Tietosuoja ja kyberturvallisuus ERP-hankinnassa: käsittelysopimus, GDPR ja NIS2

ERP-järjestelmä sisältää lähes aina henkilötietoja: työntekijöiden palkka- ja poissaolotiedot, asiakkaiden yhteyshenkilöt ja toiminimiyrittäjien tiedot. Kun järjestelmä hankitaan pilvipalveluna, yritys on rekisterinpitäjä ja ERP-toimittaja henkilötietojen käsittelijä, ja EU:n tietosuoja-asetuksen (GDPR) 28 artikla edellyttää niiden välille kirjallista henkilötietojen käsittelysopimusta. Lisäksi 8.4.2025 voimaan tullut kyberturvallisuuslaki (124/2025), jolla Suomi pani täytäntöön EU:n NIS2-direktiivin, velvoittaa tiettyjen alojen keskisuuret ja suuret toimijat hallitsemaan kyberriskejä myös toimitusketjussaan, mikä näkyy ERP-sopimuksen vaatimuksina. Tässä oppaassa käydään läpi, mitä hankinnassa pitää tarkistaa ja mitä se maksaa. Opas kuuluu kokonaisuuteen ERP-järjestelmän hinta.

Rekisterinpitäjä ja käsittelijä

Rekisterinpitäjä päättää, miksi ja miten henkilötietoja käsitellään. Käsittelijä käsittelee tietoja rekisterinpitäjän lukuun. ERP-hankinnassa:

• Yritys on rekisterinpitäjä työntekijöiden, asiakkaiden ja toimittajien tiedoille.
• Pilvi-ERP:n toimittaja on käsittelijä, ja sillä on usein omia alikäsittelijöitä (konesalit, tukipalvelut).
• Käyttöönottokumppani voi olla käsittelijä, jos se käsittelee tuotantodataa esimerkiksi tiedonsiirrossa.

Vastuu henkilötietojen lainmukaisesta käsittelystä säilyy yrityksellä, vaikka tekninen toteutus on ulkoistettu.

Mitä käsittelysopimukseen kuuluu

GDPR:n 28 artiklan mukaan käsittelysopimuksessa on määriteltävä muun muassa käsittelyn kohde ja kesto, luonne ja tarkoitus, henkilötietotyypit ja rekisteröityjen ryhmät sekä rekisterinpitäjän velvollisuudet ja oikeudet. Käytännön tarkistuslista:

Tietoturvaloukkauksesta, josta aiheutuu riski henkilöiden oikeuksille, rekisterinpitäjän on ilmoitettava valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa. Suomessa valvontaviranomainen on tietosuojavaltuutettu. Siksi toimittajan ilmoitusajan on oltava selvästi tätä lyhyempi.

Kyberturvallisuuslaki 124/2025 ja NIS2

Kyberturvallisuuslaki tuli voimaan 8.4.2025. Se koskee laissa lueteltujen alojen toimijoita, jotka ovat vähintään keskisuuria yrityksiä EU:n pk-yritysmääritelmän mukaan, sekä eräitä toimijoita koosta riippumatta. Aloja ovat esimerkiksi energia, liikenne, terveydenhuolto, vesihuolto, digitaalinen infrastruktuuri, osa valmistavasta teollisuudesta, elintarvikkeet ja jätehuolto. Tarkka soveltamisala on laissa ja valvovien viranomaisten ohjeissa.

Lain piiriin kuuluvan toimijan on muun muassa:

• hallittava kyberturvallisuusriskejä, myös toimitusketjun riskejä
• ilmoitettava merkittävistä poikkeamista: ensi-ilmoitus 24 tunnin ja jatkoilmoitus 72 tunnin kuluessa havaitsemisesta
• huolehdittava johdon vastuusta ja koulutuksesta.

Liikenne- ja viestintäviraston Kyberturvallisuuskeskus toimii keskitettynä yhteyspisteenä ja CSIRT-yksikkönä. Valvovat viranomaiset vaihtelevat toimialoittain.

Mitä tämä tarkoittaa ERP-hankinnalle

Vaikka oma yrityksesi olisi pieni eikä kuuluisi lain piiriin, asiakkaasi voi kuulua, ja se voi vaatia toimittajiltaan tietoturvatoimia. Jos ERP on liiketoiminnan kannalta kriittinen järjestelmä, lain piirissä olevan yrityksen kannattaa vaatia sopimukseen:

• poikkeamista ilmoittaminen niin nopeasti, että 24 tunnin ensi-ilmoitus on mahdollinen
• tietoturvasertifioinnit tai -auditoinnit ja niiden raportit
• haavoittuvuuksien hallinta ja päivitysten aikataulu
• varmuuskopioinnin ja palautuksen testaus
• toimitusketjun alihankkijoiden tietoturvavaatimukset.

Mitä tietoturva maksaa

Tietoturvavaatimukset vaikuttavat hintaan kahdella tavalla. Ensinnäkin laajempi tietoturvataso (esimerkiksi kertakirjautuminen, monivaiheinen tunnistautuminen kaikille, lokien pitkä säilytys, erillinen testiympäristö) voi olla vain kalliimmassa paketissa. Toiseksi oma työ: riskiarvio, sopimusneuvottelu ja käyttöoikeuksien hallinta.

Havainnollinen esimerkki: jos kertakirjautuminen on saatavana vain ylemmässä paketissa, joka maksaa 20 €/käyttäjä/kk enemmän, 25 käyttäjän yrityksessä lisäkustannus on 25 × 20 × 12 = 6 000 € vuodessa. Vertaa sitä riskiin ja vaihtoehtoisiin ratkaisuihin. Laske vaikutus TCO-arviolaskurilla.

Palkkatiedot ja vaikutustenarviointi

Palkka- ja henkilöstötiedot ovat ERP:n arkaluonteisinta dataa: henkilötunnukset, tilinumerot, palkat, poissaolot ja joissakin tapauksissa terveydentilaan liittyvät poissaolotiedot. Jos käsittely on laajaa tai siihen liittyy erityinen riski, GDPR voi edellyttää tietosuojaa koskevaa vaikutustenarviointia ennen käyttöönottoa. Arvio on rekisterinpitäjän tehtävä, mutta toimittajalta tarvitaan siihen tietoja tietoturvasta ja käsittelyn toteutuksesta.

Käytännön kysymyksiä palkkamoduulin tai palkkaintegraation hankinnassa:

• Kuka toimittajan henkilöstöstä pääsee palkkatietoihin tukitilanteessa, ja kirjautuvatko käynnit lokiin?
• Onko testiympäristössä käytössä oikeita palkkatietoja, vai anonymisoidaanko ne?
• Miten palkkalaskelmat toimitetaan työntekijöille (verkkopalvelu, sähköposti, verkkopankki)?
• Kauanko palkkatietoja säilytetään, ja miten säilytysajat määritellään eri tietolajeille?

Henkilöstötietojen säilytysajat määräytyvät useasta laista, ei pelkästään kirjanpitolaista. Kysy tilitoimistolta tai palkkahallinnon asiantuntijalta, mitkä säilytysajat koskevat omaa yritystäsi.

Käyttöoikeudet ja tietojen minimointi

ERP:ssä kaikkien ei tarvitse nähdä kaikkea. Palkkatiedot, henkilötunnukset ja pankkitilit kannattaa rajata roolipohjaisilla oikeuksilla. Tiedonsiirrossa siirrä vain tarvittavat henkilötiedot ja poista vanhentuneet. Tämä vähentää riskiä ja usein myös siirtotyötä, katso tiedonsiirron sudenkuopat.

Pilvi- ja omien ratkaisujen tietoturvaero on käsitelty oppaassa pilvi-ERP vai oma palvelin, ja muut lakivaatimukset oppaassa ERP:n lakivaatimukset 2026.

Kirjaa tietosuoja- ja tietoturvavaatimukset tarjouspyyntöön jo alussa, jotta ne näkyvät hinnoissa.

Usein kysytyt kysymykset

Riittääkö toimittajan vakiomuotoinen käsittelysopimus?

Usein se on lähtökohta, ja suurelta toimittajalta muutoksia on vaikea saada. Lue se silti ja tarkista ainakin alikäsittelijät, tietojen sijainti, ilmoitusaika ja tietojen poisto sopimuksen päättyessä.

Kuuluuko pk-yritykseni kyberturvallisuuslain piiriin?

Pääsääntöisesti laki koskee lueteltujen alojen vähintään keskisuuria toimijoita. Tarkista soveltamisala laista ja oman alasi valvovalta viranomaiselta. Jos olet epävarma, pyydä asiantuntijan arvio.

Saako ERP-tiedot säilyttää EU:n ulkopuolella?

Henkilötietojen siirto EU:n ulkopuolelle on mahdollinen, kun siirrolle on GDPR:n mukainen peruste. Selvitä peruste toimittajalta ja kirjaa se käsittelysopimukseen.

Mitä tehdä, jos toimittaja ilmoittaa tietoturvaloukkauksesta?

Kirjaa ilmoituksen saapumisaika ja pyydä toimittajalta tiedot siitä, mitä tietoja loukkaus koskee, keihin se vaikuttaa ja mitä toimia on tehty. Arvioi, aiheutuuko loukkauksesta riski henkilöiden oikeuksille. Jos aiheutuu, ilmoita tietosuojavaltuutetulle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun loukkaus tuli tietoosi. Jos yritys kuuluu kyberturvallisuuslain piiriin ja poikkeama on merkittävä, huolehdi myös lain mukaisista ilmoituksista. Dokumentoi tapahtumat myös silloin, kun ilmoitusta ei tehdä.

Lähteet ja lisätiedot

• Tietosuojavaltuutetun toimisto — käsittelysopimukset, tietoturvaloukkaukset ja siirrot
• Kyberturvallisuuskeskus — NIS2-ohjeet ja poikkeamailmoitukset
• Traficom — kyberturvallisuuslain valvonta
• Finlex — kyberturvallisuuslaki 124/2025 ja tietosuojalaki 1050/2018