{"id":11537,"date":"2023-05-23T11:20:33","date_gmt":"2023-05-23T11:20:33","guid":{"rendered":"https:\/\/www.novotek.com\/fi\/?post_type=insights&p=11537"},"modified":"2025-10-22T12:47:21","modified_gmt":"2025-10-22T10:47:21","slug":"nis2-astuu-voimaan-miten-teollisuusyritykset-voivat-varautua","status":"publish","type":"insights","link":"https:\/\/www.novotek.com\/fi\/insight\/nis2-astuu-voimaan-miten-teollisuusyritykset-voivat-varautua\/","title":{"rendered":"NIS 2 astuu voimaan \u2013 Miten teollisuusyritykset voivat varautua?"},"content":{"rendered":"
\n

NIS 2-direktiivin (EU) 2022\/2555<\/a> tarkoituksena on vastata nykyp\u00e4iv\u00e4n muuttuneeseen kybertoimintaymp\u00e4rist\u00f6\u00f6n ja parantaa koko EU:n turvallisuudentasoa. Direktiivin vaikutusalanpiiriss\u00e4 ovat toimijat, joiden toiminnan katsotaan olevan yhteiskunnan kannalta kriittist\u00e4.<\/p>\n<\/div>\n\n

\n

Direktiivi aiheuttaa useissa teollisuusyrityksiss\u00e4 toimenpiteit\u00e4 \u2013 tai ainakin prosessien tarkempaa tarkastelua. NIS 2 on nyt osa Suomen kansallista lains\u00e4\u00e4d\u00e4nt\u00f6\u00e4, uusi Kyberturvallisuuslaki (124\/2025)<\/a> astui voimaan 8.4.2025.<\/p>\n<\/div>\n\n

\n

T\u00e4ss\u00e4 artikkelissa saat tietoa siit\u00e4, mit\u00e4 NIS 2 -direktiivill\u00e4 tarkoitetaan, mitk\u00e4 toimialat ovat sen piiriss\u00e4 ja mit\u00e4 vaatimuksia toimijoille asetetaan. Kerromme my\u00f6s ratkaisusta, joka helpottaa huomattavasti vaatimusten t\u00e4ytt\u00e4mist\u00e4.<\/p>\n<\/div>\n\n

\n
\"Teollisuus<\/figure>\n<\/div>\n\n
\n
<\/div>\n<\/div>\n\n
\n

Mik\u00e4 on NIS2?<\/strong><\/h2>\n<\/div>\n\n
\n

NIS2 on kyberturvallisuusdirektiivi (EU 2022\/2555<\/a>), jonka avulla pyrit\u00e4\u00e4n parantamaan EU:n ja sen j\u00e4senvaltioiden kyberturvallisuuden tasoa. <\/strong>Direktiiviss\u00e4 esitet\u00e4\u00e4n v\u00e4himm\u00e4isvaatimukset<\/strong>, jotka direktiivin piiriss\u00e4 olevien toimijoiden tulee t\u00e4ytt\u00e4\u00e4 sanktioiden uhalla<\/strong>. N\u00e4m\u00e4 vaatimukset pit\u00e4v\u00e4t sis\u00e4ll\u00e4\u00e4n kyberturvallisuutta vahvistavia riskienhallinta- ja raportointivelvoitteita. NIS 2 -direktiivin kumoaa aiemman verkko- ja tietoturvadirektiivin NIS 1 (NIS1-direktiivi, 2016\/1148<\/a>).<\/p>\n<\/div>\n\n

\n
<\/div>\n<\/div>\n\n
\n

Mitk\u00e4 toimialat kuuluvat NIS2 direktiivin piiriin?<\/strong><\/h2>\n<\/div>\n\n
\n

NIS2 soveltamisala on tuplasti isompi kuin edelt\u00e4j\u00e4ns\u00e4, NIS1:n. M\u00e4\u00e4r\u00e4llisesti eniten uusia yrityksi\u00e4 nousee direktiivin piiriin valmistussektorilta. Energia-alaa ja terveydenhuollon parissa toimia yrityksi\u00e4 NIS2 taas koskee entist\u00e4 laajemmin. Tarkan listauksen n\u00e4et alla olevasta taulukosta.<\/p>\n<\/div>\n\n

\n

Direktiivi jakaa toimijat kahteen luokkaa; Keskeiset<\/strong> ja T\u00e4rke\u00e4t<\/strong>. T\u00e4m\u00e4 jaottelu on merkityksellinen valvonnan ja seuraamusj\u00e4rjestelm\u00e4n kannalta.<\/p>\n<\/div>\n\n

\n
KESKEISET<\/th>T\u00c4RKE\u00c4T<\/th><\/tr><\/thead>
Energia ( + vety ja latauspisteiden palveluntarjoajat*)<\/sub><\/td>Posti ja Kuriiripalvelut*<\/td><\/tr>
Terveys<\/td>J\u00e4tehuolto*<\/td><\/tr>
Juomavesi<\/td>Kemikaalien valmistus, tuotanto & jakelu*<\/td><\/tr>
J\u00e4tevesi*<\/td>Elintarvikkeiden valmistus, tuotanto & jakelu*<\/td><\/tr>
Digitaalinen infrastruktuuri
(tele, luottamuspalvelut, CDN, konesalit*)<\/sup><\/sub><\/td>		Valmistus *
(mm. kulkuneuvot, l\u00e4\u00e4kint\u00e4- ja s\u00e4hk\u00f6laitteet)<\/sup><\/sub><\/td><\/tr>
TVT -palveluiden hallinta*
(yritysten v\u00e4linen)<\/sup><\/td>		Digitaalisten palveluiden tarjoajat
(verkkoyhteist\u00f6alustojen tarjoajat*)<\/sup><\/td><\/tr>
Avaruus*<\/td>Tutkimustoiminta*<\/td><\/tr>
Liikenne<\/td><\/td><\/tr>
Pankkitoiminta<\/td><\/td><\/tr>
Finanssimarkkinoiden infrastruktuuri<\/td><\/td><\/tr>
Julkishallinto<\/td><\/td><\/tr><\/tbody><\/table>
NIS2:n my\u00f6t\u00e4 tulleet uudet toimialat merkitty *-merkill\u00e4 (L\u00e4hde: Liikenne- ja viestint\u00e4ministeri\u00f6n sidosryhm\u00e4tilaisuus 30.3.2023)<\/em><\/figcaption><\/figure>\n<\/div>\n\n
\n
<\/div>\n<\/div>\n\n
\n

S\u00e4\u00e4tely koskee keskisuuria ja suuria yrityksi\u00e4<\/strong>, mutta poikkeuksiakin l\u00f6ytyy. Keskeist\u00e4 on, ett\u00e4 toimija tekee yhteiskunnan kannalta kriittist\u00e4 ty\u00f6t\u00e4<\/strong> ja n\u00e4in ollen tiukemmat kyberturvallisuusm\u00e4\u00e4r\u00e4ykset ovat heid\u00e4n kohdallaan perusteltuja. <\/p>\n<\/div>\n\n

\n

Keskisuuren yrityksen m\u00e4\u00e4ritelm\u00e4:<\/strong> Yritys ty\u00f6llist\u00e4\u00e4 v\u00e4hint\u00e4\u00e4n 50 ty\u00f6ntekij\u00e4\u00e4 tai<\/strong> liikevaihto ja tase on yli 10 miljoonaa.<\/p>\n<\/div>\n\n

\n

Suuren yrityksen m\u00e4\u00e4ritelm\u00e4:<\/strong> Yritys ty\u00f6llist\u00e4\u00e4 v\u00e4hint\u00e4\u00e4n 250 henkil\u00f6\u00e4 tai <\/strong>yrityksen liikevaihto on yli 50 miljoona ja <\/strong>tase on yli 43 miljoonaa.<\/p>\n<\/div>\n\n

\n
<\/div>\n<\/div>\n\n
\n

Direktiivin laiminly\u00f6nti aiheuttaa merkitt\u00e4vi\u00e4 sanktioita<\/strong>, jotka kipuavat aina 10 miljoonaan euroon tai 2 % yrityksen maailmanlaajuisista vuosituloista.
<\/p>\n<\/div>\n\n

\n
<\/div>\n<\/div>\n\n
\n

NIS2 vaatimukset<\/strong><\/h2>\n<\/div>\n\n
\n

NIS2:ssa hallintoelimill\u00e4 ja ylimm\u00e4ll\u00e4 johdolla on entist\u00e4 keskeisempi ja aktiivisempi rooli kyberturvallisuuden parantamisen suhteen. T\u00e4rke\u00e4\u00e4 on, ett\u00e4 verkko- ja tietoj\u00e4rjestelmien turvallisuuden taso on oikeassa suhteessa riskeihin.<\/p>\n<\/div>\n\n

\n

NIS2 v\u00e4himm\u00e4isvaatimukset pit\u00e4v\u00e4t sis\u00e4ll\u00e4\u00e4n:<\/strong><\/h3>\n<\/div>\n\n
\n
1.<\/td>Riskianalyysej\u00e4 ja tietoj\u00e4rjestelmien turvallisuutta koskevat politiikat<\/td><\/tr>
2.<\/td>Poikkeamien k\u00e4sittely<\/td><\/tr>
3.<\/td>Toiminnan jatkuvuuden hallinta
(esim. kriisinhallinta, varmuuskopiointi ja palautumissuunnittelu)<\/sup><\/td><\/tr>
4.<\/td>Toimitusketjun turvallisuus
(ml. kunkin toimijan ja sen v\u00e4litt\u00f6mien toimittajien ja palveluntarjoajien v\u00e4listen suhteiden turvallisuusn\u00e4k\u00f6kohdat)<\/sup><\/td><\/tr>
5.<\/td>Verkko- ja tietoj\u00e4rjestelmin hankinnan, kehitt\u00e4misen ja yll\u00e4pidon turvallisuus
(ml. haavoittuvuuksien k\u00e4sittely ja julkaiseminen)<\/sup><\/td><\/tr>
6.<\/td>Toimintaperiaatteet ja menettelyt, joilla arvioidaan kyberturvallisuusriskien hallintatoimenpiteiden tehokkuutta<\/td><\/tr>
7.<\/td>Perustason kyberhygieniak\u00e4yt\u00e4nn\u00f6t ja kyberturvallisuuskoulutus<\/td><\/tr>
8.<\/td>Toimintaperiaatteet ja menettelyt, jotka koskevat kryptografian ja salauksen k\u00e4ytt\u00f6\u00e4<\/td><\/tr>
9.<\/td>Henkil\u00f6st\u00f6turvallisuus, p\u00e4\u00e4synhallintaperiaatteet ja omaisuudenhallinta<\/td><\/tr>
10. <\/td>Tarvittaessa monivaiheisen todennuksen \/ jatkuvan todennukset k\u00e4ytt\u00f6<\/td><\/tr><\/tbody><\/table>
NIS2 Direktiivi, Artikla 21<\/em><\/figcaption><\/figure>\n<\/div>\n\n
\n
<\/div>\n<\/div>\n\n
\n

Raportointivelvoite<\/h3>\n<\/div>\n\n
\n

Yritysten on huolehdittava raportointivelvoitteesta<\/strong>. Se tarkoittaa muun muassa sit\u00e4, ett\u00e4 yritysten tulee toimittaa 24 tunnin kuluessa ilmoitus kyberuhkista, jotka joko johtivat tai olisivat saattaneet johtaa vakavaan toimintah\u00e4iri\u00f6\u00f6n. Jatkoilmoitus on toimitettava 72 tunnin kuluessa ja loppuraportti 1 kuukauden kuluessa (=kolmiportainen raportointivelvoite). Mik\u00e4li tilanne ei ole viel\u00e4 ohi kuukauden kuluttua, on toimitettava v\u00e4liraportti. Raportti toimitetaan oman alan valvovalle viranomaiselle, esimerkiksi Trafille.<\/p>\n<\/div>\n\n

\n

Katso valvovat viranomaiset vastuusektoreineen t\u00e4st\u00e4. <\/a><\/p>\n<\/div>\n\n

\n
\"Uhka<\/figure>\n<\/div>\n\n
\n
<\/div>\n<\/div>\n\n
\n

octoplant auttaa t\u00e4ytt\u00e4m\u00e4\u00e4n NIS2 -direktiivin v\u00e4himm\u00e4isvaatimukset:<\/strong><\/h2>\n<\/div>\n\n
\n

octoplant<\/a> <\/strong>on modulaarinen ohjelmistoalusta, jossa yhdistyv\u00e4t automaatio-ohjelmistojen ja OT-laitteiden varmuuskopiointi, versionhallinta ja kyberturvallisuus.<\/p>\n<\/div>\n\n

\n

Ty\u00f6kalu auttaa vastaamaan NIS2:n vaatimuksiin ja velvoitteisiin teollisessa ymp\u00e4rist\u00f6ss\u00e4. Seuraavista kappaleista voit lukea, miten eri moduulit (kuvassa) auttavat t\u00e4ytt\u00e4m\u00e4\u00e4n vaatimukset. Esimerkiksi Threat Protec<\/em>tion -moduuli vastaa jo yksin\u00e4\u00e4n kolmeen enismm\u00e4iseen v\u00e4himm\u00e4isvaatimukseen. octoplantin erinomaisten raportointity\u00f6kalujen avulla my\u00f6s vaativan raportointivelvoitteen t\u00e4ytt\u00e4minen tapahtuu helposti ja asianmukaisesti. <\/p>\n<\/div>\n\n

\n

Kyseess\u00e4 ei ole kyberturvallisuusj\u00e4rjestelm\u00e4, vaan johtava ty\u00f6kalu tuotantolaitosten automaation kokonaisvaltaiseen hallintaan. octoplantin avulla pystyt havaitsemaan ep\u00e4ilytt\u00e4v\u00e4t muutokset ajoissa ja ragoida nopeasti. Automaattinen varmuuskopiointi ja versionhallinta pit\u00e4v\u00e4t huolen siit\u00e4, ett\u00e4 pystyt nopeasti palauttamaan tuotannon edelliseen toimivaan tilaan ja v\u00e4ltt\u00e4\u00e4 kalliit seisokit.<\/p>\n<\/div>\n\n

\n

Tutustu octoplantiin tarkemmin t\u00e4st\u00e4<\/a><\/p>\n<\/div>\n\n

\n
\"octoplant<\/figure>\n<\/div>\n\n
\n
\n
\n

Riskianalyysi ja tietoj\u00e4rjestelmien turvallisuutta koskeva politiikka<\/strong><\/h3>\n<\/div>\n\n
\n

[v\u00e4himm\u00e4isvaatimus 1]<\/p>\n<\/div><\/div>\n<\/div>\n\n

\n
\n

Threat Protection<\/em> <\/strong>-moduuli on tehokas ty\u00f6kalu riskianalyysien tekemiseen OT-ymp\u00e4rist\u00f6ss\u00e4. <\/p>\n<\/div>\n\n

\n

Se auttaa tunnistamaan tuotantoymp\u00e4rist\u00f6n haavoittuvuuksia ja pisteytt\u00e4\u00e4 ne oletettavan riskin mukaan. N\u00e4in yritykset saavat luotettavan yleiskuvan haavoittuvuuksistaan ja pystyv\u00e4t priorisoimaan niit\u00e4 kesken\u00e4\u00e4n.<\/p>\n<\/div><\/div>\n<\/div><\/div>\n<\/div>\n\n

\n
<\/div>\n<\/div>\n\n
\n
\n
\n

Poikkeamien k\u00e4sittely<\/strong><\/h3>\n<\/div>\n\n
\n

[v\u00e4himm\u00e4isvaatimus 2]<\/p>\n<\/div>\n\n

\n

<\/p>\n<\/div><\/div>\n<\/div>\n\n

\n
\n

Threat Protection<\/em> <\/strong>-moduuli vertaa yrityksen tuotantokomponentteja CVE-, CERT- ja CISA-tietokantoihin ja pystyy n\u00e4in varautumaan mahdollisiin tuleviin uhkiin. Automaattinen varmuuskopiointi ja komponenttien vertailu varmistaa, ett\u00e4 luvattomat muutokset eiv\u00e4t j\u00e4\u00e4 huomaamatta ja ett\u00e4 viimeisin toimiva varmuuskopio on aina nopeasti saatavilla. N\u00e4in ollen octoplant pystyy suojelemaan OT-ymp\u00e4rist\u00f6\u00e4 ennaltaehk\u00e4isev\u00e4sti. Se mahdollistaa nopean reagoinnin h\u00e4iri\u00f6tilanteissa ja mahdollistaa toiminnan nopean palauttamisen. <\/p>\n<\/div><\/div>\n<\/div><\/div>\n<\/div>\n\n

\n
<\/div>\n<\/div>\n\n
\n
\n
\n

Toiminnan jatkuvuuden hallinta<\/strong><\/h3>\n<\/div>\n\n
\n

[v\u00e4himm\u00e4isvaatimus 3]<\/p>\n<\/div><\/div>\n<\/div>\n\n

\n
\n

Threat Protection<\/strong><\/em> -moduuli vertaa yrityksen tuotantokomponentteja CVE-, CERT- ja CISA-tietokantoihin ja pystyy n\u00e4in varautumaan mahdollisiin tuleviin uhkiin. Automaattinen varmuuskopiointi ja komponenttien vertailu varmistaa, ett\u00e4 luvattomat muutokset eiv\u00e4t j\u00e4\u00e4 huomaamatta ja ett\u00e4 viimeisin toimiva varmuuskopio on aina nopeasti saatavilla. N\u00e4in ollen octoplant pystyy suojelemaan OT-ymp\u00e4rist\u00f6\u00e4 ennaltaehk\u00e4isev\u00e4sti ja mahdollistaa nopean reagoinnin h\u00e4iri\u00f6tilanteissa ja mahdollistaa toiminnan nopean palauttamisen. <\/p>\n<\/div><\/div>\n<\/div><\/div>\n<\/div>\n\n

\n
<\/div>\n<\/div>\n\n
\n
\n
\n

Verkko- ja tietoj\u00e4rjestelmien hankinnan, kehitt\u00e4misen ja yll\u00e4pidon turvallisuus<\/strong><\/h3>\n<\/div>\n\n
\n

[v\u00e4himm\u00e4isvaatimus 5 + raportointivelvoite]<\/p>\n<\/div><\/div>\n<\/div>\n\n

\n
\n

octoplant on muutoksenhallintaty\u00f6kalu, joka yll\u00e4pit\u00e4\u00e4 ja dokumentoi OT-ymp\u00e4rist\u00f6n muutokset – riippumatta siit\u00e4, onko sinulla ulkopuolisia toimittajia. Haavoittuvuusraportit helpottavat my\u00f6s haavoittuvuuksien julkaisemista ja hallintaa. N\u00e4in NIS2 -raportointivelvoitteen t\u00e4ytt\u00e4minen helpottuu huomattavasti. <\/p>\n<\/div><\/div>\n<\/div><\/div>\n<\/div>\n\n

\n
<\/div>\n<\/div>\n\n
\n
\n
\n

P\u00e4\u00e4synhallintaperiaatteet ja omaisuudenhallinta<\/strong><\/h3>\n<\/div>\n\n
\n

[v\u00e4himm\u00e4isvaatimus 9]<\/p>\n<\/div><\/div>\n<\/div>\n\n

\n
\n

octoplantissa voit luoda k\u00e4ytt\u00e4j\u00e4hallinnan jokaiselle yksitt\u00e4iselle komponentille. T\u00e4m\u00e4 tarkoittaa, ett\u00e4 ty\u00f6ntekij\u00f6ill\u00e4, ulkopuolisilla konsulteilla tai muilla j\u00e4rjestelm\u00e4n k\u00e4ytt\u00e4jill\u00e4 on p\u00e4\u00e4sy vain niihin komponentteihin tai tiedostoihin, jotka ovat heille merkityksellisi\u00e4. K\u00e4ytt\u00e4j\u00e4hallinnalla varmistetaan my\u00f6s se, ett\u00e4 kukatahansa ei voi <\/em>poistaa tai lis\u00e4t\u00e4 tietoja j\u00e4rjestelm\u00e4\u00e4n. Muutoshistoriasta on mahdollista varmistaa, ett\u00e4 muutokset on tehty sovitusti. T\u00e4m\u00e4 lis\u00e4\u00e4 yrityksen toimitusketjun turvallisuutta ja mahdollistaa tehokkaan ty\u00f6skentelyn juuri sellaisten laitteiden kanssa, jotka ovat merkityksellisi\u00e4 tuotannon jatkuvuuden kannalta.<\/p>\n<\/div><\/div>\n<\/div><\/div>\n<\/div>\n\n

\n
<\/div>\n<\/div>\n\n
\n
\n
\n

Testaus ja auditointi<\/strong><\/h3>\n<\/div>\n\n
\n

Kyberturvallisuusriskien hallintatoimenpiteiden tehokkuuden arvioimiseksi<\/strong><\/p>\n<\/div><\/div>\n<\/div>\n\n

\n
\n

octoplantin avulla tied\u00e4t, kuka mit\u00e4, milloin ja miksi on mit\u00e4kin tehnyt. Jos muutoksia tehd\u00e4\u00e4n j\u00e4rjestelm\u00e4n ulkopuolella, nekin tallennetaan automaattisella varmuuskopiointi- ja vertailutoiminnolla. octoplantin avulla voidaan helposti ottaa k\u00e4ytt\u00f6\u00f6n toimintatapoja, joiden avulla voidaan hallita ja arvioida yrityksen kyberturvallisuusriskej\u00e4.<\/p>\n<\/div><\/div>\n<\/div><\/div>\n<\/div>\n\n

\n
<\/div>\n<\/div>\n\n
\n

Yhteenveto<\/strong><\/h2>\n<\/div>\n\n
\n

NIS 2 -direktiivin vaikutuspiiriss\u00e4 on useita eri teollisuusalan yrityksi\u00e4. Direktiivi pyrkii kohentamaan EU:n ja sen j\u00e4senmaiden kyberturvallisuutta asettamalla v\u00e4himm\u00e4isvaatimuksia raportoinnin ja riskienhallinnan osalta. Suomessa NIS 2 direktiivin vaatimukset tulivat osaksi kansallista lains\u00e4\u00e4d\u00e4nt\u00f6\u00e4 huhtikuussa 2025 Kyberturvallisuuslain (124\/2025)<\/strong><\/a> my\u00f6t\u00e4.<\/p>\n<\/div>\n\n

\n

<\/p>\n<\/div>\n\n

\n

octoplantin avulla pystyt suorittamaan luotettavia riskianalyysej\u00e4, saat ilmoitukset ep\u00e4ilytt\u00e4vist\u00e4 muutoksista ja tied\u00e4t, kuka on tehnyt, mit\u00e4 on tehnyt ja miksi. Lis\u00e4ksi automaattinen varmuuskopiointi varmistaa sen, ett\u00e4 voit koska vain palauttaa tuotannon edelliseen toimivaan tilaan ja minimoida kalliit seisokit.   <\/p>\n<\/div>\n\n

\n
<\/div>\n<\/div>\n\n
\n
\"NIS<\/figure>
\n
\n Opas: NIS 2 -direktiivi ja octoplant<\/strong>\n \n

Mit\u00e4 yrityksilt\u00e4 edellytet\u00e4\u00e4n NIS 2 -direktiivin voimaantulon my\u00f6t\u00e4 ja miten octoplant auttaa teollisuusyrityksi\u00e4 velvoitteiden t\u00e4ytt\u00e4misess\u00e4?<\/p>\n

Lataa maksuton opas.<\/p>\n<\/div>\n \n