Tämä kirjoituksemme on julkaistu alun perin Keski-Suomen kauppakamarin uutiskirjeessä ja verkkosivuilla 29.9.2026. Julkaisemme tiivistelmän tekstistä myös omilla sivuillamme aiheen ajankohtaisuuden vuoksi.
Yksi tietoturvaan liittyvä häiriö voi käytännössä laukaista samanaikaisesti useita eri ilmoitusvelvollisuuksia ja niihin liittyviä määräaikoja. Organisaation on tällöin kyettävä tunnistamaan nopeasti, mitä sääntelyä tilanteeseen sovelletaan ja kenelle ilmoitukset on tehtävä.
Kyberturvallisuuslaki ja kyberkestävyyssäädös (CRA) ovat vielä niin uusia säädöksiä, ettei niitä koskevaa oikeuskäytäntöä juuri ole. Sen sijaan tietosuoja-asetuksen mukaisen ilmoitusvelvollisuuden laiminlyöntiä koskevaa viranomaiskäytäntöä on jo kertynyt. Tietosuoja-asetuksen ilmoitusvelvollisuuden laiminlyönti on johtanut pahimmillaan seuraamusmaksuihin. Myös Euroopan tietosuojaneuvosto (EDPB) on korostanut, ettei ilmoitusvelvollisuuden laiminlyöntiä voida pitää vähäisenä rikkomuksena.
Keskeisimpiä ilmoitusvelvollisuuksia ovat tietosuoja-asetuksen ilmoitusvelvollisuus tietoturvaloukkauksesta, kyberturvallisuuslain ilmoitusvelvollisuus merkittävistä kyberturvallisuuspoikkeamista ja kyberkestävyysasetuksen digitaalisia elementtejä sisältävien tuotteiden valmistajan ilmoitusvelvollisuus hyödynnetyistä haavoittuvuuksista (”vulnerability”) tai digitaalisia elementtejä sisältävän tuotteen turvallisuuteen liittyvistä vakavista turvallisuuspoikkeamista (”incident”). Sääntelystä riippuen ensimmäiset ilmoitukset tietoturvahäiriöistä tulee antaa 24–72 tunnin kuluttua siitä, kun tapahtumasta on saatu tieto.
Ilmoitusvelvollisuuksien tavoitteena on varmistaa, että tietoturvaan liittyvät ongelmat tulevat viranomaisten tietoon eikä niitä sivuuteta. Yritysten näkökulmasta haasteena on se, että ilmoituksia on usein tehtävä tilanteessa, jossa käytettävissä olevat tiedot ovat vielä puutteellisia. Ensimmäisen vuorokauden aikana kokonaiskuva tapahtuneesta on harvoin täysin selvä, minkä vuoksi ilmoituksissa annetut tiedot voivat myöhemmin tarkentua tai jopa muuttua. Viranomaiset voivat silti käyttää annettuja tietoja seuraamusharkinnassa.
Koko kirjoitus on luettavissa Keski-Suomen kauppakamarin verkkosivuilla.