03 heinä, 2026

Tietoturva Artikkeli

Turvallisuus on johdon vastuulla

Sarjan ”Kun turvallisuus pettää ja luottamus murtuu” viides artikkeli

Pohjoismaat kuuluvat maailman digitaalisesti edistyneimpiin alueisiin. Se on ylpeyden aihe, mutta myös merkittävä riskitekijä.

Tuoreessa, Suomen ja Ruotsin organisaatioille suunnatussa kyselyssä kävi ilmi, että 54 prosenttia oli kokenut vähintään yhden vakavan kyberhyökkäyksen kuluneen vuoden aikana. Lähes yhdeksän kymmenestä odottaa hyökkäysten määrän kasvavan. Silti vain 23 prosenttia katsoo, että heidän organisaationsa on täysin valmis NIS2-direktiiviin ja nyt voimaan astuviin sääntelyvaatimuksiin.

Alttius ja varautumisen välinen kuilu on todellinen. Ja NIS2-direktiivi on selkeä: vastuu tämän kuilun kaventamisesta kuuluu johtoryhmälle.

Tämä on sarjan viimeinen artikkeli. Siinä kootaan yhteen edellisten neljän artikkelin teemat ja esitetään kysymys, joka ratkaisee, onko perusta todella rakennettu: kuka on vastuussa?

Pohjoismainen kuilu ja miksi se on johtamiseen liittyvä kysymys

TEK Norgen Nordic Cybersecurity Benchmark 2025 -tutkimus antaa konkreettisen kuvan alueen nykytilasta:

72 Suomi	69 Ruotsi	66 Tanska	64 Norja
Pisteet 100:sta · TEK Norge Nordic Cybersecurity Benchmark 2025 (NyAnalyse, joulukuu 2025)

Merkittävin havainto ei ole itse pisteet, vaan se, mitä niiden takana piilee. Jopa alueen parhaat tulokset saavuttaneet maat joutuvat kohtaamaan uhkaympäristön, joka kehittyy puolustuskykyään nopeammin. Hyökkäykset Tanskan energiainfrastruktuuria vastaan, kyberhyökkäysten nelinkertaistuminen Suomessa ja Ruotsissa niiden liittyessä Natoon sekä Ruotsin kärkipaikka pohjoismaiden joukossa kiristysohjelmahyökkäysten määrässä: nämä eivät ole varoitusmerkkejä tulevaisuudesta. Ne ovat nykyhetkeä.

Yksi vertailututkimuksen havainnoista ansaitsee erityistä huomiota: suhteellisen pieni määrä raportoitu turvallisuuspoikkeamat ovat ei välttämättä ole hyvä merkki. Se voi yhtä hyvin tarkoittaa, että hyökkäyksiä ei havaita. Tämä on epämiellyttävä, mutta tärkeä seikka jokaiselle johtajalle.

Pohjoismailla on osaamista, infrastruktuuria ja motivaatiota toimia kyberturvallisuuden edelläkävijöinä. Liian monesta organisaatiosta puuttuu kuitenkin vastuu. Ja vastuu alkaa johtokunnasta.

Erik Ramstad, verkko-, infrastruktuuri- ja kyberturvallisuusjohtaja

Mitä NIS2 todellisuudessa edellyttää johdolta

NIS2 ei ole ensisijaisesti tekninen vaatimus. Se on hallintoon ja johdon vastuuseen liittyvä vaatimus. NIS2 eroaa aiemmista säännöksistä siinä, että se asettaa vastuun nimenomaisesti – ja henkilökohtaisesti – ylimmälle johdolle.

NIS2-vaatimus	Mitä tämä tarkoittaa käytännössä
Henkilökohtainen vastuu johtajuudesta	Hallitus ja ylin johto voidaan asettaa henkilökohtaisesti vastuuseen rikkomuksista
Hallitustason riskien arviointi	Hallitus hyväksyy riskinarvioinnin – ei pelkästään tietoturvajohtaja
Poikkeamien raportointi	24 tuntia: ennakkovaroitus viranomaisille. 72 tuntia: kattava raportti
Toimitusketju	Vaatimukset koskevat myös alihankkijoita ja keskeisiä yhteistyökumppaneita
Mittausasiakirjat	Organisaation sisäiset, fyysiset ja tekniset toimenpiteet on dokumentoitava ja pidettävä ajan tasalla

Monet organisaatiot olettavat, että NIS2 koskee ensisijaisesti kriittisen infrastruktuurin suuria toimijoita. Tämä on virheellinen käsitys. NIS2 laajentaa soveltamisalaa merkittävästi edeltäjäänsä verrattuna – siihen on lisätty muun muassa julkishallinto, jätehuolto ja elintarviketuotanto. Täytäntöönpano on käynnissä koko Pohjoismaissa, ja direktiivin täysimääräisen soveltamisen odotetaan alkavan vuonna 2026.

Kysymyksiä, joita hallituksen tulisi nyt pohtia:

→ Onko meillä ajantasainen yleiskatsaus siitä, mitkä NIS2-vaatimukset koskevat organisaatiotamme ja toimitusketjuamme?

→ Onko hallitus hyväksynyt riskinarvioinnin, joka kattaa organisatoriset, fyysiset ja tekniset toimenpiteet?

→ Olemmeko varmistaneet, että pystymme ilmoittamaan viranomaisille vakavasta tapahtumasta 24 tunnin kuluessa?

Kolme kysymystä, jotka hallituksen tulisi esittää ja joihin sen tulisi saada konkreettiset vastaukset

Tässä artikkelisarjassa olemme käsitelleet neljää osa-aluetta: sisäänrakennettua tietoturvaa, verkkoarkkitehtuuria, testausta ja operatiivista reagointia. Hallitukselle, joka haluaa ottaa vastuun asioista aidosti, nämä kolme kysymystä ovat hyvä lähtökohta:

KOLME KYSYMYSTÄ, JOTKA HALLITUKSEN PITÄISI ESITTÄÄ – JA JOIHIN SEN PITÄISI SAADA KONKREETTISIA VASTAUKSIA

1.Tiedämmekö, mitkä digitaaliset resurssit ovat tärkeimpiä – ja onko niiden luottamuksellisuus, eheys ja käytettävyys varmistettu?

2.Olemmeko testanneet, pystyisimmekö todella havaitsemaan hyökkäyksen – juuri sen tapahtuessa?

3.Mitä meille tapahtuu, jos keskeinen toimittaja tai tärkeä yhteistyökumppani joutuu vaaraan?

Nämä kysymykset eivät vaadi hallituksen jäseniltä teknistä asiantuntemusta. Niiden vastaaminen edellyttää, että tietoturvajohtaja tai IT-johtaja pystyy vastaamaan konkreettisesti, asiakirjojen avulla, ei pelkillä yleisluontoisilla vakuutteluilla. Se on erittäin luotettava mittari organisaation kypsyydestä.

Säännösten noudattamisesta kilpailueduksi

Säännösten noudattaminen on vähimmäisvaatimus, ei yläraja. Organisaatiot, jotka vain täyttävät lakisääteiset vaatimukset, jäävät aina uhkakuvaan nähden jälkeen. Vahvimmat toimijat hyödyntävät tietoturvaa aktiivisesti strategisena voimavarana.

Sääntöjen noudattamisen ajattelutapa	Kilpailuedun ajattelutapa
Vastaa vaatimuksiin – aina jäljessä	Toimii ennakoivasti – aina vakaana
Turvallisuus on kustannus, jota on pyrittävä pitämään mahdollisimman pienenä	Turvallisuus on erottava tekijä
Ilmoittaa sääntelyviranomaisille vaaditut tiedot	Tietoturvatilanteen esittäminen myyntivaltina
Toimitusketjun turvallisuus on jonkun muun ongelma	Määrittelee turvallisuusvaatimukset kaikissa toimittajasopimuksissa
Tietoturvajohtaja raportoi hallitukselle kerran vuodessa	Hallitus pyytää neljännesvuosittain tilannetietoja turvallisuustilanteesta

Organisaatiot, jotka dokumentoivat ja viestivät tietoturvatilanteestaan asiakkaille, sijoittajille ja yhteistyökumppaneille, huomaavat, että se erottaa ne edukseen. Rahoituspalveluiden, terveydenhuollon ja kriittisen infrastruktuurin kaltaisilla aloilla todistettavissa oleva tietoturva on nopeasti muuttumassa perusvaatimukseksi sille, että yritys ylipäätään otetaan huomioon toimittajana.

Kyse ei ole enää siitä, onko organisaatio voi asettaa turvallisuuden etusijalle. Kyse on siitä, onko se voi jättää tekemättä.

Digitaalisen luottamuksen perusta kokonaisuudessaan

Tässä sarjassa on käsitelty neljää tekijää, jotka luovat digitaalista luottamusta. Tässä ne ovat kaikki yhdessä:

DIGITAALISEN LUOTTAMUKSEN PERUSTA · NetNordic

1. Turvallisuus suunnitteluvaiheesta lähtien – Turvallisuus on sisäänrakennettu alusta alkaen, eikä sitä ole lisätty jälkikäteen→ 1 ja 2 artikla

2. Verkkoarkkitehtuuri – Segmentointi rajoittaa vaurioita ja estää sivuttaisliikkeen→ 3 §

3. Jatkuva testaus – Penetration-testaus ja red team paljastavat heikkoudet ennen hyökkääjiä→ 4 §

4. Operatiivinen reagointi – Ympärivuorokautinen valvonta ja nopea reagointi, jos jotain sattuu→ 5 §

Kaikkien neljän tekijän on oltava kohdallaan. Juuri tämä erottaa organisaatiot, jotka säilyttävät luottamuksen, niistä, jotka menettävät sen.

NetNordic auttaa johtoa rakentamaan ja dokumentoimaan kaikki neljä osa-aluetta – sekä esittämään tietoturvatilanteen hallitukselle tavalla, joka tarjoaa aitoa tietoa ilman teknistä ammattikieltä.

yli 80 SOC-asiakkaat, joiden NPS-pisteet ovat noin 60

2,3 minuuttia Keskimääräinen havaitsemisaika

#1 Pohjoismaat SOC 2025:n johtaja

Vuodesta 2014 lähtien NetNordic on käsitellyt satoja vakavia tietoturvapoikkeamia – ilman, että yksikään SOC-asiakkaistamme olisi joutunut tietoturvaloukkauksen kohteeksi valvonnassamme. Se ei ole pelkkää onnea. Se on seurausta nopeasta havaitsemisesta (keskimäärin 2,3 minuuttia), järjestelmällisestä poikkeamien käsittelystä sekä perustan kaikkien neljän osatekijän yhdistämisestä. Kokemus todellisista poikkeamistilanteista on myös se, mikä tekee meistä tehokkaita siinä, mikä on tärkeintä: vahinkojen rajoittamisessa, kun jotain sattuu.

Luottamus rakennetaan nyt, tai se joudutaan korjaamaan kalliilla hinnalla

Useimmat vakavat tietoturvapoikkeamat eivät ala kehittyneistä hakkerointitekniikoista. Ne alkavat arkkitehtuurivalinnoista, priorisointipäätöksistä ja siitä, mikä katsotaan ”riittävän hyväksi”.

Tämä tarkoittaa, että vakavimmat tietoturvaloukkaukset ovat ehkäistävissä oleva. Ei välttämättä kaikkia – mutta suurinta osaa. Ja johdon vastuulla on varmistaa, että organisaatio toteuttaa tarvittavat toimet.

Sarja ”Kun turvallisuus pettää – ja luottamus murtuu” on osoittanut, että digitaalinen luottamus ei ole tekninen ongelma. Se on johtamiskysymys. Ja paras hetki ottaa se vakavasti on aina: juuri nyt.

Haluaisitteko, että johdolle esitetään katsaus tietoturvatilanteeseenne?

NetNordic auttaa tietoturvajohtajia ja tietohallintojohtajia nostamaan tietoturvan johtoryhmän tasolle – konkreettisten mittareiden avulla, ei teknisellä ammattikielellä.

→ netnordic.com/contact

Lue koko sarja: ”Kun turvallisuus pettää ja luottamus murtuu”

1. Kun kyberhyökkäys johtaa mainekriisiin

2. Tekoäly, uusi hyökkäyskohde

3. Segmentointi, verkko, joka pysäyttää hyökkäyksen

4. Testaa järjestelmäsi, ennen kuin hyökkääjät ehtivät tehdä sen

5. Turvallisuus on johdon vastuulla (tämä artikkeli)

Lähteet ja viitteet

Tietoevry: Pohjoismainen kyberturvallisuusraportti 2024
TEK Norge: Pohjoismainen kyberturvallisuuden vertailututkimus 2025 (NyAnalyse, joulukuu 2025)
NIS2-direktiivi (EU) 2022/2555 – hallinto, johdon vastuuvelvollisuus ja poikkeustapausten raportointi
IBM: Raportti tietoturvaloukkausten kustannuksista 2024
SOCRadar: Pohjoismaiden uhkaympäristöraportti 2024
NetNordic: SOC 2025 -palkinnon voittaja – kolmas sija maailmanlaajuisesti, paras Pohjoismaissa
NetNordic SOC:n tilastot