Tietoturvan sääntely lisääntyy ja useampi valvontaviranomainen on kiinnostunut sen noudattamisen valvonnasta – kehityskulku, joka voi johtaa päällekkäisiin seuraamuksiin.
Tietoturvallisuuden sääntely on viime vuosina moninkertaistunut. Erityisen selvästi tietoturvavelvoitteiden moninaisuus näkyy finanssisektorilla, jota säännellään samanaikaisesti monien eri lakien, asetusten ja muiden säädösten nojalla. Sääntelyn lisääntyminen on johtanut myös päällekkäisyyksiin.
Päällekkäiset vaatimukset aiheuttavat tulkintaongelmia etenkin silloin, kun useammalla viranomaisella on rinnakkainen toimivalta ja sanktiointivalta samasta tapahtumasta. Tällaiset tilanteet voivat pahimmillaan johtaa moninkertaisiin rangaistuksiin samasta tosiasiallisesta menettelystä tai laiminlyönnistä.
Kokonaisvaltainen compliance ja dokumentaatio
Moninkertainen sääntely on johtanut yhä useammin tilanteisiin, joissa enemmän kuin yksi viranomainen tarkastelee samaa tapahtumasarjaa eri lainsäädännön näkökulmasta.
Myös yritysten täytyy pystyä samanaikaisesti sekä vastaamaan kunkin yksittäisen säännöksen vaatimuksiin että varmistamaan, että niistä muodostuva kokonaiskuva on yhtenäinen. Compliance-narratiivi ei voi olla ristiriitainen vain siksi, että sitä on rakennettu eri sääntelyn perusteella tai eri vastuuyksiköiden voimin. Tämän seurauksena synergioiden hyödyntämisen merkitys esimerkiksi riskiarvioiden laatimisessa on kasvanut.
Huolellisesti toteutettuna erilaisia riskejä voidaan arvioida keskitetyn riskiarvioinnin avulla, mutta arvioista tehtävät johtopäätökset sääntelyvaatimusten täyttymisestä on tehtävä huolellisesti kunkin säännöstön osalta erikseen. Keskitetty riskiarviointi voi helpottaa kokonaisuuden hallintaa, vähentää sisäisiä ristiriitaisuuksia ja osoittaa viranomaisille, että vaatimuksia on lähestytty järjestelmällisesti ja kattavasti. Arviointien jäljitettävyys on kuitenkin tärkeää. Esimerkiksi ohjelmistokehityksessä laadittavissa riskiarvioinneissa on olennaista kirjata selkeästi, mitä sääntelyn vaatimuksia kukin riski heijastaa ja minkä säädöksen nojalla sitä on arvioitu.
Kaksoisrangaistavuuden kielto koetuksella
Sääntelyn lisääntyminen on myös herättänyt kysymyksen, voiko samasta laiminlyönnistä napsahtaa moninkertaiset sanktiot? Eli juridisemmin ilmaistuna: estääkö ne bis in idem -kielto – eli kielto rangaista samasta teosta kahdesti – valvontaviranomaisia määräämästä sanktion esimerkiksi samankaltaisen tietoturvavelvoitteen rikkomisesta?
EU-tuomioistuimen oikeuskäytännön perusteella poikkeaminen ne bis in idem -kiellosta edellyttää muun muassa, että kyseessä on kaksi eri säännöstöä, joilla tavoitellaan toisistaan poikkeavia oikeutettuja päämääriä. Viranomaiset näyttäisivät kuitenkin tulkinnassaan painottavan säädöksen, ei tietyn pykälän tai artiklan, tarkoitusta. Asiaa voidaan havainnollistaa esimerkiksi DORA-asetuksen ja NIS2-direktiivin näkökulmasta: molemmat asettavat finanssisektorille tietoturvavaatimuksia, mutta kokonaisina säädöksinä (eli lakeina/asetuksina) niiden tarkoitukset eivät ole täysin yksi-yhteen. Mikäli viranomainen noudattaisi edellä kuvatun kaltaista tiukkaa tulkintatapaa, saattaisi se katsoa rinnakkaiset sanktiot mahdolliseksi samasta tosiasiallisesta tietoturvalaiminlyönnistä.
Juristin rooli tietoturvatyössä kasvaa
Viranomaisten ja tuomioistuinten tulkinnat tietoturvavaatimuksista heijastuvat väistämättä siihen, miten tietoturva käytännössä tulee järjestää. Sen myötä tietoturva ei enää ole yksinomaan tekninen kysymys, vaan tietoturvasääntelyn lisääntyminen edellyttää, että juristit osallistuvat aiempaa tiiviimmin vuoropuheluun teknisten asiantuntijoiden kanssa.
Nyt on hyvä hetki tarkastella, onko oman organisaation compliance-rakenne valmis vastaamaan päällekkäisen sääntelyn haasteisiin.
Järjestämme 10.11.2026 aamiaistilaisuuden aiheesta ”Kuinka välttää riidat ja riidellä oikein”.
Osakkaamme Iiris Kivikari ja Toni Kalliokoski kertovat, miten riitoja voi ennaltaehkäistä ja miten syntyneet riidat voi hoitaa mahdollisimman tuloksellisesti ja vahingot minimoiden. Molemmat ovat perehtyneet erityisesti myös finanssialan viranomaisprosesseihin ja oikeudenkäynteihin.
Lue lisää tilaisuudesta täältä.
