Kriittisen infrastruktuurin turvallisuus Suomessa 2026

Kriittinen infrastruktuuri — sähkö, vesi, liikenne, tietoliikenne — muodostaa yhteiskunnan toiminnan perustan. Sen häiriintyminen tai tuhoaminen aiheuttaa ketjureaktioita kaikilla toimialoilla. Viime vuosina Euroopassa tapahtuneet merialueen kaapelivauriot, sabotaasiepäilyt ja energiajärjestelmien häiriöt ovat tuoneet kriittisen infrastruktuurin turvallisuuden aivan uudelle prioriteettitasolle.

Suomessa NIS2-direktiivin voimaantulo 2024 asetti merkittävät velvollisuudet kriittisille toimijoille. Tässä artikkelissa käymme läpi sekä lainsäädännölliset vaatimukset että käytännön turvallisuusjärjestelyt eri infrastruktuurisektoreilla.

NIS2-direktiivi: Keskeiset vaatimukset 2024–

Mitä toimijat velvoitetaan tekemään

NIS2 (Network and Information Security Directive 2) jakaa toimijat kahteen kategoriaan:

Keskeiset toimijat (essential entities):

• Energia (sähkö, kaasu, öljy, kaukolämpö)
• Liikenne (lentoliikenne, rautatiet, satamat, tieliikenne)
• Terveydenhuolto (sairaalat, laboratoriot, lääkevalmistajat)
• Vesi (vesihuolto, jätevesi)
• Digitaalinen infrastruktuuri (datakeskukset, pilvipalvelut, CDN)
• Julkishallinto (valtion ja kuntien keskeinen ICT)

Tärkeät toimijat (important entities):

• Posti- ja kuriirisektori
• Jätehuolto
• Kemianteollisuus
• Elintarvikesektori
• Valmistava teollisuus (kriittiset laitteet)
• Digitaaliset palvelut (kauppa-alustat, hakukoneet)

Velvoitteiden sisältö

Molemmat kategoriat edellyttävät:

1. Riskienhallintajärjestelmä: Fyysisen ja kyberturvallisuuden kattava riskiarvio, säännöllinen päivitys
2. Poikkeamailmoitukset: 24h ennakkoilmoitus + 72h täysraportti Traficomille merkittävistä poikkeamista
3. Toimitusketjun turvallisuus: Alihankkijoiden kyber- ja turvallisuusarviointi
4. Jatkuvuussuunnitelmat: Liiketoiminnan jatkuvuus, varautumissuunnitelma, harjoitukset
5. Fyysinen käyttöturvallisuus: Tilojen pääsynhallinta, laitteiden suojaus
6. Johtoryhmävastuu: Johdon on osoitettava turvallisuuden priorisointi (koulutus, raportointi)

Energiasektori: Sähköasemat ja voimalaitokset

Uhkakuva energiasektorille

Suomessa on noin 500 sähköasemaa (110–400 kV tasolla) ja tuhansia pienasemia. Myrsky voi kaataa mastoja, sabotaasi voi kohdistua kriittisiin solmukohtiin.

Fyysisiä uhkia:

• Vandalismi ja varkaus (metallivarkaudet)
• Terrorismi ja sabotaasi (kasvava uhkataso)
• Myrsky, tulva, jäätyminen
• Sisäinen uhka (oma henkilöstö tai urakoitsijat)

Sähköaseman turvallisuusjärjestelmä

Kehäsuojaus:

• Korkea metalliverkkoaita (min. 2,5 m) tai betonimuuri
• Piikkilanka tai sähköinen aitajärjestelmä (vaadittaessa)
• Portit: lukittu, videoportti tai turvakamera + kaiutin

Kulunvalvonta:

• Urakoitsijarekisteröinti: kaikki käynnit kirjataan
• RFID/smartcard-kulunvalvonta porteille ja holveihin
• Biometriikka kriittisimpiin kohteisiin (esim. lajitteluasema)

Kameravalvonta:

• IP-kamerat kaikkiin portteihin, tiloihin ja laitteisiin
• Lämpökamerat perimeteriin — toimivat pimeässä ja huonossa säässä
• PTZ-kamera: automaattinen seuranta hälytyksen yhteydessä
• 90 päivän tallennus vähintään

Hälytysjärjestelmä:

• Murtoilmaisinjärjestelmä (liiketunnistimet, oven/portin kontaktit)
• Kaapelille asennettu tärinäilmaisin (kaapelien tai laitteiden käsittely)
• Hälytyskeskus: 24/7 valvottu, yhteydessä poliisin hälytyskeskukseen (PÄIKE)

Miehitetty vartiointi vs. tekninen valvonta

Suurissa voimalaitoksissa (ydinvoima, vedenvoimala) on tyypillisesti miehitetty vartiointi:

• Ympärivuorokautinen vahtimies/turvallisuusvastaava paikan päällä
• Sisäänkäyntirekisteröinti kaikille vierailijoille
• Aseistettu vartija ydinvoimaloissa (erityislupavaatimus)

Pienissä sähköasemissa riittää usein tekninen valvonta + partiokäynti.

Vesihuolto: Vesilaitoksen ja viemäriverkon turvallisuus

Vesilaitosten erityiset uhkat

Vesihuolto on erityisen haavoittuvainen, koska:

• Saastutus voi vaikuttaa tuhansiin käyttäjiin nopeasti
• Pumppu- ja säiliörakenteet ovat usein hajallaan, vaikeasti valvottavissa
• Digitaalisaatio (automaatiojärjestelmät) on avannut kyberuhkia

Dokumentoituja uhkia:

• Floridan vesijohdon hapon lisäys -hyökkäysyritys (2021, SCADA-hakerointi)
• Ukrainan vesihuollon häirintä osana laajempaa hyökkäyskokonaisuutta
• Metallivarkaudet vesitornien lähellä

Vesilaitoksen turvallisuusjärjestelmä

Pumppaamojen ja säiliöiden suojaus:

• Lukittu metalliovi tai -portti
• Kameravalvonta (IP-kamera, tallennus pilvipalveluun tai NVR:ään)
• Hälytysjärjestelmä: hälytys luvattomasta sisääntulosta
• Ympäristöhälytin: vuoto, lämpöpoikkeama, kemikaalipitoisuus (jos kemikaaliasema)

Vedenottamoiden suojaus:

• Aidat ja portit
• Valaistusjärjestelmä havaitsemishälytyksen yhteydessä
• Havaintoasemien CCTV (veden laadun mittausasemilla)

SCADA/OT-järjestelmien fyysinen suojaus:

• Prosessien ohjausjärjestelmät lukituissa kaapeissa
• Kulunvalvonta palvelinhuoneisiin (vain autorisoidut teknikot)
• Eristys IT-verkosta (air-gap tai tiukka segmentointi)

Tietoliikenne: Datakeskukset, kaapelireitit ja PIX-solmut

Digitaalisen infrastruktuurin fyysinen uhka

Tietoliikenneinfrastruktuuri on yhä tärkeämpi kriittinen kohde:

• Merikaapelit: Itämeren kaapelikatkoilua on ollut (Baltia 2023–2024)
• Tukiasemat: 5G-tornien vandalismi on yleistynyt Euroopassa (salaliittoteoriat)
• Datakeskukset: suuri arvo ja kriittinen rooli tietopalveluille
• Internet Exchange (PIX) -solmut: kriittisiä Suomen tietoliikenteelle

Tietoliikenneinfrastruktuurin turvallisuus

Merikaapelit ja maakaapelit:

• Kaapelireitit ovat julkisia tietoja (IMO), mutta suojaaminen on haastavaa
• Merellä: ankkurisuoja-alueet, partiovalvonta kriittisillä reittikohdilla
• Maalla: kaapeliojien merkintä, ylittämistilanteiden kirjaus

Tukiasemat (5G/4G):

• Lukittu kaappi masto-alustalla
• Kameravalvonta kohteeseen (verkkoyhteys takasin)
• Töhrysuoja, vandalismin ehkäisy (pinnoite, metallinen kaappiratkaisu)

Datakeskukset: Erillinen artikkeli: konesalin fyysinen turvallisuus (ks. myös tietopankki).

Viranomaisten rooli ja viranomaisyhteistyö

Keskeiset viranomaiset kriittisessä infrastruktuurissa

KRIVAT ja TURPO

• KRIVAT (Kriittisen infrastruktuurin valmiustoimikunta) koordinoi toimijoiden välistä yhteistyötä
• TURPO (Turvallisuuskomitea) on valtioneuvoston kanslian alaisuudessa toimiva korkean tason yhteensovittamiselin

Kriittisille toimijoille on suositeltavaa ottaa yhteys Suojelupoliisiin turvallisuuden arvioimiseksi ja mahdollisten uhkien tunnistamiseksi.

Turvallisuussuunnittelun prosessi kriittisessä infrastruktuurissa

Kriittisen infrastruktuurin turvallisuussuunnittelun vaiheet:

1. Kohteen kriittisyysanalyysi — Mikä on kohteen rooli, vaikutus häiriötilanteessa?
2. Uhkamallinnus — Millaisia uhkia (sää, tekniikka, ihminen, kiber) kohde kohtaa?
3. Haavoittuvuusarviointi — Nykyiset suojaustoimenpiteet vs. uhkataso
4. Turvallisuusvyöhykkeiden suunnittelu — Sisemmät ja ulommat kehät
5. Tekninen toteutus — Aita, kamera, kulunvalvonta, hälytysjärjestelmä
6. Vastesuunnitelma — Miten reagoidaan poikkeamaan? Kuka soittaa kenelle?
7. Harjoittelu — Testataan vastesuunnitelma käytännössä
8. Auditointi ja ylläpito — Säännöllinen tarkastus, päivitykset

NIS2-vaatimukset käytännössä: Toimintasuunnitelma

Jos organisaatiosi kuuluu NIS2:n piiriin ja ei vielä täytä vaatimuksia, tässä priorisoitu toimintasuunnitelma:

Välittömästi:

• Selvitä, kuuluuko yrityksesi keskeisiin vai tärkeisiin toimijoihin
• Rekisteröidy Traficomin NIS2-rekisteriin (velvoite)
• Nimitä turvallisuusvastaava (CISO tai vastaava) johtoryhmätasolla

3–6 kuukaudessa:

• Tee kattava riskiarviointi (kyber + fyysinen)
• Dokumentoi olemassa olevat turvallisuustoimet
• Tunnista puutteet vaatimuksiin nähden

6–12 kuukaudessa:

• Täydennä fyysinen turvallisuus (kulunvalvonta, kamera, hälytysjärjestelmä)
• Ota käyttöön poikkeamailmoitusprosessi
• Kouluta henkilöstö
• Auditoita toimitusketju

Vuosittain:

• Tee turvallisuusharjoitus (tabletop tai live)
• Ulkopuolinen auditointi
• Päivitä riskiarviointi ja turvallisuussuunnitelma

Security.fi tarjoaa NIS2-yhteensopivuuden arviointia ja kriittisen infrastruktuurin turvallisuussuunnittelua. Ota yhteyttä asiantuntijoihimme.