Mitä CII-operaattoreilta nyt vaaditaan?

1. Valtion kehittämä uhkien havaitsemisratkaisu otetaan käyttöön verkon eri osissa

Kriittisen tietoinfrastruktuurin omistajien on tehtävä yhteistyötä Singaporen kyberturvallisuusviranomaisen CSA:n (Cyber Security Agency of Singapore) kanssa ja otettava käyttöön paikallisesti kehitettyjä uhkien havaitsemisjärjestelmiä verkon olennaisissa osissa. Tavoitteena on havaita haitallinen toiminta paitsi virallisesti nimetystä CII-järjestelmästä myös siihen liittyvästä toimintaympäristöstä.

Vaatimus on merkittävä, koska hyökkääjä voi käyttää heikommin suojattua järjestelmää väylänä kriittiseen infrastruktuuriin. Singapore on kertonut, että uhkatoimijat kohdistavat hyökkäyksiä yhä useammin CII:n ulkopuolisiin järjestelmiin juuri tästä syystä.

2. Kyberturvallisuudesta tulee koko hallituksen vastuulla oleva asia

Päivitetty malli siirtää vastuun pois pelkästään IT-osastolta tai yhdeltä nimetystä johtajasta. Koko hallituksen ja ylimmän johdon odotetaan valvovan kyberriskejä ja organisaation palautumiskykyä.

Hallituksen on ylläpidettävä dokumentoitua kyberresilienssikehystä, jossa käsitellään:

• organisaation kyberriskin sietokykyä;
• riskien lieventämistä ja hallintaa;
• mahdollisia riskinsiirtojärjestelyjä; sekä
• toiminnan palauttamisen prioriteetteja ja valmiuksia.

Kehys on tarkistettava vähintään kerran vuodessa.

Kyse ei siten ole kertaluonteisesta vaatimustenmukaisuustarkistuksesta, vaan jatkuvasta hallinnollisesta vastuusta. Hallituksen on määriteltävä, kuinka paljon riskiä organisaatio hyväksyy ja miten kriittinen toiminta palautetaan vakavan kyberhäiriön jälkeen.

3. Valvonta ulottuu CII:hin yhdistettyihin järjestelmiin

CII:n omistajien on valvottava järjestelmiä, jotka liittyvät kriittiseen infrastruktuuriin, viestivät sen kanssa tai tukevat sen toimintaa. Vaatimuksiin kuuluvat myös vahvempi verkkoarkkitehtuuri, valvonnan ja uhkien havaitsemisen hallinta sekä kattavat kyberturvallisuusharjoitusten suunnitelmat koordinoitua häiriötilanteisiin vastaamista varten.

Käytännössä operaattoreiden on muodostettava aiempaa täydellisempi kuva riippuvuuksistaan. CII:n ulkopuolinenkin järjestelmä voi vaatia tarkempaa valvontaa, jos sen kautta voi päästä kriittisiin palveluihin tai jos se vaikuttaa hyökkäyksen jälkeiseen palautumiseen.

4. Tukeville ei-CII-järjestelmille vaaditaan Cyber Trust Mark -taso 5

CII:n omistajien on saavutettava Cyber Trust Mark (CTM) -sertifioinnin taso 5 vuoden 2027 loppuun mennessä niiden hallitsemille ei-CII-järjestelmille, jotka tukevat liiketoimintaa tai palvelujen tuottamista. Vaatimus laajentaa varmistamisen koskemaan myös järjestelmiä, joita ei ole virallisesti nimetty kriittiseksi infrastruktuuriksi.

Taso 5 on Singaporen Cyber Trust -kehyksen korkein taso. Laajennettu sertifiointiohjelma kattaa muun muassa perinteisen kyberturvallisuuden, pilviturvallisuuden, operatiivisen teknologian turvallisuuden ja tekoälyn turvallisuuden.

Tavoitteena on pienentää kuilua erittäin suojatun CII-järjestelmän ja sitä ympäröivän yritysinfrastruktuurin välillä. Järjestelmät voivat jakaa esimerkiksi tunnuksia, ylläpitotyökaluja, verkkoja tai palautumisprosesseja.

Miksi Singapore kiristää sääntöjä?

Tekoäly lyhentää puolustautumiseen käytettävissä olevaa aikaa

CSA:n mukaan päivitetty ohjeisto vastaa APT- ja tekoälyavusteisiin uhkiin. Tekoäly voi auttaa hyökkääjiä toimimaan nopeammin, laajemmassa mittakaavassa ja aiempaa kehittyneemmin. Tämä kasvattaa painetta havaita epäilyttävä toiminta varhain ja reagoida koko ympäristössä, eikä vain kapean verkkorajauksen sisällä.

Vastaus ei siksi rajoitu yhteen uuteen tekniseen suojakeinoon. Havaitseminen, hallinto, sertifiointi ja harjoitukset muodostavat kokonaisuuden, jonka avulla operaattorit voivat tunnistaa uhat, tehdä päätöksiä nopeasti ja palauttaa kriittiset palvelut, jos hyökkäyksen estäminen epäonnistuu.

UNC3886 osoitti televiestinnän strategisen arvon

UNC3886:n vuonna 2025 toteuttama kampanja kohdistui Singaporen neljään suureen teleoperaattoriin. Singapore kuvasi toimintaa tarkoitukselliseksi, kohdennetuksi ja hyvin suunnitelluksi kampanjaksi, jonka takana oli kehittyneitä kyvykkyyksiä omaava toimija.

CSA on kuvannut UNC3886:ta valtiolliseksi APT-ryhmäksi, joka käyttää kehittyneitä tekniikoita, kuten järjestelmän omien työkalujen hyödyntämistä ja nollapäivähaavoittuvuuksia. Sen kohteena ovat korkean arvon strategiset omaisuuserät, mukaan lukien kriittinen infrastruktuuri.

Singapore vastasi tilanteeseen Operation CYBER GUARDIAN -operaatiolla, johon osallistui viranomaisia ja teleyrityksiä. Viranomaisten mukaan hyökkäys saatiin rajattua ilman televiestintäpalvelujen keskeytyksiä, eikä asiakastietojen vaarantumisesta löytynyt näyttöä.

Se, ettei palvelukatkosta raportoitu, ei tee tapauksesta merkityksetöntä muille toimialoille. Tapaus osoittaa, miksi televiestintää, energiaa, terveydenhuoltoa, rahoitusta, liikennettä ja muita välttämättömiä palveluja pidetään strategisina kohteina – ja miksi valvontaa laajennetaan CII:n ympärillä oleviin järjestelmiin ja toimittajiin.

Pilvipalvelut ja kolmannet osapuolet ovat seuraava suojakerros

Singapore aikoo ottaa vuoden 2026 jälkipuoliskolla käyttöön erillisen, oikeudellisesti sitovan Cybersecurity Code of Practice for Cloud Services -ohjeiston. Sen on määrä käsitellä pilviympäristöissä sijaitsevien CII-järjestelmien turvallista käyttöönottoa, käyttöä ja hallintaa.

CSA on laatinut AWS:n, Google Cloudin ja Microsoft Azuren kanssa palveluntarjoajakohtaisia soveltamisohjeita. Niissä käsitellään sopivia määrityksiä ja pilvipalveluiden omien turvallisuusominaisuuksien hyödyntämistä.

Sertifiointimääräajat ulottuvat myös kyberturvallisuuden toimitusketjuun:

• CII-auditoijien on saavutettava CTM-taso 5 vuoden 2026 loppuun mennessä.
• Lisensoitujen penetraatiotestaus- ja hallittujen turvallisuusvalvomopalvelujen tarjoajien on saavutettava CTM-taso 3 vuoden 2026 loppuun mennessä.
• CII:n omistajien on saavutettava CTM-taso 5 asiaankuuluville tukijärjestelmilleen vuoden 2027 loppuun mennessä.

Taustalla on laajempi periaate: kriittisen operaattorin turvallisuus riippuu paitsi sen omista suojauksista myös organisaatioista, jotka auditoivat, valvovat, testaavat ja isännöivät sen järjestelmiä.

Mitä ei vielä tiedetä?

CSA on julkaissut päivitetyt CII-vaatimukset, mutta erillisen pilvipalveluita koskevan ohjeiston yksityiskohdat ovat vielä kehittymässä. Julkisissa tiedoissa kerrotaan aikataulusta ja sääntöjen yleisestä painopisteestä, mutta pilvipalveluntarjoajia, alihankkijoita ja jaetun vastuun malleja koskevia täsmällisiä vaatimuksia ei ole vielä kokonaan määritelty.

CII-operaattoreiden välitön tehtävä onkin arvioida koko riippuvuusketjunsa: nimetyt CII-järjestelmät, liitännäisjärjestelmät, pilvikuormat, palautumisympäristöt, toimittajat ja ulkoistetut turvallisuuspalvelut. Singaporen politiikan suunta on selvä, vaikka kaikkia toimeenpanon yksityiskohtia ei ole vielä julkaistu: suojattava raja ei enää ole vain CII-merkinnän saanut järjestelmä, vaan koko toimintaa ylläpitävä ekosysteemi.

Mitä CII-operaattoreilta nyt vaaditaan?

1. Valtion kehittämä uhkien havaitsemisratkaisu otetaan käyttöön verkon eri osissa

Kriittisen tietoinfrastruktuurin omistajien on tehtävä yhteistyötä Singaporen kyberturvallisuusviranomaisen CSA:n (Cyber Security Agency of Singapore) kanssa ja otettava käyttöön paikallisesti kehitettyjä uhkien havaitsemisjärjestelmiä verkon olennaisissa osissa. Tavoitteena on havaita haitallinen toiminta paitsi virallisesti nimetystä CII-järjestelmästä myös siihen liittyvästä toimintaympäristöstä.

Vaatimus on merkittävä, koska hyökkääjä voi käyttää heikommin suojattua järjestelmää väylänä kriittiseen infrastruktuuriin. Singapore on kertonut, että uhkatoimijat kohdistavat hyökkäyksiä yhä useammin CII:n ulkopuolisiin järjestelmiin juuri tästä syystä.

2. Kyberturvallisuudesta tulee koko hallituksen vastuulla oleva asia

Päivitetty malli siirtää vastuun pois pelkästään IT-osastolta tai yhdeltä nimetystä johtajasta. Koko hallituksen ja ylimmän johdon odotetaan valvovan kyberriskejä ja organisaation palautumiskykyä.

Hallituksen on ylläpidettävä dokumentoitua kyberresilienssikehystä, jossa käsitellään:

• organisaation kyberriskin sietokykyä;
• riskien lieventämistä ja hallintaa;
• mahdollisia riskinsiirtojärjestelyjä; sekä
• toiminnan palauttamisen prioriteetteja ja valmiuksia.

Kehys on tarkistettava vähintään kerran vuodessa.

Kyse ei siten ole kertaluonteisesta vaatimustenmukaisuustarkistuksesta, vaan jatkuvasta hallinnollisesta vastuusta. Hallituksen on määriteltävä, kuinka paljon riskiä organisaatio hyväksyy ja miten kriittinen toiminta palautetaan vakavan kyberhäiriön jälkeen.

3. Valvonta ulottuu CII:hin yhdistettyihin järjestelmiin

CII:n omistajien on valvottava järjestelmiä, jotka liittyvät kriittiseen infrastruktuuriin, viestivät sen kanssa tai tukevat sen toimintaa. Vaatimuksiin kuuluvat myös vahvempi verkkoarkkitehtuuri, valvonnan ja uhkien havaitsemisen hallinta sekä kattavat kyberturvallisuusharjoitusten suunnitelmat koordinoitua häiriötilanteisiin vastaamista varten.

Käytännössä operaattoreiden on muodostettava aiempaa täydellisempi kuva riippuvuuksistaan. CII:n ulkopuolinenkin järjestelmä voi vaatia tarkempaa valvontaa, jos sen kautta voi päästä kriittisiin palveluihin tai jos se vaikuttaa hyökkäyksen jälkeiseen palautumiseen.

4. Tukeville ei-CII-järjestelmille vaaditaan Cyber Trust Mark -taso 5

CII:n omistajien on saavutettava Cyber Trust Mark (CTM) -sertifioinnin taso 5 vuoden 2027 loppuun mennessä niiden hallitsemille ei-CII-järjestelmille, jotka tukevat liiketoimintaa tai palvelujen tuottamista. Vaatimus laajentaa varmistamisen koskemaan myös järjestelmiä, joita ei ole virallisesti nimetty kriittiseksi infrastruktuuriksi.

Taso 5 on Singaporen Cyber Trust -kehyksen korkein taso. Laajennettu sertifiointiohjelma kattaa muun muassa perinteisen kyberturvallisuuden, pilviturvallisuuden, operatiivisen teknologian turvallisuuden ja tekoälyn turvallisuuden.

Tavoitteena on pienentää kuilua erittäin suojatun CII-järjestelmän ja sitä ympäröivän yritysinfrastruktuurin välillä. Järjestelmät voivat jakaa esimerkiksi tunnuksia, ylläpitotyökaluja, verkkoja tai palautumisprosesseja.

Miksi Singapore kiristää sääntöjä?

Tekoäly lyhentää puolustautumiseen käytettävissä olevaa aikaa

CSA:n mukaan päivitetty ohjeisto vastaa APT- ja tekoälyavusteisiin uhkiin. Tekoäly voi auttaa hyökkääjiä toimimaan nopeammin, laajemmassa mittakaavassa ja aiempaa kehittyneemmin. Tämä kasvattaa painetta havaita epäilyttävä toiminta varhain ja reagoida koko ympäristössä, eikä vain kapean verkkorajauksen sisällä.

Vastaus ei siksi rajoitu yhteen uuteen tekniseen suojakeinoon. Havaitseminen, hallinto, sertifiointi ja harjoitukset muodostavat kokonaisuuden, jonka avulla operaattorit voivat tunnistaa uhat, tehdä päätöksiä nopeasti ja palauttaa kriittiset palvelut, jos hyökkäyksen estäminen epäonnistuu.

UNC3886 osoitti televiestinnän strategisen arvon

UNC3886:n vuonna 2025 toteuttama kampanja kohdistui Singaporen neljään suureen teleoperaattoriin. Singapore kuvasi toimintaa tarkoitukselliseksi, kohdennetuksi ja hyvin suunnitelluksi kampanjaksi, jonka takana oli kehittyneitä kyvykkyyksiä omaava toimija.

CSA on kuvannut UNC3886:ta valtiolliseksi APT-ryhmäksi, joka käyttää kehittyneitä tekniikoita, kuten järjestelmän omien työkalujen hyödyntämistä ja nollapäivähaavoittuvuuksia. Sen kohteena ovat korkean arvon strategiset omaisuuserät, mukaan lukien kriittinen infrastruktuuri.

Singapore vastasi tilanteeseen Operation CYBER GUARDIAN -operaatiolla, johon osallistui viranomaisia ja teleyrityksiä. Viranomaisten mukaan hyökkäys saatiin rajattua ilman televiestintäpalvelujen keskeytyksiä, eikä asiakastietojen vaarantumisesta löytynyt näyttöä.

Se, ettei palvelukatkosta raportoitu, ei tee tapauksesta merkityksetöntä muille toimialoille. Tapaus osoittaa, miksi televiestintää, energiaa, terveydenhuoltoa, rahoitusta, liikennettä ja muita välttämättömiä palveluja pidetään strategisina kohteina – ja miksi valvontaa laajennetaan CII:n ympärillä oleviin järjestelmiin ja toimittajiin.

Pilvipalvelut ja kolmannet osapuolet ovat seuraava suojakerros

Singapore aikoo ottaa vuoden 2026 jälkipuoliskolla käyttöön erillisen, oikeudellisesti sitovan Cybersecurity Code of Practice for Cloud Services -ohjeiston. Sen on määrä käsitellä pilviympäristöissä sijaitsevien CII-järjestelmien turvallista käyttöönottoa, käyttöä ja hallintaa.

CSA on laatinut AWS:n, Google Cloudin ja Microsoft Azuren kanssa palveluntarjoajakohtaisia soveltamisohjeita. Niissä käsitellään sopivia määrityksiä ja pilvipalveluiden omien turvallisuusominaisuuksien hyödyntämistä.

Sertifiointimääräajat ulottuvat myös kyberturvallisuuden toimitusketjuun:

• CII-auditoijien on saavutettava CTM-taso 5 vuoden 2026 loppuun mennessä.
• Lisensoitujen penetraatiotestaus- ja hallittujen turvallisuusvalvomopalvelujen tarjoajien on saavutettava CTM-taso 3 vuoden 2026 loppuun mennessä.
• CII:n omistajien on saavutettava CTM-taso 5 asiaankuuluville tukijärjestelmilleen vuoden 2027 loppuun mennessä.

Taustalla on laajempi periaate: kriittisen operaattorin turvallisuus riippuu paitsi sen omista suojauksista myös organisaatioista, jotka auditoivat, valvovat, testaavat ja isännöivät sen järjestelmiä.

Mitä ei vielä tiedetä?

CSA on julkaissut päivitetyt CII-vaatimukset, mutta erillisen pilvipalveluita koskevan ohjeiston yksityiskohdat ovat vielä kehittymässä. Julkisissa tiedoissa kerrotaan aikataulusta ja sääntöjen yleisestä painopisteestä, mutta pilvipalveluntarjoajia, alihankkijoita ja jaetun vastuun malleja koskevia täsmällisiä vaatimuksia ei ole vielä kokonaan määritelty.

CII-operaattoreiden välitön tehtävä onkin arvioida koko riippuvuusketjunsa: nimetyt CII-järjestelmät, liitännäisjärjestelmät, pilvikuormat, palautumisympäristöt, toimittajat ja ulkoistetut turvallisuuspalvelut. Singaporen politiikan suunta on selvä, vaikka kaikkia toimeenpanon yksityiskohtia ei ole vielä julkaistu: suojattava raja ei enää ole vain CII-merkinnän saanut järjestelmä, vaan koko toimintaa ylläpitävä ekosysteemi.