Fimea aloittaa kyberturvallisuustarkastukset

Lääkealan turvallisuus- ja kehittämiskeskus Fimea aloittaa kyberturvallisuuslain mukaisen tarkastustoiminnan Fimean valvomilla toimialoilla. Kyberturvallisuuslaki perustuu EU:n NIS2-direktiiviin. Kyberturvallisuuslain tavoitteena on vahvistaa kyberturvallisuutta sekä toiminnan jatkuvuutta terveydenhuollon kriittisissä toiminnoissa. Fimea tarkastaa toimijoita riskiperusteisesti, tekee muuta valvontaa ja antaa aiheesta ohjausta.

Fimean valvomia toimialoja ovat:  
•    Lääkeaineita ja lääkkeitä valmistavat toimijat 
•    Lääkkeiden tutkimusta ja kehitystä harjoittavat toimijat 
•    Veripalvelulaitokset 
•    Apteekit
•    Terveydenhuollon ammattihenkilönä lääkkeitä tai lääkinnällisiä laitteita toimittavat tai tarjoavat toimijat 
•    Lääkinnällisiä laitteita ja in vitro – diagnostiikkaan tarkoitettuja lääkinnällisiä laitteita valmistavat toimijat 

Mitä NIS2-velvoitteet Suomessa tarkoittavat toimijoille?

Kyberturvallisuuslainsäädäntö asettaa lääkealan ja lääkinnällisten laitteiden toimijoille vaatimuksia kyberturvallisuuden riskienhallinnasta, poikkeamien ilmoittamisesta sekä toiminnan jatkuvuudesta. Lainsäädännön tavoitteena on varmistaa kyberturvallisuuden yhteinen korkea taso koko EU:ssa: 
•    Yhtenäistää kyberturvallisuuden riskienhallintaa 
•    Merkittävistä poikkeamista ilmoitetaan aikataulussa
•    Soveltamisalan laajentaminen; direktiivi koskee nyt myös laajasti terveyssektoria.
•    Korostaa kyberturvallisuuteen liittyvien toimitusketjujen turvallisuutta ja selkeyttää johdon vastuuta

Valvonnan toteutus ja painopisteet

Fimean valvonta voi sisältää kirjallisia selvityspyyntöjä, tarkastuksia sekä ohjaavaa neuvontaa.  Fimea tekee kyberturvallisuuteen liittyviä tarkastuksia yleensä muiden valvonta-alueiden tarkastusten yhteydessä (mm. apteekki, veripalvelu, lääketeollisuuden GXP-tarkastukset ja lääkinnällisten laitteiden tarkastukset). Tarvittaessa Fimea voi tehdä kyberturvallisuustarkastuksia myös erillisinä. Tarkastukset ovat riskiperusteisia ja niiden hinnat perustuvat Fimean maksuasetukseen (1344/2025).

Kyberturvallisuuslain valvonnassa painotetaan erityisesti:
•    Kyberturvallisuuden riskienhallintaa
•    Häiriötilanteisiin varautumista sekä kyberturvallisuus poikkeamien raportointia
•    Toiminnan jatkuvuuden ja palautumisen varmistamista
•    Toimijan johdon vastuuta lain velvoitteiden osalta

Lue lisää:

Kyberturvallisuuslaki (finlex.fi)
Laki kyberturvallisuuslain muuttamisesta (finlex.fi)
NIS2-direktiivi (EU) (eur-lex.europa.eu)
NIS2-Euroopan unionin kyberturvallisuusdirektiivi (kyberturvallisuuskeskus.fi)
Fimean verkkouutinen 7.10.2025: Tervetuloa seuraamaan Fimean kyberturvallisuuswebinaaria 27.11.2025