Kohti turvallisempaa terveydenhuoltoa (tiivistelmä)

Terveydenhuolto on yhä alttiimpi kyberuhille vanhentuneiden järjestelmien, vaihtelevien käytäntöjen ja inhimillisten erehdysten vuoksi. Sääntelytoimien ja teknisten ratkaisujen edistysaskeleista huolimatta toimeenpano jää edelleen pistemäisiksi. Tekoälyn ja kvanttilaskennan kaltaiset uudet teknologiat edellyttävät ripeitä turvaamistoimia terveydenhuollon järjestelmissä samalla kun ne monimutkaistavat toimintaympäristöä.

EU:n laajeneva kyberturvallisuussääntely vaikuttaa perusteellisesti eri aloihin, myös terveydenhuoltoon. Sääntelyn tärkein tavoite on yhdenmukaistaa käytäntöjä ja parantaa kriittisten toimijoiden, tuotteiden ja infrastruktuurin kestokykyä kyberuhkia vastaan. Uudet säädökset, kuten Euroopan unionin kyberturvallisuusdirektiivi (NIS2), kyberkestävyyssäädös ja tekoälyasetus, laajentavat toimijoiden joukkoa ja asettavat tiukempia vaatimuksia, mikä korostaa vahvan tietoturvan tarvetta digitaalisessa ympäristössä.

Eurooppa on havahtunut tarpeeseen suojella terveydenhuoltoa ja ryhtynyt lisätoimiin. Euroopan komission tammikuussa 2025 julkaisema kyberturvallisuuden toimintasuunnitelma sairaaloille ja terveydenhuollon tarjoajille sisältää edistyksellisiä ehdotuksia turvallisuuden parantamiseksi.

Sitra esittää seitsemän suositusta EU:n ja jäsenmaiden kyberuhkiin varautumisen parantamiseksi. Esimerkiksi kyberturvallisuuden sisämarkkinoita on vauhditettava, jotta turvallisuuspalvelujen rajat ylittävä myynti helpottuu. Yhteistyötä on tiivistettävä järjestämällä Euroopan laajuisia kyberturvallisuusharjoituksia.

Kyberturvallisuustoimille on asetettava selkeät tavoitteet, jotta niiden vaikuttavuutta voidaan mitata. Tämä koskee komission EU:lle ja jäsenvaltioille osoittamia toimintasuunnitelmaehdotuksia sekä terveydenhuollon organisaatioiden kyberturvallisuuden mittaamista ja parantamista.

Terveydenhuollon organisaatioiden on parannettava kyberturvallisuuden häiriönsietokykyä ennaltaehkäisemällä kyberhyökkäyksiä, toimimalla tehokkaasti hyökkäysten aikana ja kehittämällä toimintaa hyökkäysten jälkeen. Kyberturvallisuuden tulee olla osa kokonaisturvallisuutta, ja terveydenhuollon organisaatioille tulee osoittaa siihen riittävät resurssit.

Suomi toimii esimerkkinä siitä, miten terveydenhuollon kyberturvallisuus on järjestetty EU:n jäsenvaltiossa. Suomen kokonaisturvallisuuden mallissa kyberturvallisuuteen liittyvät vastuut jakautuvat useiden viranomaisten kesken. Ensisijainen vastuu on terveydenhuollon organisaatioilla, joita useat viranomaiset tukevat ja ohjaavat. Roolit ja vastuut on selkeästi määritelty normaaliolosuhteissa. Kansallinen kyberturvallisuusstrategia määrittelee ensisijaiset toimet.