Tietoturvaloukkauksen 72 tunnin ilmoitusajan laskuri ja päätöksenteon apuväline

Syötä hetki, jolloin korkeakoulu sai tiedon henkilötietojen tietoturvaloukkauksesta, niin saat tietosuoja-asetuksen 33 artiklan mukaisen määräajan reaaliaikaisen laskurin kera, NIS2-direktiivin määräajat, jos niitä sovelletaan, sekä toimittajan ilmoitusajan käsittelysopimuksestanne. Käy sen jälkeen läpi Euroopan tietosuojaneuvoston ohjeisiin perustuva lyhyt arvio, avaa valvontaviranomaisen ilmoitussivu ja kopioi 33 artiklan 5 kohdan mukainen kirjausmerkintä. Kaikki tapahtuu selaimessasi.

Julkaistu 9. lokakuuta 2026 · Lähteet tarkistettu 9. lokakuuta 2026

Saatavilla myös kielillä: English · Svenska · Nederlands · Norsk · Dansk · Français · Español · Português

Miten 72 tunnin määräaika lasketaan?

Tietosuoja-asetuksen 33 artiklan 1 kohdan 72 tuntia lasketaan siitä hetkestä, jolloin tietoturvaloukkaus tuli korkeakoulun tietoon, ja ne ovat kalenteritunteja: yöt, viikonloput ja pyhäpäivät lasketaan kaikki mukaan. Euroopan tietosuojaneuvoston tietoturvaloukkausohjeissa viitataan määräaikoja koskevaan asetukseen 1182/71, jonka mukaan jokaiseen määräaikaan sisältyvät lauantait, sunnuntait ja pyhäpäivät, ellei määräaikaa ole ilmaistu työpäivinä.

Asetuksen 33 artiklan 1 kohta edellyttää ilmoittamista ”ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa” loukkauksen ilmitulosta. 72 tuntia on ehdoton yläraja, ei tavoite. Myöhemmin tehdyssä ilmoituksessa on perusteltava viivästys, ja jos tietoja puuttuu, ilmoituksen voi tehdä vaiheittain (33 artiklan 4 kohta).

Määräaika alkaa tiedon saamisesta, ei itse poikkeamasta. Euroopan tietosuojaneuvosto katsoo rekisterinpitäjän saaneen tiedon, kun sillä on ”a reasonable degree of certainty” (kohtuullinen varmuus) siitä, että tietoturvapoikkeama on vaarantanut henkilötietoja (ohjeet 9/2022, 31 kohta). Lyhyt selvitys on sallittu ennen tätä hetkeä, mutta se on aloitettava mahdollisimman pian (34 kohta).

Mitä asetus 1182/71 tuo lisää

Ohjeiden 9/2022 40 kohdassa Euroopan tietosuojaneuvosto lisää 72 tuntiin alaviitteen, joka viittaa asetukseen (ETY, Euratom) N:o 1182/71 eli EU:n yleisiin määräaikoja, päivämääriä ja määräpäiviä koskeviin sääntöihin. Sen säännöistä kolme on tässä merkityksellisiä:

• Määräaikoihin ”shall include public holidays, Sundays and Saturdays” (sisältyvät pyhäpäivät, sunnuntait ja lauantait), ellei niitä ole nimenomaisesti suljettu pois tai ellei määräaikaa ole ilmaistu työpäivinä (3 artiklan 3 kohta).
• Siirtyminen seuraavaan työpäivään, kun määräaika päättyy viikonloppuna tai pyhäpäivänä, koskee vain määräaikoja, jotka on ”expressed otherwise than in hours” (ilmaistu muuten kuin tunteina; 3 artiklan 4 kohta). Se ei pidennä 72 tuntia.
• Tunteina ilmaistussa määräajassa sitä tuntia, jonka aikana tapahtuma sattuu, ei lasketa mukaan (3 artiklan 1 kohta). Tiukasti tulkittuna kello 10.20 saatu tieto aloittaa määräajan kello 11.00, joten se päättyy kolme päivää myöhemmin kello 11.00.

Validemicin analyysi Työkalu näyttää määräaikana pelkät 72 tuntia tiedon saamisen minuutista lukien ja 3 artiklan 1 kohdan tiukan tulkinnan huomautuksena. Suunnitelkaa aiemman ajan mukaan. Muutamasta lisäminuutista ei kannata kiistellä viranomaisen kanssa, ja velvollisuus on joka tapauksessa ilmoittaa ilman aiheetonta viivytystä.

Aikavyöhykkeet ja kellonsiirrot

Työkalu muuntaa syöttämäsi ajan täsmälliseksi hetkeksi, joten määräaika on oikein millä tahansa aikavyöhykkeellä. Jos kelloja siirretään 72 tunnin aikana, työkalu laskee 72 todellista tuntia, jolloin määräaika on seinäkellon mukaan tunnin aiemmin tai myöhemmin kuin tiedon saamisen kellonaika. Työkalu kertoo, kun näin käy ja kumpi ajoista on aiempi.

Milloin määräaika alkaa, jos loukkaus on tapahtunut toimittajalla?

Periaatteessa silloin, kun toimittaja ilmoittaa teille. Käsittelijän on ilmoitettava rekisterinpitäjälle ”ilman aiheetonta viivytystä saatuaan sen tietoonsa” (33 artiklan 2 kohta), ja Euroopan tietosuojaneuvoston mukaan rekisterinpitäjän katsotaan periaatteessa saaneen tiedon, kun käsittelijä on ilmoittanut sille (ohjeet 9/2022, 44 kohta). Tietosuoja-asetuksessa ei säädetä toimittajalle tuntimäärää.

Siksi Euroopan tietosuojaneuvosto suosittaa, että käsittelijät ilmoittavat viipymättä ja täydentävät tietoja vaiheittain ja että sopimuksessa määritellään, miten 33 artiklan 2 kohta täytetään; tämä ”can include requirements for early notification” (voi sisältää vaatimuksia varhaisesta ilmoittamisesta; 45 ja 46 kohta). Käsittelijän ei tarvitse arvioida riskiä ennen kuin se ilmoittaa teille: se on korkeakoulun tehtävä (44 kohta). Sopimuksessa on myös velvoitettava käsittelijä avustamaan korkeakoulua 32–36 artiklan velvollisuuksissa (28 artiklan 3 kohdan f alakohta).

Validemicin analyysi Jos käsittelysopimus antaa toimittajalle 72 tuntia tai enemmän, toimittaja voi käyttää koko ajan ennen kuin korkeakoulu saa tiedon. Oma määräaikanne alkaa myöhemmin, mutta viranomainen kysyy silti, miksi ilmoittaminen kesti niin kauan. Syöttäkää käsittelysopimuksen ilmoitusaika vaiheessa 1 nähdäksenne, pysyikö toimittaja siinä, ja kirjatkaa tulos. Tietoturvaloukkausten käsittelyn oppaamme luettelee, mitä käsittelysopimuksen tietoturvaloukkausehdon pitäisi sisältää, ja käsittelysopimuksen tarkistin vertaa sopimusta 28 artiklan 3 kohtaan.

Onko toimittaja-arviointi juuri nyt käynnissä? Validemic käy toimittajan asiakirjat läpi tietosuoja-asetuksen ja tekoälysäädöksen valossa ja näyttää jokaisen havainnon lähteen. Kokeile demoympäristöä

Onko tietoturvaloukkauksesta ilmoitettava?

Lopputuloksia on kolme. Jos loukkauksesta ei todennäköisesti aiheudu riskiä ihmisille, se kirjataan mutta siitä ei ilmoiteta. Jos siitä todennäköisesti aiheutuu riski, ilmoitetaan valvontaviranomaiselle. Jos siitä todennäköisesti aiheutuu korkea riski, ilmoitetaan myös asianomaisille henkilöille (34 artikla), ellei jokin 34 artiklan 3 kohdan edellytyksistä täyty. Jokainen loukkaus kirjataan 33 artiklan 5 kohdan mukaisesti.

Vaiheen 2 arviointityökalu noudattaa tekijöitä, jotka Euroopan tietosuojaneuvosto luettelee ohjeidensa 9/2022 IV jaksossa: loukkauksen tyyppi; tietojen luonne, arkaluonteisuus ja määrä; kuinka helposti ihmiset voidaan tunnistaa; kuinka vakavia ja pitkäkestoisia seuraukset voivat olla; ihmisten erityispiirteet, kuten se, että he ovat lapsia; sekä asianomaisten henkilöiden määrä. Useat ohjeiden kohdat ohjaavat tulosta:

• Kun kyse on erityisiin henkilötietoryhmiin kuuluvista tiedoista tai rikostiedoista, vahingon ”should be considered likely to occur” (pitäisi katsoa todennäköiseksi; 102 kohta).
• Asianmukaisesti salatut tiedot, joiden avain ei ole vaarantunut, eivät periaatteessa ole ymmärrettävissä, joten luottamuksellisuuden loukkauksesta ei välttämättä tarvitse ilmoittaa, kunhan varmuuskopio on olemassa. Ilman riittäviä varmuuskopioita ilmoitus henkilöille voi silti olla tarpeen (76–79 kohta).
• Luotettava vastaanottaja, kuten toinen yksikkö tai tunnettu toimittaja, joka palauttaa tai poistaa tiedot, voi poistaa riskin todennäköisyyden (114 kohta).
• Kun ei tiedetä, onko tietoja kopioitu, arvioidaan ”the worse scenario” (huonompi vaihtoehto; ohjeet 01/2021, 30 kohta).
• ”If in doubt, the controller should err on the side of caution and notify” (Jos rekisterinpitäjä on epävarma, sen pitäisi olla varovainen ja ilmoittaa; ohjeet 9/2022, 119 kohta).

Euroopan tietosuojaneuvoston ohjeiden 01/2021 esimerkkitapaukset osoittavat, miten tekijät yhdistyvät:

Asetuksen 34 artiklan 3 kohdan mukaan henkilöille ei tarvitse ilmoittaa, jos tiedot eivät olleet ymmärrettävissä (esimerkiksi salattuja), jos jatkotoimenpiteiden ansiosta korkea riski ei enää todennäköisesti toteudu tai jos yhteydenotto kuhunkin henkilöön vaatisi kohtuutonta vaivaa. Viimeksi mainitussa tapauksessa on sen sijaan käytettävä julkista tiedonantoa. Tietoturvaloukkausten käsittelyn oppaamme soveltaa näitä tekijöitä neljään korkeakoulun tilanteeseen.

Mitkä ovat NIS2-direktiivin 24 tunnin, 72 tunnin ja kuukauden määräajat?

Jos korkeakoulunne on kansallisen NIS2-lainsäädännön mukainen keskeinen tai tärkeä toimija, merkittävästä poikkeamasta on tehtävä varhaisvaroitus 24 tunnin kuluessa tiedon saamisesta, poikkeamailmoitus 72 tunnin kuluessa ja loppuraportti viimeistään kuukauden kuluttua poikkeamailmoituksesta (direktiivi (EU) 2022/2555, 23 artiklan 4 kohta). Ne tehdään CSIRT-yksikölle tai toimivaltaiselle viranomaiselle, ei tietosuojaviranomaiselle.

Poikkeama on merkittävä, jos se on aiheuttanut tai voi aiheuttaa vakavia toiminnallisia häiriöitä tai taloudellisia menetyksiä taikka huomattavaa vahinkoa muille (23 artiklan 3 kohta). Jos poikkeama on yhä käynnissä loppuraportin määräajan umpeutuessa, silloin toimitetaan väliraportti ja loppuraportti kuukauden kuluessa poikkeaman käsittelystä (23 artiklan 4 kohdan e alakohta). Yksi kiristyshaittaohjelmahyökkäys voi käynnistää molemmat ilmoitusvelvollisuudet, ja määräajat voivat alkaa eri aikaan: NIS2-määräaika, kun tiedätte merkittävästä poikkeamasta, ja tietosuoja-asetuksen määräaika, kun tiedätte poikkeaman koskevan henkilötietoja.

Kansallinen lainsäädäntö tarkentaa vaatimuksia. Ruotsin kansallinen kyberturvallisuuskeskus, joka vastaanottaa kyberturvallisuuslain mukaiset ilmoitukset Cyberportal-palvelunsa kautta, laskee 24 tuntia siitä, kun toimija on todennut poikkeaman ilmoitettavaksi. Saksan BSI määrittelee tiedon saamisen hetkeksi, jolloin työntekijä saa tiedon poikkeamasta ”(innerhalb der Arbeitszeit)” eli työaikana. Se, kuuluuko korkeakoulu ylipäätään soveltamisalaan, vaihtelee maittain; katso NIS2 ja korkeakoulut: kuulutteko soveltamisalaan? ja NIS2-direktiivin sivumme.

Miten korkeakoulut järjestävät tietoturvaloukkauksista ilmoittamisen?

Korkeakoulut, jotka pysyvät luotettavasti 72 tunnin määräajassa, tekevät ensimmäisestä askeleesta helpon: yksi osoite tai lomake, ilmoitus heti eikä vasta kaikkien tietojen selvittyä. Neljä esimerkkiä:

• Trinity College Dublin pyytää henkilöstöä ilmoittamaan kaikista loukkauksista ja epäillyistä poikkeamista tietosuojatoimistolleen ”without delay for assessment” (viipymättä arvioitavaksi) ja toteaa, että ”a data protection breach is not a disciplinary issue” (tietosuojaloukkaus ei ole kurinpidollinen asia).
• Edinburghin yliopisto pyytää henkilöstöä ilmoittamaan poikkeamasta ”immediately” (välittömästi) sähköpostitse tietosuojavastaavalle ja täyttämään tietoturvaloukkauksen arviointilomakkeensa A-osan 24 tunnin kuluessa havaitsemisesta.
• Oslon yliopisto pyytää kaikkia, jotka käsittelevät henkilötietoja sen puolesta, kertomaan asiasta heti esihenkilölleen, joka ilmoittaa siitä UiO-CERTille lomakkeella; kaikkia tietoja ei tarvitse tietää ensin.
• Utrechtin yliopisto pyytää henkilöstöä ja opiskelijoita ilmoittamaan epäillyistä tietoturvaloukkauksista ICT-palvelupisteeseensä mahdollisimman pian erillisellä sähköpostiosoitteella tai kiireellisissä tilanteissa puhelimitse.

Validemicin analyysi Yhteistä on, että ilmoittaminen on vaivatonta sille, joka asian huomaa, ja arviointi tehdään keskitetysti. Myös virka-ajan ulkopuolella avoin ilmoituskanava on tärkeä, koska 72 tunnin määräaika ei pysähdy viikonlopuksi.

Onko 72 tunnin määräaika muuttumassa?

Vireillä: komission digitaalinen omnibus-ehdotus (COM(2025) 837, menettely 2025/0360(COD), 19.11.2025) pidentäisi tietosuoja-asetuksen mukaisen viranomaisilmoituksen määräajan 96 tuntiin, kohdistaisi sen korkeamman riskin loukkauksiin ja loisi usean säädöksen mukaisille poikkeamailmoituksille yhteisen ilmoituspisteen. Euroopan parlamentin lainsäädäntöseurannan (Legislative Observatory) mukaan ehdotuksen tila oli 9.10.2026 ”Awaiting committee decision” (odottaa valiokunnan päätöstä). Varautukaa 72 tuntiin, kunnes muutos on hyväksytty ja sitä sovelletaan. 33 artikla selitetään tietosuoja-asetuksen sivullamme.

Lähteet

Kaikki lähteet haettu 9.10.2026.

1. Asetus (EU) 2016/679 (yleinen tietosuoja-asetus), 4 artiklan 12 alakohta, 28 artiklan 3 kohdan f alakohta sekä 33 ja 34 artikla, EUR-Lex: eur-lex.europa.eu/eli/reg/2016/679/oj/fin (virallisen lehden teksti luettu EU:n julkaisutoimiston kautta)
2. Direktiivi (EU) 2022/2555 (NIS 2 -direktiivi), 23 artikla ja johdanto-osan 102 perustelukappale, EUR-Lex: eur-lex.europa.eu/eli/dir/2022/2555/oj/fin
3. Euroopan tietosuojaneuvosto, ohjeet 9/2022 henkilötietojen tietoturvaloukkauksista ilmoittamisesta yleisen tietosuoja-asetuksen mukaisesti, versio 2.0, hyväksytty 28.3.2023: edpb.europa.eu, ohjeet 9/2022
4. Euroopan tietosuojaneuvosto, ohjeet 01/2021 esimerkeistä henkilötietojen tietoturvaloukkauksista ilmoittamiseen liittyen, versio 2.0, hyväksytty 14.12.2021: edpb.europa.eu, ohjeet 01/2021
5. Asetus (ETY, Euratom) N:o 1182/71 määräaikoja, päivämääriä ja määräpäiviä koskevista säännöistä, 1 ja 3 artikla: EUR-Lex, CELEX 31971R1182 (alkuperäinen teksti luettu legislation.gov.uk-palvelusta EU:n hyväksymässä muodossa)
6. Euroopan parlamentin lainsäädäntöseuranta (Legislative Observatory), menettely 2025/0360(COD), digitaalinen omnibus: oeil.europarl.europa.eu
7. Valvontaviranomaisten tietoturvaloukkausten ilmoitussivut: IMY, Datatilsynet (Tanska), Tietosuojavaltuutetun toimisto, Autoriteit Persoonsgegevens, CNIL, AEPD, CNPD, APD/GBA, Data Protection Commission, ICO sekä Datenschutzkonferenzin luettelo Saksan valvontaviranomaisista. Datatilsynet.no-sivustoa ei saatu auki tarkistuspäivänä.
8. NIS2-ilmoituspisteet: Ruotsi, Nationellt cybersäkerhetscenter; Tanska, Styrelsen for Samfundssikkerhed; Suomi, Traficomin Kyberturvallisuuskeskus; Alankomaat, NCSC; Saksa, BSI: NIS-2-Meldepflicht; Irlanti, NCSC:n poikkeamailmoitukset; Euroopan komissio, NIS2-direktiivin saattaminen osaksi kansallista lainsäädäntöä
9. Trinity College Dublin, Data Breach Notification: tcd.ie/dataprotection/databreach
10. Edinburghin yliopisto, Data protection breach and complaints procedure: data-protection.ed.ac.uk/breach-procedure
11. Oslon yliopisto, Avvik ved behandling av personopplysninger: uio.no, personvern, avvik
12. Utrechtin yliopisto, Report data breach: uu.nl, report data breach

Tietoa tästä sivusta

Lähteet tarkistettu 9.10.2026. Luimme tietosuoja-asetuksen ja NIS2-direktiivin EU:n julkaisutoimiston julkaisemina virallisen lehden versioina, molemmat Euroopan tietosuojaneuvoston ohjeet kokonaan, asetuksen 1182/71 3 artiklan, jokaisen yllä linkitetyn viranomais- ja korkeakoulusivun sekä Euroopan parlamentin menettelyasiakirjan. Arviointityökalu on oma yksinkertaistuksemme Euroopan tietosuojaneuvoston tekijöistä ja esimerkeistä. Se on alustava arvio eikä oikeudellista neuvontaa; vastuu arvioinnista on rekisterinpitäjällä ja sen tietosuojavastaavalla, ja kansallinen lainsäädäntö tai viranomaisen käytäntö voi asettaa lisävaatimuksia. Päivämäärälogiikka on testattu kesäajan vaihtumisten yli. Jos linkki on siirtynyt tai huomaat virheen, ota meihin yhteyttä, niin korjaamme sen.