Lyhyesti: IT-turvallisuus kuuluu johdon tehtäviin. Johdon vastuusta IT-turvallisuuden aukoissa keskustellaan ennen kaikkea silloin, kun tunnettuja riskejä ei ole käsitelty asianmukaisesti, vastuita ei ole sovittu tai päätökset on tehty jäljittämättömästi. PHP2Shellin kaltaisissa tilanteissa auttaa selkeä, dokumentoitu päätös käytettävissä olevien tosiasioiden pohjalta. Tämä sivu on yleistä tietoa eikä oikeudellista neuvontaa.
Ei oikeudellista neuvontaa: vastuukysymykset riippuvat voimakkaasti yksittäistapauksesta, yhtiömuodosta ja sopimusjärjestelyistä. Pyydä konkreettiset kysymykset arvioitaviksi yhtiöoikeuteen perehtyneeltä juristilta.
Johdon vastuu ja IT-turvallisuus: yleinen kehys
GmbH:n toimitusjohtajilta GmbH-lain (GmbHG, Saksan laki) 43 § edellyttää huolellisen liikemiehen huolellisuutta. Osakeyhtiön hallituksen jäsenille osakeyhtiölain (AktG, Saksan laki) 93 § sisältää vastaavan säännön; AktG:n 91 §:n 2 momentti edellyttää lisäksi sopivia toimenpiteitä yrityksen olemassaoloa uhkaavien kehityskulkujen tunnistamiseksi ajoissa. Näistä yleisistä velvoitteista johdetaan asiantuntijakeskustelussa, että myös IT-riskejä on hallittava asianmukaisesti.
Liiketoiminnallisille päätöksille on harkintamarginaali. Joka päättää asianmukaisen tiedon pohjalta ja yhtiön edun mukaisesti, toimii niin sanotun Business Judgment Rulen mukaan yleensä velvoitteiden mukaisesti, vaikka päätös myöhemmin osoittautuisi epäedulliseksi. Siitä seuraa käytännön opetus: ratkaisevaa on usein vähemmän lopputulos kuin se, tehtiinkö päätös informoituna ja jäljitettävästi.
Mitä NIS2 lisää
NIS2:n piiriin kuuluvien yritysten kohdalla johdon vastuu säännellään nimenomaisesti. Johdon on hyväksyttävä riskienhallintatoimet, valvottava niiden toteutusta ja otettava koulutusta kyberturvallisuudesta. Saksassa täytäntöönpano tapahtuu NIS2UmsuCG:llä (Saksan laki). Se, koskeeko se yritystäsi ja mitkä velvoitteet yksittäin pätevät, selviää BSI:n (Saksan liittovaltion tietoturvavirasto) tiedoista. Yleiskuvan antaa NIS2 ja verkkopalvelimen tietoturva.
Lisäksi tulevat tietosuojan velvoitteet. GDPR:n mukaan yrityksen on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet ja arvioitava, dokumentoitava ja tarvittaessa ilmoitettava henkilötietojen suojan loukkaukset 33 artiklan mukaan.
Mitä PHP2Shellin kaltainen tilanne edellyttää johdolta
PHP2Shell koostuu kahdesta kriittisestä haavoittuvuudesta itse PHP:ssä (CVE-2026-109618 ja CVE-2026-109619, kumpikin CVSS v4.0 9.2). BSI on julistanut varoitustason 3 (oranssi) ja suosittelee välitöntä päivitystä ja, jos se ei onnistu, verkkopalvelinten ottamista tilapäisesti pois verkosta. Johdolle syntyy siitä tyypillinen punninta: liikevaihto ja tavoitettavuus korkeaa, julkisesti tunnettua riskiä vastaan.
Kukaan ei vaadi, että toimitusjohtajat korjaavat palvelimia itse. Voidaan kuitenkin odottaa, että he ottavat tilanteen tietoonsa, selvittävät vastuut, pyytävät raportin ja tekevät päätöksen. Kysymyksiä, jotka johdon kannattaa esittää:
- Mitkä järjestelmistämme käyttävät PHP:tä, ja kuka niistä vastaa, sisäisesti vai palveluntarjoajalla?
- Onko päivitykset asennettu ja prosessit käynnistetty uudelleen, ja onko siitä todiste?
- Jos ei: miksi ei, mitä väliaikaisia toimenpiteitä on käytössä, ja otammeko järjestelmän pois verkosta?
- Onko viitteitä murrosta, ja kuka arvioi mahdolliset ilmoitusvelvollisuudet?
Dokumentoi päätökset
Kirjaa tilannekuva, vaihtoehdot, päätös ja perustelu lyhyesti kirjallisesti päivämäärän ja kellonajan kanssa. Tällaisen pöytäkirjan ei tarvitse olla pitkä. Se osoittaa myöhemmin, että johto oli informoitu ja punnitsi asiaa. Tämä pätee nimenomaisesti myös päätökseen jatkaa järjestelmän käyttöä riskistä huolimatta rajoitetun ajan.
| Sisältö | Esimerkki |
|---|---|
| Tilannekuva | BSI:n varoitustaso 3, korjaukset saatavilla 21.10.2026 alkaen |
| Koskeneet järjestelmät | Verkkokauppa, asiakasportaali, sisäinen wiki-asennus |
| Vaihtoehdot | korjaa heti, väliaikaiset toimenpiteet, ota pois verkosta |
| Päätös | Verkkokauppa korjattu, wiki offline-tilassa päivitykseen asti |
| Perustelu ja vastuuhenkilöt | Todiste palveluntarjoajalta, valvonta IT-päälliköllä |
Korjaus ei poista jo asennettua haittaohjelmaa. Myös päätös siitä, etsitäänkö jälkiä, kuuluu pöytäkirjaan.
Järjestä pysyvästi sen sijaan, että improvisoit hätätilanteessa
Paras ennakointi on selkeä organisaatio: nimetty tietoturvavastaava, menettely tietoturvapäivityksille, säännölliset raportit johdolle, testattu IT-hätäsuunnitelma ja riippumaton tarkastus järkevin väliajoin. Menetelmälliseksi kehykseksi sopii BSI:n IT-Grundschutz.
Organisaatioon kuuluu myös raporttien laatiminen niin, että johto ymmärtää ne. Usein riittää lyhyt, säännöllinen raportti, jossa on vain muutamia tietoja: kuinka monta järjestelmää on ajan tasalla, missä on poikkeuksia ja miksi, mitä poikkeamia tai läheltä piti -tilanteita on ollut, mitä päätöksiä on tulossa. Joka vastaanottaa tällaisia raportteja, esittää jatkokysymyksiä ja kirjaa tulokset, voi myöhemmin osoittaa, että valvonta todella tapahtui. Tämä pätee riippumatta siitä, onko tekniikka sisäisesti vai palveluntarjoajalla.
Miten PHP SOS auttaa konkreettisesti?
- Laadimme johdolle ymmärrettävän tilannekuvan verkkopalvelimistanne selkeine vaihtoehtoineen.
- Toteutamme valitun vaihtoehdon ja toimitamme kirjallisen teknisen todisteen.
- Tietoturvatarkastuksella tai tunkeutumistestillä luomme riippumattoman perustan päätöksillenne.
- Tietoturvahuoltosopimuksella sovimme päivityksistä ja raporteista pysyvästi.
Usein kysytyt kysymykset
Onko toimitusjohtaja henkilökohtaisesti vastuussa hakkerihyökkäyksestä?
Hyökkäys yksin ei synnytä henkilökohtaista vastuuta. Vastuusta keskustellaan ennen kaikkea silloin, kun huolellisuusvelvoitteita on rikottu, esimerkiksi jos tunnetut riskit on sivuutettu tai vastuita ei ole sovittu. Onko näin yksittäistapauksessa, arvioi vain oikeudellinen neuvonta.
Voinko siirtää IT-turvallisuuden kokonaan IT:lle tai palveluntarjoajalle?
Tehtäviä voi delegoida, mutta vastuu valinnasta, resursoinnista ja valvonnasta jää johdolle. Pyydä säännöllisiä raportteja ja kirjaa, mitä päätöksiä on tehty ja millä perusteella.
Mitä NIS2 muuttaa johdon vastuuseen?
NIS2 edellyttää koskeneiden yritysten johdolta riskienhallintatoimien hyväksymistä, niiden toteutuksen valvontaa ja koulutukseen osallistumista. Yksityiskohdat tulevat Saksan täytäntöönpanolaista ja BSI:n (Saksan liittovaltion tietoturvavirasto) tiedoista.
Auttaako D&O-vakuutus?
Johdon vastuuvakuutus voi kattaa tiettyjä johdon vastuuriskejä, mutta ehdot vaihtelevat paljon. Selvitä kattavuus asiamiehesi tai vakuutusyhtiösi kanssa.