DORA on suoraan sovellettava asetus finanssisektorille ja NIS2 kansallisesti täytäntöönpantava direktiivi kriittiselle infrastruktuurille; kun molemmat voisivat soveltua samaan toimijaan, DORA syrjäyttää NIS2:n erityissääntelynä (lex specialis) ICT-riskienhallinnan ja poikkeamaraportoinnin osalta.
Ero ei ole akateeminen. Se ratkaisee, ilmoitatko poikkeamasta Finanssivalvonnalle vai Traficomin Kyberturvallisuuskeskukselle, kumman kynnysarvot pätevät ja millaisia seuraamuksia laiminlyönnistä seuraa. Tämä artikkeli vertaa säädökset kohta kohdalta ja kertoo, miten rajanveto tehdään käytännössä suomalaisessa organisaatiossa.
Keskeiset kohdat
- Oikeudellinen muoto: DORA on asetus (EU) 2022/2554, sovellettu 17.1.2025 alkaen ilman kansallista täytäntöönpanoa. NIS2 on direktiivi (EU) 2022/2555, Suomessa täytäntöönpantu kyberturvallisuuslailla 8.4.2025.
- Valvoja: DORA – Finanssivalvonta. NIS2 – Traficomin Kyberturvallisuuskeskus ja toimialakohtaiset viranomaiset.
- Lex specialis: NIS2:n 4 artikla väistää alakohtaisen unionin säädöksen tieltä, kun tämä asettaa vähintään vastaavat vaatimukset. DORA on juuri tällainen säädös.
- Seuraamukset: NIS2 asettaa EU-tasolla enimmäismäärät (10 M€ / 2 % olennaisille, 7 M€ / 1,4 % tärkeille toimijoille). DORA jättää finanssitoimijoiden hallinnolliset seuraamukset jäsenvaltioiden määritettäviksi.
- Toimittajavalvonta: DORA luo EU-tason valvontakehyksen kriittisille ICT-palveluntarjoajille. NIS2 velvoittaa vain toimijaa hallitsemaan toimitusketjuriskiä.
DORA vs NIS2: vertailutaulukko
| Ulottuvuus | DORA (asetus (EU) 2022/2554) | NIS2 (direktiivi (EU) 2022/2555) |
|---|---|---|
| Oikeudellinen muoto | Asetus, suoraan sovellettava | Direktiivi, kansallinen täytäntöönpano |
| Voimaantulo Suomessa | Sovellettu 17.1.2025 alkaen | Kyberturvallisuuslaki voimaan 8.4.2025 |
| Soveltamisala | Finanssitoimijat: pankit, vakuutus, sijoituspalvelut, maksulaitokset, kryptovarapalvelut, markkinainfrastruktuuri | 18 toimialaa: energia, liikenne, terveys, vesi, digitaalinen infrastruktuuri, julkishallinto ym. |
| Toimijaluokat | Ei luokkia; suhteellisuus 16 art. kevennyksellä | Olennaiset ja tärkeät toimijat |
| Valvova viranomainen | Finanssivalvonta | Traficom / Kyberturvallisuuskeskus ja toimialaviranomaiset |
| Rekisteröityminen | Ei erillistä ilmoittautumista | Toimijaluetteloon ilmoittautuminen |
| Riskienhallinta | Yksityiskohtainen viitekehys, 5–15 art. | Kymmenen vähimmäistoimenpidettä, 21 art. |
| Poikkeamailmoitus | 4 h luokittelusta / 24 h havaitsemisesta, väliraportti 72 h, loppuraportti 1 kk | Ennakkovaroitus 24 h, poikkeamailmoitus 72 h, loppuraportti 1 kk |
| Testaus | Pakollinen testausohjelma, TLPT merkittäville toimijoille | Ei vastaavaa; tehokkuuden arviointi 21 art. |
| Kolmas osapuoli | Sopimuspakkoehdot 30 art., tietorekisteri 28 art., EU-tason valvonta kriittisille ICT-toimittajille | Toimitusketjun turvallisuus riskienhallintatoimena |
| Seuraamukset | Kansallisesti määriteltävät; kriittisille ICT-toimittajille EU-tason uhkasakko | 10 M€ tai 2 % (olennaiset), 7 M€ tai 1,4 % (tärkeät) |
| Johdon vastuu | 5 art.: hyväksyntä, valvonta, koulutusvelvoite | 20 art.: hyväksyntä, valvonta, henkilökohtainen vastuu |
Miten lex specialis toimii käytännössä?
NIS2:n 4 artikla on koko rajanvedon ydin. Sen mukaan, jos alakohtaisessa unionin säädöksessä edellytetään toimijoilta kyberturvallisuusriskien hallintatoimenpiteitä tai merkittävien poikkeamien ilmoittamista ja nämä vaatimukset ovat vaikutukseltaan vähintään NIS2:n tasoisia, NIS2:n vastaavia säännöksiä ei sovelleta. DORA on nimenomaisesti tarkoitettu tällaiseksi säädökseksi.
Seuraus on selkeä: pankki ei tee samasta ICT-poikkeamasta kahta ilmoitusta kahdelle viranomaiselle. Ilmoitus menee Finanssivalvonnalle DORA:n 19 artiklan mukaisesti. Käytännön ilmoitusketju ja määräaikojen yhteensovittaminen on kuvattu artikkelissa häiriöilmoitukset: DORA, NIS2 ja GDPR ja DORA:n oma menettely artikkelissa DORA-poikkeamailmoitukset.
Rajanveto ei kuitenkaan ole aina puhdas. Kolme tilannetta toistuu:
Sekatoiminta. Finanssikonserniin kuuluva yhtiö, joka tuottaa myös NIS2:n alaista palvelua – esimerkiksi datakeskus- tai pilvipalvelua ulkopuolisille – voi kuulua molempiin regimeihin eri toimintojensa osalta. Rajaus tehdään toiminnoittain, ei yhtiöittäin.
ICT-palveluntarjoajat. Pankille pilvipalvelua tuottava yritys ei ole DORA:n soveltamisalassa finanssitoimijana, mutta voi olla NIS2:n tarkoittama digitaalisen infrastruktuurin toimija ja samalla DORA:n sopimusvelvoitteiden kohde asiakkaansa kautta. Jos se nimetään kriittiseksi ICT-palveluntarjoajaksi, siihen kohdistuu lisäksi EU-tason valvontakehys.
Muu kuin ICT-poikkeama. NIS2 kattaa laajemmin fyysisen turvallisuuden ja toimitilaturvallisuuden osana kyberturvallisuusriskien hallintaa. DORA keskittyy ICT-riskiin. Toimialat ja velvoitteet on eritelty artikkelissa NIS2 Suomessa.
Valvonta: Finanssivalvonta vs Traficom
Suomessa ero on organisatorisesti selvä. Finanssivalvonta valvoo DORA:n noudattamista osana finanssitoimijoiden yleistä vakavaraisuus- ja menettelytapavalvontaa. Se käyttää samoja keinoja kuin muussakin valvonnassa: ohjeita, selvityspyyntöjä, tarkastuksia ja hallinnollisia seuraamuksia. Valvonta on riskiperusteista ja kohdistuu voimakkaimmin toimijoihin, joiden häiriö vaikuttaisi laajimmin rahoitusjärjestelmän vakauteen.
NIS2:n puolella keskitetty valvoja on Traficomin Kyberturvallisuuskeskus, joka toimii myös CSIRT-yksikkönä ja keskitettynä yhteyspisteenä. Sen rinnalla toimii toimialakohtaisia valvovia viranomaisia. Toinen ero on valvonnan luonteessa: olennaisiin toimijoihin kohdistuu ennakollinen valvonta, tärkeisiin toimijoihin lähtökohtaisesti jälkikäteinen.
Kolmas – ja usein aliarvioitu – ero on EU-taso. DORA:ssa kriittisiksi nimetyt ICT-palveluntarjoajat siirtyvät suoraan Euroopan valvontaviranomaisten koordinoimaan valvontaan, jossa nimetyllä päävalvojalla on tarkastus- ja suositusvaltuudet. NIS2:ssa vastaavaa suoraa EU-valvontaa ei ole; yhteistyö tapahtuu yhteistyöryhmässä ja CSIRT-verkostossa.
Poikkeamakynnykset ja raportointi
Molemmat säädökset käyttävät vaiheittaista raportointia, mutta kynnykset eroavat. DORA:n merkittävyysarviointi perustuu komission teknisen sääntelystandardin määrällisiin kriteereihin: vaikutus asiakkaisiin ja tapahtumiin, kriittisten palvelujen vaarantuminen, kesto ja käyttökatkos, maantieteellinen laajuus, tietojen menetys, taloudellinen vaikutus ja maineelliset seuraukset. NIS2:n 23 artiklan 3 kohdan testi on laadullisempi: poikkeama on merkittävä, jos se on aiheuttanut tai voi aiheuttaa vakavan toiminnallisen häiriön tai taloudellista menetystä taikka huomattavaa vahinkoa muille.
Aikataulut näyttävät samankaltaisilta mutta eivät ole. DORA:n ensimmäinen määräaika on 4 tuntia luokittelusta ja enintään 24 tuntia havaitsemisesta; NIS2:n ennakkovaroitus on 24 tuntia havaitsemisesta. DORA:n väliraportti tulee 72 tunnin kuluessa ensi-ilmoituksesta, NIS2:n poikkeamailmoitus 72 tunnin kuluessa havaitsemisesta. Käytännössä DORA on tiukempi, mikä on yksi peruste sille, että se katsotaan vähintään vastaavaksi sääntelyksi.
Molempien rinnalla kulkee aina GDPR. Jos poikkeama koskee henkilötietoja, ilmoitus Tietosuojavaltuutetun toimistolle on tehtävä 72 tunnissa riippumatta siitä, kumpaa kyberturvasääntelyä sovelletaan – ks. tietoturvaloukkauksen ilmoittaminen.
Seuraamukset: miksi vertailu on harhaanjohtava?
NIS2:n seuraamusmaksujen enimmäismäärät ovat helposti siteerattavia: olennaisille toimijoille enintään 10 miljoonaa euroa tai 2 % maailmanlaajuisesta liikevaihdosta, tärkeille toimijoille 7 miljoonaa euroa tai 1,4 %. DORA:ssa vastaavia yhdenmukaistettuja lukuja ei ole – asetus jättää finanssitoimijoihin kohdistuvat hallinnolliset seuraamukset ja korjaavat toimenpiteet jäsenvaltioiden määritettäviksi, ja Suomessa ne kanavoituvat Finanssivalvonnan yleisen keinovalikoiman kautta.
Tästä ei pidä päätellä, että DORA olisi kevyempi. Finanssisektorin valvonnassa tehokkaimmat keinot ovat harvoin sakkoja: toimilupaehtojen kiristäminen, pääomavaatimusten lisäys, toiminnan rajoittaminen ja johdon soveltuvuusarviointi purevat nopeammin. Kriittisiin ICT-palveluntarjoajiin voidaan lisäksi kohdistaa EU-tason uhkasakkoa, joka lasketaan osuutena keskimääräisestä päivittäisestä maailmanlaajuisesta liikevaihdosta ja jota voidaan määrätä päiväkohtaisesti rajoitetun ajan.
Vertailukohtana kannattaa pitää tietosuojan puolta, jossa seuraamuskäytäntö on jo vakiintunut – ks. tietosuojaseuraamukset Suomessa.
Kumpaa sovellat? Kolmen kysymyksen testi
- Onko organisaatio DORA:n 2 artiklan mukainen finanssitoimija? Jos on, ICT-riskienhallinnassa ja poikkeamaraportoinnissa sovelletaan DORA:a. Soveltamisalan yksityiskohdat: DORA Suomessa ja pankkikohtaisesti DORA pankeille.
- Onko organisaatiolla toimintaa NIS2:n toimialoilla DORA:n soveltamisalan ulkopuolella? Jos on, kyseiseen toimintaan sovelletaan kyberturvallisuuslakia, ja toimijaluetteloon ilmoittautuminen koskee sitä.
- Käsitelläänkö henkilötietoja? Jos kyllä, GDPR soveltuu joka tapauksessa rinnakkain. Se ei väisty kummankaan tieltä.
Käytännön toteutuksessa kannattaa rakentaa yksi kontrollikanta, joka kartoitetaan molempia vastaan. DORA:n 5–15 artiklan viitekehys kattaa suurimman osan NIS2:n 21 artiklan vähimmäistoimenpiteistä; ks. DORA:n ICT-riskienhallinnan viitekehys ja toimittajapuolen dokumentaatio DORA-tietorekisterin mallista. Työkaluvaihtoehdot on vertailtu artikkeleissa paras DORA-ohjelmisto ja paras NIS2-ohjelmisto.
Usein kysytyt kysymykset
Voiko sama yritys kuulua sekä DORA:n että NIS2:n piiriin?
Kyllä, jos sillä on toimintaa molemmilla alueilla. Rajaus tehdään toiminnoittain. ICT-riskienhallinnassa ja poikkeamaraportoinnissa DORA syrjäyttää NIS2:n siltä osin kuin toiminta on finanssitoimintaa.
Kumpi on tiukempi, DORA vai NIS2?
DORA on yksityiskohtaisempi ja sen poikkeamien ilmoitusmääräajat ovat tiukemmat. NIS2:n seuraamusmaksujen enimmäismäärät on kirjattu direktiiviin, kun taas DORA:ssa seuraamukset määräytyvät kansallisesti.
Koskeeko NIS2 pankkien ICT-toimittajia?
Voi koskea. Pilvipalvelun tai datakeskuksen tarjoaja voi kuulua NIS2:n digitaalisen infrastruktuurin toimialalle. Lisäksi siihen kohdistuu DORA:n sopimusvelvoitteita asiakkaansa kautta ja mahdollisesti EU-tason valvonta kriittisenä ICT-palveluntarjoajana.
Pitääkö finanssitoimijan ilmoittautua NIS2:n toimijaluetteloon?
Vain siltä osin kuin sillä on kyberturvallisuuslain soveltamisalaan kuuluvaa toimintaa DORA:n ulkopuolella. Pelkkä finanssitoiminta ei synnytä ilmoittautumisvelvollisuutta.
Riittääkö DORA-projekti NIS2-vaatimustenmukaisuuteen?
Kontrollien osalta pääosin kyllä, hallinnollisten velvoitteiden osalta ei. Toimijaluetteloon ilmoittautuminen, kansalliset raportointikanavat ja toimialaviranomaisen ohjeet ovat NIS2:n omia velvoitteita.
Yhteenveto
DORA ja NIS2 tavoittelevat samaa – toiminnan jatkuvuutta kyberhäiriössä – mutta eri välineillä, eri viranomaisille ja eri kynnysarvoilla. Finanssitoimijalle DORA on ensisijainen; NIS2 jää sovellettavaksi vain siltä osin kuin toiminta jää DORA:n ulkopuolelle. GDPR kulkee molempien rinnalla eikä väisty kummankaan tieltä. Rakenna yksi kontrollikanta ja yksi poikkeamaprosessi, mutta pidä ilmoituskanavat ja vastuuviranomaiset erillään. Säädöstekstit: DORA ja NIS2 EUR-Lexissä.
Viimeksi tarkistettu: heinäkuu 2026.