Tarvitsevatko EU:n ulkopuoliset pilvi- tai SaaS-palveluntarjoajat sekä GDPR- että NIS2-edustajat?

• GDPR:n artikla 27 ja NIS2:n artikla 26 koskevat usein molemmat EU:n ulkopuolisia pilvi- ja SaaS-palveluntarjoajia
• GDPR:llä ei ole kokorajoitusta; NIS2 koskee pilvi/CDN/DNS-palveluita koosta riippumatta
• REP27, EU Presence, DataShield Guardian ja Regingada tarjoavat molemmat edustajat
• Julkaistut hinnat vaihtelevat laajasti; tarkista aina, mitä hintaan sisältyy
• Sanktioita voi olla jopa 10 miljoonaa euroa tai 2 % liikevaihdosta (GDPR)
• Nimitysprosessit, poikkeukset ja piilokulut vaihtelevat palveluntarjoajittain

Päivitetty 3 November 2026 · 8 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 3 November 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Lain vaatimukset: GDPR:n artikla 27 ja NIS2:n artikla 26

EU:n ulkopuoliset pilvi- ja SaaS-palveluntarjoajat, jotka palvelevat EU:ta, kohtaavat kaksi erillistä lakisääteistä velvoitetta:

• GDPR:n artikla 27 edustaja: Kaikkien EU:n ulkopuolisten rekisterinpitäjien tai käsittelijöiden, jotka tarjoavat tavaroita/palveluita tai seuraavat EU:n yksilöitä, on nimettävä EU-edustaja. Tämä koskee SaaS- ja pilvipalveluntarjoajia, vaikka palvelut olisivat B2B, kunhan käsiteltävät tiedot liittyvät EU:n yksilöihin. Ei ole minimikokorajaa – kaikki EU-tietoja käsittelevät EU:n ulkopuoliset toimijat ovat velvollisia noudattamaan. (GDPR Art. 27)
• NIS2:n artikla 26 edustaja: EU:n ulkopuolisten pilvi-, DNS-, CDN-, hallinnoitujen palveluiden, markkinapaikkojen ja sosiaalisten alustojen tarjoajien on nimettävä edustaja EU:n jäsenvaltiossa, jossa palveluita tarjotaan. Toisin kuin joissakin NIS2-velvoitteissa, tämä koskee näitä digitaalisia palveluita koosta tai liikevaihdosta riippumatta. (NIS2 Art. 26)

Nämä velvoitteet ovat kumulatiivisia. GDPR-edustajan nimitys ei vapauta NIS2-velvoitteista eikä päinvastoin. Molemmat toimivat EU-viranomaisten ja asianosaisten yhteyspisteinä, mutta kattavat eri oikeudelliset puitteet ja raportointivelvollisuudet. NIS2 sisältää esimerkiksi pakollisen häiriöraportoinnin ja rekisteröinnin kansallisille viranomaisille tammikuuhun 2025 mennessä, kun taas GDPR keskittyy tietosuojaan ja rekisteröityjen oikeuksiin.

Velvollisuuksien laiminlyönti voi johtaa ankariin seuraamuksiin. GDPR:n rikkomisesta voi seurata jopa 10 miljoonan euron tai 2 % liikevaihdon suuruiset sakot. NIS2 mahdollistaa jäsenvaltioille suoran täytäntöönpanotoimenpiteen EU:n ulkopuolisia palveluntarjoajia vastaan, vaikka edustaja olisi nimetty. Tämä tarkoittaa, että vaatimustenmukaisuus ei ole pelkkä edustajan nimitys, vaan myös jatkuva yhteistyö ja reagointi EU-viranomaisille.

Yhteenvetona EU:n ulkopuolisten SaaS- ja pilvipalveluntarjoajien tulee huolellisesti arvioida, laukaisevatko heidän toimintansa jommankumman tai molemmat velvoitteet, ja valita palveluntarjoaja, joka kattaa molemmat roolit tarvittaessa.

Kuinka valita: päätöstaulukko EU:n ulkopuolisille palveluntarjoajille

Oikean edustajan valinta riippuu liiketoimintamallista, palveluiden luonteesta ja asiakaskunnasta. Seuraava taulukko auttaa selkeyttämään, mitä tarvitset tilanteessasi:

Käytännön ohjeita:

• Tarkista tietovirrat: Jos käsittelet EU:n asukkaiden henkilötietoja, GDPR koskee sinua.
• Arvioi digitaaliset palvelut: Jos tarjoat pilvi-, CDN-, DNS- tai hallinnoituja palveluita EU:lle, NIS2 koskee sinua riippumatta henkilötietojen käsittelystä.
• Markkinapaikat: Jos myyt vain fyysisiä tuotteita Amazonin tai eBayn kaltaisten alustojen kautta etkä käsittele EU:n henkilötietoja tai tarjoa digitaalisia palveluita, tarvitset tuotevastuuhenkilön, ei GDPR- tai NIS2-edustajaa.
• EU:n toimipaikka: Jos yrityksesi on jo EU:ssa, nämä velvoitteet eivät koske sinua, ellei toimi EU:n ulkopuolisen emoyhtiön puolesta.

Palveluntarjoajan valinta, joka kattaa molemmat roolit (GDPR ja NIS2), voi yksinkertaistaa vaatimustenmukaisuutta, vähentää hallinnollista taakkaa ja varmistaa johdonmukaisen viestinnän viranomaisten kanssa. Varmista aina, että palveluntarjoaja pystyy hoitamaan molemmat velvoitteet ja tarkista julkaistut hinnat ja sisältyvät palvelut.

Mitä hinta todellisuudessa sisältää (ja ei sisällä)

Julkaistut hinnat GDPR- ja NIS2-edustajille vaihtelevat merkittävästi. On tärkeää ymmärtää, mitä kukin palveluntarjoaja sisällyttää perusmaksuun ja mistä voi aiheutua lisäkustannuksia. Tässä vertailu:

Palveluntarjoajien keskeiset tiedot:

• REP27: Tarjoaa GDPR- ja NIS2-edustajan, sertifikaatin, julkisen varmennuksen ja yhden sopimuksen useille rooleille. GDPR:n hinta alkaa 290 €/vuosi; NIS2-hinta pyynnöstä. Nimitykset allekirjoittaa Europe Services SE (EU) ja mukana on varmennettava sertifikaatti. (lähde)
• EU Presence: Maksaa 127 $/kk GDPR:stä ja 327 $/kk NIS2:sta (hinta vahvistettu lähdesivulla). Sisältää häiriöraportointityönkulun ja kattaa kaikki 27 EU-maata. (lähde)
• DataShield Guardian: Full Presence -paketti alkaen 12 000 $/vuosi, kattaa GDPR:n, NIS2:n, AI Actin, hallinnoidun tietosuojavastaavan ja vaatimustenmukaisuustuen. (lähde)
• Regingada: GDPR alkaen 490 €/vuosi; NIS2 pyynnöstä. Tarjoaa dokumentoidun välityksen, määräaikakirjanpidon ja toimii Saksassa. (lähde)

Pyydä aina yksityiskohtainen tarjous ja sopimus. Monet palveluntarjoajat eivät julkaise kaikkia lisämaksuja, kuten tapauskohtaisia maksuja, viranomaisvastauksia tai uusimiskustannuksia. Kysy näistä erikseen ennen sopimuksen allekirjoittamista.

Piilokulut ja mitä palveluntarjoajat yleensä eivät kerro

Vaikka palveluntarjoajat mainostavat vuosittaisia tai kuukausimaksuja edustajille, useita tärkeitä yksityiskohtia jätetään usein pois julkisista materiaaleista. Ostajien tulee olla tietoisia mahdollisista piilokuluista ja poissulkemisista:

• Irtisanomisajat: Kukaan yllä mainituista ei määrittele minimisopimusaikoja tai irtisanomisaikoja. Tarkista aina sopimuksesta nämä tiedot.
• Tapauskohtaiset maksut: Kukaan ei julkaise tapaus- tai viranomaispyyntökohtaisia maksuja. NIS2:n häiriöraportointi ja viranomaisyhteydet voivat aiheuttaa lisäkuluja. Pyydä täydellinen maksuluettelo.
• Vastuukattavuus: Julkista tietoa vastuukattojen tai poissulkemisten osalta ei ole. On tavallista, että palveluntarjoajat rajoittavat vastuunsa sakkojen tai vahinkojen osalta sopimuksessa – pyydä tämä osio nähtäväksi ennen allekirjoitusta.
• Palvelun poissulkemiset: Jotkut eivät sisällytä kaikkia viranomaisyhteyksiä, häiriöhallintaa tai sertifikaattien uusimista perushintaan. Esimerkiksi Regingada tarjoaa NIS2-edustajan vain pyynnöstä, eikä häiriöraportoinnin yksityiskohtia julkaista. DataShield Guardian yhdistää DPO:n ja tuen, mutta laajuus voi olla rajattu tiettyihin tunteihin tai tapauksiin.
• Varmennus ja dokumentaatio: REP27 tarjoaa julkisen sertifikaatin ja varmennuskoodin, mikä voi olla hyödyllistä vaatimustenmukaisuuden osoittamisessa viranomaisille ja markkinapaikoille. Kaikki eivät tarjoa tätä ominaisuutta.

Palveluntarjoajat eivät yleensä kerro:

• Vastaavatko he jokaiseen viranomaispyyntöön vai veloittavatko monimutkaisista tapauksista lisämaksuja
• Sisältyykö hintaan jatkuva vaatimustenmukaisuuden neuvonta vai pelkkä laillinen nimitys
• Kuinka nopeasti he käsittelevät häiriöraportteja tai viranomaiskirjeenvaihtoa
• Uusiutuuko sopimus automaattisesti ja millä ehdoilla

Vältä yllätyksiä pyytämällä aina koko sopimus, kysymällä yksityiskohtainen erittely sisältyvistä ja pois suljetuista palveluista sekä selvittämällä prosessi kiireellisten tapausten tai viranomaisvalvonnan varalta.

Nimitysprosessi: vaihe vaiheelta

GDPR- ja/tai NIS2-edustajan nimitys sisältää useita konkreettisia vaiheita. Prosessi varmistaa, että edustajalla on asianmukaiset valtuudet ja että yrityksesi on valmis vastaamaan EU-viranomaisille ja noudattamaan lakisääteisiä velvoitteita. Näin se yleensä toimii, käyttäen REP27:ää esimerkkinä:

1. Arvioi velvoitteesi: Käytä yllä olevaa päätöstaulukkoa selvittääksesi, tarvitsetko GDPR- ja/tai NIS2-edustajan. Tarkista tietojenkäsittelysi ja tarjoamasi digitaaliset palvelut EU:lle.
2. Valitse palveluntarjoaja: Vertaa palveluntarjoajia julkaisujen hintojen, sisältyvien palveluiden ja maineen perusteella. Varmista, että palveluntarjoaja pystyy hoitamaan molemmat roolit tarvittaessa.
3. Toimita yritystiedot: Sinun tulee antaa yrityksesi lakisääteiset tiedot, palvelukuvaukset ja tiedot EU-asiakkaista tai käyttäjistä. Esimerkiksi REP27 tarvitsee tiedoston, joka tarkistetaan ihmisen toimesta.
4. Palveluntarjoajan tarkastus: Palveluntarjoaja tarkistaa tiedostosi varmistaakseen, että tiedot ovat täydelliset ja oikeat. REP27 suorittaa tämän yleensä 24 työajan sisällä.
5. Nimitys ja allekirjoitus: Palveluntarjoajan toimielin allekirjoittaa nimityskirjeen, jolla heidät virallisesti nimetään edustajaksesi. REP27 toimittaa allekirjoitetun sertifikaatin, QR-koodin ja varmennuskoodin.
6. Vastaanota dokumentaatio: Saat allekirjoitetun nimityksen, sertifikaatin ja mallitekstin tietosuojaselosteeseen tai verkkosivulle. Tämä dokumentaatio on välttämätön viranomaisille, asiakkaille ja markkinapaikoille vaatimustenmukaisuuden osoittamiseksi.
7. Päivitä lakitiedot: Päivitä tietosuojaselosteesi, verkkosivusi ja (NIS2:n osalta) rekisteröi edustajan yhteystiedot asianmukaiselle kansalliselle viranomaiselle. NIS2 edellyttää rekisteröintiä tammikuuhun 2025 mennessä.
8. Jatkuva yhteistyö: Pidä yhteyttä edustajaasi häiriöraportointia, viranomaispyyntöjä ja vaatimustenmukaisuuden päivityksiä varten. Varmista, että ymmärrät kiireellisten ilmoitusten käsittelyprosessin ja palveluntarjoajan vasteajat.

Ostajan tarkistuslista:

1. Varmista, käsitteletkö EU:n henkilötietoja tai tarjoatko pilvi-/digitaalisia palveluita EU:lle.
2. Tarkista, koskevatko sekä GDPR että NIS2 toimintaasi.
3. Kokoa kaikki tarvittavat yritysdokumentit ja palvelukuvaukset.
4. Ota yhteyttä palveluntarjoajiin saadaksesi täydellisen tarjouksen ja sopimuksen, kysy lisämaksuista.
5. Tarkista sopimusehdot, mukaan lukien irtisanomisajat ja vastuukattavuudet.
6. Nimeä edustajasi ja vastaanota dokumentaatio.
7. Päivitä tietosuojaseloste ja rekisteröidy viranomaisille vaadittaessa.
8. Perusta sisäiset prosessit häiriöraportointiin ja viranomaisyhteyksiin.

Noudattamalla näitä vaiheita varmistat EU:n lakisääteisten vaatimusten täyttymisen ja vältät kalliit täytäntöönpanotoimet.

Riskit, sakot ja täytäntöönpano

GDPR:n artiklan 27 tai NIS2:n artiklan 26 noudattamatta jättäminen voi altistaa EU:n ulkopuoliset pilvi- ja SaaS-palveluntarjoajat merkittäville oikeudellisille ja taloudellisille riskeille. Näiden riskien ymmärtäminen on välttämätöntä harkittujen päätösten tekemiseksi:

• GDPR: GDPR-edustajan nimittämättä jättäminen on itsessään rikkomus, josta voi seurata jopa 10 miljoonan euron tai 2 % maailmanlaajuisesta vuotuisesta liikevaihdosta suuruinen sakko, kumpi tahansa on suurempi. Nämä sakot ovat GDPR:n muiden rikkomusten lisäksi. Viranomaiset voivat myös estää palvelusi EU:ssa tai määrätä laittomasti käsiteltyjen tietojen poistamisen.
• NIS2: NIS2:n mukaan jäsenvaltioilla on valtuudet ryhtyä suoriin täytäntöönpanotoimiin EU:n ulkopuolisia palveluntarjoajia vastaan, jotka eivät nimeä edustajaa. Tämä voi sisältää tutkimuksia, palvelun estämistä ja hallinnollisia seuraamuksia. Edustajan nimitys ei suojaa täytäntöönpanolta; se tarjoaa vain paikallisen yhteyspisteen viranomaisille.
• Rekisteröintiajat: NIS2 edellyttää, että EU:n ulkopuoliset palveluntarjoajat rekisteröivät edustajansa yhteystiedot asianmukaiselle kansalliselle viranomaiselle viimeistään 17. tammikuuta 2025. Rekisteröinnin laiminlyönti voi johtaa välittömiin vaatimustenmukaisuustoimiin.
• Häiriöraportointi: NIS2 velvoittaa kattavat palveluntarjoajat raportoimaan merkittävistä tietoturvahäiriöistä. Raportoinnin viivästykset tai laiminlyönnit voivat johtaa lisäsakkoihin ja mainehaittoihin.
• Maineen riski: Julkiset täytäntöönpanotoimet tai palveluiden estot voivat vahingoittaa brändiäsi ja heikentää asiakasluottamusta, erityisesti EU:n yksityisyydelle ja turvallisuudelle herkällä markkinalla.

Riskien lieventämiseksi nimeä pätevä edustaja, pidä dokumentaatio ajan tasalla ja luo selkeät sisäiset prosessit häiriötilanteiden ja viranomaisyhteyksien hallintaan. Tarkista vaatimustenmukaisuustilanne säännöllisesti ja päivitä edustajan tiedot liiketoiminnan muuttuessa.

Realistiset skenaariot: mitä sovelletaan ja helpoin reitti

Alla on kolme käytännön skenaariota, jotka havainnollistavat sääntöjen soveltamista ja helpointa vaatimustenmukaisuuden polkua kullekin:

• Skenaario 1: Yhdysvaltalainen SaaS-yritys, joka tarjoaa B2B- ja B2C-palveluita EU-asiakkaille
  Velvoitteet: Tarvitsee sekä GDPR:n artikla 27 että NIS2-edustajat. Yritys käsittelee EU:n henkilötietoja (GDPR) ja tarjoaa pilvipalveluita (NIS2).
  Vaatimustenmukainen reitti: Nimeä palveluntarjoaja (esim. REP27), joka kattaa molemmat roolit. Päivitä tietosuojaseloste edustajan tiedoilla, rekisteröidy asianmukaiselle NIS2-viranomaiselle ja ota käyttöön sisäiset häiriöraportointi- ja viranomaisyhteysprosessit.
• Skenaario 2: Kiinalainen Amazon-myyjä, joka vie vain fyysisiä tuotteita EU:hun
  Velvoitteet: Tarvitsee tuotevastuuhenkilön tuoteturvallisuusvaatimusten noudattamiseksi. Ei tarvitse GDPR- tai NIS2-edustajia, ellei käsittele EU:n henkilötietoja tai tarjoa digitaalisia/pilvipalveluita.
  Vaatimustenmukainen reitti: Nimeä tuotevastuuhenkilö (ei käsitelty tässä), varmista tuotteen merkinnät ja dokumentaatio sekä tarkista, aiheuttavatko digitaaliset palvelut tai tietojenkäsittely lisävelvoitteita.
• Skenaario 3: Brittiläinen verkkokauppa, joka myy EU-kuluttajille
  Velvoitteet: Tarvitsee GDPR-edustajan, jos käsittelee EU:n henkilötietoja. NIS2 koskee vain, jos kauppa tarjoaa myös pilvi- tai digitaalisia palveluita (ei pelkkä verkkokauppa).
  Vaatimustenmukainen reitti: Nimeä GDPR-edustaja (esim. REP27), päivitä tietosuojaseloste ja varmista, tarvitseeko NIS2-edustajaa. Jos ei, muita toimenpiteitä NIS2:n osalta ei tarvita.

Nämä skenaariot osoittavat, että velvoitteet riippuvat liiketoiminnan ja palveluiden luonteesta. Tee aina yksityiskohtainen arviointi ja ota yhteyttä kokeneeseen palveluntarjoajaan, joka hoitaa sekä GDPR- että NIS2-edustukset.