NIS 2 Status in Finland
What the directive requires, how Finland implements it, and where Traficom and NCSC-FI sit in the picture.
Overview
The NIS 2 directive is the EU layer. It binds every Member State, including Finland, to a single minimum bar for essential and important entities. Finland has to carry that bar into Finnish law and run supervision underneath it.
Finland zet NIS 2 om via de Cybersecurity Act (Kyberturvallisuuslaki, wet 124/2025). Het parlement nam die op 11 maart 2025 aan en de wet is op 8 april 2025 in werking getreden. Dat is na de EU-termijn van 17 oktober 2024. Op 7 mei 2025 heeft de Europese Commissie een met redenen omkleed advies gestuurd aan Finland en achttien andere lidstaten omdat zij de volledige omzetting niet op tijd hadden gemeld.
Het toezicht is per sector verdeeld. Het Finse agentschap voor vervoer en communicatie, Traficom, houdt toezicht op de grootste groep sectoren en huisvest het National Cyber Security Centre Finland (NCSC-FI), dat het nationale CSIRT en het centrale contactpunt is volgens artikel 8(3) van de richtlijn. Naast Traficom houden de Energy Authority (Energiavirasto), het Finnish Safety and Chemicals Agency (Tukes) en andere sectorale autoriteiten toezicht op hun eigen sectoren. Bankwezen en financiëlemarktinfrastructuur vallen onder DORA, niet onder de Finse Cybersecurity Act.
EU directive
Directive (EU) 2022/2555 (NIS 2)
The EU-wide cybersecurity directive. It sets the obligations every Member State has to transpose, including the size and sector test for essential and important entities.
EU implementing act
Implementing Regulation (EU) 2024/2690
Technische en methodologische eisen voor DNS-aanbieders, TLD-registers, cloud-, datacenter- en CDN-aanbieders, aanbieders van beheerde (beveiligings)diensten, online marktplaatsen, zoekmachines, sociale netwerken en verleners van vertrouwensdiensten. Rechtstreeks van toepassing in Finland, geen nationale omzetting nodig.
Finnish transposition
Cybersecurity Act 124/2025, in force since 8 April 2025
The Finnish NIS 2 transposition. A horizontal cybersecurity act that consolidates obligations previously spread across several sector-specific laws. Regulations and Traficom guidance fill in the operational detail.
Cybersecurity Act 124/2025
Brings the NIS 2 obligations into Finnish law. Defines essential and important entities, supervisory powers, incident notification duties and penalties. Operational detail follows via regulations and Traficom guidance.
Traficom and NCSC-FI
Traficom houdt toezicht op vervoer, digitale infrastructuur, ICT-dienstenbeheer, ruimtevaart, post- en koeriersdiensten, digitale aanbieders, onderzoek en voertuigproductie, en huisvest NCSC-FI als nationaal CSIRT en centraal contactpunt. Andere sectoren vallen onder eigen autoriteiten, met name Energiavirasto voor elektriciteits-, stadsverwarmings- en gasnetwerken, en Tukes voor olie, gasopslag en raffinage, waterstofproductie, chemie en delen van de maakindustrie. Bankwezen en financiëlemarktinfrastructuur vallen onder DORA.
Registration and reporting
Finnish entities had to register with their sector supervisor by 8 May 2025. Changes to the registered data have to be reported within two weeks. Significant incidents follow the directive: early warning within 24 hours, notification within 72 hours, final report within one month. All notifications are forwarded to the CSIRT at NCSC-FI.
Finnish law applies in Finland
Activity on Finnish territory follows the Finnish transposition. A German managing director with a Finnish subsidiary reads the Cybersecurity Act 124/2025 for that subsidiary, not the BSIG. The directive obligations are identical. The procedure, the supervisor and the penalties live in Finnish law.
Finland cannot drop below the EU floor
The directive is a minimum-harmonisation instrument. Finland may go stricter. Finland may not fall below the directive, neither on the duties for essential and important entities, nor on reporting deadlines, nor on management body liability.
Traficom
Het Finse agentschap voor vervoer en communicatie houdt rechtstreeks toezicht op vervoer, digitale infrastructuur, ICT-dienstenbeheer, ruimtevaart, post- en koeriersdiensten, digitale aanbieders, onderzoek en de productie van voertuigen en vervoermiddelen, en onder aparte wetgeving op het openbaar bestuur. Zoals elke Finse toezichthouder houdt het de lijst van entiteiten voor zijn eigen sectoren bij.
NCSC-FI (Kyberturvallisuuskeskus)
Het National Cyber Security Centre binnen Traficom is het nationale CSIRT en het centrale contactpunt volgens artikel 8(3) van de richtlijn. Een significant incident wordt juridisch gemeld bij de bevoegde sectorale toezichthouder, die het onmiddellijk doorstuurt naar NCSC-FI; in de praktijk bereikt één gedeeld Traficom-formulier de toezichthouder, het CSIRT en het centrale contactpunt tegelijk.
ENISA
The EU cybersecurity agency. Publishes guidance, runs the European vulnerability database and coordinates across borders. Not a supervisor for Finnish entities. That sits with Traficom and the sector authorities.
Finland implements NIS 2 the same way as Germany, so we can read the BSIG.
The directive duties are identical, the supervisory architecture is not. Finland uses a single horizontal statute, the Cybersecurity Act 124/2025, instead of layering on top of a federal BSI structure. Supervision is split across sector regulators with Traficom and NCSC-FI coordinating. Mapping the BSIG onto Finland gets the supervisor and the reporting path wrong.
There is no official list yet, so we can wait.
Registratie is verplicht sinds 8 april 2025 en de eerste termijn was 8 mei 2025. Elke sectorale toezichthouder houdt de lijst van NIS 2-entiteiten in zijn sectoren bij. Niet geregistreerd zijn betekent niet dat u voldoet, het betekent onzichtbaar zijn voor de toezichthouder. Wijzigingen in de geregistreerde gegevens moeten binnen twee weken worden doorgegeven (Art. 3(4) NIS 2, § 41 van de Finse wet).
My sector regulator handles everything, NCSC-FI is just advisory.
De sectorale autoriteit houdt toezicht en voert audits uit, en daar wordt een significant incident juridisch ook gemeld. De toezichthouder stuurt elke melding onmiddellijk door naar het CSIRT bij NCSC-FI, en in de praktijk levert één gedeeld Traficom-formulier de melding tegelijk af bij de toezichthouder, het CSIRT en het centrale contactpunt. Gebruik dat formulier in plaats van met de hand aan één autoriteit te schrijven.
De meeste Finse middelgrote exploitanten die wij tegenkomen behandelen NIS 2 nog als een IT-onderwerp. Dat is maar half waar. Toezicht en meldkanaal liggen op sectorniveau, de reikwijdte is breder dan onder het oude Finse cyberbeveiligingsregime, en het leidinggevend orgaan (toimitusjohtaja, hallitus) draagt zwaardere verantwoordelijkheid. Het leidinggevend orgaan keurt de risicobeheersprocedure goed en houdt er toezicht op en moet voldoende vertrouwd zijn met cyberbeveiligingsrisicobeheer; bij essentiële entiteiten kunnen herhaalde ernstige overtredingen leiden tot een tijdelijk verbod op een bestuursfunctie.
De praktische stap is dezelfde als overal in de EU: voer de toepasbaarheidstoets uit aan de hand van de richtlijn, registreer u bij de sectorale toezichthouder en sta op zijn lijst van entiteiten, zet de vier doorlopende plichten op (registratiegegevens actueel houden, incidentmelding, toeleveringsketenrisico, toezicht door het leidinggevend orgaan) en documenteer het minimum. Het gedeelde Traficom-meldformulier houdt het meldpad schoon.
- Directive (EU) 2022/2555 (NIS 2): EUR-Lex
- Implementing Regulation (EU) 2024/2690
- Cybersecurity Act 124/2025 (Kyberturvallisuuslaki): Finlex
- Traficom: Finnish Transport and Communications Agency, official NIS 2 transposition page
- Kyberturvallisuuskeskus (NCSC-FI): national CSIRT and single point of contact
- Energiavirasto: sector supervisor for electricity, district heating and gas
- Tukes (Finnish Safety and Chemicals Agency): sectorale toezichthouder voor olie, gasopslag, waterstofproductie, chemie en delen van de maakindustrie
- European Commission reasoned opinion of 7 May 2025 on NIS 2 transposition
In de praktijk
Wat de nationale wet verandert, en wat niet
De nationale wet bepaalt onder meer waar u zich registreert en aan wie u incidenten meldt. De maatregelen zelf gaan in elke lidstaat uit van dezelfde minimumlijst (art. 21 NIS 2). De begeleide doorloop neemt u er stap voor stap doorheen:
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
