transpose-rules - Direktiivi (EU) 2022/2555 (NIS2), virallinen teksti, EUR-Lex, Euroopan unionin julkaisutoimisto, tarkistettu 2026-08-07 URL mainitaan tekstin kanonisena viitteenä; sen sisältöä ei voitu poimia automaattisesti 7.8.2026 (HTTP 202, tyhjä runko). Mikään tässä esitetty tieto ei perustu tämän sivun suoraan lukemiseen.
https://eur-lex.europa.eu/eli/dir/2022/2555/oj
NIS2-direktiivi numeroina
Mitä EU-direktiivi käytännössä muuttaa piiriin kuuluvien toimijoiden kannalta
Noin 160 000 NIS2:n piiriin kuuluvaa toimijaa EU:ssa
NIS2-direktiivi (EU 2022/2555) laajentaa huomattavasti entisen NIS1:n soveltamisalaa. Soveltamiskynnyksenä on EU:n määritelmän mukainen ”keskisuuri” yritys: 50 työntekijää tai samanaikaisesti yli 10 M EUR:n liikevaihto ja yli 10 M EUR:n tase, 18 olennaisessa ja tärkeässä sektorissa.
Seuraamukset ulottuvat johtajiin asti
Säädökset sisältävät hallinnollisia seuraamusmaksuja (useiden miljoonien eurojen suuruusluokkaa tai prosenttiosuus maailmanlaajuisesta liikevaihdosta toimijatyypistä riippuen) sekä johtajien henkilökohtaisen vastuun, joka voi ulottua väliaikaiseen tehtävien hoitamisen kieltoon.
Ranskan täytäntöönpano on kesken
Ranska ei ole vielä saattanut NIS2:ta osaksi kansallista lainsäädäntöään (täytäntöönpanolaki on valmisteilla). Nyt ennakoivat yritykset välttävät odotetun ruuhkan, kun Ranskan säädös tulee voimaan.
Konsulttitalot laskuttavat pitkistä toimeksiannoista
Suuren konsulttitalon toteuttama perinteinen NIS2/ISO 27001 -vaatimustenmukaisuushanke mitataan kuukausissa. Budjetti on usein 50-500 työntekijän pk-yrityksen tai keskisuuren yrityksen ulottumattomissa, vaikka sen on silti ryhdyttävä toimiin.
Heijastusvaikutus: vaikka ette suoraan kuuluisi soveltamisalaan
NIS2 velvoittaa olennaiset ja tärkeät toimijat tarkastamaan toimitusketjunsa turvallisuuden. Käytännössä tilaajanne lähettävät jo - tai lähettävät pian - toimittajan tietoturvakyselyn. Esimerkkejä tämän tyyppisten kyselyjen todellisista kysymyksistä:
Monivaiheinen todentaminen (MFA)
”Mille palveluille edellytätte MFA:n? Sähköposti, VPN, RDP, verkko- ja pilvihallinta, korotetut käyttöoikeudet omaavat tilit.”
Sähköpostin turvallisuus
”Mitä kontrolleja käytätte sähköpostin väärentämistä vastaan (SPF, DKIM, DMARC)? Onko vanhat protokollat (suojaamattomat IMAP, POP3, SMTP) poistettu käytöstä?”
Häiriötilanteiden toimintasuunnitelma
”Mikä on häiriötilanteiden toimintasuunnitelmanne, ja kuinka nopeasti ilmoittaisitte meille kyberturvallisuushäiriöstä?”
Alihankinta ja toimitusketju
”Käytättekö neljännen tason alihankkijoita? Hyväksyttekö sopimuslausekkeet, jotka edellyttävät NIS2-vaatimustenmukaisuutta (kontrollit, tietoturvaloukkausten ilmoittaminen, auditointioikeus)?”
Varmuuskopiot ja jatkuvuus
”Otetaanko varmuuskopioita? Testataanko eheys ja palautusmenettelyt vähintään kerran vuodessa?”
Tietoturvan hallintamalli
”Perustuuko tietoturvapolitiikkanne tunnustettuun viitekehykseen (NIST, ISO 27001)?”
NIS2-Expressin tuottama tietoturvapolitiikka (PSSI) vastaa tämän tyyppiseen kyselyyn kohta kohdalta, liitteenä siihen kuuluvat todisteet.
Ratkaisu: NIS2-Express
5 päivää, 20 lukua, 1 toimiva asiakirja, jota tiiminne voivat soveltaa jo seuraavana maanantaina
Kyselylomake ja johdon haastattelu
2 tunnin haastattelu tietohallintojohtajan tai toimitusjohtajan kanssa. Kontekstin, laajuuden, liiketoiminnan haasteiden ja nykyisen kypsyystason kartoitus jäsennellyn kyselylomakkeemme avulla (10 osa-aluetta, 60 kysymystä).
Tietojen keruu ja tietojärjestelmän kartoitus
Omaisuuserien (palvelimet, työasemat, sovellukset) inventointi, verkkoarkkitehtuurin analyysi, kriittisten tietovirtojen tunnistaminen. Kevyt haavoittuvuusskannaus ennakkosuostumuksella.
Räätälöidyn tietoturvapolitiikan (PSSI) tuottaminen
20 luvun laadinta todellisilla tiedoillanne: tietoturvaorganisaatio, riskimatriisi, toimintamenettelyt, IT-käyttösäännöt. Kaikki on räätälöity juuri teidän kontekstiinne.
Vaatimustenmukaisuuskartoitus ja liitteet
Yksityiskohtainen kartoitus NIS2:een (hallinto, turvallisuustoimenpiteet, häiriöilmoitukset), ISO 27001:een, ANSSI:n ohjeisiin ja GDPR:ään. Liitteiden tuottaminen: omaisuuserien inventaario, soveltuvuuslausunnon (SoA) matriisi, häiriö-, käyttöoikeus- ja muutoshallinnan menettelyt.
Esittely ja osaamisen siirto
Toimituksen esittely johtoryhmälle. Kysymys- ja vastausistunto. Muokattavien tiedostojen (HTML, PDF, DOCX) luovutus, jotta tiiminne voivat ottaa ne omakseen.
Mitä saatte
Täydellinen, käyttöönottovalmis paketti kaikkine tarvitsemanne asiakirjoineen
Tietoturvapolitiikka (PSSI) - 20 lukua
Täydellinen tietoturvapolitiikka, joka kattaa kaikki ISO 27001 -osa-alueet ja muodostaa NIS2:n edellyttämän dokumentaatiopohjan.
- Tietoturvan hallinto ja organisaatio
- Omaisuuserien ja tietojen luokittelu
- Käyttöoikeuksien ja identiteettien hallinta
- Verkko-, järjestelmä- ja sovellusturvallisuus
- Liiketoiminnan jatkuvuus ja häiriönhallinta
Pika-auditointiraportti
Tietoturvatilanteen yhteenveto visuaalisine mittareineen.
- Kypsyystutka (10 osa-aluetta)
- Riskimatriisi (vaikutus/todennäköisyys)
- 10 kriittisintä haavoittuvuutta
- Priorisoitu toimenpidesuunnitelma (PDCA)
- Suositeltu tietoturvabudjetti
Menettelyt ja IT-käyttösäännöt
Tiimienne suoraan sovellettavissa olevat toiminnalliset asiakirjat.
- PROC-01: Häiriönhallinta
- PROC-02: Käyttöoikeuksien hallinta
- PROC-03: Muutoshallinta
- PROC-04: Varmuuskopiointi ja palautus
- IT-käyttösäännöt (allekirjoitusvalmiit)
NIS2-kartoitus
Vastaavuus tietoturvapolitiikkanne ja NIS2-direktiivin keskeisten velvoitelukujen välillä.
- 20 artikla - Hallinto
- 21 artikla - Riskienhallintatoimenpiteet (10 osa-aluetta)
- 23 artikla - Häiriöilmoitukset
- Mallivastaukset NIS2-toimittajakyselyyn
- Vaatimustenmukaisuusmatriisi tilatietoineen
ISO 27001 -liitteet
Soveltuvuuslausunto (SoA) ja 93 liitteen A kontrollin kartoitus (ISO 27001:2022).
- Soveltuvuuslausunto (SoA) kontrollikohtaisin perusteluin
- Palvelimien yksityiskohtainen inventaario
- Haavoittuvuusrekisteri
- Tunnistetut hyökkäysketjut
- Budjetoitu toimenpidesuunnitelma
Muokattavat tiedostot
Kaikki asiakirjat muodoissa, joita voitte muokata.
- Itsenäinen HTML (avattavissa missä tahansa selaimessa)
- Korkealaatuinen PDF (A4-tulostus)
- Muokattava DOCX (Microsoft Word)
- Kaksikielinen FR/EN (valinnainen)
- Korkearesoluutioiset PNG-kaaviot
Katettu vaatimustenmukaisuus
Yksi asiakirja vastaamaan kaikkiin viitekehyksiinne
NIS2 (direktiivi (EU) 2022/2555)
Hallinnon, riskienhallintatoimenpiteiden ja häiriöilmoitusten keskeisten lukujen kattavuus. Sisältää vaatimustenmukaisuuskartoituksen.
ISO 27001:2022
Kaikkien 93 liitteen A kontrollin soveltuvuuslausunto. Rakenne vastaa lausekkeita 4-10 ja neljää teemaa (organisatoriset, henkilöihin liittyvät, fyysiset, teknologiset).
ANSSI:n opas - IT-hygienia
ANSSI:n IT-hygieniatoimenpiteet katetaan 20 luvussa. Selkeä vastaavuus vaatimustenmukaisuuskartoituksessa.
GDPR (32 art.)
Asianmukaiset tekniset ja organisatoriset toimenpiteet henkilötietojen turvallisuuden varmistamiseksi. Tietojen luokittelu ja käsittelytoimien seloste huomioidaan.
Usein kysyttyä
Valmiina varmistamaan NIS2-vaatimustenmukaisuutenne?
Sääntelyseuranta - viralliset lähteet
NIS2 selkokielellä, tiivistettynä kiireiselle johtajalle. Jokainen kohta viittaa virallisen tekstiin, josta se on peräisin.
Ketä asia koskee?
Direktiivi kohdistuu ”keskisuuriin” tai ”suuriin” yrityksiin (EU-oikeuden mukaisesti), jotka toimivat kriittisiksi katsotuilla sektoreilla: toisaalta energia, liikenne, terveys, pankit, vesi, digitaalinen ala, julkishallinto; toisaalta posti, jätteet, kemia, elintarviketeollisuus, valmistus, tutkimus. Jäsenvaltio voi sisällyttää soveltamisalaan myös pienempiä toimijoita, jos niillä on keskeinen rooli.
Mitä NIS2 todella velvoittaa
Selkokielellä: ottaa käyttöön ”oikeasuhteisia” turvatoimia, osata tunnistaa riskinsä, suojata tietonsa, havaita hyökkäys, reagoida siihen ja käynnistää toiminta uudelleen. Lisäksi tulevat tilojen fyysinen turvallisuus, pääsynhallinta ja käyttöoikeudet sekä palveluntarjoajien ja toimittajien turvallisuuden tarkastaminen.
Häiriötilanteessa aikataulu on tarkka
Jos tapahtuu ”merkittävä” häiriö, viranomaiselle on ilmoitettava kolmessa vaiheessa: pikavaroitus 24 tunnin kuluessa, yksityiskohtaisempi ilmoitus 72 tunnin kuluessa ja loppuraportti kuukauden kuluessa. Myös asianomaisille asiakkaille on tiedotettava viipymättä toimenpiteistä, joihin heidän on ryhdyttävä.
Seuraamukset, dramatisoimatta
Seuraamusmaksujen enimmäismäärän vahvistaa direktiivi: enintään 10 M€ tai 2 % maailmanlaajuisesta liikevaihdosta (korkeampi näistä) ”olennaisille” toimijoille; enintään 7 M€ tai 1,4 % maailmanlaajuisesta liikevaihdosta ”tärkeille” toimijoille. Nämä ovat lakisääteisiä enimmäismääriä, eivät automaattinen lasku, ja sakko tulee vasta korjaavien toimenpiteiden portaikon jälkeen - ks. tarkemmin alempana.
Muistettavat päivämäärät
Direktiivi on ollut voimassa 16. tammikuuta 2023 alkaen. Jokaisen jäsenvaltion oli saatettava velvoitteet osaksi kansallista lainsäädäntöään viimeistään 17. lokakuuta 2024, jotta niitä sovelletaan tosiasiallisesti 18. lokakuuta 2024 alkaen, jolloin vanha NIS1-säädös kumottiin.
Kuka johtaa asiaa Ranskassa
ANSSI on nimetty viranomainen, joka tukee NIS2-vaatimustenmukaisuutta. Se on julkaissut ”Référentiel Cyber France” -viitekehyksen (ReCyF, saatavilla 17. maaliskuuta 2026 alkaen) ja tarjoaa ”MonEspaceNIS2”-alustan sekä ”ClubSSI”:n auttamaan yrityksiä pääsemään perille asiasta.
Mitä naapurimaissa jo tapahtuu
Saksassa BSI-viranomainen toteaa, että asianomaisten yritysten lakisääteinen rekisteröitymisaika on jo ylitetty: ne, jotka eivät ole vielä rekisteröityneet, ovat velvollisia tekemään sen viipymättä. Konkreettinen merkki siitä, että eurooppalainen liike on jo käynnissä, selvästi tekstejä pidemmällä.
Yksinkertaistamista selvitetään
Euroopan komissio esitti vuonna 2026 ehdotuksen (”omnibus-paketti”) NIS2-vaatimustenmukaisuuden keventämiseksi erityisesti pienimpien toimijoiden osalta: noin 28 700 yritystä kuuluisi tämän kevennyksen piiriin, joista 6 200 mikro- ja pienyritystä.
Seuranta tehty 17.7.2026 mainittujen virallisten tekstien ja sivustojen pohjalta. Se tiedottaa, mutta ei korvaa oikeudellista lausuntoa tilanteestanne.
NIS2-kalenteri selkokielellä
Ymmärrettävissä 2 minuutissa: mikä on jo pakollista, mikä on tulossa ja missä Ranska todella on tänään. Jokainen päivämäärä viittaa virallisen tekstiin, josta se on peräisin.
NIS2-direktiivi hyväksytään Vahvistettu
Virallinen teksti, direktiivi (EU) 2022/2555, allekirjoitetaan. Se julkaistaan EU:n virallisessa lehdessä 27. joulukuuta 2022.
Voimaantulo EU-tasolla Vahvistettu
Kaksikymmentä päivää julkaisemisensa jälkeen direktiivi tulee virallisesti voimaan (45 artikla). Tästä alkaa jäsenvaltioille annettu laskenta tekstin saattamiseksi osaksi kansallista lainsäädäntöä.
Kansallisen täytäntöönpanon määräaika Ylitetty
Jokaisen jäsenvaltion oli viimeistään tähän päivään mennessä hyväksyttävä ja julkaistava oma täytäntöönpanolakinsa. Määräaika on umpeutunut lähes 2 vuotta sitten: useissa maissa (Saksa, Belgia...) laki on voimassa; toiset, Ranska mukaan lukien, ovat yhä myöhässä (ks. alempana).
Tosiasiallinen soveltaminen + NIS1:n päättyminen Voimassa
Maissa, jotka ovat saattaneet direktiivin voimaan ajoissa, uusia sääntöjä sovelletaan tosiasiallisesti tästä päivästä alkaen. Samana päivänä vanha NIS1-direktiivi (2016/1148) kumottiin ja korvattiin NIS2:lla.
Ranska: vapaaehtoinen ennakkorekisteröinti avataan Saatavilla
Ranskan lakia odotettaessa ANSSI avaa ennakkorekisteröintipalvelun ClubSSI-portaalissaan. Hallinto täsmentää itse, että ”rekisteröintivelvoite... tulee voimaan sääntelytekstien julkaisemisen myötä”: se ei siis (vielä) ole pakollista, mutta siihen kannattaa jo valmistautua.
Komissio ehdottaa NIS2:n yksinkertaistamista Selvityksessä
Euroopan komissio ehdottaa kohdennettuja muutoksia ”oikeudellisen selkeyden lisäämiseksi” ja NIS2-sääntöjen noudattamisen ”yksinkertaistamiseksi” erityisesti pienimpien toimijoiden osalta. Kyseessä on ehdotus, ei vielä hyväksytty teksti: seurattava, mutta ilman että sen vuoksi odotetaan.
Ranska: lakia ei ole edelleenkään julkaistu Odottaa
Kokoontuessaan sidosryhmien kanssa Campus Cyberissä ANSSI vahvistaa suoraan: ”täytäntöönpanoa koskeva lainsäädäntö- ja sääntelytyö ei ole vielä käynnistynyt”. Viesti yrityksille: tehkää ennakkorekisteröinti ”odottamatta” lakia.
Ranska siirretään EU:n tuomioistuimen käsiteltäväksi Vahvistettu viivästys
Euroopan komissio saattaa Ranskan sekä Irlannin, Espanjan ja Alankomaat EU:n tuomioistuimen käsiteltäväksi, koska ne eivät ole ilmoittaneet NIS2:n täytäntöönpanotoimenpiteitään. Se on virallinen todiste EU-tasolla siitä, että Ranskan laki antaa edelleen odottaa lähes 2 vuotta määräajan jälkeen.
Mitä kannattaa muistaa, ilman ammattikieltä
EU-tasolla NIS2 on ollut voimassa 18. lokakuuta 2024 alkaen: maissa, jotka ovat saattaneet direktiivin voimaan ajoissa, velvoitteet (turvallisuus, häiriöilmoitukset, mahdolliset seuraamukset) ovat jo todellisesti sovellettavissa.
Ranskassa täytäntöönpanolakia ei ole tähän päivään mennessä (17. heinäkuuta 2026) edelleenkään julkaistu: mitään ”ranskalaista NIS2-seuraamusta” ei siis ole vielä mahdollista langettaa, kunnes asetus on annettu. Viivästys on kuitenkin kovan paineen alla (EU:n tuomioistuimessa 8. heinäkuuta 2026 aloitettu menettely), ja vapaaehtoinen ennakkorekisteröinti on jo avoinna.
Johtajalle käytännössä: se, että Ranskan laki viipyy, ei ole syy odottaa asioiden laittamista kuntoon. Kun asetus julkaistaan, jo valmiilla yrityksillä ei ole mitään korjattavaa - juuri siinä piilee nyt tehdyn tilannekartoituksen hyöty.
Kalenteri laadittu 17.7.2026 mainittujen virallisten lähteiden pohjalta (EUR-Lex, Euroopan komissio, ANSSI/cyber.gouv.fr). Se päivitetään heti, kun Ranskan laki julkaistaan.
Ketä NIS2 koskee? Soveltamisala yksinkertaisesti selitettynä
Ymmärrettävissä 2 minuutissa: kokosääntö, poikkeukset, ero ”olennaisen” ja ”tärkeän” välillä sekä konkreettisia esimerkkejä suoraan direktiivin virallisesta tekstistä.
Perussääntö: sektori + koko
NIS2 soveltuu yritykseen, joka täyttää kaksi ehtoa samanaikaisesti: se toimii jollakin direktiivin luettelemista 18 sektorista (ks. alempana), ja se on vähintään EU:n määritelmän mukainen ”keskisuuri” yritys, eli sillä on 50 työntekijää tai enemmän, tai sekä liikevaihto että taseen loppusumma ylittävät 10 M€. Näiden kynnysten alapuolella yritys ei yleensä kuulu suoraan soveltamisalaan.
Poikkeuksia myös kynnyksen alapuolella
Tietyt toimijat kuuluvat soveltamisalaan koosta riippumatta, myös pienet: teleoperaattorit, luottamuspalvelujen tarjoajat (sähköinen allekirjoitus...), verkkotunnusrekisterit (DNS/TLD), yritys, joka on ainoa olennaisen palvelun tarjoaja maassaan, tai jonka toiminnan keskeytyminen vaikuttaisi turvallisuuteen, kansanterveyteen tai aiheuttaisi ketjuvaikutuksen riskin. Myös julkishallinto (valtio, joskus alueet) kuuluu soveltamisalaan, lukuun ottamatta kansalliseen turvallisuuteen, puolustukseen tai poliisiin liittyviä.
”Olennainen” vai ”tärkeä”: mikä ero?
Molemmilla luokilla on samat perusturvallisuusvelvoitteet. Ero on valvonnassa: olennaista toimijaa (yleensä erittäin kriittisen sektorin suuret yritykset tai, koosta riippumatta, pätevät luottamuspalvelujen tarjoajat, verkkotunnusrekisterit ja DNS-palvelujen tarjoajat; teleoperaattorit ovat sellaisia keskikoosta alkaen) voidaan valvoa milloin tahansa, jo ennen häiriötä. Tärkeää toimijaa (18 sektorin keskisuuret yritykset, jotka eivät kuulu edelliseen tapaukseen) valvotaan lähtökohtaisesti vasta ilmoituksen tai häiriön jälkeen.
Mikro- ja pienyritykset: yleensä suoran soveltamisalan ulkopuolella
Euroopan komissio vahvistaa: pääsääntö kohdistuu 18 sektorin ”keskisuuriin ja suuriin” yrityksiin; mikro- ja pienyritykset on yleensä vapautettu, ellei niihin sovellu jokin edellä mainituista tapauksista, joissa kokokynnystä ei ole (televiestintä, DNS, ainoa olennainen palvelu...). Lisäkevennystä selvitetään jo vuonna 2026 noin 28 700 yritykselle, joista 6 200 on mikro- ja pienyrityksiä.
Katetut 18 sektoria direktiivin luettelon mukaisesti
Kaksi virallista liitettä: liite I (”erittäin kriittiset” sektorit, 11 sektoria) ja liite II (”muut kriittiset sektorit”, 7 sektoria). Liitteen I yritys, joka ylittää suuryrityksen kynnykset, on lähes aina ”olennainen”; muut ovat yleensä ”tärkeitä”.
Liite I - Erittäin kriittiset sektorit (11)
- 1. Energia (sähkö, kaukolämpö/-kylmä, öljy, kaasu, vety)
- 2. Liikenne (ilma-, rautatie-, meri-/sisävesi-, tieliikenne)
- 3. Pankkitoiminta
- 4. Rahoitusmarkkinoiden infrastruktuurit
- 5. Terveys
- 6. Juomavesi
- 7. Jätevesi
- 8. Digitaalinen infrastruktuuri (pilvi, DNS, datakeskukset, CDN, televiestintä...)
- 9. ICT-palvelujen hallinta (B2B-hallintapalvelujen tarjoajat)
- 10. Julkishallinto (keskus- ja aluehallinto)
- 11. Avaruus
Liite II - Muut kriittiset sektorit (7)
- 1. Posti- ja kuriiripalvelut
- 2. Jätehuolto
- 3. Kemikaalien valmistus, tuotanto ja jakelu
- 4. Elintarvikkeiden tuotanto, jalostus ja jakelu
- 5. Valmistava teollisuus (lääkinnälliset laitteet, elektroniikka, sähkölaitteet, koneet, autoteollisuus, muut kulkuneuvot)
- 6. Digitaalisten palvelujen tarjoajat (verkkomarkkinapaikat, hakukoneet, sosiaaliset verkostot)
- 7. Tutkimus (tutkimuslaitokset)
Käytännössä, mitä se tarkoittaa?
Muutaman yllä olevien liitteiden rivin käännös arkikielelle.
Yksityinen klinikka tai laboratorio
Kuuluu liitteen I ”Terveys”-sektoriin heti, kun kyseessä on EU-oikeuden mukainen terveydenhuollon toimija, jos se ylittää keskisuuren yrityksen kokokynnyksen.
Autoteollisuuden alihankkija tai konevalmistaja
Kuuluu liitteen II ”Valmistava teollisuus” -sektoriin (ajoneuvot, sähkölaitteet, koneet, elektroniikka) kokokynnyksen ylittyessä.
Pilvipalvelun tarjoaja tai ICT-ulkoistusyritys (MSP/MSSP)
Kuuluu liitteen I ”Digitaaliseen infrastruktuuriin” tai ”ICT-palvelujen hallintaan”: soveltamisalassa jo keskisuuresta koosta alkaen (tärkeä toimija), olennainen toimija, jos se on suuri. Ainoa kokoa koskeva poikkeus: jos se on myös pätevä luottamuspalvelujen tarjoaja, verkkotunnusrekisteri tai DNS-palvelun tarjoaja.
Kunta tai alueellinen julkinen laitos
Kuuluu liitteen I ”Julkishallinto”-sektoriin, jos jäsenvaltio sen nimeää, erityisesti kun sen palvelujen keskeytyminen vaikuttaisi merkittävästi kriittisiin yhteiskunnallisiin tai taloudellisiin toimintoihin.
Elintarvikejalostaja tai tukkukauppias
Kuuluu liitteen II sektoriin ”Elintarvikkeiden tuotanto, jalostus ja jakelu”, jos se harjoittaa tukkutoimintaa tai teollista tuotantoa/ jalostusta.
Yritys, joka on ”18 sektorin ulkopuolella”, mutta NIS2:n piiriin kuuluvan toimijan toimittaja
Ei kuulu suoraan NIS2:n soveltamisalaan, mutta sopimus voi tuoda sen sinne: ks. tämän sivun yllä oleva osio ”Heijastusvaikutus”.
Soveltamisala tiivistetty 17.7.2026 direktiivin (EU) 2022/2555 virallisen tekstin (Euroopan unionin virallinen lehti, L 333, 27.12.2022) ja Euroopan komission sivuston pohjalta. Tämä yhteenveto tiedottaa, mutta ei korvaa tarkan tilanteenne oikeudellista arviointia: ”keskisuuren yrityksen” tarkka määritelmä (henkilöstö, liikevaihto, taseen loppusumma) viittaa suositukseen 2003/361/EY, ja se kannattaa tarkistaa oikeudellisen neuvonantajan kanssa rajatapauksessa.
NIS2 johtajan silmin: 7 kysymystä, 7 lähteistettyä vastausta
Ei ammattikieltä: se, mitä kysyisitte asianajajalta tai ANSSI:lta, ymmärrettävissä 2 minuutissa. Jokainen vastaus viittaa virallisen tekstiin, josta se on peräisin.
K. Mikä NIS2-direktiivi on yhdellä lauseella?
Se on EU-teksti, joka on korvannut 18. lokakuuta 2024 alkaen vuoden 2016 kyberturvallisuutta koskevan vanhan lain: Euroopan komissio kuvaa sitä tekstiksi, joka ”nostaa EU:n yhteistä kyberturvallisuuden kunnianhimon tasoa laajemman soveltamisalan, selkeämpien sääntöjen ja tehostettujen valvontavälineiden avulla”.
K. Olen pk-yritys, koskevatko kokokynnykset minua todella?
Teksti kohdistuu ensisijaisesti EU:n määritelmän mukaisiin ”keskisuuriin” tai ”suuriin” yrityksiin, tarkkaan oikeudelliseen kriteeriin, joka viittaa suositukseen 2003/361/EY (käytännössä: 50 työntekijästä alkaen tai samanaikaisesti yli 10 M EUR:n liikevaihdosta ja taseesta), jotka toimivat jollakin 18 luetellusta sektorista. Sen alapuolella ette lähtökohtaisesti kuulu suoraan soveltamisalaan, ellei valtionne sisällytä pienempiä, olennaisiksi katsottuja toimijoita tai ellette toimita olennaista toimijaa (heijastusvaikutus, ks. yllä tällä sivulla).
K. Voidaanko minut johtajana asettaa henkilökohtaiseen vastuuseen?
Kyllä, ja se on tekstin vähiten tunnettu kohta: direktiivin virallinen oikeudellinen yhteenveto täsmentää, että johtoelimen on hyväksyttävä riskienhallintatoimenpiteet ja valvottava niiden täytäntöönpanoa, ja että se voidaan saattaa vastuuseen laiminlyönnin tapauksessa. Kyberturvallisuus ei siis ole pelkkä IT-asia: se on hallinnointikysymys, joka ulottuu johtajaan asti.
K. Mistä tiedän konkreettisesti, onko yritykseni rekisteröidyttävä?
Jokaisen jäsenvaltion on pidettävä ajan tasalla virallista luetteloa olennaisista ja tärkeistä toimijoista, joka tarkistetaan kahden vuoden välein (ensimmäinen EU:n määräaika: 17. huhtikuuta 2025). Ranskassa ANSSI tarjoaa maksuttoman verkkoitsearviointityökalun, ”MonEspaceNIS2”, joka vastaa suoraan kysymykseen ”koskeeko se minua?”.
K. Onko Ranska myöhässä? Mitä se muuttaa minulle tänään?
Kyllä: Ranskan täytäntöönpanolakia ei ole edelleenkään julkaistu, selvästi EU:n määräajan jälkeen. Heinäkuussa 2026 Euroopan komissio on lisäksi saattanut Ranskan EU:n tuomioistuimen käsiteltäväksi, koska se ei ole ilmoittanut täytäntöönpanotoimenpiteitään (ks. yksityiskohtainen kalenteri yllä). Konkreettisesti: mitään ”ranskalaista NIS2-seuraamusta” ei ole vielä mahdollista langettaa, kunnes asetus on annettu, mutta kun se julkaistaan, jo valmiilla yrityksillä ei ole mitään korjattavaa.
K. Mikä muuttuu todella verrattuna vanhaan NIS1-lakiin?
NIS1 (2016) rajoittui energiaan, liikenteeseen, terveyteen, rahoitukseen, veteen ja digitaaliseen alaan. NIS2 laajentaa soveltamisalaa voimakkaasti: mukaan tulevat nyt yleisölle tarjottavat sähköiset viestintäpalvelut, sosiaaliset verkostot ja digitaaliset alustat, jätehuolto, kriittisten tuotteiden valmistus, postipalvelut ja julkishallinto. Moni siihen asti tutkan alapuolella ollut yritys kuuluu nyt soveltamisalaan.
K. Onko pienille toimijoille suunnitteilla kevennystä?
Kyllä, selvityksessä: Euroopan komissio esitti vuonna 2026 yksinkertaistamispaketin NIS2:een liittyvän hallinnollisen taakan keventämiseksi, erityisesti pienimpien toimijoiden osalta. Noin 28 700 yritystä kuuluisi tämän kevennyksen piiriin, joista 6 200 on mikro- ja pienyrityksiä. Tekstiä ei ole vielä lopullisesti hyväksytty: seurattava, mutta valmistautumista ei kannata odottaa.
Sääntelyn UKK laadittu 17.7.2026 mainittujen virallisten tekstien ja sivustojen pohjalta (EUR-Lex, Euroopan komissio, ANSSI). Se tiedottaa, mutta ei korvaa oikeudellista lausuntoa tilanteestanne.
NIS2-seuraamukset selkokielellä
Ei dramatisointia: direktiivi säätää portaittaisesta järjestelmästä, jossa sakko tulee vasta viimeisenä keinona. Tässä ovat tarkat luvut artikla artiklalta, virallisen tekstin mukaisesti lähteistettyinä.
Hallinnollisen seuraamusmaksun enimmäismäärä on vähintään 10 000 000 EUR TAI vähintään 2 % edellisen tilikauden maailmanlaajuisesta liikevaihdosta - sovelletaan näistä kahdesta korkeampaa määrää.
Hallinnollisen seuraamusmaksun enimmäismäärä on vähintään 7 000 000 EUR TAI vähintään 1,4 % edellisen tilikauden maailmanlaajuisesta liikevaihdosta - sama logiikka, korkeampi määrä otetaan.
Sakko on viimeinen porras, ei ensimmäinen refleksi
Ennen lukuun pääsemistä teksti velvoittaa viranomaiset käyttämään toimenpiteiden portaikkoa: varoitus, sitovat ohjeet määräaikoineen, määräys vaatimustenmukaisuuden palauttamisesta, määräys tiedottaa uhan kohteeksi joutuneille asiakkaille, velvoite noudattaa auditoinnin suosituksia, ”valvojan” nimeäminen, velvoite julkistaa rikkomuksen tiettyjä näkökohtia. Sakko ”lisätään” näihin toimenpiteisiin, se ei korvaa niitä.
Kuka rankaisee?
Jokainen jäsenvaltio nimeää yhden tai useamman ”toimivaltaisen viranomaisen”, joka vastaa direktiivin valvonnasta ja täytäntöönpanosta. Ranskassa tämä rooli on ANSSI:lla.
Äärimmäinen keino - vain olennaiset toimijat
Jos aiemmat toimenpiteet jäävät tehottomiksi, viranomainen voi pyytää tuomioistuinta keskeyttämään väliaikaisesti sertifioinnin tai luvan, jopa väistämään väliaikaisesti johtajan (toimitusjohtaja tai laillinen edustaja) tehtävistään, kunnes vaatimustenmukaisuus on palautettu. Tämä äärimmäinen eskalaatio koskee VAIN olennaisia toimijoita, ei tärkeitä toimijoita.
Määrä ei ole automaattinen
Laki velvoittaa ottamaan huomioon tapauskohtaisesti: rikkomuksen vakavuuden ja keston, toistuvuuden, aiheutuneen vahingon, tahallisuuden tai huolimattomuuden, vahingon rajoittamiseksi toteutetut toimenpiteet, käytännesääntöjen tai sertifiointien noudattamisen, yhteistyön tason viranomaisen kanssa. Kaksi samassa tilanteessa olevaa yritystä eivät saa automaattisesti samaa sakkoa.
Johtajat, henkilökohtaisesti vastuussa
Teksti säätää nimenomaisesti, että toimijaa johtavat luonnolliset henkilöt (toimitusjohtaja, laillinen edustaja) voidaan saattaa vastuuseen, jos vaatimustenmukaisuusvelvoitteita laiminlyödään - sekä olennaisten että tärkeiden toimijoiden osalta.
Entä jos kyse on myös tietovuodosta?
Jos häiriö muodostaa myös henkilötietojen tietoturvaloukkauksen, NIS2-viranomaisen on ilmoitettava siitä viipymättä toimivaltaiselle GDPR-viranomaiselle (Ranskassa CNIL). Kaksi järjestelmää koordinoidaan - kyse ei ole automaattisesta seuraamusten kasautumisesta, vaan viranomaisten välisestä ristiinilmoittamisesta.
Lukuesimerkkejä? Ei vielä, rehellisesti sanottuna
Tämän seurannan päivämääränä virallisesta lähteestä ei ole löytynyt yhtään julkistettua NIS2-seuraamuspäätöstä. Järjestelmä riippuu kunkin jäsenvaltion täytäntöönpanolaista, jotka ovat viimeistelyvaiheessa. Merkki siitä, että liike on käynnistynyt: Saksassa BSI-viranomainen toteaa, että asianomaisten toimijoiden lakisääteinen rekisteröitymisaika on jo ylitetty.
Seuraamusosio laadittu 17.7.2026 direktiivin (EU) 2022/2555 31-35 artiklan suoran lukemisen (EUR-Lexin virallinen teksti) ja mainittujen lähteiden pohjalta. Se tiedottaa, mutta ei korvaa oikeudellista lausuntoa tilanteestanne.