EU:n kyberturvallisuusasetus

ENISAn uusi toimeksianto

EU:n kyberturvallisuusvirasto ENISA on nyt vahvempi. EU:n kyberturvallisuusasetuksella virastolle annetaan pysyvä toimeksianto ja sille annetaan lisää resursseja ja uusia tehtäviä.

ENISAlla on keskeinen rooli Euroopan kyberturvallisuuden sertifiointikehyksen perustamisessa ja ylläpitämisessä, sillä se valmistelee teknistä perustaa erityisille sertifiointijärjestelmille. Sen tehtävänä on tiedottaa yleisölle sertifiointijärjestelmistä ja myönnetyistä sertifikaateista erityisen verkkosivuston kautta. 

ENISAn tehtävänä on lisätä operatiivista yhteistyötä EU:n tasolla, auttaa niitä EU:n jäsenvaltioita, jotka haluavat pyytää sitä käsittelemään kyberturvallisuuspoikkeamiaan, ja tukea EU:n koordinointia laajamittaisten rajatylittävien kyberhyökkäysten ja -kriisien tapauksessa.

Tämä tehtävä perustuu ENISAn tehtävään verkko- ja tietojärjestelmien turvallisuudesta annetulla direktiivillä (verkko- ja tietoturvadirektiivi) perustetun kansallisten tietoturvaloukkauksiin reagoivien ja niitä tutkivien yksiköiden (CSIRT-toimijoiden) verkoston sihteeristönä.

Komissio ehdotti tammikuussa 2026 uutta kyberturvallisuusasetusta, jolla vahvistetaan edelleen EU:n kyberturvallisuuden häiriönsietokykyä ja valmiuksia. Ehdotuksen mukaan ENISA tukee edelleen EU:ssa toimivia yrityksiä ja sidosryhmiä antamalla varhaisia hälytyksiä kyberuhkista ja -poikkeamista. 

Yhteistyössä Europolin ja tietoturvaloukkauksiin reagoivien ja niitä tutkivien yksiköiden (CSIRT-toimijat) kanssa se tukee yrityksiä kiristysohjelmahyökkäyksiin reagoimisessa ja niistä toipumisessa.

ENISA kehittää myös unionin yhteisen haavoittuvuuksien hallintapalvelukapasiteetin ja tarjoaa haavoittuvuuksien hallintapalveluja sidosryhmille. Se hoitaa digitaalisessa koontisäädöksessä ehdotettua keskitettyä asiointipistettä poikkeamista ilmoittamista varten.

Tarkistetulla kyberturvallisuusasetuksella pyritään myös vähentämään riskejä EU:n tieto- ja viestintätekniikan toimitusketjussa sellaisten kolmansien maiden toimittajilta, joilla on kyberturvallisuuteen liittyviä huolenaiheita. Siinä vahvistetaan luotettava tieto- ja viestintätekniikan toimitusketjun turvallisuuskehys, jossa käytetään yhdenmukaistettua, oikeasuhteista ja riskiperusteista lähestymistapaa. Viimeaikaiset kyberturvallisuuspoikkeamat ovat korostaneet TVT-toimitusketjujen haavoittuvuusriskejä, jotka ovat elintärkeiden palvelujen ja infrastruktuurin kannalta olennaisia.

Eurooppalainen kyberturvallisuuden sertifiointikehys

EU:n kyberturvallisuusasetuksella otetaan käyttöön EU:n laajuinen kyberturvallisuuden sertifiointikehys tieto- ja viestintätekniikan tuotteille, palveluille ja prosesseille. EU:ssa liiketoimintaa harjoittavat yritykset hyötyvät siitä, että niiden on sertifioitava tieto- ja viestintätekniikan tuotteensa, prosessinsa ja palvelunsa vain kerran ja että niiden sertifikaatit tunnustetaan kaikkialla Euroopan unionissa.

Tarkistettua kyberturvallisuusasetusta koskevan ehdotuksen myötä uudistettu eurooppalainen kyberturvallisuuden sertifiointikehys selkeyttää ja yksinkertaistaa menettelyjä järjestelmien kehittämiseksi oletusarvoisesti 12 kuukauden kuluessa. 

Kohdennetut muutokset

Komissio ehdotti 18. huhtikuuta 2023 kohdennettua muutosta EU:n kyberturvallisuusasetukseen. Tämä kohdennettu muutos hyväksyttiin 15. tammikuuta 2025, ja sen tarkoituksena on mahdollistaa hallinnoituja turvallisuuspalveluja koskevien eurooppalaisten sertifiointijärjestelmien hyväksyminen tulevaisuudessa. Järjestelmät kattavat muun muassa häiriöihin reagoinnin, tunkeutumistestauksen, turvallisuusauditoinnit ja konsultoinnin. Sertifiointi on avainasemassa, jotta voidaan varmistaa näiden erittäin kriittisten ja arkaluonteisten kyberturvallisuuspalvelujen korkea laatu ja luotettavuus, sillä ne auttavat yrityksiä ja organisaatioita ehkäisemään ja havaitsemaan poikkeamia, reagoimaan niihin tai toipumaan niistä.

Komissio ehdotti 20. tammikuuta 2026 myös kohdennettuja muutoksia NIS 2 -direktiiviin oikeudellisen selkeyden lisäämiseksi. Muutoksilla yksinkertaistetaan EU:n kyberturvallisuussääntöjen ja riskinhallintavaatimusten noudattamista EU:ssa toimivien yritysten osalta. Ne helpottavat vaatimusten noudattamista 28 700 yrityksessä, mukaan lukien 6 200 mikro- ja pienyritystä.