Kyberkypsyys junnaa – tuore selvitys varoittaa hitaasta teknologiasta

Huoltovarmuuskeskuksen (HVK) tuore selvitys toimialojen kyberkypsyydestä piirtää kuvan Suomesta, jossa teknologinen murros kiihtyy, mutta yritysten kyberturvallisuuden kehitys ei pysy mukana.

Selvityksen mukaan kansallinen kyberkypsyyden taso on noussut vuodesta 2022 vain maltillisesti. Samalla turvallisuusympäristö on muuttunut huomattavasti nopeammin kuin organisaatioiden kyky uudistua, investoida ja rakentaa järjestelmällistä kyberturvallisuuden hallintaa. Kyberkypsyyden keskiarvo yrityksissä on nyt 3,09 asteikolla 1–5, mikä ylittää niukasti kohtuullisena pidetyn tason, mutta jättää useita kriittisiä toimialoja sen alapuolelle.

Huoltovarmuuskeskuksen Digitaalinen turvallisuus 2030-ohjelman ohjelmajohtaja Juha Ilkka kiteyttää tilanteen poikkeuksellisen suorasanaisesti.

”Maailma muuttuu, eivätkä kehitystoimenpiteet suhteessa muuttuvaan turvallisuusympäristöön ole riittäviä. Jos kyberturvallisuuden kehitys ei ota harppauksia eteenpäin, selkeänä riskinä on, että liikumme oikeastaan vain taaksepäin”, sanoo  ohjelmajohtaja Juha Ilkka.

Ilkan arvio ei ole irrallinen huomio, vaan se nousee selvityksen laajasta aineistosta. Yritykset kamppailevat edelleen samojen ongelmien kanssa kuin kolme vuotta sitten: resurssien niukkuus, osaajapula ja kyberturvallisuuden hajanaiset käytännöt. Teknologinen murros – digitalisaation kiihtyminen, tekoälyn käyttöönotto ja globaalien kyberuhkien monimutkaistuminen – etenee nopeammin kuin yritysten kyky varautua.

Johdon sitoutuminen ratkaisee – erot toimialojen välillä kasvavat

Selvityksen mukaan merkittävin ero korkean ja matalan kyberkypsyyden yritysten välillä on johdon sitoutuneisuus. Yrityksissä, joissa kyberturvallisuus on integroitu osaksi strategista johtamista, on otettu käyttöön selkeitä hallintamalleja ja arvioitu niiden vaikuttavuutta. Matalamman kypsyyden yrityksissä kyberturvallisuus näyttäytyy edelleen tukitoimintona, ei liiketoiminnan ytimessä.

Tämä ero näkyy myös toimialakohtaisissa tuloksissa. Finanssi-, teleliikenne- ja ICT-alat ovat vertailun kärjessä – ne ovat perinteisesti vahvasti säänneltyjä ja tottuneet investoimaan turvallisuuteen. Sen sijaan elintarvikehuolto, satamat, telakat, operaattorit sekä liikenne ja logistiikka jäävät vertailun häntäpäähän. Näillä aloilla digitalisaation eteneminen on ollut hitaampaa, ja kyberturvallisuuden rakenteet ovat monin paikoin vasta kehittymässä.

Kyberkypsyyden hajonta on suurta lähes kaikilla toimialoilla. Tämä tarkoittaa, että samalla toimialalla voi olla sekä edelläkävijöitä että yrityksiä, joiden varautuminen on selvästi puutteellista. Huoltovarmuuden näkökulmasta tämä on merkittävä riski: yhteiskunnan kriittiset toiminnot ovat riippuvaisia koko verkoston toimivuudesta, ei vain yksittäisten yritysten.

NIS2-direktiivin vaikutukset eivät vielä näy – muutos on vasta alussa

Huhtikuussa 2025  EU:ssa voimaan tullut NIS2-direktiivi velvoittaa yrityksiä parantamaan kyberturvallisuuttaan ja raportointikäytäntöjään. Selvityksen mukaan direktiivin vaikutukset eivät kuitenkaan vielä näy yritysten kyberkypsyydessä. Tämä kertoo siitä, että muutos on vasta käynnistymässä – ja että monet yritykset ovat edelleen alkuvaiheessa direktiivin vaatimusten toimeenpanossa.

Direktiivin tavoitteena on vahvistaa koko EU:n kyberturvallisuuden tasoa. Sen toimeenpano edellyttää yrityksiltä investointeja, osaamisen vahvistamista ja johdon aktiivista roolia. Selvityksen perusteella nämä muutokset eivät ole vielä konkretisoituneet.

Kyberturvallisuus on osa huoltovarmuutta – mutta investoinnit laahaavat

Huoltovarmuuskeskus muistuttaa, että yritysten liiketoiminta nojaa nykyisin toimiviin tietoverkkoihin, järjestelmiin ja dataan. Kyberuhkiin varautuminen ei ole vain tekninen kysymys, vaan osa yhteiskunnan kriittisten toimintojen jatkuvuutta.

Selvityksen tilaajana toiminut Digipooli ja toteuttajana Accenture korostavat, että kyberturvallisuuden kehittäminen on välttämätöntä huoltovarmuuden näkökulmasta. Selvitys on rahoitettu HVK:n Digitaalinen turvallisuus 2030-ohjelmasta, jonka tavoitteena on vahvistaa Suomen kyberturvallisuuden rakenteita pitkällä aikavälillä.

---