Jos asut EU:ssa, kolme lakia määrittää, kuinka nopeasti yrityksen on myönnettävä joutuneensa hakkeroiduksi. Vuoden 2026 vertailu NIS2-, DORA- ja GDPR-säännöksistä tarkastelee soveltamisalaa, 24 ja 72 tunnin määräaikoja tietomurtojen ilmoittamiselle, sakkoja 10–20 miljoonan euron haarukassa sekä sitä, mitkä jäsenvaltiot olivat toimineet marraskuuhun 2026 mennessä. Tämä kirjoitus kääntää asian selkokielelle. NIS2 DORA GDPR -tietomurtojen ilmoittaminen lyhyesti: määräajat ovat tiukat, seuraamukset suuret, eivätkä säännöt päde samalla tavalla joka maassa.

Mitä NIS2-, DORA- ja GDPR-tietomurtojen ilmoitusmääräajat todella tarkoittavat

Vertailussa erottuvat kaksi lukua: 24 tuntia ja 72 tuntia. Ne ovat määräaikoja, jotka alkavat kulua, kun organisaatio tulee tietoiseksi vakavasta tietoturvaloukkauksesta. Ne eivät ole lupauksia siitä, että sinulle kerrottaisiin vuorokauden tai kolmen kuluessa.

Käytännössä nämä määräajat koskevat pääasiassa sitä, että yritys ilmoittaa asiasta valvontaviranomaiselle. Varhainen ilmoitus antaa viranomaisille mahdollisuuden nähdä, kohdistuuko hyökkäys useisiin organisaatioihin samanaikaisesti. Lyhyempi ensimmäinen määräaika (24 tuntia) tarkoittaa yleensä varhaista ennakkovaroitusta, kun taas pidempi (72 tuntia) jättää aikaa täydellisemmän kuvan muodostamiseen tapahtuneesta. Lähdevertailu ei erittele kaikkia yksityiskohtia siitä, miten kukin laki määrittää määräaikansa, joten tarkista kunkin asetuksen virallinen teksti tai kansallisen viranomaisen ohjeet tarkkojen sanamuotojen osalta.

Kolme lakia kattavat myös eri alueita:

  • GDPR koskee henkilötietoja, ja sitä sovelletaan organisaatioihin, jotka käsittelevät EU:ssa olevien henkilöiden tietoja.
  • NIS2 koskee verkko- ja tietojärjestelmien turvallisuutta yhteiskunnan kannalta tärkeinä pidetyillä sektoreilla.
  • DORA koskee digitaalista operatiivista häiriönsietokykyä rahoitusalalla.

Tämän päällekkäisyyden vuoksi yksi tapahtuma voi laukaista useamman kuin yhden lain samanaikaisesti. Rahoitusyritykseen kohdistuva kyberhyökkäys, joka paljastaa asiakastietoja, voi herättää kysymyksiä kaikkien kolmen lain nojalla.

Milloin yrityksen on kerrottava tietomurrosta: mitä tämä tarkoittaa sinulle

Tässä odotuksia on syytä säätää. 24 tai 72 tunnin määräaika ei tarkoita, että sähköpostilaatikkosi täyttyisi seuraavana päivänä. Ensimmäinen ilmoitus menee yleensä viranomaisille, ja asianomaisten henkilöiden tiedottaminen on erillinen vaihe, jolla on omat edellytyksensä. Nämä edellytykset riippuvat kyseessä olevasta laista ja siitä, kuinka vakava riski sinulle aiheutuu.

Mitä kehyksestä voi kohtuudella päätellä:

  • Viranomaiset kuulevat ensin. Oleta, että virallinen määräaika koskee ilmoitusta viranomaiselle, ei julkista tiedonantoa.
  • Varhaiset ilmoitukset voivat olla puutteellisia. Lyhyt ensimmäinen ilmoitus voi jättää pois syyn, laajuuden tai sen, olivatko tietosi mukana.
  • Oikeutesi tulevat pääasiassa GDPR:stä. Se on henkilötietoihin keskittyvä laki, joten siihen kannattaa tutustua, kun haluat tietää, mitä sinulla on oikeus kuulla.
  • Sektorilla on merkitystä. Jos pankkiisi, maksupalveluntarjoajaasi tai välttämättömään palveluun kohdistuu hyökkäys, NIS2- tai DORA-velvoitteet voivat päteä GDPR:n lisäksi.

Mikään tästä ei korvaa omaa varovaisuuttasi. Hyvin hoidettukaan ilmoitusjärjestelmä jättää välin tapahtuman ja ilmoituksesi välille, joten heti kun kuulet tietomurrosta, kannattaa vaihtaa salasanat, ottaa monivaiheinen tunnistautuminen käyttöön ja seurata tilejäsi poikkeavan toiminnan varalta.

Miten NIS2-, DORA- ja GDPR-sakot vertautuvat

Vertailu kehystää seuraamukset 10–20 miljoonan euron haarukaksi. Tämä vaihteluväli osoittaa, kuinka vakavasti lainsäätäjät suhtautuvat laiminlyötyihin määräaikoihin ja heikkoon turvallisuuteen. Ilmoituksen myöhästyminen on itsessään vaatimustenmukaisuuden laiminlyönti, erillään itse tietomurrosta.

Yksi tarkkuutta koskeva varauma. Lähdeyhteenveto antaa kokonaishaarukan mutta ei rivi riviltä -erittelyä siitä, mikä laki asettaa minkäkin luvun. Emme arvaa lakikohtaisia summia, koska seuraamusrakenteet voivat sisältää erilaisia enimmäismääriä, liikevaihtoprosentteja ja kansallisia täytäntöönpanovalintoja. Erityisesti DORAn osalta yksityiskohdat voivat riippua siitä, miten kukin jäsenvaltio asettaa seuraamuksensa. Jos tarvitset tarkat luvut tietyn lain osalta, lue itse asetus tai kansallisen viranomaisen ohjeet.

Se, mitä haarukka kertoo, on että viranomaisilla on todellista vaikutusvaltaa. Yrityksille, joiden on täytettävä useita päällekkäisiä velvoitteita, huonosti hoidettu tapahtuma voi aiheuttaa useamman kuin yhden vaatimustenmukaisuusongelman kerralla.

Miten tarkistaa, onko EU-maasi saattanut NIS2:n ja DORAn osaksi kansallista lainsäädäntöä

Vertailu seuraa myös sitä, mitkä EU-valtiot olivat toimineet marraskuuhun 2026 mennessä, mikä muistuttaa siitä, että EU-säännöt eivät aina tule voimaan kaikkialla samanaikaisesti. NIS2 on direktiivi, joten jokaisen jäsenvaltion on saatettava se osaksi kansallista lainsäädäntöä, ja edistyminen voi vaihdella maittain. Käytännön tapoja tarkistaa, missä vaiheessa oma maasi on:

  1. Hae kansallisen hallituksesi kyberturvallisuusviranomainen. Se julkaisee yleensä kansallisen NIS2-lainsäädännön tilan ja luettelee, keiden on rekisteröidyttävä tai ilmoitettava.
  2. Katso rahoitusvalvojaasi. DORAn osalta kansallinen finanssivalvontaviranomainen on paras lähde siihen, miten säännöt koskevat pankkeja, vakuutusyhtiöitä ja maksuyrityksiä.
  3. Tarkista tietosuojaviranomaisesi. GDPR:n osalta se selittää, miten valituksen voi tehdä ja mitä ilmoitusoikeuksia sinulla on.
  4. Lue EU:n viralliset tekstit. Asetukset ja direktiivit itse ovat lopullinen sana määräaikojen ja soveltamisalan osalta.

Jos maasi on ollut hidas, se ei poista GDPR:ää. Se on ollut voimassa kaikkialla EU:ssa vuosia, ja se on edelleen suorin työkalusi, kun henkilötietoja paljastuu.

Keskeiset huomiot

NIS2 DORA GDPR -tietomurtojen ilmoittamisen ymmärtäminen tiivistyy muutamaan seikkaan: 24 ja 72 tunnin määräajat säätelevät pääasiassa ilmoituksia viranomaisille, sakot ovat merkittäviä ja kansallinen täytäntöönpano vaihtelee. Käytä tällä viikolla muutama minuutti oman maasi NIS2- ja DORA-tilanteen tarkistamiseen ja käy läpi GDPR-oikeutesi tulla tiedotetuksi ja tehdä valitus tietosuojaviranomaisellesi.

Jos haluat nähdä, miten EU:n ulkopuolinen järjestelmä käsittelee samankaltaisia kysymyksiä, lue kattavuutemme UK:n kyberturvallisuuden resilienssilakiesityksestä, joka tuo kriittisen infrastruktuurin osaksi muodollista kansallista kehystä ja käsittelee omia tapahtumailmoitusvelvoitteitaan. Sen vertaaminen EU:n lähestymistapaan osoittaa, miten eri hallitukset lähentyvät kohti nopeampaa ja rakenteellisempaa tietomurtojen paljastamista.