Jatkuvuussuunnitelma – mitä sen tulisi sisältää ja miten se laaditaan?

Mallbutiken · Tietojen oikeellisuus tarkistettu 30. syyskuuta 2026 · Noin 9 minuutin lukeminen

Jatkuvuussuunnitelma kuvaa, kuinka liiketoiminta ylläpitää tai palauttaa priorisoidut toiminnot, kun normaalit työtavat eivät toimi. Suunnitelman tulisi olla riittävän konkreettinen käytettäväksi kiireessä: kuka sen aktivoi, mitä varamenetelmiä on olemassa, mitä resursseja tarvitaan, kehen otetaan yhteyttä ja miten paluu normaaliin toimintaan tapahtuu?

Jatkuvuussuunnitelma, kriisisuunnitelma ja häiriönhallintasuunnitelma – mikä on ero?

Asiakirjat menevät usein päällekkäin. Kyberhäiriö voi esimerkiksi aktivoida häiriönhallinnan, kriisijohtamisen ja jatkuvuussuunnitelman samanaikaisesti. Siksi roolien ja yhteydenottokanavien on oltava koordinoituja.

Mitä jatkuvuussuunnitelman tulee sisältää?

1. Tarkoitus, laajuus ja omistaja

Kuvaa, mitä toimintaa suunnitelma koskee, kuka siitä vastaa ja mihin oletuksiin se perustuu. Jos suunnitelmia on useita, tulisi ilmetä, miten ne liittyvät toisiinsa.

2. Aktivointikriteerit

Määritä, milloin suunnitelmaa käytetään. Se voi olla tilanne, jossa kriittisen toiminnon arvioidaan ylittävän hyväksytyn keskeytysajan, kun tärkeä toimitila muuttuu saavuttamattomaksi tai kun keskeistä järjestelmää ei voida palauttaa normaalin häiriöprosessin puitteissa.

3. Priorisoidut toiminnot ja palautustavoitteet

Suunnitelman tulee perustua vaikutustenanalyysiin (BIA). Listaa toiminnot, jotka on priorisoitava, ja niille asetetut palautustavoitteet. Lue miten Business Impact Analysis toteutetaan ennen kuin asetat aikatavoitteita ilman liiketoimintaperusteita.

4. Roolit ja päätöksentekoreitit

Määritä, kuka päättää aktivoinnista, ketkä funktiovastaavat johtavat palautusta, kuka viestii ja kuka dokumentoi tapahtumien kulun. Käytä rooleja pelkkien henkilönimien sijaan ja täydennä ajantasaisella yhteystietoluettelolla.

5. Varamenetelmät

Kuvaa, miten työ voi jatkua matalammalla, mutta hyväksyttävällä tasolla, kun normaali ratkaisu puuttuu. Varamenetelmän on oltava käytännössä toteutettavissa, ei vain ilmaisu ”työskentele manuaalisesti”.

6. Kriittiset resurssit ja riippuvuudet

• Henkilöstö ja sijaiset.
• Järjestelmät, tiedot ja käyttöoikeudet.
• Toimitilat ja työpisteet.
• Viestintä ja verkot.
• Toimittajat ja ulkoiset palvelut.
• Laitteet, varaosat ja varastot.
• Dokumentaatio ja yhteystiedot.

7. Viestintäsuunnitelma

Päätä, mitkä ryhmät tarvitsevat tietoa, kuka hyväksyy viestit ja mitä vaihtoehtoisia viestintäreittejä on käytettävissä, jos normaali sähköposti tai puhelinliikenne on alhaalla.

8. Paluu normaaliin toimintaan

Älä suunnittele vain alkutilannetta. Kuvaa, miten väliaikaiset manuaaliset rekisterit synkronoidaan, miten työjono käsitellään, kuka hyväksyy paluun normaaliin ja miten opitut asiat hyödynnetään jälkikäteen.

Näin laaditte käyttökelpoisen jatkuvuussuunnitelman

1. Tee BIA/vaikutustenanalyysi. Tunnista, mikä on kriittistä ja kuinka pitkiä keskeytyksiä voidaan sietää.
2. Arvioi riskit ja nykyinen kyvykkyys. Mitkä skenaariot ja haavoittuvuudet voivat kaataa kriittiset riippuvuudet?
3. Valitse jatkuvuusstrategiat. Varatoimitila, redundanssi, vaihtoehtoiset toimittajat, manuaaliset työtavat tai muut ratkaisut.
4. Kirjoita suunnitelma stressitilanteita varten. Lyhyet ohjeet, selkeät roolit, tarkistuslistat ja yhteydenottokanavat.
5. Testaa. Tarkista, että suunnitelma toimii realistisilla skenaarioilla.
6. Korjaa puutteet. Dokumentoi, mikä puuttuu ja kenen se tulee ratkaista.
7. Ylläpidä. Päivitä muutosten ja harjoitusten jälkeen.

Varamenetelmien on toimittava, vaikka riippuvuus olisi poissa

Yleinen virhe on, että varamenetelmä käyttää itse samaa resurssia, jonka häiriö on kaatanut. Jos ohjeet löytyvät vain alhaalla olevasta järjestelmästä tai yhteyshenkilön yhteystiedot ovat samassa identiteettialustassa, johon kukaan ei pääse, suunnitelmassa on sisäänrakennettu riippuvuus.

Tarkista siksi jokaisen kriittisen varamenetelmän osalta:

• Missä ohje on, jos normaali järjestelmä ei ole käytettävissä?
• Voidaanko käyttöoikeus antaa ilman normaalia identiteettiratkaisua?
• Onko käytössä offline-yhteys tai vaihtoehtoinen viestintäreitti?
• Mitä tietoa on oltava saatavilla paikallisesti?
• Voiko toimittaja toimittaa palvelua saman häiriön aikana?
• Kuinka kauan vararatkaisua voidaan käyttää?

Toimittajat ovat osa suunnitelmaa

Jos kriittinen toiminta perustuu SaaS-palveluun, käyttöpalvelukumppaniin, maksunvälittäjään tai muuhun ulkoiseen palveluun, sopimusehtojen ja jatkuvuuskyvykkyyden on vastattava omia tavoitteitasi. Lue mitä kyberturvallisuusvaatimuksia toimittajasopimuksissa voi olla tarpeen säädellä.

Testaa suunnitelma – muuten ette tiedä, toimiiko se

Harjoittelun ei tarvitse alkaa kalliilla täysimittaisella testillä. Pöytälaatikkoharjoitus voi paljastaa epäselvät roolit, puuttuvat puhelinnumerot tai epärealistiset aikatavoitteet. Sen jälkeen voidaan suorittaa teknisempiä testejä esimerkiksi varmuuskopioille, palautukselle, varaympäristölle tai vaihtoehtoiselle viestinnälle.

Testin jälkeen havainnot on muutettava toimenpiteiksi, joilla on vastuuhenkilö ja määräaika. Muuten harjoituksesta tulee vain dokumentaatio tiedossa olevista puutteista.

Jatkuvuus ja kyberturvallisuuslaki/NIS2

Kyberturvallisuuslain piiriin kuuluville toimijoille jatkuvuuden hallinta ja kriisinhallinta ovat yksi niistä alueista, joita turvatoimien on vähintään koskettava. Laki edellyttää asianmukaisia ja suhteellisia toimenpiteitä riskien perusteella; se ei määrää, että kaikkien organisaatioiden on käytettävä identtistä jatkuvuuspohjaa.

Tämä tarkoittaa, että dokumentaatio on kytkettävä todelliseen liiketoimintaan. Valmis asiakirja ilman juurrutettua BIA-analyysia, vastuunjakoa, testejä ja todellisia vararatkaisuja ei ole sama asia kuin toimiva jatkuvuuskyvykkyys.

Tarkistuslista ennen vahvistamista

• Ovatko suunnitelman laajuus ja omistaja selkeät?
• Perustuuko priorisointi ajantasaiseen BIA-analyysiin?
• Onko olemassa selkeät aktivointikriteerit?
• Ovatko roolit, sijaiset ja yhteydenottokanavat ajantasaisia?
• Onko tärkeimmille toiminnoille olemassa realistiset varamenetelmät?
• Ovatko ulkoiset toimittajat ja alihankkijat mukana?
• Pääseekö suunnitelmaan käsiksi, jos normaali IT-ympäristö on alhaalla?
• Onko paluu normaaliin toimintaan kuvattu?
• Onko suunnitelma testattu ja onko parannustoimenpiteet dokumentoitu?
• Onko seuraavalle tarkistukselle määritetty päivämäärä ja vastuuhenkilö?

Kerää analyysi, suunnitelma ja toimenpiteet työvirtaukseen

Mallbutikenin Jatkuvuussuunnitelma + BIA-paketti sisältää pohjat Word-, PDF- ja Excel-muodoissa vaikutustenanalyysia, riippuvuuksia, palautustavoitteita, varamenetelmiä ja toimenpiteiden suunnittelua varten. Hinta kaupassa: 249 kr.

Katso Jatkuvuussuunnitelma + BIA

Usein kysyttyjä kysymyksiä

Täytyykö jatkuvuussuunnitelman kattaa kaikki mahdolliset kriisit?

Ei. Vahva suunnitelma perustuu mieluummin kriittisten resurssien ja liiketoiminnan tarpeiden menetykseen kuin pitkään listaan erityisiä skenaarioita.

Onko varmuuskopio sama asia kuin jatkuvuus?

Ei. Varmuuskopio on tärkeä kontrolli tiedoille ja palautukselle, mutta jatkuvuus kattaa myös ihmiset, prosessit, toimitilat, toimittajat, viestinnän ja päätöksentekokyvyn.

Kuinka yksityiskohtainen suunnitelman tulee olla?

Niin yksityiskohtainen, että valmistautunut henkilö voi toimia häiriön aikana tarvitsematta keksiä työtapoja uudelleen. Liika taustateksti voi kuitenkin tehdä suunnitelmasta vaikeakäyttöisen.