Vuorokausi aikaa ilmoittaa – kello käynnistyy perjantaina

Kuvitellaan suomalainen ohjelmistoyhtiö, joka lisäsi keväällä tuotteeseensa tekoälyagentin. Ensi perjantaina tukitiimi huomaa, että agentti on tehnyt asiakkaan ympäristössä jotain, mitä sen ei pitäisi tehdä, ja että joku on ehtinyt käyttää aukkoa hyväkseen. Siitä hetkestä yhtiöllä on vuorokausi aikaa.

Kyberkestävyyslain ilmoitusvelvollisuus alkaa 11. syyskuuta 2026. Digitaalisia elementtejä sisältävien tuotteiden valmistajien on siitä päivästä alkaen kerrottava Traficomin Kyberturvallisuuskeskukselle aktiivisesti hyödynnetyistä haavoittuvuuksista ja vakavista tietoturvapoikkeamista 24 tunnin kuluessa siitä, kun ne ovat tulleet asiasta tietoisiksi.

Laki itsessään astui voimaan jo 1. kesäkuuta. Se täydentää EU:n kyberkestävyyssäädöstä, joka koskee käytännössä kaikkea ohjelmistoa ja verkkoon kytkeytyvää laitetta. Ilmoitusvelvollisuus on säädöksen ensimmäinen osa, joka konkreettisesti puree yrityksiin.

Kello käynnistyy havainnosta

Määräajan kannalta ratkaiseva hetki on se, jolloin yhtiö tulee tietoiseksi asiasta. Korjauksen valmistuminen tai asiakkaan reklamaatio eivät sitä siirrä. Traficomin tiedote sanoo asian suoraan.

Yhden ilmoituksen sijaan kyse on ketjusta. Ensimmäisen vuorokauden sisällä annetaan varhaisvaroitus, ja 72 tunnin kuluessa seuraa laajempi ilmoitus, jossa yksilöidään tuote, kuvataan haavoittuvuus teknisesti, arvioidaan vaikutuksista kärsivien käyttäjien määrä ja kerrotaan korjaavien toimenpiteiden aikataulu. Loppuraportti annetaan sitten, kun korjaus on tehty.

Vuorokausi kuluu nopeasti, jos havainto osuu perjantai-iltaan. Ilmoitus on tehtävä silti.

Velvoite ulottuu valmistajaa pidemmälle

Traficom listaa tiedotteessaan neljä ryhmää: valmistajat, maahantuojat, jälleenmyyjät ja avoimen lähdekoodin ohjelmistovastaavat. Kolme ensimmäistä osaa useimmat odottaa. Neljäs yllättää.

Avoimen lähdekoodin ylläpitäjille säädös rakentaa kevyemmän ja räätälöidyn sääntelyn, joka ei vastaa valmistajan velvoitteita. Silti se tarkoittaa, että yksittäisen kirjaston takana oleva säätiö tai yhdistys ei ole enää sääntelyn ulkopuolella, jos komponentti päätyy kaupallisiin tuotteisiin. Suomessa tämä koskee useampaa toimijaa kuin ensi kuulemalla arvaisi, sillä moni ohjelmistotalo ylläpitää julkista komponenttia työn sivutuotteena.

Maahantuojan ja jälleenmyyjän rooli on toinen. He eivät kirjoita koodia, mutta he ovat ketjussa, jonka päässä tuote on Suomen markkinoilla.

Mitä tämä tarkoittaa ensi viikolla

Suurin käytännön haaste liittyy päivystykseen: kuka tekee ilmoituksen, kun tieto tulee kello 23? Vuorokauden määräaika on organisaatiokysymys. Pitää olla nimetty vastuuhenkilö, sijainen ja valmis pohja ilmoitukselle, koska havainto voi yhtä hyvin osua lomaviikolle kuin keskelle työpäivää.

Tekoälyagentit tekevät kellosta hankalamman kuin tavallinen ohjelmistopäivitys. Agentti toimii itsenäisesti, lukee dataa, kutsuu rajapintoja ja tekee toimia käyttäjän puolesta. Kehotteeseen piilotettu hyökkäys ei näytä perinteiseltä murrolta, joten hetki, jolloin yhtiö tulee tietoiseksi, voi olla tulkinnanvarainen. Siitä tulee todennäköisesti ensimmäinen kiistakysymys viranomaisen kanssa.

Tavalliselle käyttäjälle muutos näkyy hitaammin ja hyvänä. Viranomainen saa tiedon hyödynnetyistä aukoista aiemmin kuin ennen, ja säädös velvoittaa valmistajan kertomaan vakavista poikkeamista myös käyttäjilleen sekä siitä, mitä nämä voivat itse tehdä suojautuakseen.

Sanktioista kerrotaan vähän

Tähän kohtaan jää aukko. Traficomin tiedotteessa mainitaan hallinnolliset seuraamukset, mutta siinä ei kerrota euromääriä eikä sitä, miten myöhässä tullutta ilmoitusta arvioidaan. Seuraamusmaksujen enimmäismääristä säädetään EU-asetuksessa, mutta koska tiedote ei niitä toista, niitä ei tässä arvata.

Tiedotteessa ei myöskään ole yhtään nimeltä mainittua puhujaa, vain viraston mediapalvelun puhelinnumero. Kyberturvallisuuskeskus ei ole julkisuudessa kertonut, miten se aikoo suhtautua ensimmäisten viikkojen myöhästymisiin. Markkinavalvonta on keskitetty samalle Kyberturvallisuuskeskukselle, jolle ilmoitukset menevät.

Aikataulussa on yksi yksityiskohta, joka kannattaa panna merkille. Ilmoitusvelvollisuus alkaa 11. syyskuuta 2026, mutta itse tuotevaatimukset sitovat vasta 11. joulukuuta 2027. Reilun vuoden ajan yritysten on siis ilmoitettava viranomaiselle haavoittuvuuksista tuotteissa, joiden ei vielä tarvitse täyttää säädöksen vaatimuksia.

Ensimmäiset ilmoitukset kertovat, kuinka valmiita suomalaiset ohjelmistoyhtiöt ovat. Kello käy 11. syyskuuta alkaen riippumatta siitä, onko kukaan päivystämässä.