NIS2 in Finnland: Nationale Umsetzung, Traficom und Pflichten

Finnland hat die NIS2-Richtlinie mit dem Kyberturvallisuuslaki (Laki kyberturvallisuudesta, Cybersicherheitsgesetz Nr. 124/2025) umgesetzt. Das Gesetz ist am 8. April 2025 in Kraft getreten – rund sechs Monate nach Ablauf der EU-Umsetzungsfrist vom 17. Oktober 2024. Für den Sektor öffentliche Verwaltung gelten die NIS2-Vorgaben in Finnland über das Gesetz über das Informationsmanagement in der öffentlichen Verwaltung. Für deutsche Unternehmen mit Tochtergesellschaften, Niederlassungen oder Kunden in Finnland können daraus eigenständige Pflichten gegenüber finnischen Behörden entstehen – neben den deutschen Anforderungen aus dem NIS2UmsuCG und der Aufsicht durch das BSI. Dieser Leitfaden erklärt die finnische Umsetzung, die Rollen von Traficom, NCSC-FI und den Sektorbehörden sowie die Folgen für deutsch-finnische Unternehmensstrukturen. Den europäischen Rahmen beschreibt der Leitfaden zu den NIS2-Grundlagen.

Finnlands NIS2-Umsetzung: Das Kyberturvallisuuslaki

Finnland hat die NIS2-Richtlinie durch das Kyberturvallisuuslaki (Laki kyberturvallisuudesta, dt. Cybersicherheitsgesetz, Nr. 124/2025) in nationales Recht überführt. Das Gesetz wurde am 4. April 2025 ausgefertigt und trat am 8. April 2025 in Kraft. Damit lag Finnland nach der EU-Frist vom 17. Oktober 2024: Die Europäische Kommission leitete am 28. November 2024 Vertragsverletzungsverfahren gegen 23 Mitgliedstaaten ein, die NIS2 nicht vollständig umgesetzt hatten – Finnland war darunter.

Das finnische Cybersicherheitsgesetz überträgt die Kernelemente der NIS2-Richtlinie in nationale Pflichten:

• Zwei Kategorien von Einrichtungen: Das Gesetz unterscheidet zentrale Einrichtungen (keskeiset toimijat, entspricht den wesentlichen Einrichtungen nach NIS2) von den übrigen erfassten Einrichtungen (muut kuin keskeiset toimijat, entspricht den wichtigen Einrichtungen); die erfassten Tätigkeiten sind in den Anhängen I und II des Gesetzes aufgeführt
• Risikomanagement nach § 9: Das Gesetz nennt zwölf Bereiche, die das Risikomanagement mindestens berücksichtigen muss – darunter Sicherheit der Lieferkette, Zugangs- und Authentifizierungsverfahren, Kryptografie, Vorfallbehandlung, Business Continuity, Personalsicherheit und Schulung; sie beruhen auf Artikel 21 Absatz 2 NIS2
• Dreistufige Meldepflichten: Frühwarnung (24 Stunden nach Erkennung), Meldung (72 Stunden nach Erkennung), Abschlussbericht (innerhalb eines Monats nach der 72-Stunden-Meldung)
• Verantwortung der Unternehmensleitung nach § 10: Die Leitung billigt das Risikomanagement-Konzept, überwacht dessen Umsetzung und muss über ausreichende Kenntnisse im Cybersicherheits-Risikomanagement verfügen
• Bußgeldrahmen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für zentrale Einrichtungen; bis zu 7 Millionen Euro oder 1,4 Prozent für die übrigen Einrichtungen – jeweils der höhere Betrag; ein Bußgeld setzt nach § 35 vorsätzliche oder grob fahrlässige Pflichtverletzungen voraus

Die finnische Umsetzung orientiert sich eng an der Struktur der Richtlinie, enthält aber auch nationale Besonderheiten. So gilt das Gesetz für Gemeinden nur eingeschränkt, die öffentliche Verwaltung ist in einem eigenen Gesetz geregelt, und mit dem Änderungsgesetz 785/2026 werden ab dem 1. Januar 2027 auch Betreiber von Kernanlagen mit Betriebsgenehmigung nach dem Kernenergiegesetz in Anhang I aufgenommen. Jede Aufsichtsbehörde kann für ihren Sektor ergänzende technische Vorschriften (määräykset) erlassen.

Erfasste Einrichtungen müssen sich in das Einrichtungsverzeichnis der für ihren Sektor zuständigen Aufsichtsbehörde eintragen lassen (§ 41). Für bereits erfasste Einrichtungen lief die Frist laut Übergangsbestimmung bis zum 8. Mai 2025; wer die Kriterien später erfüllt, hat dafür einen Monat Zeit. Das Risikomanagement-Konzept nach § 8 war binnen drei Monaten zu erstellen, also bis zum 8. Juli 2025.

Traficom und die sektoralen Aufsichtsbehörden

Traficom (Liikenne- ja viestintävirasto, dt. Verkehrs- und Kommunikationsbehörde) spielt im finnischen NIS2-System eine zentrale Rolle, ist aber nicht die einzige Aufsichtsbehörde. Das Kyberturvallisuuslaki verteilt die Aufsicht nach Sektoren auf mehrere Behörden (§ 26). Das Nationale Zentrum für Cybersicherheit bei Traficom (Kyberturvallisuuskeskus, NCSC-FI) ist die zentrale Anlaufstelle (Single Point of Contact) nach Artikel 8 Absatz 3 NIS2 und fördert die Zusammenarbeit der Aufsichtsbehörden. Bei Traficom ist zudem das nationale CSIRT angesiedelt.

Gegenüber der früheren NIS-Richtlinie sind für Traficom nach eigenen Angaben unter anderem Post- und Kurierdienste, Weltraum, öffentliche Verwaltung, Managed (Security) Service Provider, Forschung und Fahrzeugbau als Aufsichtsbereiche hinzugekommen.

Die Zuständigkeiten im Überblick (§ 26 Kyberturvallisuuslaki):

• Traficom: Verkehr, Weltraum-Bodeninfrastruktur, digitale Infrastruktur, IKT-Dienstleistungsmanagement, Post und Kurier, digitale Anbieter, Fahrzeugbau, Forschung
• Energiavirasto (Energiebehörde): Elektrizität, Fernwärme und -kälte, Teile des Gassektors (Netzbetreiber, Gaslieferanten) sowie Wasserstoff-Fernleitungen
• Turvallisuus- ja kemikaalivirasto (Tukes): weitere Teile des Gassektors, Erdöl, Wasserstofferzeugung und -speicherung, Chemikalien sowie die Herstellung von Datenverarbeitungsgeräten, elektrischen Ausrüstungen und Maschinen (NACE 26 bis 28)
• Lupa- ja valvontavirasto (Genehmigungs- und Aufsichtsbehörde): Gesundheitsdienstleister, EU-Referenzlaboratorien, Abfallbewirtschaftung
• Elinvoimakeskus: Trinkwasser und Abwasser
• Ruokavirasto (Lebensmittelbehörde): Lebensmittelunternehmen in Großhandel, industrieller Produktion und Verarbeitung
• Fimea (Arzneimittelbehörde): Arzneimittelforschung und -herstellung, kritische Medizinprodukte, Blutdienste und Apotheken, Medizinprodukte und In-vitro-Diagnostika
• Säteilyturvakeskus (STUK) (Strahlenschutzbehörde): Betreiber von Kernanlagen – ab dem 1. Januar 2027 nach dem Änderungsgesetz 785/2026

Ein struktureller Unterschied zu Deutschland liegt in dieser sektoralen Verteilung: Je nach Tätigkeit sind in Finnland unterschiedliche Behörden für Registrierung, Aufsicht und Vorfallmeldungen zuständig; ist eine Einrichtung in mehreren Sektoren tätig, ist laut Traficom eine Registrierung bei jeder zuständigen Behörde erforderlich. Bankwesen und Finanzmarktinfrastrukturen sind in den finnischen Anhängen nicht aufgeführt; für den Finanzsektor ist in erster Linie DORA maßgeblich. Bußgelder verhängt nicht die einzelne Aufsichtsbehörde, sondern ein bei Traficom angesiedelter Sanktionsausschuss (seuraamusmaksulautakunta) auf Antrag der zuständigen Aufsichtsbehörde. Eine Einschätzung, ob eine Einrichtung grundsätzlich in den NIS2-Anwendungsbereich fällt, ermöglicht der Leitfaden zum NIS2-Anwendungsbereich.

NCSC-FI: Nationales CSIRT und Vorfallmeldung

NCSC-FI (Kyberturvallisuuskeskus, National Cyber Security Centre Finland) ist Teil von Traficom. Das dort angesiedelte CSIRT im Sinne von Artikel 10 NIS2 reagiert auf Vorfallmeldungen, unterstützt bei Bedarf die meldende Einrichtung und gibt Frühwarnungen, Alarme und Informationen zur Cybersicherheitslage heraus. Die CSIRT-Tätigkeit ist gesetzlich von der Aufsicht getrennt (§ 19). Pflichtmeldungen erheblicher Vorfälle gehen in Finnland nicht direkt an das NCSC-FI, sondern an die für den Sektor zuständige Aufsichtsbehörde. Traficom stellt dafür einen elektronischen Meldedienst für alle Sektoren bereit; sämtliche über diesen Dienst eingereichten Meldungen werden auch dem CSIRT beim NCSC-FI übermittelt.

Die finnischen Meldepflichten für erhebliche Sicherheitsvorfälle folgen dem dreistufigen europäischen Modell (§§ 11 bis 13):

• Frühwarnung (24 Stunden): Erstmeldung (ensi-ilmoitus) an die zuständige Aufsichtsbehörde innerhalb von 24 Stunden nach Erkennung des erheblichen Vorfalls, u. a. mit Angaben zu vermutetem böswilligem Handeln und möglichen grenzüberschreitenden Auswirkungen
• Meldung (72 Stunden): Folgemeldung (jatkoilmoitus) innerhalb von 72 Stunden nach Erkennung mit einer ersten Bewertung von Art, Schwere und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren
• Abschlussbericht (ein Monat): innerhalb eines Monats nach der 72-Stunden-Meldung, bei andauernden Vorfällen innerhalb eines Monats nach Abschluss der Behandlung – mit Beschreibung, wahrscheinlicher Ursache und ergriffenen Maßnahmen

Ein erheblicher Vorfall liegt nach § 11 vor, wenn er schwerwiegende Betriebsstörungen der Dienste oder erhebliche finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Für bestimmte digitale Anbieter präzisiert zusätzlich die Durchführungsverordnung (EU) 2024/2690 der Kommission, wann ein Vorfall als erheblich gilt.

Freiwillig an das CSIRT übermittelte Informationen – etwa zu Phishing oder DoS-Angriffen – dürfen ohne Zustimmung des Meldenden nicht in Straf- oder Verwaltungsverfahren gegen ihn verwendet werden (§ 25). Hat ein erheblicher Vorfall Auswirkungen auf andere Mitgliedstaaten, informiert die zentrale Anlaufstelle die ENISA und die betroffenen Mitgliedstaaten. Im Parlament anhängig ist zudem der Regierungsentwurf HE 71/2026: Er sieht vor, dass die finnische Untersuchungsbehörde für Sicherheitsvorfälle (Onnettomuustutkintakeskus) sehr schwerwiegende Cybersicherheitsvorfälle untersuchen kann und die Aufsichtsbehörden ihr solche Vorfälle mitteilen; als Inkrafttreten ist der 1. Januar 2027 vorgesehen.

Betroffene Einrichtungen und Sektoren im Überblick

Das finnische Kyberturvallisuuslaki gilt grundsätzlich für Einrichtungen, die eine in Anhang I oder II genannte Tätigkeit ausüben und mindestens die Schwellenwerte für mittlere Unternehmen nach der Empfehlung 2003/361/EG erreichen. Bestimmte Einrichtungstypen sind unabhängig von ihrer Größe erfasst. Ob eine Einrichtung als zentrale Einrichtung gilt, regelt § 27.

Merkmal	Zentrale Einrichtung (keskeinen toimija)	Übrige Einrichtung (muu kuin keskeinen toimija)
Sektorzuordnung	Anhang I des finnischen Gesetzes: Verkehr, Weltraum-Bodeninfrastruktur, digitale Infrastruktur, IKT-Dienstleistungsmanagement, Energie (Strom, Fernwärme, Gas, Öl, Wasserstoff), Gesundheit, Trinkwasser, Abwasser; ab 2027 Kernanlagen	Anhang II (Post und Kurier, digitale Anbieter, Fahrzeugbau, Forschung, Chemie, Lebensmittel, Abfall, Medizinprodukte, Elektronik, elektrische Ausrüstungen, Maschinenbau) sowie mittlere Einrichtungen aus Anhang I
Größenschwelle	Anhang-I-Einrichtungen oberhalb der Schwellenwerte für mittlere Unternehmen (in der Regel ab 250 Beschäftigten oder mehr als 50 Mio. EUR Umsatz und mehr als 43 Mio. EUR Bilanzsumme); größenunabhängig u. a. qualifizierte Vertrauensdiensteanbieter, TLD-Register, DNS-Anbieter und kritische Einrichtungen	Mindestens mittlere Unternehmen (in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. EUR Umsatz und Bilanzsumme)
Aufsichtsmodus	Aufsicht ist vorrangig auf zentrale Einrichtungen auszurichten (§ 27), durch die jeweils zuständige Sektorbehörde	Aufsicht, wenn begründeter Verdacht auf Verstöße besteht (§ 27)
Bußgeldrahmen	max. 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag)	max. 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes (der höhere Betrag)
Registrierung	Eintrag bei der zuständigen Sektorbehörde (§ 41)	Eintrag bei der zuständigen Sektorbehörde (§ 41)

Für deutsche Unternehmensgruppen sind in Finnland vor allem Energie, digitale Infrastruktur und IKT-Dienstleistungen, der Maschinen- und Anlagenbau (NACE 28, Aufsicht durch Tukes), die Elektro- und Elektronikindustrie, der Fahrzeugbau sowie Chemie und Lebensmittel von Interesse. Die Forst- und Papierindustrie ist als solche kein Sektor der Anhänge; einzelne Tätigkeiten eines Unternehmens – etwa Stromerzeugung oder die Herstellung von Chemikalien – können jedoch erfasst sein. Maßgeblich ist die konkrete Tätigkeit der finnischen Einheit.

Was für deutsche Unternehmen mit Finnland-Bezug relevant ist

Für deutsche Unternehmensgruppen mit Präsenz in Finnland können sich aus dem Kyberturvallisuuslaki eigenständige Pflichten ergeben, die parallel zu den deutschen NIS2UmsuCG-Anforderungen bestehen. Die finnischen Pflichten gelten seit dem 8. April 2025; die Übergangsfristen für Registrierung (8. Mai 2025) und Risikomanagement-Konzept (8. Juli 2025) sind abgelaufen.

Folgende Konstellationen sind besonders relevant:

• Finnische Tochtergesellschaften: Eine in Finnland niedergelassene Tochtergesellschaft, die die Größenschwellen erreicht und eine Tätigkeit nach Anhang I oder II ausübt, unterliegt in der Regel den Pflichten des Kyberturvallisuuslaki – Registrierung bei der zuständigen Sektorbehörde, Risikomanagement nach §§ 7 bis 9 und Meldung erheblicher Vorfälle –, unabhängig davon, ob die deutsche Muttergesellschaft ihrerseits dem BSI unterliegt
• Digitale Dienstleister: Für Cloud-Anbieter, Rechenzentrumsbetreiber, DNS-Anbieter, Managed (Security) Service Provider und digitale Anbieter gilt nach Artikel 26 NIS2 grundsätzlich die Zuständigkeit des Mitgliedstaats ihrer Hauptniederlassung in der EU. Ein Anbieter mit Hauptniederlassung in Deutschland, der Dienste in Finnland erbringt, fällt daher in der Regel unter die deutsche Aufsicht; Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste unterliegen dagegen dem finnischen Gesetz, sobald sie in Finnland tätig sind (§ 6)
• Lieferkette: Deutsche Unternehmen, die als Zulieferer oder Dienstleister für finnische NIS2-Einrichtungen tätig sind, können mittelbar betroffen sein – § 9 verlangt von finnischen Einrichtungen, die Qualität und Widerstandsfähigkeit der Produkte und Dienste ihrer unmittelbaren Lieferanten sowie deren Cybersicherheitspraktiken zu berücksichtigen
• Grenzüberschreitende Vorfälle: Cyberangriffe, die sowohl finnische als auch deutsche Systeme eines Konzerns betreffen, können parallele Meldepflichten auslösen: gegenüber der zuständigen finnischen Aufsichtsbehörde (für die finnische Einheit) und gegenüber dem BSI (für eine meldepflichtige deutsche Einheit)

Im Vergleich zu Deutschland ist die finnische Aufsicht stärker nach Sektoren aufgeteilt, auch wenn Meldungen über einen gemeinsamen elektronischen Dienst eingereicht werden können. Als Umsetzungshilfe hat Traficom eine Empfehlung zu Risikomanagementmaßnahmen veröffentlicht, die sich an die Aufsichtsbehörden richtet, aber auch Einrichtungen bei der Planung unterstützt. Einen direkten Vergleich mit der deutschen NIS2-Umsetzung bietet der Leitfaden zu NIS2 in Deutschland.

Häufig gestellte Fragen

Hat Finnland NIS2 fristgerecht umgesetzt?

Nein. Die Umsetzungsfrist lief am 17. Oktober 2024 ab; das finnische Kyberturvallisuuslaki (Nr. 124/2025) trat erst am 8. April 2025 in Kraft. Finnland gehörte zu den 23 Mitgliedstaaten, gegen die die Europäische Kommission am 28. November 2024 ein Vertragsverletzungsverfahren einleitete. Seit April 2025 ist das Gesetz in Kraft; erfasste Einrichtungen sind seitdem zur Meldung erheblicher Vorfälle verpflichtet und mussten sich bis zum 8. Mai 2025 bei ihrer Sektorbehörde registrieren.

Welche Rolle spielen Traficom und NCSC-FI?

Traficom (Liikenne- ja viestintävirasto) ist eine von mehreren sektoralen Aufsichtsbehörden – zuständig unter anderem für Verkehr, digitale Infrastruktur, IKT-Dienstleister, digitale Anbieter und Forschung. Andere Sektoren beaufsichtigen etwa Energiavirasto, Tukes oder Fimea. Das NCSC-FI (Kyberturvallisuuskeskus) bei Traficom ist zentrale Anlaufstelle nach Artikel 8 NIS2 und beherbergt das nationale CSIRT, das von der Aufsicht getrennt arbeitet. Bußgelder setzt ein bei Traficom angesiedelter Sanktionsausschuss auf Antrag der zuständigen Aufsichtsbehörde fest.

Müssen finnische Tochtergesellschaften und die deutsche Muttergesellschaft doppelte NIS2-Compliance betreiben?

Häufig ja. Eine finnische Tochtergesellschaft, die die Kriterien erfüllt, unterliegt in der Regel dem Kyberturvallisuuslaki und der Aufsicht ihrer finnischen Sektorbehörde – unabhängig von den Pflichten der deutschen Muttergesellschaft gegenüber dem BSI. Die Sicherheitsanforderungen beider Länder beruhen auf Artikel 21 NIS2; Unterschiede bestehen vor allem bei den formalen Mechanismen: Registrierung bei der zuständigen finnischen Behörde und Meldung erheblicher Vorfälle an diese Behörde über den Meldedienst von Traficom. Eine konzernweite Sicherheitsarchitektur kann Synergien schaffen, wenn sie die finnischen Meldewege berücksichtigt.

Welche Sektoren sind in Finnland besonders relevant?

Für deutsch-finnische Unternehmensverbindungen sind vor allem Energie (Strom, Gas, Fernwärme, Wasserstoff), digitale Infrastruktur (Cloud, IXP, DNS, Rechenzentren), IKT-Dienstleister, Maschinenbau, Elektronik und elektrische Ausrüstungen, Fahrzeugbau sowie Chemie und Lebensmittel relevant. Ob eine konkrete finnische Einheit betroffen ist, richtet sich nach Tätigkeit, Größe und den Anhängen I und II des Kyberturvallisuuslaki.

Quellen

1. Finlex – Oikeusministeriö: Kyberturvallisuuslaki 124/2025 (konsolidierte Fassung), finlex.fi, Stand September 2026
2. Finlex – Oikeusministeriö: Laki kyberturvallisuuslain 26 §:n ja liitteen I muuttamisesta 785/2026, finlex.fi, 4. September 2026
3. Traficom – Liikenne- ja viestintävirasto: Cybersecurity Act passed by Parliament, obligations under the NIS 2 Directive enter into force 8 April 2025, traficom.fi, 8. April 2025
4. NCSC-FI – Kyberturvallisuuskeskus: Incident notification under the NIS 2 Directive, kyberturvallisuuskeskus.fi, 2025
5. Eduskunta: HE 71/2026 vp – Hallituksen esitys laeiksi turvallisuustutkintalain ja kyberturvallisuuslain 17 §:n muuttamisesta, eduskunta.fi, April 2026
6. Europäisches Parlament und Rat der EU: Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS2), EUR-Lex, Dezember 2022
7. Europäische Kommission: The Commission calls on 23 Member States to fully transpose the NIS2 Directive, digital-strategy.ec.europa.eu, 28. November 2024

Rechtshinweis: Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Für verbindliche Aussagen zur NIS2-Compliance empfehlen wir die Konsultation eines qualifizierten Rechtsanwalts oder Datenschutzbeauftragten.