Geopoliittinen epävakaus, valtioiden tukema kybertoiminta ja muuttuva sääntely pakottavat brittiläiset ja irlantilaiset organisaatiot katsomaan teknisten eritelmien ulkopuolelle. Yhä useammin niiden on myös kysyttävä, kuka heidän kyberturvallisuutensa rakensi, missä se kehitettiin ja kuka sitä viime kädessä hallitsee.
Vuosien ajan digitaalista suvereniteettia käsiteltiin usein hallitusten ja puolustusorganisaatioiden erityiskysymyksenä.
Tämä asema on muuttumassa.
Terveydenhuollon palveluntarjoajat, paikallisviranomaiset, hallinnoidut palveluntarjoajat, kriittisen infrastruktuurin operaattorit ja muut säännellyt organisaatiot ovat yhä riippuvaisempia monimutkaisesta teknologiatoimittajien, pilvialustojen ja kansainvälisten toimitusketjujen verkostosta.
Samaan aikaan näitä teknologioita ympäröivästä geopoliittisesta ympäristöstä on tullut huomattavasti vähemmän ennustettava.
Heinäkuussa 2026 Yhdistyneen kuningaskunnan kansallinen kyberturvallisuuskeskus paljasti, että se oli käsitellyt yli 200 kyberhyökkäystä, jotka vaikuttivat kriittiseen kansalliseen infrastruktuuriin ja sen tukiekosysteemiin toukokuuhun päättyvän vuoden aikana. Noin kolmen neljäsosan uskottiin liittyvän vihamielisiin valtiollisiin toimijoihin.
Tämä muuttaa kyberturvallisuuden ostopäätöksen luonnetta.
Organisaatiot eivät enää arvioi vain sitä, pystyykö tietoturvatuote estämään haittaohjelmia tai tarkkailemaan verkkoliikennettä. Niitä pyydetään ottamaan huomioon omistajuus, lainkäyttöalue, tuotekehitys, päivitysmekanismit, pääsy lähdekoodiin, tukijärjestelyt ja mahdollisuus siitä, että strategiset riippuvuudet muuttuvat teknologian elinkaaren aikana.
Sääntely ulottuu organisaation ulkopuolelle
Yhdistyneen kuningaskunnan kyberturvallisuus- ja sietokykylaki on suunniteltu vahvistamaan keskeisten ja digitaalisten palvelujen turvallisuutta, mukaan lukien terveydenhuolto, energia, liikenne, vesi ja digitaalinen infrastruktuuri.
Ehdotettu kehys laajentaa myös kybersääntelyn soveltamisalaa alueille, kuten datakeskuksiin ja hallinnoituihin palveluntarjoajiin. Se antaa sääntelyviranomaisille laajemmat valtuudet käsitellä kriittisten toimittajien ja laajemman teknologiatoimitusketjun aiheuttamia riskejä.
Puolustuksen osalta puolustusministeriö vie erikseen kybervarmuutta syvemmälle toimittajaekosysteemiinsä puolustuksen kybersertifioinnin (Defence Cyber Certification) kautta. Jokaista teollisuuskumppania on pyydetty saavuttamaan DCC-taso 0 31. joulukuuta 2026 mennessä, mikä vahvistaa periaatetta, että suuren organisaation turvallisuutta voi heikentää pienempi, vähemmän suojattu toimittaja.
Irlanti etenee samaan suuntaan NIS2:n kautta. Kehys asettaa vahvemmat riskienhallinta-, tapahtumaraportointi- ja hallintovelvoitteet keskeisille ja tärkeille toimijoille, ja Irlannin kansallinen kyberturvallisuuskeskus julkaisee nyt erillistä kyberhallintaohjeistusta soveltamisalaan kuuluvien organisaatioiden johtoryhmille.
Suvereniteetti, sääntely ja toimitusketjun häiriönsietokyky ovat siksi alkamassa lähentyä.
Mitä suvereeni kyberturvallisuus oikeastaan tarkoittaa?
Suvereniteetti ei välttämättä tarkoita, että jokaisen komponentin on oltava valmistettu asiakkaan omassa maassa.
Se tarkoittaa kriittisen datan ja infrastruktuurin ympärillä olevien riippuvuuksien ymmärtämistä ja hallintaa.
Puolustus-, hallinto-, terveydenhuolto- ja kriittisen infrastruktuurin organisaatioille nämä eivät ole enää teoreettisia kysymyksiä.
Eurooppalainen lähestymistapa luotettuun turvallisuuteen
Stormshield tarjoaa selkeän eurooppalaisen vastauksen tähän haasteeseen.
Sen tutkimus- ja kehitystoiminta sijaitsee Ranskassa, missä yritys tekee yhteistyötä Ranskan kansallisen kyberturvallisuusviraston ANSSI:n kanssa, mukaan lukien lähdekoodin tarkastelu varmistaakseen, ettei siinä ole takaovia.
Stormshieldin ratkaisut omaavat useita eurooppalaisia ja kansainvälisiä sertifikaatteja ja pätevyyksiä, mukaan lukien Common Criteria, ANSSI-pätevyydet, NATO Restricted- ja EU Restricted -luokitukset. Yrityksen teknologia on jo käytössä valtion laitoksissa, teollisissa ympäristöissä ja puolustusorganisaatioissa.
Stormshield on myös Airbus Defence and Space Cyber Programmes -yhtiön täysin omistama tytäryhtiö, joka yhdistää sen kyberturvallisuustuotevalikoiman yhden Euroopan vakiintuneimman puolustus- ja ilmailualan organisaation kanssa.
Tämä ei tarkoita, että suvereniteetin pitäisi korvata suorituskyky, käytettävyys tai kaupallinen arvo valintakriteerinä. Se tarkoittaa, että suvereniteettia tulisi arvioida niiden rinnalla.
Keskustelun siirtäminen teoriasta todisteisiin
Monille organisaatioille haasteena on selvittää, miten suvereeni tietoturva-alusta toimii niiden todellisessa ympäristössä.
Hammerin Stormshield Proof of Value -palvelu tarjoaa kumppaneille ja asiakkaille käytännöllisen tavan arvioida teknologiaa todellisia toiminnallisia vaatimuksia vasten.
Sen sijaan, että luotettaisiin pelkästään ominaisuusvertailuihin ja tuote-esittelyihin, Proof of Value -sitoumusta voidaan käyttää sellaisten alueiden validoimiseen kuin sovellusnäkyvyys, uhkien torjunta, käytäntöjen hallinta, verkon suorituskyky, käyttöönoton monimutkaisuus ja yhteensopivuus organisaation laajemman infrastruktuurin kanssa.
Se luo myös mahdollisuuden tarkastella kysymyksiä, jotka usein jäävät huomiotta perinteisessä palomuuriarvioinnissa: missä luottamus sijaitsee, miten tuotetta hallinnoidaan ja tukeeko valittu alusta organisaation pitkän aikavälin suvereniteetti- ja sääntelytavoitteita.
KyberSuvereniteetti ei tarkoita organisaatioiden sulkemista pois maailmasta.
Kyse on siitä, että ne säilyttävät hallinnan, kun ympäröivä maailma muuttuu.