MFA OT-järjestelmissä Ruotsin NIS2-sääntöjen mukaan – toimittajat ja hätäkäyttö
Milloin MFA vaaditaan Ruotsin OT-ympäristöissä? Opas MCFFS 2026:11 -määräykseen, etäkäyttöön ja dokumentointiin.
Lyhyesti: Kun Ruotsin MCFFS 2026:11 -määräyksen soveltuvat säännökset koskevat toimijaa, 4 luvun 17 § vaatii monivaiheista tunnistautumista (MFA) tuotantoympäristön IT- ja OT-osien järjestelmänhallintaan sekä henkilöstön ja toimittajien pääsyyn ulkoisesta verkosta. Muun pääsyn MFA-tarve on tunnistettava ja käsiteltävä. Jokainen paikallinen käyttöliittymäkirjautuminen ei automaattisesti kuulu samaan nimenomaiseen vaatimukseen.
Keitä vaatimukset koskevat?
Ensin selvitetään, kuuluuko toimija Ruotsin kyberturvallisuuslain (2025:1506) ja kyseisten määräysten piiriin. Energia, vesi ja teollisuus voivat kuulua mukaan, mutta pelkkä teollisuuslaitteen omistus ei ratkaise NIS2-soveltuvuutta.
Soveltamisalan rajoitus: Määräyksen 1 luvun 1 §:n mukaan eräillä yksinomaan luetelluilla aloilla toimivilla, myös tietyillä digitaalisten ja yritysten välisten ICT-palvelujen tarjoajilla, vain johdon koulutusta koskeva pykälä soveltuu tämän määräyksen nojalla. Muut ja tiukemmat vaatimukset on tarkistettava.
OT:n MFA-päätöstaulukko
| Pääsytilanne | Arvio 4 luvun 17 §:n mukaan |
|---|---|
| OT-tuotantoympäristön järjestelmänhallinta | MFA on nimenomaisesti pakollinen. |
| Työntekijä tai toimittaja ulkoisesta verkosta | MFA vaaditaan digitaaliseen ympäristöön pääsyssä. |
| Erityistä suojaa edellyttävän tiedon IT-järjestelmä | MFA on nimenomaisesti pakollinen. |
| Paikallinen käyttäjä ilman hallintaoikeutta | Arvioi ja käsittele MFA-tarve; älä oleta hallintavaatimusta automaattisesti. |
Turvallisen käytön dokumentointi
- Tarkista oikeushenkilön, toimialan ja määräysten soveltuminen.
- Luetteloi IT/OT-segmentit, etäyhteydet ja toimittajien hallintaoikeudet paljastamatta arkaluonteista verkkokuvaa.
- Luokittele pääsyt pakollisiin, tarveharkintaisiin ja tämän määräyksen ulkopuolisiin; kirjaa peruste ja vastuuhenkilö.
- Testaa todellinen MFA-ketju; pelkkä toimintaperiaate ei riitä näytöksi.
- Rajaa toimittajan oikeuksia ja niiden kestoa, päätä käyttöoikeudet ja tarkista lokit.
- Kirjaa puutteet, vastuu, määräajat, uusintatestit ja johdon päätökset suojattuun rekisteriin.
Hätäkäyttö ei ole yleinen poikkeus
Tunnistautumisjärjestelmän häiriötä varten tarvitaan ennalta hyväksytty ja harjoiteltu varamenettely. Hätätili tai paikallinen huoltoportti ei automaattisesti vapauta sitovasta MFA-vaatimuksesta. Arvioi varatunnistautuminen, rajatut oikeudet, kaksoisvalvonta ja lokitus. Ruotsin FRA voi 7 luvun 1 §:n mukaan myöntää yksittäisen poikkeuksen erityisin perustein; sisäinen riskin hyväksyminen ei ole sama asia.
Kaksi esimerkkiä
Esimerkki 1 – vesilaitoksen etähuolto: Toimittaja hallinnoi ohjauspalvelinta VPN:n kautta. Tarkista ulkoinen yhteys ja OT-hallinta, testaa MFA sekä oikeudet ja lokit.
Esimerkki 2 – paikallinen HMI: Käyttäjällä ei ole hallintaoikeuksia eikä ulkoista yhteyttä. Dokumentoi erillinen MFA-tarveharkinta ja suoja luvattomia muutoksia vastaan.
Usein kysyttyä
Tarvitseeko jokainen PLC tai HMI oman MFA-ikkunan?
Ei välttämättä. Pääsyketju ja oikeudet ratkaisevat; MFA voidaan toteuttaa asianmukaisessa yhteyspisteessä.
Voiko toimittajalla olla pysyvä yhteiskäyttöinen huoltotili?
Se aiheuttaa jäljitettävyysriskejä. Arvioi identiteetti, vähimmäisoikeudet, kesto ja lokit 14–17 ja 21 §:n mukaan.
Voiko yritys poiketa MFA:sta vanhan laitteen vuoksi?
Ei yksin sisäisellä päätöksellä. Selvitä vaatimuksenmukainen ratkaisu ja virallinen poikkeus 7 luvun 1 §:n mukaisesti.
Lähteet ja oikeudelliset rajaukset
Cybersecurity Act (2025:1506) · NCSC/FRA: MCFFS 2026:11 · MCFFS 2026:11, full wording.
Oikeudellinen toimituksellinen tarkistus 13.11.2026. Yleistä tietoa Ruotsin oikeudesta; ei yksilöllistä neuvontaa eikä tietoturva-auditointia.
Aloita soveltamisalan arvioinnista: Ennen OT-käyttöoikeuksien määrittämistä selvitä, kuuluuko organisaatio Ruotsin kyberturvallisuuslain piiriin ja mikä sen rooli on. Lue Mitkä organisaatiot kuuluvat NIS2:n ja Ruotsin kyberturvallisuuslain piiriin?.
Käytännön asiakirjamallit
Muokattava Word-, PDF- ja Excel-paketti: NIS2 MFA OT:ssä 2026 – toimittajan pääsy, hätäpääsy ja valvontapöytäkirja | Word/PDF/Excel. Tarkista toimitettavat tiedostot tuotesivulta.
Artikkelin asiakirjapohjat
Lue lisää aiheesta
Oppaita yrityksille – sopimukset, HR, tekoäly ja vaatimustenmukaisuusMitkä yritykset kuuluvat NIS2-direktiivin ja kyberturvallisuuslain soveltamisalaan?
Näin ruotsalaiset toimijat arvioivat, kuuluvatko ne kyberturvallisuuslain piiriin: sektori, sijoittautuminen, koko, erityistapaukset, olennaiset/tä...
