Kyberturvallisuus yrityksessä: mitä laki vaatii ja 10 toimenpidettä pienyritykselle
Kyberturvallisuus tarkoittaa yrityksessä sitä, että tietojärjestelmät, tiedot ja raha ovat suojassa verkon kautta tulevilta hyökkäyksiltä ja huijauksilta. Kyberturvallisuuslaki (124/2025) velvoittaa vuodesta 2025 lähinnä vähintään keskisuuria yrityksiä tietyillä toimialoilla, mutta pienyritykseen kohdistuvat samat uhat: laskupetokset, tunnusten kalastelu ja kiristyshaittaohjelmat. Tällä sivulla on kymmenen toimenpidettä, joilla pieni yritys suojautuu ilman omaa IT-osastoa, ja ohje siihen, mitä teet, kun jotain on jo tapahtunut.
Lyhyesti
- Kyberturvallisuuslaki 124/2025 (NIS2) on velvoittanut 8.4.2025 alkaen yrityksiä, joilla on yleensä vähintään 50 työntekijää tai yli 10 miljoonan euron liikevaihto ja tase ja jotka toimivat laissa luetelluilla toimialoilla.
- Pienyritykselle laki ei yleensä tuo velvoitteita, mutta laskupetos, tunnusten kalastelu ja kiristyshaittaohjelma ovat sille yhtä todellisia kuin isolle.
- Tehokkaimmat toimet ovat kaksivaiheinen tunnistautuminen, päivitykset, varmuuskopiot ja tilinumeron muutosten varmistaminen puhelimella.
- Tietoturvaloukkauksesta voi ilmoittaa maksutta Kyberturvallisuuskeskukselle. Jos henkilötietoja on vuotanut, ilmoitus tietosuojavaltuutetulle tehdään 72 tunnin kuluessa.
- Kirjanpitoaineisto pitää säilyttää 6–10 vuotta, joten varmuuskopiointi on myös kirjanpitolain asia.
Mitä kyberturvallisuus tarkoittaa yritykselle?
Kyberturvallisuus tarkoittaa yrityksen tietojärjestelmien, tietojen ja liiketoiminnan suojaamista verkon kautta tulevilta uhilta, kuten murroilta, huijauksilta ja haittaohjelmilta. Käytännössä se on joukko tapoja ja asetuksia: kuka pääsee mihinkin järjestelmään, miten tunnukset suojataan, miten laitteet päivitetään ja mitä tehdään, kun jokin menee pieleen.
Pienyrityksessä kyberturvallisuus koskee yleensä muutamaa asiaa: sähköpostia, pankkitunnuksia, kirjanpito- ja laskutusohjelmaa, verkkosivuja tai verkkokauppaa sekä yrittäjän omaa puhelinta ja tietokonetta. Suurin osa vahingoista syntyy siitä, että joku saa näihin pääsyn tai huijaa maksamaan laskun väärälle tilille.
Onko kyberturvallisuus sama asia kuin tietoturvallisuus?
Ei aivan. Tietoturvallisuus on laajempi käsite: se kattaa kaiken tiedon suojaamisen, myös paperit, lukitut kaapit ja toimiston kulunvalvonnan. Kyberturvallisuus on sen osa, joka keskittyy verkkoon kytkettyihin järjestelmiin ja verkon kautta tuleviin uhkiin. Arkikielessä sanoja käytetään usein samassa merkityksessä, eikä pienyrittäjän tarvitse tehdä eroa käytännön toimissa.
| Tietoturvallisuus | Kyberturvallisuus | |
|---|---|---|
| Mitä suojataan | Kaikki tieto, myös paperit ja tilat | Verkkoon kytketyt järjestelmät ja niiden tieto |
| Tyypillinen uhka | Kadonnut kansio, luvaton pääsy toimistoon | Kalastelu, laskupetos, haittaohjelma |
| Esimerkki toimesta | Lukittu arkistokaappi | Kaksivaiheinen tunnistautuminen |
Ketä kyberturvallisuuslaki koskee?
Kyberturvallisuuslaki (124/2025) koskee laissa lueteltujen toimialojen keskeisiä ja tärkeitä toimijoita, kuten energia-, liikenne-, terveys-, vesihuolto-, digitaalisen infrastruktuurin, valmistuksen ja elintarvikealan yrityksiä. Pääsääntöisesti mukana ovat vähintään keskisuuret yritykset eli ne, joilla on vähintään 50 työntekijää tai yli 10 miljoonan euron liikevaihto ja tase. Joillakin aloilla, kuten DNS- ja verkkotunnuspalveluissa, laki koskee kokoa riippumatta. Kyberturvallisuuskeskuksen mukaan NIS2-direktiivin velvoitteet tulivat voimaan 8.4.2025.
- Toimijaluettelo: lain piiriin kuuluvan yrityksen pitää ilmoittautua toimialansa valvovan viranomaisen toimijaluetteloon (41 §).
- Riskienhallinnan toimintamalli: yrityksellä pitää olla kirjattu tapa tunnistaa ja hallita kyberriskejä (7–9 §).
- Johdon vastuu: yhtiön johto hyväksyy toimintamallin ja valvoo sen toteutumista (10 §).
- Poikkeamailmoitukset: merkittävästä poikkeamasta tehdään varhainen varoitus 24 tunnissa, ilmoitus 72 tunnissa ja loppuraportti kuukauden kuluessa (11–13 §, NIS2-direktiivin 23 artikla).
- Seuraamusmaksu: laiminlyönneistä voi seurata hallinnollinen seuraamusmaksu, jonka enimmäismäärä on direktiivin mukaan 10 miljoonaa euroa tai 2 % liikevaihdosta keskeisille toimijoille (35–38 §).
Oletko NIS2-toimija, selviää toimialasi valvovalta viranomaiselta. Toiminimi tai muutaman hengen osakeyhtiö jää lähes aina lain ulkopuolelle, mutta se voi joutua noudattamaan vaatimuksia välillisesti, jos sen asiakas on lain piirissä ja vaatii toimittajiltaan samaa tasoa sopimuksessa.
Mitkä kyberuhat koskevat pienyritystä?
Pienyrityksen tavallisimmat kyberuhat ovat laskupetos, tunnusten kalastelu, sähköpostitilin kaappaus ja kiristyshaittaohjelma. Ne eivät vaadi hyökkääjältä erityistä kiinnostusta juuri sinun yritykseesi, vaan kohdistuvat kaikkiin, joiden sähköpostiosoite löytyy verkosta.
| Uhka | Miltä se näyttää | Mikä suojaa |
|---|---|---|
| Laskupetos | Tutun toimittajan nimissä tulee viesti: tilinumero on vaihtunut | Tilinumeron muutos varmistetaan aina soittamalla tunnettuun numeroon |
| Toimitusjohtajahuijaus | "Toimitusjohtajalta" tulee kiireellinen maksupyyntö | Sovittu sääntö: maksupyynnöt vain ostolaskujärjestelmän kautta |
| Tunnusten kalastelu | Viesti pankin, Verohallinnon tai Microsoftin nimissä pyytää kirjautumaan | Kaksivaiheinen tunnistautuminen ja kirjautuminen aina itse kirjoitetusta osoitteesta |
| Sähköpostin kaappaus | Tililtä lähtee viestejä, joita et lähettänyt | Kaksivaiheinen tunnistautuminen, ilmoitukset uusista kirjautumisista |
| Kiristyshaittaohjelma | Tiedostot salataan ja niistä vaaditaan lunnaita | Päivitykset ja varmuuskopio, joka ei ole jatkuvasti koneeseen kytkettynä |
| Aiheeton lasku | Lasku palvelusta, jota et ole tilannut | Ostolaskujen hyväksyntä: maksa vain tunnistettu tilaus |
Laskupetos on rahallisesti vaarallisin, koska pankkisiirtoa ei yleensä saa takaisin, jos rahat on jo nostettu. Aiheettomien laskujen tunnistamista on käsitelty artikkelissa aiheeton lasku.
10 kyberturvallisuustoimenpidettä pienyritykselle
- 1Kaksivaiheinen tunnistautuminenOta käyttöön sähköpostissa, pankissa, kirjanpito- ja laskutusohjelmassa, verkkokaupassa ja somessa. Tämä yksin estää suurimman osan tunnusmurroista.
- 2Salasanojen hallintaohjelmaJokaiseen palveluun oma pitkä salasana. Hallintaohjelma muistaa ne puolestasi.
- 3Päivitykset automaattisiksiKäyttöjärjestelmä, selain, puhelin ja verkkosivujen julkaisualusta. Vanha ohjelmisto on yleisin murtautumisreitti.
- 4Varmuuskopio, joka ei ole aina kytkettynäPidä vähintään yksi kopio erillään koneesta tai pilvessä versiohistorian kanssa, jotta kiristyshaittaohjelma ei salaa myös sitä.
- 5Tilinumeron muutokset puhelimellaJos toimittaja ilmoittaa uudesta tilinumerosta, soita numeroon, joka on sinulla ennestään, ei viestissä olevaan.
- 6Maksut vain hyväksytyn laskun kauttaSovi, että kukaan ei maksa sähköpostin tai viestin pyynnöstä ilman ostolaskua ja hyväksyntää.
- 7Käyttöoikeudet ajan tasallePoista lähteneiden työntekijöiden ja entisten kumppaneiden tunnukset heti. Anna kullekin vain tarvittavat oikeudet.
- 8Laitteiden lukitus ja salausNäytön lukitus, laitteen salaus ja etälukitus puhelimeen ja kannettavaan. Kadonnut kone ei silloin vuoda tietoja.
- 9Lyhyt koulutus kerran vuodessaKäy työntekijöiden kanssa läpi kalasteluviestien tunnusmerkit ja maksusäännöt. Kymmenen minuuttia riittää.
- 10Kirjallinen toimintaohje häiriöönKenelle soitetaan, miten pankki tavoitetaan, missä varmuuskopio on. Paperilla, koska kone voi olla poissa käytöstä.
Suurin osa listasta on maksutonta. Kustannuksia syntyy lähinnä salasanaohjelmasta, varmuuskopiopalvelusta ja mahdollisesta ulkopuolisesta IT-tuesta. Ne ovat yrityksen vähennyskelpoisia kuluja, samoin kuin työkäytössä olevat laitteet, joista on kerrottu artikkelissa puhelin ja tietokone yrityksen kuluksi.
Kirjanpito, laskut ja kyberturvallisuus
Kirjanpitolaki edellyttää, että tilinpäätös ja kirjanpidot säilytetään 10 vuotta ja tositteet 6 vuotta. Jos aineisto on vain yhdellä koneella tai yhden palvelun tilillä ilman varmuuskopiota, kiristyshaittaohjelma tai kaapattu tili voi tehdä säilytysvelvollisuuden täyttämisen mahdottomaksi. Sähköisessä kirjanpidossa aineisto on yleensä palveluntarjoajan varmuuskopioimaa, mutta oma pääsy siihen pitää silti suojata kaksivaiheisella tunnistautumisella.
- Tarkista, kenellä on pääsy kirjanpito-ohjelmaan, verkkopankkiin ja Suomi.fi-valtuuksiin, ja poista turhat oikeudet.
- Vastaanota laskut mieluummin verkkolaskuina kuin sähköpostin PDF-liitteinä: verkkolasku kulkee laskuttajalta operaattorin kautta, eikä sitä voi väärentää yhtä helposti kuin sähköpostiin liitettyä PDF-tiedostoa.
- Verohallinto ei pyydä pankkitunnuksia sähköpostilla tai tekstiviestillä. Kirjaudu OmaVeroon aina kirjoittamalla osoite itse.
Säilytysajat on koottu artikkeliin kirjanpitoaineiston säilytys ja verkkolaskun edut artikkeliin verkkolasku.
Miten ilmoitan tietoturvaloukkauksesta?
Tietoturvaloukkauksesta voi ilmoittaa maksutta Traficomin Kyberturvallisuuskeskukselle sen verkkosivujen lomakkeella. Lomake on tarkoitettu sekä yksityishenkilöille että organisaatioille, ja sen voi tehdä myös anonyymisti. NIS2-toimijat tekevät lakisääteisen poikkeamailmoituksen omalla lomakkeellaan valvovalle viranomaiselle. Henkilötietojen käsittely kuvataan tietosuojaselosteessa, josta on maksuton pohja.
| Tilanne | Kenelle ilmoitetaan | Milloin |
|---|---|---|
| Rahaa on maksettu huijarille | Oma pankki ja vastaanottajan pankki, sitten poliisi | Heti, minuuteilla on merkitystä |
| Sähköposti tai muu tili on kaapattu | Palveluntarjoaja, Kyberturvallisuuskeskus, asiakkaat joille viestejä lähti | Heti kun huomaat |
| Henkilötietoja on vuotanut | Tietosuojavaltuutetun toimisto ja tarvittaessa rekisteröidyt | 72 tunnin kuluessa havaitsemisesta |
| NIS2-toimijan merkittävä poikkeama | Toimialan valvova viranomainen | Varhainen varoitus 24 h, ilmoitus 72 h, loppuraportti kuukaudessa |
| Rikos, esimerkiksi petos tai kiristys | Poliisi rikosilmoituksella | Mahdollisimman pian |
Kirjanpidossa huijarille maksettu summa on yleensä yrityksen tappio, joka kirjataan kuluksi, kun on selvää, ettei rahaa saada takaisin. Säilytä viestit, pankin vastaukset ja rikosilmoitus tositteeksi.
Mitä Kyberturvallisuuskeskus tekee?
Kyberturvallisuuskeskus on osa Liikenne- ja viestintävirasto Traficomia. Se kehittää ja valvoo viestintäverkkojen ja -palveluiden toimintavarmuutta ja turvallisuutta, tuottaa kyberturvallisuuden tilannekuvaa, ottaa vastaan ilmoituksia tietoturvaloukkauksista ja auttaa vakavien loukkausten teknisessä selvittämisessä. Lisäksi se toimii kyberturvallisuuslain mukaisena CSIRT-yksikkönä ja julkaisee varoituksia ja ohjeita, joita pienyrittäjänkin kannattaa seurata.
Hallituksen ja yrittäjän vastuu kyberturvallisuudesta
Osakeyhtiön hallituksen pitää osakeyhtiölain mukaan huolehtia yhtiön hallinnon ja toiminnan asianmukaisesta järjestämisestä, ja nykyään siihen kuuluu myös kyberriskien hallinta. NIS2-toimijalla johdon vastuu on kirjattu suoraan kyberturvallisuuslain 10 §:ään. Pienessä osakeyhtiössä tai toiminimessä vastuu on käytännössä yrittäjällä itsellään: jos asiakkaiden tiedot vuotavat huolimattomuuden takia, seuraukset voivat olla sekä taloudellisia että mainehaittoja. Monesta yritysvakuutuksesta saa lisäturvaksi kybervakuutuksen, joista on kerrottu artikkelissa yrityksen vakuutus.
Usein kysytyt
Mitä tarkoittaa kyberturvallisuus?+
Kyberturvallisuus tarkoittaa verkkoon kytkettyjen järjestelmien, tietojen ja toiminnan suojaamista verkon kautta tulevilta uhilta, kuten murroilta, huijauksilta ja haittaohjelmilta.
Ketä kaikkia kyberturvallisuuslaki koskee?+
Kyberturvallisuuslaki 124/2025 koskee laissa lueteltujen toimialojen keskeisiä ja tärkeitä toimijoita, pääsääntöisesti yrityksiä, joilla on vähintään 50 työntekijää tai yli 10 miljoonan euron liikevaihto ja tase. Joillakin aloilla laki koskee kokoa riippumatta.
Onko kyberturvallisuus sama kuin tietoturvallisuus?+
Ei täysin. Tietoturvallisuus kattaa kaiken tiedon suojaamisen, myös paperit ja tilat. Kyberturvallisuus on sen osa, joka keskittyy verkkoon kytkettyihin järjestelmiin ja verkon kautta tuleviin uhkiin.
Mitä Kyberturvallisuuskeskus tekee?+
Traficomin Kyberturvallisuuskeskus valvoo viestintäverkkojen ja -palveluiden turvallisuutta, tuottaa tilannekuvaa, ottaa vastaan ilmoituksia tietoturvaloukkauksista ja auttaa vakavien loukkausten selvittämisessä.
Miten ilmoitan Kyberturvallisuuskeskukselle?+
Kyberturvallisuuskeskuksen verkkosivuilla on maksuton tietoturvaloukkauksen ilmoituslomake yksityishenkilöille ja organisaatioille. Vinkin voi jättää myös anonyymisti.
Mikä on pienyrityksen tärkein kyberturvallisuustoimenpide?+
Kaksivaiheinen tunnistautuminen sähköpostiin, pankkiin ja kirjanpito-ohjelmaan sekä sääntö, että tilinumeron muutokset varmistetaan aina puhelimella tunnettuun numeroon.
Pitääkö henkilötietojen vuodosta ilmoittaa?+
Kyllä, jos vuoto voi aiheuttaa riskiä ihmisille. Ilmoitus tehdään tietosuojavaltuutetun toimistolle 72 tunnin kuluessa havaitsemisesta tietosuoja-asetuksen 33 artiklan mukaan.
Tekee pienyritysten kirjanpitoa Taukossa ja kirjoittaa asioista, joita yrittäjät kysyvät meiltä useimmin. Pyrkii vastaamaan niin, ettei lukijan tarvitse tuntea yhtään kirjanpitotermiä.
Lue seuraavaksi
Aiheeton lasku: näin riitautat laskun, jota et ole tilannut, ja mitä teet, jos asiakas riitauttaa sinun laskusi
Aiheeton lasku on lasku tuotteesta tai palvelusta, jota et ole tilannut tai saanut, tai lasku, jonka summa ei vastaa sovittua. Sitä ei pidä maksaa, vaan se riitautetaan laskuttajalle kirjallisesti mieluiten ennen eräpäivää ja yksilöidyllä perusteella: mitä laskussa on väärin ja miksi. Kun lasku on riitautettu yksilöidysti, sitä ei saa periä vapaaehtoisessa perinnässä ennen kuin riita on ratkaistu. Tältä sivulta löydät riitautuksen vaiheet ja mallitekstin, yrityksille tulevien huijauslaskujen tunnusmerkit, kirjanpidon käsittelyn ja ohjeen tilanteeseen, jossa asiakas pitää sinun laskuasi aiheettomana.
Kevytyrittäjä tuloraja: ylärajaa ei ole, mutta nämä 7 rajaa ratkaisevat, paljonko kannattaa laskuttaa
Kevytyrittäjän tuloraja on vuonna 2026 käytännössä YEL:n alaraja 9 423,09 euroa työtuloa, sillä lakisääteistä ylärajaa tuloille ei ole. Työeläke.fi:n mukaan YEL on pakollinen tästä rajasta, kun työ kestää vähintään 4 kuukautta. Muita rajoja ovat Kelan opintotuen vuosituloraja 13 416–20 127 euroa, yrittäjäkassan 15 481 euroa ja Y-tunnuksella ALV-raja 20 000 euroa.
Kevytyrittäjä ja maksupääte: miten otat vastaan korttimaksuja ilman omaa yritystä ja mitä se maksaa
Kevytyrittäjä voi ottaa vastaan korttimaksuja kahdella tavalla: ilman omaa Y-tunnusta laskutuspalvelun kautta hankitulla maksupäätteellä tai maksulinkillä, ja Y-tunnuksellisena kevytyrittäjänä omalla maksupäätteellä, jonka myynnit ilmoitetaan laskutuspalveluun. Omaa maksupäätetiliä, esimerkiksi SumUpissa tai Zettlessä, ei yleensä voi avata ilman Y-tunnusta. Korttimaksujen välityspalkkio on julkisten hinnastojen mukaan noin 0,8–2 % maksusta ja lukija maksaa noin 30–170 euroa. Tällä sivulla ovat vaihtoehdot, hinnat ja laskelma, mitä korttimaksut maksavat kuukaudessa, sekä miten korttimyynti ilmoitetaan oikein.