18. maaliskuuta 2026 kello 15.02
SPK:n tunkeutumistestivaatimus salkunhoitoyhtiöille
Pääomamarkkinaneuvosto (SPK) on asettanut VII-128.10-numeroisella tietojärjestelmien hallintaa koskevalla tiedonannolla merkittäviä kyberturvallisuusvelvoitteita salkunhoitoyhtiöille. Tämä tiedonanto julkaistiin 13.03.2025 päivätyssä ja numerolla 32840 varustetussa virallisessa lehdessä ja tulee voimaan 30.06.2025. Sen myötä laitosten on pakollista testata tietojärjestelmiensä turvallisuus säännöllisesti.
Turkin pääomamarkkinayhdistys (TSPB) on lisäksi tiedottanut jäsenlaitoksilleen tästä velvoitteesta yleiskirjeellään.
Mitä yrityksiä tämä velvoite koskee?
Kaikki salkunhoitoyhtiöt, jotka kuuluvat SPK:n III-55.1-numeroisen salkunhoitoyhtiöitä koskevan tiedonannon 28. pykälän ensimmäisen kappaleen (a), (b) ja (c) kohtien piiriin; jokainen laitos, jolla on toimintavaltuutus, on velvollinen täyttämään tämän vaatimuksen.
Tähän piiriin kuuluvia laitoksia ovat:
- Salkunhoitoyhtiöt
- Rahastoyhtiöt
- Kryptovarallisuuspalveluntarjoajat (erillisten säännösten alaisia)
Minkä tiedonannon mukaan tunkeutumistesti suoritetaan?
Siirtymäkauden puitteissa, VII-128.10-numeroisen uuden tiedonannon väliaikaisen 1. pykälän mukaisesti, 31.12.2025 asti sovelletaan edelleen vanhan tiedonannon eli VII-128.9-numeroisen tietojärjestelmien hallintaa koskevan tiedonannon (kumottu tiedonanto) määräyksiä.
Tästä syystä salkunhoitoyhtiöiden on tehtätettävä vuoden 2025 tunkeutumistestit kumotun tiedonannon menettelyjen ja periaatteiden mukaisesti.
Vuoden 2025 aikataulu, johon tulee kiinnittää huomiota
- 13.03.2025: VII-128.10-numeroinen uusi tiedonanto julkaistiin virallisessa lehdessä
- 30.06.2025: Tiedonanto tuli voimaan
- 31.12.2025: Siirtymäkauden päättyminen — tähän päivään asti tunkeutumistesti suoritetaan vanhojen määräysten mukaan
- Vuoden 2025 jälkeen: VII-128.10:n ja uusien menettelyjen/periaatteiden noudattaminen pakollista
Miten tunkeutumistesti tulee suorittaa? Mitä sen tulee kattaa?
SPK:n piiriin kuuluvat tunkeutumistestit eivät ole pelkkä tekninen turvallisuusskannaus; ne ovat järjestelmällinen turvallisuusarviointi, joka kattaa laitoksen koko tietojärjestelmäinfrastruktuurin. Tyypillisesti niiden odotetaan kattavan seuraavat alueet:
- Verkkopankkipalvelut / Asiakasportaalit: Verkkosovelluksen ja API-turvallisuustestit
- Sisäinen verkkoinfrastruktuuri: Lähiverkko, Active Directory ja palvelinturvallisuus
- Ulkoinen hyökkäyspinta: Internetiin avoimet IP-osoitteet ja palvelut
- Mobiilisovellukset: iOS/Android-sijoitussovellukset
- Sosiaalinen manipulointi: Phishing-simulaatiot
Onko TSE-hyväksytty yritys pakollinen?
SPK edellyttää, että tunkeutumistestit suorittavat pätevät ja riippumattomat organisaatiot. Käytännössä palvelun hankkiminen TSE 13638 -standardin mukaisesti akkreditoiduilta yrityksiltä on turvallisin lähestymistapa tarkastuksessa hyväksymisen kannalta.
⚠️ Huomio: Salkunhoitoyhtiöt, jotka eivät teetätä tunkeutumistestiä vuoden 2025 loppuun mennessä, voivat kohdata vaatimustenvastaisuuden toteamisen SPK:n tarkastuksissa ja joutua hallinnollisten seuraamusten kohteeksi.
Miten tunkeutumistestiraportoinnin tulee olla?
SPK:n piiriin kuuluvien tunkeutumistestiraporttien tulee sisältää seuraavat elementit:
- Johdon yhteenveto: Kriittiset havainnot ja yleinen riskiarviointi
- Tekniset havainnot: Jokaiselle haavoittuvuudelle CVSS-pisteet, selitys ja todiste
- Riskien luokittelu: Kriittinen / Korkea / Keskitaso / Matala
- Korjaava toimintasuunnitelma: Ehdotettu ratkaisu ja prioriteetti jokaiselle havainnolle
- Uudelleentestausraportti: Korjattujen haavoittuvuuksien vahvistaminen
Ero BDDK:hon: SPK:n piiriin kuuluva tunkeutumistesti
Vaikka BDDK:n piiriin kuuluvat pankit ja SPK:n piiriin kuuluvat salkunhoitoyhtiöt ovat samanlaisten velvoitteiden alaisia, on olemassa joitakin eroja:
| Kriteeri | BDDK | SPK |
|---|---|---|
| Sääntelyviranomainen | Pankkisääntelystä ja valvonnasta vastaava viranomainen | Pääomamarkkinaneuvosto |
| Soveltamisala | Pankit, osallistumispankit, rahoitusyhtiöt | Salkunhoitoyhtiöt, välittäjät |
| Asianomainen tiedonanto | Tietojärjestelmien hallintaa koskeva asetus | VII-128.10-numeroinen tiedonanto |
| Jakso | Vähintään 1 kerta vuodessa | Vähintään 1 kerta vuodessa (uuden tiedonannon jälkeen) |
SPK:n mukainen tunkeutumistesti Nordis Globalin kanssa
Nordis Global tarjoaa SPK:n piiriin kuuluville salkunhoitoyhtiöille erikoistuneita tunkeutumistestipalveluita. TSE-hyväksytty ja ISO 27001 -sertifioitu tiimimme ei tarjoa pelkkää teknistä testiä, vaan kattavan raportointipaketin, joka hyväksytään tarkastuksessa.
- ✅ TSE 13638 -akkreditoitu tunkeutumistesti
- ✅ SPK:n raportointistandardien mukainen raporttimuoto
- ✅ Uudelleentestaus (vahvistus) sisältyy
- ✅ Hallitukselle suunnattu johdon yhteenveto
Täytä vuoden 2025 tunkeutumistestivelvoitteesi ajoissa ottamalla yhteyttä heti.
Samankaltaiset kirjoitukset