Usein kysytyt kysymykset kriittisten toimijoiden häiriönsietokyvystä

Kyllä. CER-kriittiseksi määritettyyn toimijaan sovelletaan myös kyberturvallisuuslain mukaisia keskeisen toimijan velvoitteita. Velvoitteisiin kuuluu esimerkiksi ilmoittautuminen Fimean NIS2-toimijaluetteloon, poikkeamien raportointi sekä riskienhallintaan liittyvät vaatimukset.

16.7.2026

CER-direktiivin nojalla nimetty kriittinen toimija katsotaan myös NIS2-sääntelyn mukaiseksi keskeiseksi toimijaksi. Organisaation tulee tarkistaa NIS2-toimijaluetteloon ilmoitetut tiedot ja päivittää ne tarvittaessa. Lisäksi toimijan tulee lisätä keskeisyyden perusteisiin tieto siitä, että se on nimetty CER-lainsäädännön mukaiseksi kriittiseksi toimijaksi. Muutokset tulee ilmoittaa viipymättä, kuitenkin viimeistään kahden viikon kuluessa muutoksesta.

16.7.2026

Kriittisen toimijan tulee ilmoittaa ilman aiheetonta viivytystä merkittävästä poikkeamasta, joka häiritsee tai voi häiritä keskeisen palvelun tarjoamista.

16.7.2026

Merkittävällä poikkeamalla tarkoitetaan tapahtumaa, joka häiritsee tai voi häiritä kriittisen toimijan keskeisen palvelun tarjoamista. Poikkeaman merkittävyyttä arvioitaessa huomioidaan sen vaikutukset palvelun tuottamiseen, turvallisuuteen ja yhteiskunnan toimintaan. Tarkastelussa otetaan huomioon erityisesti vaikutusten kohteena olevien käyttäjien määrä ja osuus, häiriön kesto sekä vaikutusalueen maantieteellinen laajuus ja eristyneisyys.

16.7.2026

CER-poikkeamailmoitus tehdään Sisäministeriön verkkopohjaisella lomakkeella. Lomake ohjautuu käyttäjän valintojen perusteella asianomaiselle viranomaiselle.

16.7.2026

Ei. Mikäli poikkeama kuuluu sekä NIS2- että CER-sääntelyn piiriin, ilmoitus tulee tällä hetkellä tehdä erikseen molempien sääntelyjen mukaisesti.

16.7.2026

Kyllä. Toimija toimittaa ensin ensi-ilmoituksen ja myöhemmin yksityiskohtaisemman raportin, kun tilanteesta on saatavilla tarkempia tietoja. Ensi-ilmoitus tulee tehdä ilman aiheetonta viivytystä ja viimeistään 24 tunnin kuluessa poikkeaman havaitsemisesta. Yksityiskohtainen raportti tulee toimittaa viimeistään kuukauden kuluessa.

16.7.2026