Kyberturvallisuuden merkitys on kasvanut räjähdysmäisesti digitalisoitumisen myötä ja on osana myös kansallista turvallisuutta. Kyberuhkien lisääntyessä ja niiden vaikutusten vakavoituessa, kyberturvallisuus on noussut keskeiseksi osaksi myös liiketoiminnan jatkuvuuden varmistamista. Teknologiateollisuus on Suomen yksi suurimpia vientialoja ja merkittävä elinkeino sekä osaltaan Suomi tunnetaankin teknologisesta edistyksellisyydestään.
Tässä artikkelissa käsittelemme kyberturvallisuuden ja NIS II-direktiivin merkitystä Suomessa sekä yritystasolla.
NIS II-direktiivi tai Euroopan Unionin (EU) verkko- ja tietoturvadirektiivi on kyberturvallisuutta koskeva lainsäädäntö. Se nykyaikaistaa ja laajentaa jo olemassa olevia kyberturvallisuussääntöjä, jotta koko EU-alueella olisi valmiudet reagoida kyberuhkiin entistä paremmin erityistesti kriittisten sektoreiden osalta.
Direktiivissä osoitetaan yhteiskunnan kriittisille sektoreille ja palveluntarjoajille kyberturvallisuutta vahvistavia riskienhallinta- ja raportointivelvoitteita. Direktiivi luettelee ne vähimmäistoimenpiteet, joita kaikkien toimijoiden on toteutettava hallitakseen niihin kohdistuvia kyberturvallisuusriskejä.
23.5.2024, hallitus antoi eduskunnalle esityksen NIS II-direktiivin kansallisesta täytäntöönpanosta ja, jota on tullut soveltaa 18.10.2024 lähtien.
Kyberturvallisuus on turvallisuuden osa-alue, jolla pyritään turvaamaan sähköistä ja verkottunutta yhteiskuntaa.
Tarkoituksena on tunnistaa, ehkäistä ja varautua etenkin yhteiskunnalle kriittisten toiminta- ja palvelujärjestelmien häiriöihin, kuten rahaliikenteen, energiatuotannon tai sairaanhoidon järjestelmiin, jotka vahvasti tukeutuvat tietojärjestelmien ja verkkojen toimivuuteen.
Kyberhyökkäyksiä sekä -rikollisuutta esiintyy yhä enemmän ja yhä edistyneemmissä muodoissa kaikkialla maailmassa, ja sen odotetaan kasvavankin tulevaisuudessa. Lisäksi valtiolliset toimijat hyödyntävät kyberikollisuusryhmiä ja/tai suoraan hybridivaikuttavat tavoitteenaan horjuttaa yhteiskunnallista vakautta. Olennaista kyberturvallisuuden tarkastelussa on sen vaikutukset fyysisessä maailmassa.
Kyberhyökkäysten ja -uhkien taustalla olevan tahon tunnistaminen on aina haaste. Hyökkääjät pyrkivät suurimmassa määrin peittämään jälkensä useiden palvelimien kautta anonymisoimalla työkalujaan ja salaamaan taustalla olevia muita toimijoita.
Myös kyberturvallisuuden kriisitilanteiden toimintamallit voivat olla usein puutteellisia. Puutteelliset toimintamallit johtuvat usein siitä, että palveluntarjoajat ja muut toimijat eivät ole valmistautuneita tai niillä ei ole resursseja ja osaamista, jota tehokas kriisienhallinta vaatii.
Murroksellisia teknologioita, kuten tekoälyä voidaan hyödyntää luomaan haittaohjelmia taikka uskottavampia syväväärrennöksiä tietojen kalastelussa tai informaatiovaikuttamisen tukena.
Toisaalta tekoälyjärjestelmiä voidaan myös hyödyntää riskien hallinnassa ja uhkien ennakoimisessa. Se täydentää ja tehostaa perinteisiä kyberturvallisuusratkaisuja ja auttaa vastaamaan yhä monimutkaisempiin uhkakuviin.
Samalla on myös tärkeää huomioida tekoälyn suunnitteluun ja käyttöön liittyvät määräykset. Lisää EU:n tuoreesta tekoälyasetuksesta löydät tietoa täältä.
Suomessa kyberturvallisuudesta vastaa Liikenne- ja viestintäviraston alainen Kyberturvallisuuskeskus, joka on ollut toiminnassa 2014 lähtien. Sen tarkoituksena on kehittää ja valvoa ja viestintäverkkojen ja -palveluiden toimintavarmuutta ja turvallisuutta.
Suomessa ei ole erikseen kansallista lainsäädäntöä koskien kyberturvallisuutta, kuten esimerkiksi Virossa, mutta laki sähköisen viestinnän palveluista liipaisee läheltä. Sen tavoitteena on edistää sähköisen viestinnän palveluiden tarjontaa, käyttöä, turvata sähköisen viestinnän luottamuksellisuuden ja yksityisyyden suojan toteutuminen. Kyseisellä lailla varmistetaan, että viestintäverkkoja- palveluita on kohtuullisin ehdoin jokaisen saatavilla koko maassa.
Kyberturvallisuuden merkitys tulee kasvamaan seuraavina vuosina Suomen asemoituessa teknologiapolitiikallaan yhdeksi maailman kilpailukykyisemmäksi valtioksi. Valtioneuvostolla on käynnissä jo lukuisia toimenpiteitä, joista merkittävin kyberturvallisuuden kannalta lienee digitaalisen henkilöllisyyden käyttöönottoa yksityishenkilöille ja yrityksille sekä sähköistä tunnistautumista yli rajojen.
Kyberturvallisuuden merkitys suomalaisille yrityksille
NIS II-direktiivi tuo mukanaan paitsi velvoitteita kriittisten palveluiden tarjoajille, myös mahdollisuuden kehittää yritysten kyberturvallisuuskulttuuria. Koska teknologiatuotanto on yksi taloutemme kulmakiviä, kyberturvallisuus on myös strateginen investointi.
Kyberhyökkäykset, kuten palvelunestohyökkäykset (DDoS) tai tietojenkalastelu (Phishing), voivat lamauttaa yrityksen toiminnan ja aiheuttaa merkittäviä taloudellisia menetyksiä tai mainehaittaa. Direktiivi edellyttää kattavia riskienhallintamenetelmiä, jotka mahdollistavat myös nopean toipumisen mahdollisista hyökkäyksistä.
Digitalisaation myötä toimialat ovat riippuvaisia toisistaan ja harva häiriötilanne tänä päivänä koskettaa vain yhtä yritystä tai yhteiskunnan sektoria. Moderneihin uhkiin varautuminen ja vastaaminen edellyttävät sitä, että yhteistyö toimii ja johtamisen, tilannekuvan ja viestinnän väliset yhteydet ovat kunnossa. Kyberturvallisuus ei ole pelkkä velvoite, vaan myös strateginen investointi toimintajärjestelmien tulevaisuuteen.
Mikäli tunnistat NIS II-direktiivin kohteena olevan yrityksesi toimialan tai kysymyksiä heräsi liittyen kyberturvallisuuteen, asiantuntijamme auttavat riskien arvioinnissa ja hallinnassa sekä parhaiden työkalujen valinnassa, jotta yrityksesi voi rakentaa vahvempaa digitaalista tulevaisuutta.