# Kyberturvallisuuslain vaatimustenmukaisuus ja kyberresilienssi yksityisellä terveydenhuoltoalalla - Savonia-AMK

> Kyberturvallisuusvaatimukset edellyttävät siirtymistä teknisestä tietoturvasta riskiperusteiseen hallintamalliin.

## Johdanto
Kyberturvallisuus on kaikkien vastuulla. Terveydenhuollon toimintaympäristössä yksittäinen työntekijä vaikuttaa arjen toiminnallaan siihen, miten hyvin potilastietoja suojataan, häiriöitä tunnistetaan ja palveluiden jatkuvuus turvataan. Samanaikaisesti kyberturvallisuus on myös vahvasti johdon vastuulla oleva kokonaisuus, joka edellyttää selkeää ohjausta, resursointia ja systemaattista seurantaa.

Digitalisaation lisääntyminen ja kyberhyökkäysten voimakas kasvu ovat luoneet painetta siirtyä reaktiivisesta tietoturvasta kohti ennakoivaa ja integroitua kyberturvallisuuden johtamista, erityisesti kriittisillä toimialoilla kuten terveydenhuollossa. Tekoälyn jättimäiset kehitysharppaukset luovat jatkuvasti uusia uhkakuvia myös kyberturvallisuuteen.

## Sääntely ja riskiperusteisuus
EU:n NIS2-direktiivi ja sen toimeenpaneva kansallinen kyberturvallisuuslaki (124/2025) ovat laajentaneet kyberturvallisuuden sääntelyä merkittävästi. Kyberturvallisuus ei rajoitu vain teknisiin hyökkäyksiin, vaan kattaa myös tilanteet ja tapahtumat, jotka häiritsevät tietojärjestelmien käyttäjiä ja organisaation toimintaa (Kyberturvallisuuslaki 124/2025, 2 §; Direktiivi 2022/2555/EU, artikla 6). 

Kyberturvallisuuslain ydin rakentuu riskiperusteisuudelle ja oikeasuhteisuudelle. Laki määrittelee vaatimukset, mutta jättää organisaation vastuulle arvioida oma riskitasonsa ja sopivien toimenpiteiden valinnan. Riskienhallinnan on oltava jatkuvaa ja säännöllistä, ei kertaluonteinen projekti (Kyberturvallisuuslaki 7–8 §). Terveydenhuollossa häiriöiden vaikutukset voivat realisoitua suoraan potilasturvallisuutena, hoidon viiveinä ja luottamuksen heikkenemisenä, minkä vuoksi toiminnan jatkuvuus ja häiriönsietokyky korostuvat.

## Tutkimusmenetelmät
Opinnäytetyö toteutettiin tutkimuksellisena kehittämistyönä konstruktiivista lähestymistapaa hyödyntäen. Aineisto koostui kuvailevasta kirjallisuuskatsauksesta, joka sisälsi lainsäädäntöä sekä vertaisarvioitua tutkimuskirjallisuutta. Lisäksi aineistoon kuului dokumenttianalyysi, jossa arvioitiin tilaajan tietoturvaan liittyvien politiikka‑ ja ohjedokumenttien vaatimustenmukaisuutta. Aineisto analysoitiin teoriaohjaavan sisällönanalyysin avulla siten, että kyberturvallisuuslain vaatimusten pohjalta laadittu analyysikehikko toimi runkona tilaajan dokumentaation tarkastelussa.

## Tulokset: Kyberturvallisuuden johtaminen ja resilienssi
Opinnäytetyön tulosten perusteella kyberturvallisuuslain vaatimuksia tukee parhaiten riskiperusteinen ja periaateohjautuva hallintamalli, joka on integroitu osaksi organisaation johtamisjärjestelmää. Kyberturvallisuus näyttäytyy tällöin strategisena johtamiskysymyksenä, ei erillisenä teknisenä osa-alueena. Keskeistä on roolien ja vastuiden selkeys, dokumentoitu päätöksenteko sekä säännöllinen raportointi, joka tuottaa johdolle ajantasaisen tilannekuvan riskeistä ja valmiuksista.

Kyberresilienssi muodostuu jatkuvista, mitattavista ja toistuvista toimenpiteistä. Resilienssi ei tarkoita vain palautumista häiriöstä, vaan myös kykyä jatkaa toimintaa poikkeustilanteissa ja oppia häiriöistä systemaattisesti. Terveydenhuollon kyberturvallisuus edellyttää teknisten kontrollien lisäksi vahvaa johdon sitoutumista, systemaattisia ja arkeen soveltuvia prosesseja sekä henkilöstön tietoturvatietoisuuden kehittämistä.

## Kehittämissuositukset
Kyberturvallisuuslaki on teknologianeutraali, mutta standardoidut viitekehykset tarjoavat rakenteen vaatimustenmukaisuuden ja kyberresilienssikyvyn systemaattiselle toteutukselle. Kehittämiseksi organisaation tulee:
* Koota hajanaiset käytännöt yhtenäiseksi ja dokumentoiduksi hallintamalliksi.
* Integroida kyberturvallisuus osaksi strategista johtamis- ja päätöksentekoa.
* Siirtyä reaktiivisesta toiminnasta kohti ennakoivaa tilannekuvajohtamista (esim. vuosikellomalli).
* Panostaa jatkuvaan henkilöstön koulutukseen ja tietoturvakulttuuriin.
* Luoda systemaattinen prosessi poikkeamien analysoimiseksi ja hyödyntää opittua tietoa säännöllisten harjoitusten avulla.

## Tekijät
* Tuomas Reunamo, Digitalisaation asiantuntija sosiaali- ja terveysalalla, Savonia-ammattikorkeakoulu
* Virpi Maijala, Tuntiopettaja (sivutoiminen) Savonia-ammattikorkeakoulu

## Lähteet
* Direktiivi 2022/2555/EU. Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555.
* Kyberala ry. 2025. NIS2-OPAS 1.0.
* Kyberturvallisuuslaki 124/2025. Finlex.
* Pollini, A. et al. 2021. Cognition, Technology & Work 24:371–390.
* Ristvej, J. et al. 2025. Cyber resilience conceptual model for European Union NIS2 standards implementation in Slovakia. Sci Rep 15, 26902.
* Taherdoost, H. 2022. Understanding Cybersecurity Frameworks and Information Security Standards. Electronics 2022, 11, 2181.
* Tsen, E., Ko, R. K. L. & Slapničar, S. 2025. The effect of organizational cyber resilience on cyber incident outcomes. Journal of Cybersecurity, Volume 11, Issue 1.
* Vandezande, N. 2024. Cybersecurity in the EU: How the NIS2-directive stacks up against its predecessor. Computer Law & Security Review, Volume 52.