# NIS2 ja verkkopalvelimen tietoturva

> NIS2-velvoitteet yrityksille yleisesti: riskienhallinta, ilmoitukset, johdon vastuu ja mitä ne tarkoittavat verkkopalvelimille.

Lähde: https://phpsos.de/fi/compliance/nis2/  
Tilanne: 25.10.2026  
Palveluntarjoaja: PHP SOS, PHP-hätäapu ja palvelimen tietoturva. Pikaapu WhatsAppilla: https://wa.me/491736494914?text=Hei%20PHP%20SOS%2C%20tarvitsemme%20apua%20PHP-palvelimemme%20kanssa.%20Yritys%3A%20%E2%80%A6%20Verkkosivusto%3A%20%E2%80%A6

**Lyhyesti:** EU-direktiivi NIS2 velvoittaa selvästi aiempaa useampia yrityksiä riskienhallintatoimiin ja merkittävistä tietoturvapoikkeamista ilmoittamiseen. Saksassa se pannaan täytäntöön NIS2-täytäntöönpano- ja kyberturvallisuuden vahvistamislailla (NIS2UmsuCG, Saksan laki); toimivaltainen viranomainen on BSI (Saksan liittovaltion tietoturvavirasto). Verkkopalvelimille tämä tarkoittaa ennen kaikkea: päivitysten, haavoittuvuuksien hallinnan ja poikkeamien käsittelyn on oltava organisoituja ja todennettavissa. Tämä sivu on yleistä tietoa, ei oikeudellista neuvontaa.

> **Tärkeää:**
> Ei oikeudellista neuvontaa: sen, kuuluuko yrityksesi NIS2:n piiriin ja mitkä velvoitteet yksittäin pätevät, selvität BSI:n tietojen avulla ja oikeudellisella neuvonnalla. Emme tarkoituksella mainitse kynnysarvoja tai määräaikoja, jotka riippuvat sinun luokittelustasi.

## Mitä NIS2 on

NIS2 on toinen EU-direktiivi verkko- ja tietoturvasta. Se laajentaa velvoitettujen yritysten piiriä huomattavasti aiempaan sääntelyyn verrattuna ja erottaa toisistaan erityisen tärkeät ja tärkeät toimijat. Mitkä toimialat ja kokoluokat kuuluvat soveltamisalaan, määrää laki.

Saksassa NIS2UmsuCG panee direktiivin täytäntöön ja uudistaa sitä varten muun muassa BSI-lain. BSI on yhteyspiste rekisteröinnissä, ilmoituksissa ja valvonnassa ja tarjoaa verkkosivustollaan tietoa ja apuvälineitä luokitteluun. Luotettavat, ajantasaiset tiedot määräajoista ja menettelyistä löydät sieltä, et yleisistä tiivistelmistä.

## NIS2-velvoitteet yrityksille yleiskuvana

Koskeneiden yritysten velvoitteet voi karkeasti jakaa kolmeen alueeseen:

**Riskienhallinta.** Yritysten on toteutettava asianmukaiset ja oikeasuhteiset tekniset ja organisatoriset toimenpiteet. Niihin kuuluvat tyypillisesti riskianalyysin ja tietoturvan käsitteet, tietoturvapoikkeamien hallinta, toiminnan jatkuvuus varmuuskopioineen ja kriisinhallintoineen, toimitusketjun turvallisuus, turvallisuus hankinnassa, kehityksessä ja ylläpidossa mukaan lukien haavoittuvuuksien käsittely, pääsynhallinta ja kryptografia.

**Ilmoitukset.** Merkittävistä tietoturvapoikkeamista on ilmoitettava BSI:lle. Direktiivi edellyttää siihen vaiheittaista menettelyä, aikaisesta ensi-ilmoituksesta loppuraporttiin. Tarkat määräajat ja ilmoitustiet Saksassa löydät BSI:n tiedoista.

**Johdon vastuu.** Johdon on hyväksyttävä toimenpiteet, valvottava niiden toteutusta ja otettava koulutusta kyberturvallisuusasioissa. Lisää aiheesta sivulla [Johdon vastuu](https://phpsos.de/fi/compliance/geschaeftsfuehrer-haftung/).

## Mitä se tarkoittaa verkkopalvelimille

Verkkopalvelimet ovat usein yrityksen laajimmin avoin järjestelmä. PHP2Shell osoittaa, kuinka nopeasti perusosan haavoittuvuus voi koskea kaikkia sillä pyöriviä sovelluksia. Molemmat haavoittuvuudet, CVE-2026-109618 ja CVE-2026-109619, sallivat koodin suorittamisen ilman kirjautumista; BSI on julistanut varoitustason 3 (oranssi) ja suositellut välitöntä päivitystä.

NIS2-velvoitteiden alaiselle yritykselle tästä nousee käytännön kysymyksiä: tiedämmekö, mitkä palvelimet käyttävät PHP:tä ja missä versiossa? Kuka seuraa tietoturvatiedotteita ja päättää hätäpäivityksistä? Pystymmekö tunnistamaan hyökkäyksen, ja kuka arvioi, onko poikkeama merkittävä ja siten ilmoitettava? Onko sovittu, mitä hosting-yritys ja palveluntarjoajat hoitavat?

Korjaus ei poista haittaohjelmaa, joka on asennettu aiemmin, eikä todista, ettei mitään ole tapahtunut. Sekin kuuluu poikkeaman arviointiin.

## Konkreettiset toimenpiteet verkkoinfrastruktuurille

Seuraavat kohdat eivät ole tyhjentävä luettelo, mutta kattavat yleisimmät aukot:

| Toimenpide | Liittymä |
|---|---|
| Luettelo kaikista verkkopalvelimista, PHP-versioista ja sovelluksista | Riskianalyysi |
| Kiinteä menettely tietoturvapäivityksille uudelleenkäynnistyksineen ja todisteineen | Haavoittuvuuksien hallinta |
| Valvonta ja lokien säilytys | Poikkeamien hallinta |
| Testatut varmuuskopiot ja palautussuunnitelma | Toiminnan jatkuvuus |
| Tehtävänjako hosting-yrityksen ja toimistojen kanssa kirjallisesti | Toimitusketju |
| Monivaiheinen tunnistautuminen ylläpitäjien pääsyille | Pääsynhallinta |
| Valmistellut ilmoitustiet ja vastuut | Ilmoitusvelvollisuudet |

Menetelmälliseksi kehykseksi sopii BSI:n IT-Grundschutz. [Verkkopalvelinten IT-hätäsuunnitelma](https://phpsos.de/fi/compliance/notfallplan-erstellen/) yhdistää tekniikan, vastuut ja ilmoitustiet.

## NIS2 ja tietosuoja yhdessä

Verkkopalvelimeen kohdistuva hyökkäys voi olla yhtä aikaa NIS2-poikkeama ja tietosuojaloukkaus. Silloin kaksi menettelyä kulkee rinnakkain, eri viranomaisten ja vaatimusten kanssa. Ilmoitus tietosuojaviranomaiselle GDPR:n 33 artiklan mukaan on kuvattu sivulla [GDPR-ilmoitusvelvollisuus: 72 tuntia](https://phpsos.de/fi/compliance/dsgvo-meldepflicht-72-stunden/). Suunnittele molemmat tiet etukäteen, jotta kenenkään ei tarvitse improvisoida hätätilanteessa.

Toinen asia koskee palveluntarjoajia. Monet yritykset antavat toimistojen hoitaa verkkosivustojaan ja hosting-yritysten ylläpitää palvelimia. Velvoite ottaa toimitusketjun riskit huomioon tarkoittaa käytännössä: sovi sopimuksessa, kuka asentaa tietoturvapäivitykset, kuinka nopeasti kriittiset haavoittuvuudet käsitellään, miten sinulle tiedotetaan poikkeamista ja mitä todisteita saat. PHP2Shellin tilanne on hyvä koetinkivi sille, onko nämä sopimukset jo tehty ja ovatko ne toimineet hätätilanteessa. Jos vastaus puuttuu, se on kohta riskienhallinnallesi.

## Miten PHP SOS auttaa konkreettisesti?

- Kartoitamme verkkoinfrastruktuurinne ja arvioimme riskit ja aukot muodossa, jota voitte käyttää riskienhallinnassanne.
- Perustamme todennettavan menettelyn tietoturvapäivityksille ja otamme sen halutessanne hoitaaksemme [tietoturvahuoltosopimuksella](https://phpsos.de/fi/leistungen/security-wartungsvertrag/).
- [Tietoturvavalvonnalla](https://phpsos.de/fi/leistungen/security-monitoring/) ja lokien säilytyksellä luomme perustan poikkeamien tunnistamiselle ja arvioinnille.
- Poikkeamatilanteessa toimitamme tekniset tosiasiat BSI:lle tehtävää ilmoitustanne varten; oikeudellinen arvio jää teille ja oikeudelliselle neuvonnallenne.


## Usein kysytyt kysymykset

**Koskeeko NIS2 yritystäni?**  
Se riippuu muun muassa toimialasta ja yrityksen koosta. Tarkat kriteerit tulevat Saksan täytäntöönpanolaista. BSI (Saksan liittovaltion tietoturvavirasto) tarjoaa verkkosivustollaan tietoa soveltamisalasta; epäselvässä tapauksessa selvitä asia oikeudellisella neuvonnalla.

**Mitä NIS2 tarkoittaa yrityksen verkkosivustolle?**  
Verkkopalvelimet, asiakasportaalit ja verkkokaupat kuuluvat järjestelmiin, joiden riskejä koskeneen yrityksen on hallittava. Siihen kuuluvat päivitykset, haavoittuvuuksien hallinta, pääsynhallinta ja kyky tunnistaa ja ilmoittaa poikkeamat.

**Mitä ilmoitusmääräaikoja NIS2:n mukaan on?**  
Direktiivi edellyttää vaiheittaista ilmoitusmenettelyä merkittävistä tietoturvapoikkeamista. Saksaa koskevat sitovat määräajat, tiet ja lomakkeet löydät BSI:n tiedoista ja lain tekstistä. Emme tässä tarkoituksella mainitse määräaikoja ilman yhteyttä tilanteeseesi.

**Koskeeko NIS2 myös toimittajia?**  
NIS2 edellyttää koskeneilta toimijoilta toimitusketjun turvallisuuden huomioimista. Siksi moni asiakas kysyy palveluntarjoajiltaan ja toimittajiltaan tietoturvatoimenpiteistä, vaikka nämä eivät itse suoraan kuuluisi lain piiriin.

## Lähteet

- [BSI (Saksan liittovaltion tietoturvavirasto)](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz (IT-perussuojaus)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [GDPR 33 artikla](https://dsgvo-gesetz.de/art-33-dsgvo/)