Kyberturvallisuuslaki ja NIS2 Suomessa: mitä se tarkoittaa VPS-palvelimen ja palvelinhotellin valinnassa?

Tilanne 30.9.2026. Sivu on yleistä tietoa, ei oikeudellista neuvontaa.

Lyhyt vastaus

  1. Kyberturvallisuuslaki (124/2025) toimeenpanee EU:n NIS2-direktiivin Suomessa, ja sen velvoitteet ovat olleet voimassa 8.4.2025 alkaen.
  2. Laki kohdistuu velvoitteineen kriittisten toimialojen toimijoihin, ei suoraan jokaiseen yritykseen. Kuulutko piiriin, riippuu toimialastasi ja yrityksesi koosta.
  3. Jos kuulut piiriin, vastaat itse riskienhallinnasta, merkittävistä poikkeamista ilmoittamisesta valvovalle viranomaiselle ja siitä, että johto hyväksyy ja valvoo toimenpiteet. Palvelimen sijainti tai VPS-paketti ei siirrä tätä vastuuta pois.
  4. Palvelintarjoaja on osa toimitusketjuasi. Valitse sellainen, joka kertoo avoimesti, mitä se tekee ja mitä ei — esimerkiksi ettei tarjoaja ole sertifioija eikä allekirjoita yrityksesi vaatimustenmukaisuutta.

Mitä laki sanoo ja mikä on sen tila?

Kyberturvallisuuslaki 124/2025 on Suomen kansallinen toimeenpano EU:n NIS2-direktiiville (EU) 2022/2555. Traficomin mukaan lain velvoitteet tulivat voimaan 8.4.2025. Toimijoiden piti ilmoittautua oman toimialansa valvovan viranomaisen ylläpitämään toimijaluetteloon 8.5.2025 mennessä.

Traficomin mukaan laki asettaa toimijoille kolme ydinvelvoitetta: kyberturvallisuuden riskienhallinnan toimenpiteet, merkittävistä poikkeamista ilmoittamisen valvovalle viranomaiselle (monivaiheisena ilmoituksena) sekä johdon vastuun. Valvovia viranomaisia on yhteensä kuusi, ja Traficom on niistä yksi. Kuinka tarkasti velvoitteet koskevat juuri sinun yritystäsi, selviää lain tekstistä Finlexissä ja oman toimialasi valvovan viranomaisen ohjeista. Emme lainaa tässä pykälänumeroita, joita emme ole tarkistaneet.

Huomaa myös, että NIS2-direktiivin liitteessä I pilvipalvelujen ja datakeskuspalvelujen tarjoajat luetaan digitaalisen infrastruktuurin toimijoihin. Palvelintarjoajalla voi siis olla omia velvoitteitaan. Ne ovat tarjoajan asia — ne eivät tee asiakkaasta automaattisesti lain alaista eivätkä poista asiakkaan omaa vastuuta.

Mitä tämä tarkoittaa VPS-palvelimen ja palvelinhotellin valinnassa?

Vastuu jakautuu kahtia. VPS-palvelimella (root-oikeudet) sinä hallitset käyttöjärjestelmää, päivityksiä, palomuureja ja pääsyoikeuksia; tarjoaja vastaa infrastruktuurista sen alla. Jaetussa cPanel-hostingissa tarjoajan osuus on suurempi, mutta sinun osuutesi — tilit, salasanat, sovellusten päivitykset — pysyy sinulla.

Toimitusketjun näkökulmasta tarjoajalta kannattaa pyytää kirjallisesti ainakin:

  • missä konesalit sijaitsevat ja missä data fyysisesti on
  • käsittelysopimus (DPA) ja siirtojen peruste, jos data poistuu EU:n ulkopuolelle
  • miten varmuuskopiot toimivat ja voiko palautuksen testata ennen sopimusta
  • mitä tarjoaja itse sanoo sertifikaateistaan — ja mitä se ei väitä
  • miten ja kenelle poikkeamista ilmoitetaan

Suomalainen palvelinsijainti ei ole laissa edellytys pelkästään NIS2:n perusteella, eikä EU-sijainti ole heikkous: Frankfurtin konesali on EU:n sisällä. Jos sinulla on oma, alakohtainen vaatimus datan sijainnista, tarkista se toimialasi viranomaisen ohjeesta.

Kolme havainnollistavaa esimerkkiä

Esimerkit ovat kuvitteellisia tilanteita, eivät oikeita asiakkaita.

Kuvitteellinen esimerkki 1: verkkokauppa VPS-palvelimella

Pieni verkkokauppa pyörii yhdellä VPS:llä. Yrityksen ensimmäinen kysymys ei ole "onko VPS NIS2-yhteensopiva", vaan "kuulummeko lain piiriin". Vastaus haetaan toimialan ja koon perusteella valvovan viranomaisen ohjeista, ei palvelintarjoajan markkinointitekstistä.

Kuvitteellinen esimerkki 2: SaaS-yritys ja alihankintaketju

Ohjelmistoyritys tarjoaa palvelua asiakkaille, joiden oma toimiala on säännelty. Asiakkaat alkavat kysyä toimitusketjun turvallisuudesta: missä data sijaitsee, kuka sitä käsittelee ja miten poikkeamat raportoidaan. Yritys kokoaa yhden vastauspaketin, jossa palvelintarjoajan tiedot ovat mukana.

Kuvitteellinen esimerkki 3: toimisto ja asiakkaiden sivustot

Digitoimisto ylläpitää asiakkaidensa sivustoja. Toimiston kannattaa kirjata, kuka vastaa päivityksistä, varmuuskopioista ja poikkeamailmoituksista — ja mitä osaa tästä tekee palvelintarjoaja, mitä toimisto itse.

Yleisiä virheitä

  • Oletetaan, että "NIS2-yhteensopiva palvelin" ratkaisee asian. Vaatimukset kohdistuvat organisaatioon ja sen prosesseihin, eivät yksittäiseen palvelimeen.
  • Sekoitetaan sertifikaatti ja linjaus. "Linjassa ISO 27001 -käytäntöjen kanssa" ei ole sama asia kuin myönnetty ISO 27001 -sertifikaatti. Kysy aina, kumpaa tarkoitetaan.
  • Jätetään poikkeamaprosessi kirjoittamatta. Jos kuulut lain piiriin, ilmoitusvelvollisuus alkaa, kun merkittävä poikkeama tapahtuu — ei silloin, kun prosessia aletaan miettiä.
  • Unohdetaan varmuuskopioiden palautustesti. Varmuuskopio, jota ei ole koskaan palautettu, on oletus eikä todiste.

Miten 4hosting auttaa

4hosting on hosting-palvelu, jossa jokainen tilaus sisältää kuukausittaisia DevOps-, CyberSecurity- ja ohjelmointitunteja (VPS-paketeissa 1–8 tuntia kuukaudessa). Palvelimet ovat EU-konesalissa Frankfurtissa, ei Suomessa. Verkossa on 10 Gbps:n symmetrinen yhteys ja L3/L4-DDoS-suojaus.

Tarjoamme GDPR-aineiston, käsittelysopimuksen, vakiosopimuslausekkeet siirtoja varten ja linjauksen ISO 27001 -käytäntöihin. Emme ole sertifioija emmekä allekirjoita asiakkaan NIS2-vaatimustenmukaisuutta: se on aina asiakkaan oma arvio yhdessä valvovan viranomaisen ohjeiden kanssa. Maksutonta migraatiota voi kysyä, jos siirrät olemassa olevaa palvelua.

Tutustu VPS-ratkaisuihin, lue tietosuojaseloste tai ota yhteyttä. Etusivu: 4hosting Suomi.

UKK

Onko 4hosting NIS2-sertifioitu tai -hyväksytty?

Ei. NIS2:sta ei myönnetä palvelintarjoajalle sertifikaattia, eikä 4hosting allekirjoita asiakkaan lainmukaisuutta. Tarjoamme GDPR-aineiston, käsittelysopimuksen (DPA, GDPR:n 28 artikla) ja vakiosopimuslausekkeet (SCC) siirtoja varten sekä linjauksen ISO 27001 -käytäntöihin. Linjaus ei ole sertifikaatti.

Missä 4hosting-palvelimet sijaitsevat?

EU:ssa, Frankfurtin konesalissa. Palvelimet eivät ole Suomessa.

Voiko 4hosting auttaa turvallisuustoimenpiteissä?

Kyllä, DevOps- ja CyberSecurity-palveluna: palvelinten ja konttien koventaminen, pääsyoikeuksien ja salaisuuksien hallinta sekä varmuuskopiointi. Kukin VPS-paketti sisältää kuukausittaisia DevOps-tunteja (1–8 tuntia paketista riippuen); ylimenevä työ laskutetaan erikseen tunneittain.

Kysy lisää

Kerro tilanteesi, niin kerromme rehellisesti, mitä voimme ja emme voi tarjota.

Ota yhteyttä →

Oppaat yrityksille Suomessa