CER-riskiarviointi - SecMeter

Kriittisen toimijan riskiarviointi

CER-lain mukaan kriittiseksi määritetyn toimijan on suoritettava riskiarviointi tarvittaessa ja vähintään neljän vuoden välein. Ensimmäinen riskiarviointi on tehtävä yhdeksän kuukauden kuluessa siitä, kun toimija on saanut tiedon päätöksestä, jolla se on määritetty kriittiseksi toimijaksi. Riskiarvioinnissa on otettava huomioon kansallinen CER-riskiarvio sekä muut arvioinnin kannalta merkitykselliset tietolähteet.

Riskiarvioinnin tarkoituksena on tunnistaa sellaiset uhat, heikkoudet, riippuvuudet ja häiriötilanteet, jotka voivat vaikuttaa toimijan kykyyn tarjota yhteiskunnan toimintakyvyn kannalta keskeistä palvelua. CER-riskiarvioinnissa on perusteltua tarkastella ainakin seuraavia riskikokonaisuuksia:

• luonnon aiheuttamat riskit ja luonnonkatastrofit
• ihmisen aiheuttamat tahalliset ja tahattomat riskit
• onnettomuudet ja vakavat tekniset häiriöt
• toimialojen väliset ja rajat ylittävät riskit
• kansanterveydelliset hätätilanteet
• hybridiuhat ja muu vihamielinen vaikuttaminen
• terrorismiin ja muuhun tahalliseen vahingoittamiseen liittyvät uhkat
• kriittisten toimitusketjujen ja palveluntarjoajien häiriöt
• energia-, vesi-, liikenne-, tietoliikenne- ja muiden infrastruktuurien riippuvuudet
• teknologisiin järjestelmiin, tietoihin ja digitaalisiin palveluihin liittyvät häiriöt
• ilmastonmuutokseen ja muuttuvaan toimintaympäristöön liittyvät pitkän aikavälin riskit.

Kriittisen toimijan on lisäksi arvioitava, missä määrin muut toimialat ovat riippuvaisia sen tarjoamasta keskeisestä palvelusta. Tarkoituksena ei siten ole tarkastella vain organisaation omia riskejä, vaan myös häiriön mahdollisia vaikutuksia muihin yhteiskunnan kriittisiin toimintoihin.

CER-laki mahdollistaa myös muiden tarkoitukseen soveltuvien riskiarvioiden ja asiakirjojen hyödyntämisen. Organisaation ei siten tarvitse tuottaa samaa tietoa uudelleen, jos vastaavat riskit ja toimenpiteet on jo asianmukaisesti arvioitu esimerkiksi jatkuvuudenhallinnan, turvallisuuden, toimitusketjujen tai muun lainsäädännön perusteella. Hyödynnetty aineisto ja sen yhteys CER-riskiarviointiin on kuitenkin pystyttävä osoittamaan.

Häiriönsietokyvyn varmistaminen

CER-lain mukaan kriittisen toimijan on toteutettava riskiarviointiin perustuvat asianmukaiset ja oikeasuhteiset tekniset, turvallisuuteen liittyvät ja organisatoriset toimenpiteet häiriönsietokykynsä varmistamiseksi. Toimijan on laadittava näistä toimenpiteistä häiriönsietokykyä koskeva suunnitelma. Ensimmäinen suunnitelma on laadittava vuoden kuluessa ensimmäisen CER-riskiarvioinnin valmistumisesta.

Häiriönsietokykyä koskevassa suunnitelmassa tarkastellaan muun muassa poikkeamien ehkäisemistä, katastrofiriskien vähentämistä ja ilmastonmuutokseen sopeutumista, tilojen ja infrastruktuurin fyysistä suojaamista, häiriöihin vastaamista ja niiden vaikutusten lieventämistä, toiminnan palauttamista ja jatkuvuutta, vaihtoehtoisia toimitusketjuja, henkilöstöturvallisuutta, käyttö- ja pääsyoikeuksia, kriittistä tietoa sekä henkilöstön osaamista, koulutusta ja tietoisuutta.

Euroopan komissio julkaisi 13.7.2026 CER-direktiivin 13 artiklan soveltamista koskevat ohjeet, joissa täsmennetään kriittisten toimijoiden toteutettavissa olevia teknisiä, turvallisuuteen liittyviä ja organisatorisia häiriönsietokykytoimenpiteitä. Ohjeet eivät ole oikeudellisesti sitovia, mutta ne tukevat CER-vaatimusten käytännön toteuttamista ja häiriönsietokyvyn kehittämistä.

Poikkeamista ilmoittaminen

Kriittisen toimijan on ilmoitettava ilman aiheetonta viivytystä merkittävästä poikkeamasta, joka häiritsee tai voi häiritä keskeisten palvelujen tarjoamista. Ilmoitus tehdään asianomaiselle valvovalle viranomaiselle ja Valtioneuvoston tilannekeskukselle.

Ensi-ilmoitus on pääsääntöisesti tehtävä viimeistään 24 tunnin kuluessa siitä, kun poikkeama on tullut toimijan tietoon. Tarvittaessa toimijan on annettava yksityiskohtainen raportti viimeistään kuukauden kuluttua poikkeaman tietoon tulemisesta. Poikkeaman merkittävyyttä arvioitaessa huomioidaan erityisesti vaikutuksen kohteena olevien käyttäjien määrä ja osuus, häiriön kesto sekä sen maantieteellinen laajuus.

CER ja muu riskienhallinta

CER-vaatimuksia ei tulisi käsitellä organisaatiossa irrallisena järjestelmänä. Häiriönsietokyky rakentuu olemassa olevien riskienhallinnan, jatkuvuudenhallinnan, varautumisen, fyysisen turvallisuuden, henkilöstöturvallisuuden, toimitusketjujen hallinnan ja häiriöjohtamisen menettelyjen varaan.

Kyberturvallisuuden riskienhallintaa koskevat velvoitteet määräytyvät erikseen muun muassa NIS2-direktiivin ja kansallisen kyberturvallisuuslain perusteella. CER ja NIS2 muodostavat toisiaan täydentävän kokonaisuuden: NIS2 painottuu verkko- ja tietojärjestelmien kyberturvallisuuteen, kun taas CER tarkastelee kriittisten palvelujen häiriönsietokykyä laajemmin erilaisiin luonnon ja ihmisen aiheuttamiin uhkiin nähden.

CER-lain soveltamisessa on lisäksi huomioitava lain toimialakohtaiset rajaukset. Esimerkiksi pankkialan, rahoitusmarkkinoiden infrastruktuurin ja digitaalisen infrastruktuurin kriittisiin toimijoihin ei sovelleta kaikkia CER-lain riskiarviointia, häiriönsietokykysuunnitelmaa, poikkeamailmoituksia ja valvontaa koskevia säännöksiä samalla tavalla kuin muihin CER-toimialoihin.

CER-lainsäädännön tavoitteena ei ole vain muodollisten velvoitteiden täyttäminen. Keskeinen tavoite on varmistaa, että yhteiskunnan kannalta välttämättömät palvelut pystytään mahdollisimman hyvin ehkäisemään häiriöiltä, suojaamaan niiden vaikutuksilta, ylläpitämään häiriötilanteissa ja palauttamaan hyväksyttävälle tasolle vakavan häiriön jälkeen.