Varautumissuunnitelma yrittäjälle 2026
Yrittäjäopas käy läpi, miten pienyrittäjä laatii varautumissuunnitelman ilman turhaa byrokratiaa. Varautumissuunnitelma on lyhyt dokumentti, joka kertoo, miten yritys toimii sähkökatkossa, tietomurrossa tai avainhenkilön sairastuessa. NIS2-direktiivi puhuttaa nyt paljon, mutta useimpia mikroyrittäjiä se ei velvoita.
Mitä varautumissuunnitelma on
Varautumissuunnitelma on yrityksen oma kirjallinen ohje siitä, mitä tehdään, kun normaali toiminta häiriintyy. Dokumentti vastaa kolmeen kysymykseen: mikä voi mennä pieleen, kuinka paha vaikutus olisi liiketoiminnalle ja miten tilanteesta palaudutaan.
Pienelle yritykselle riittää usein 1–3 sivua. Olennaista on, että suunnitelma on ajan tasalla ja yrittäjä itse tuntee sen sisällön. Liian pitkä dokumentti jää helposti kaapin pohjalle päivittämättä.
Varautumissuunnitelma ei ole sama asia kuin riskianalyysi tai tietoturvapolitiikka. Riskianalyysi listaa uhat, tietoturvapolitiikka määrittelee säännöt ja varautumissuunnitelma kertoo toimintatavan häiriön sattuessa.
NIS2 ja mikroyrittäjä — koskeeko sinua?
NIS2-direktiivi (Network and Information Security 2) tuli Suomessa voimaan kyberturvallisuuslaina huhtikuussa 2025. Direktiivi tiukentaa kriittisten toimialojen kyberturvavaatimuksia ja velvoittaa raportoimaan poikkeamat Traficomin Kyberturvallisuuskeskukselle.
Pakottava soveltamisala alkaa keskisuurista yrityksistä: vähintään 50 työntekijää ja yli 10 miljoonan euron liikevaihto tai tase, ja toiminta kriittisellä sektorilla (energia, liikenne, terveydenhuolto, digitaalinen infrastruktuuri, julkishallinto, postipalvelut ja eräät muut). Useimmat suomalaiset toiminimet ja pienet Oy:t jäävät tämän rajan alle.
Käytännössä NIS2 voi silti vaikuttaa mikroyrittäjään välillisesti. Jos olet alihankkijana NIS2-velvoitetulle asiakkaalle, asiakas saattaa edellyttää sopimuksessa tietoturvavaatimuksia, kuten dokumentoitua varautumissuunnitelmaa, kahden tekijän tunnistautumista ja poikkeamailmoitusprosessia.
Vakuutusyhtiöt ovat alkaneet kysyä varautumissuunnitelmaa myös pienyrityksiltä kybervakuutuksen ehtona. Tämä on käytännön syy laatia suunnitelma, vaikka laki ei suoraan vaatisi.
Käytännön muistilista — 6 kohtaa
- Tärkeimmät järjestelmät ja palvelut. Listaa pankki, kirjanpito, laskutus, sähköposti, verkkosivut ja toimialakohtaiset työkalut.
- Varmuuskopioinnin tila. Mistä järjestelmistä on automaattinen varmuuskopio, mihin ja kuinka usein. Testaa palautus vähintään kerran vuodessa.
- Avainhenkilöt ja sijaiset. Kuka osaa kirjanpidon, kuka asiakasviestinnän, kuka tekniikan. Pienyrittäjällä sijainen voi olla tilitoimisto, virtuaaliassistentti tai luotettava kollega.
- Yhteystiedot häiriötilanteessa. Tilitoimisto, IT-tuki, vakuutusyhtiö, pankin yritysasiakaspalvelu, Traficomin Kyberturvallisuuskeskus (poikkeamailmoitus).
- Salasanat ja pääsynhallinta. Käytä salasanahallintaa ja kaksivaiheista tunnistautumista. Kirjaa, miten sijainen pääsee tarvittaessa käsiksi kriittisiin tileihin.
- Vuositarkistus. Merkitse kalenteriin yksi päivä vuodessa, jolloin suunnitelma päivitetään.
Esimerkki: 1-hengen toiminimi vs. 5-hengen Oy
Toiminimi, konsultti
Yhden hengen konsulttitoiminimellä varautumissuunnitelma on yhden A4:n muistilista: pilvipohjainen kirjanpito (automaattinen varmuuskopio), sähköposti Google Workspacessa, kannettavan tietokoneen levyn salaus, salasanahallinta ja tilitoimiston yhteystiedot. Sairastumistilanteessa asiakkaille ilmoitetaan viiveestä, ei luvata sijaista.
Oy, 5 työntekijää, verkkokauppa
Pienen verkkokauppa-Oy:n dokumentti on tyypillisesti 3–5 sivua: verkkokauppa-alustan SLA, maksuvälittäjän varajärjestely, varastonhallinnan varmuuskopio, asiakasviestintämallit häiriöön, RTO 4 tuntia ja RPO 24 tuntia. Lisäksi kuvataan, kuka tekee mitäkin, jos toimitusjohtaja on estynyt.
Lähteet ja lisätieto
- →
- →
- →
Usein kysytyt
Usein kysytyt kysymykset
Onko varautumissuunnitelma pakollinen yrittäjälle?
Useimmille mikroyrittäjille se ei ole lakisääteisesti pakollinen. NIS2-direktiivi velvoittaa keskisuuria ja suuria toimijoita kriittisillä toimialoilla (vähintään 50 työntekijää ja yli 10 M€ liikevaihto tai tase). Pienemmilläkin yrityksillä voi olla toimialakohtaisia vaatimuksia (esim. terveydenhuolto, elintarvikevalvonta), joten oman alan ohjeet kannattaa tarkistaa.
Mitä varautumissuunnitelman pitää sisältää?
Minimissään: tärkeimmät riskit (sähkökatko, tietomurto, avainhenkilön sairastuminen, toimittajan kaatuminen), niiden vaikutus liiketoimintaan, varatoimet ja yhteystiedot. Pieni Oy hyötyy lisäksi palautumisaikatavoitteista (RTO/RPO), varmuuskopiointimenettelystä ja viestintäohjeesta asiakkaille.
Koskeeko NIS2 yhden hengen toiminimeä?
Lähtökohtaisesti ei. NIS2-direktiivin pakottava soveltamisala alkaa keskisuurista yrityksistä eli vähintään 50 työntekijän ja yli 10 M€ liikevaihdon (tai taseen) toimijoista kriittisillä sektoreilla. Yhden hengen toiminimi voi silti joutua noudattamaan NIS2-tasoisia vaatimuksia välillisesti, jos se on alihankkijana NIS2-velvoitetulle asiakkaalle.
Kuinka usein suunnitelma pitäisi päivittää?
Vähintään kerran vuodessa ja aina kun toiminta muuttuu olennaisesti: uusi järjestelmä, uusi avainhenkilö tai uusi toimittajariippuvuus. Päivityspäivä kannattaa kirjata dokumenttiin.
Mistä saa apua varautumissuunnitelman tekoon?
Huoltovarmuuskeskus tarjoaa maksuttoman SHVK-aineiston (suomalaisten yritysten huoltovarmuuden kehittäminen). Traficomin Kyberturvallisuuskeskus julkaisee tietoturvaohjeita pk-yrityksille. Uusyrityskeskukset auttavat alkavia yrittäjiä.
Mikä on RTO ja RPO?
RTO (Recovery Time Objective) tarkoittaa aikaa, jonka kuluessa toiminta on palautettava häiriön jälkeen. RPO (Recovery Point Objective) kertoo, kuinka paljon dataa voidaan hyväksyttävästi menettää, eli kuinka tiheästi varmuuskopiointi pitää tehdä. Pienyritykselle tyypillinen RTO on tunnit ja RPO 24 h.