Kansallisesti myöntämämme rahoitustuet

Mistä yksittäisen hankkeen rahoitus koostuu?

Rahoitus koostuu 25 % kansallisesta rahoituksesta, 25 % EU-rahoituksesta ja 50 % hakijan omasta rahoituksesta. Kansalliselle koordinointikeskukselle on myönnetty projektirahoitus Digitaalinen Eurooppa -ohjelmasta vuosille 2025–2029. Projektista tullaan myöntämään edelleen rahoitustukea yhteensä noin 3,7 miljoonaa euroa pienille ja keskisuurille yrityksille uusien kybersäädösten toimeenpanon tukemiseen ja kehittyneiden kyberturvallisuusratkaisujen käyttöönottoon ja levittämiseen.

Millä perustein rahoitustukea myönnetään?

Rahoitustuki on harkinnanvaraista ja sitä myönnetään hakukelpoisuuskriteerit täyttäville sekä parhaiten hakemusten arvioinnissa menestyville hakijoille. Saapuneet hakemukset arvioidaan Liikenne- ja viestintäviraston Kyberturvallisuuskeskuksessa. On mahdollista, että kaikki hakijat eivät tule saamaan myönteistä rahoitustukipäätöstä. Lisätietoja arviointiprosessista ja -kriteereistä löytyy hakuilmoituksesta.

Mitä hankkeen omavastuuosuus tarkoittaa?

Rahoitustuki voi kattaa enintään 50 % hankkeen toteutuneista ja hyväksytyistä kustannuksista, jolloin hankkeen omavastuuosuuden on oltava vähintään 50 %. Esimerkiksi hankkeen, jolle myönnetään 50 000 euroa tukea, kokonaiskustannusten on oltava vähintään 100 000 euroa. Omavastuuosuuden täytyy sisältyä rahoitettavaan hankkeeseen ja hankesuunnitelmaan ja sen tulee täyttää rahoitustuen ehdot.

Voidaanko yhdelle hakijalle myöntää rahoitustukea useampaan kuin yhteen hankkeeseen?

Yksi organisaatio/y-tunnus voi jättää vain yhden hakemuksen hakukierrosta kohti. Rahoitustukea voi hakea enintään 100 000 euroa. Hankkeen omavastuuosuus voi kuitenkin olla enemmän, kuin 50 %.

Vaikuttavatko yrityksen pääomasijoittajat hakukelpoisuuteen?

Pääomasijoittajilla saattaa olla vaikutusta yrityksen hakukelpoisuuteen, riippuen esimerkiksi hakijayritykseen kohdistuvista omistusosuuksista tai määräysvallan luonteesta tai määrästä. 

Lisäksi rahoitustukeen sovelletaan Euroopan parlamentin ja neuvoston asetuksen (EU) 2021/694 Digitaalinen Eurooppa -ohjelman perustamisesta 12 artiklaa. Euroopan unionin ja Euroopan talousalueen ulkopuolella toimivat tahot eivät saa käyttää suoraa tai epäsuoraa määräysvaltaa rahoitustuen saajaan turvallisuussyistä. Määräysvaltaa arvioitaessa sovelletaan kirjanpitolain (1336/1997) 5 §:ssä määriteltyä. Jos rahoitustuen saajan määräysvaltaan kuten omistukseen liittyvissä seikoissa tapahtuu muutoksia hankkeen aikana, tulee niistä ilmoittaa viipymättä valtionapuviranomaiselle osoitteeseen kyber.rahoitustuki(at)traficom.fi.

Mistä tiedän, onko edustamani organisaatio kooltaan mikrokokoinen, pieni tai keskisuuri?

Hakijan koon määritelmässä sovelletaan mikroyritysten sekä pienten ja keskisuurten yritysten määritelmästä annetun komission suosituksen 2003/361/EY liitettä kyberturvallisuuslain tarkoittamalla tavalla. Suosituksen liitteen mukaan mikroyritysten sekä pienten ja keskisuurten yritysten (pk-yritysten) luokka koostuu yrityksistä, joiden palveluksessa on vähemmän kuin 250 työntekijää ja joiden vuosiliikevaihto on enintään 50 miljoonaa euroa tai taseen loppusumma on enintään 43 miljoonaa euroa.

Komission suositus sisältää myös määritelmän yrityksen riippumattomuudesta. Yrityksen pääomasijoittajat ja konserni- ja tytäryhtiörakenne voivat vaikuttaa yrityksen riippumattomuuteen ja siten hakijan koon määritykseen. Komission suosituksessa puhutaan sidos- ja omistusyhteysyrityksistä. Sidosyritykset ovat yrityksiä, jotka muodostavat ryhmän joko siten, että yritys hallitsee suoraan tai epäsuorasti toisen yrityksen äänimäärän enemmistöä, tai siten, että yritys voi käyttää määräysvaltaa toiseen yritykseen. Sidosyritysten taloudellisista tiedoista (henkilöstömäärä, liikevaihto, tase) on lisättävä 100 % pk-yrityksen määritelmän kohteena olevan yrityksen tietoihin, jotta voidaan selvittää, täyttääkö se pk-yrityksen määritelmässä esitetyt henkilöstömäärää ja yhtä talouden kynnysarvoista (liikevaihto, tase) koskevat vaatimukset. Useimpien jäsenvaltioiden lainsäädännössä edellytetään, että tällaiset yritykset laativat konsernitilinpäätöksen tai että se sisällytetään toisen yrityksen tilinpitoon täyden konsolidoinnin kautta. Tällöin esimerkiksi konsernitilinpäätöksessä olevat taloudelliset tunnusluvut voivat olla oleellisia hakijan koon määrittelyssä. Jos yritys ei laadi konsernitilinpäätöstä ja sen sidosyrityksellä on puolestaan suhde muihin yrityksiin (omistusyhteysyritys tai sidosyritys), kyseisen yrityksen on lisättävä 100 % kaikkien sidosyritysten tiedoista ja suhteellinen prosenttiosuus omistusyhteysyritysten tiedoista omiin tietoihinsa. 

Omistusyhteysyritykset puolestaan ovat yrityksiä, jotka eivät ole itsenäisiä eivätkä sidosyrityksiä. Yritys on omistusyhteysyritys, jos yrityksellä on vähintään 25 % osuus toisen yrityksen pääomasta tai äänimäärästä ja/tai toisella yrityksellä on vähintään 25 % osuus kyseisen yrityksen pääomasta tai äänimäärästä. Omistusyhteysyrityksen on lisättävä tunnuslukuihinsa prosentuaalinen osuus sen kumppanin henkilöstömäärästä, liikevaihdosta ja taseesta.

Apua tulkintaan voi saada myös komission käyttöoppaasta pk-yrityksen määritelmästä. 

Edustamassani organisaatiossa työskentelee viimeisimmän tilinpäätöksen mukaisesti 300 henkilöä ja sen liikevaihto on alle 50 miljoonaa euroa ja tase alle 43 miljoonaa euroa. Onko edustamani yritys hakukelpoinen? 

Ko. organisaatio ei ole kokonsa puolesta hakukelpoinen. Hakijan koon määritelmässä sovelletaan mikroyritysten sekä pienten ja keskisuurten yritysten määritelmästä annetun komission suosituksen 2003/361/EY liitettä kyberturvallisuuslain tarkoittamalla tavalla. Suosituksen liitteen 2 artiklan mukaan mikroyritysten sekä pienten ja keskisuurten yritysten (pk-yritysten) luokka koostuu yrityksistä, joiden palveluksessa on vähemmän kuin 250 työntekijää ja joiden vuosiliikevaihto on enintään 50 miljoonaa euroa tai taseen loppusumma on enintään 43 miljoonaa euroa. Henkilöstömäärän raja-arvon ylitys riittää yksin sulkemaan hakijan haun ulkopuolelle.

Edustamassani organisaatiossa työskentelee viimeisimmän tilinpäätöksen mukaisesti alle 250 henkilöä, sen liikevaihto on yli 50 miljoonaa euroa, mutta tase on alle 43 miljoonaa euroa. Onko yritykseni hakukelpoinen?

Ko. organisaatio on kokonsa puolesta hakukelpoinen. Yrityksen henkilöstömäärä alittaa pk-yritykselle asetetun raja-arvon. Liikevaihdon ja taseen osalta vain toinen voi ylittää pk-yritykselle asetetut raja-arvot. Tässä tapauksessa liikevaihto ylittää asetetun raja-arvon, mutta tase alittaa asetetun raja-arvon, mikä on sallittua. On huomioitava, että myös muut omistussuhteet vaikuttavat hakijan kokoon ja niitä ei ole huomioitu tässä esimerkissä.

Onko ongelmallista, jos yritys täyttää hakemushetkellä pk-yrityksen määritelmän, mutta esimerkiksi henkilöstömäärä kasvaa yli 250 henkilön hankkeen aikana?

Henkilöstömäärän ja rahamääräisten arvojen laskennassa käytettävät tiedot arvioidaan viimeisimmän päättyneen tilikauden tietojen perusteella, ja ne lasketaan vuosittain. Rahoitustukipäätöksen jälkeen tapahtuva muutos henkilöstömäärässä, liikevaihdossa tai taseessa ei vaikuta myönnetyn rahoitustuen maksatukseen. Kun yrityksen vuotuiset tiedot tilinpäätöshetkellä ylittävät tai alittavat mainitut henkilöstömäärää koskevat tai rahamääräiset kynnysarvot, yritys saavuttaa tai menettää keskisuuren yrityksen, pienen yrityksen tai mikroyrityksen aseman ainoastaan siinä tapauksessa, että ylitys tai alitus toistuu kahtena peräkkäisenä tilivuotena.

Miten voin antaa Suomi.fi-valtuudet rahoitustuen hakemiseen?

Valtuuksien antamista varten täytyy kirjautua Suomi.fi-sivustolle ja antaa hakemuksen täyttävälle henkilölle valtuus: 'Tietoturvan kehittämisen tuen hakeminen'.

Eritelläänkö hankesuunnitelman palkkakustannuksissa myös ostopalveluun sisältyvät henkilöstökulut?

Hankesuunnitelman palkkakustannuksissa ilmoitetaan ainoastaan hakijan sisäiset palkkakustannukset. Ostopalvelun kustannukset ilmoitetaan kokonaiskustannuksena (sisältäen esim. palveluntarjoajan henkilöstökustannukset) ostopalvelut -kohdassa.

Jos ostopalvelukustannus sisältää lisenssin, tuleeko lisenssi eritellä hankesuunnitelman -lisenssit kohdassa?

Lisenssikulua ei ole tarpeen erotella ostopalvelusta eli ostopalvelun hinta ilmoitetaan kokonaiskustannuksena. Ostopalvelun sisällön erittelyssä on kuitenkin tarpeen tuoda esiin, mille ajalle lisenssikulu kohdistuu. Hankkeelle voi sisällyttää lisenssikustannuksia vain siltä osin, kuin ne kohdistuvat hankeajalle.

Miten toimin, jos hankkeeseen tulee muutoksia hakemusten käsittelyprosessin tai hankkeen toteutuksen aikana?

Kaikki merkittävät muutokset esimerkiksi yrityksen omistajiin, yhteystietoihin, hankkeen sisältöön ja kustannuksiin liittyen tulee ilmoittaa ja tarpeen mukaan hyväksyttää valtionapuviranomaisella viipymättä. Osa muutoksista saattaa vaatia muutospäätöksen. Jos tuen saaja on epävarma muutoksen laajuudesta tai tarpeesta, asia kannattaa varmistaa valtionapuviranomaiselta olemalla yhteydessä sähköpostitse kyber.rahoitustuki(at)traficom.fi.

Pitääkö rahoitustukea saavan organisaation soveltaa hankintalakia?

Rahoitustuen saajan tulee noudattaa hankintalainsäädäntöä (laki julkisista hankinnoista ja käyttöoikeussopimuksista, 1397/2016) ja rahoitustuen saajan omia hankintaohjeistuksia. Valtioon, kuntiin tai seurakuntiin kuulumaton toimija on hankintalain tarkoittama hankintayksikkö ja velvollinen kilpailuttamaan hankintansa hankintalain mukaisesti, jos se täyttää hankintalaissa määritellyt julkisoikeudellisen laitoksen tunnusmerkit tai saa avustusta tiettyyn hankintaan yli 50 % hankinnan arvosta. Jos hankinnan arvonlisäveroton kokonaishinta ylittää 60 000 euroa, tulee hankinta kilpailuttaa julkisena hankintana. Jos yrityksen toteuttaman hankkeen omavastuuosuus on 50 % tai enemmän, raja-arvo ei täyty. 

Miten hankkeesta raportoidaan?

Hankkeesta raportoidaan sen päättymisen jälkeen. Raportoinnista ohjeistetaan erikseen myönteisessä rahoitustukipäätöksessä. Loppuselvityksen yhteydessä hakijan tulee esittää ja todentaa hankkeelle kohdentuneet toteutuneet kustannukset. Kun loppuselvitys on hyväksytty, tuen saajalle maksetaan loput 30 prosenttia myönnetystä rahoitustuesta.

Voiko hankkeeseen sisällyttää kustannuksia takautuvasti?

Vuoden 2025 hakukierroksella rahoitettuihin hankkeisiin voi sisällyttää kustannuksia, jotka ovat syntyneet hankeajalla 1.1–31.12.2026. Hankkeet ovat saaneet rahoituspäätökset alkuvuodesta 2026. Jos hanke on alkanut 1.1.2026 jälkeen ennen rahoituspäätöksen saamista, voi hankkeelle sisällyttää 1.1.2026 alkaen syntyneet kustannukset takautuvasti. 

Hankkeen aloittaminen ennen rahoituspäätöksen saamista on hakijan omalla vastuulla. Jos hankkeelle ei myönnetä rahoitusta, vastaa hakija jo syntyneistä kustannuksista täysimääräisesti itse. 

Onko tunkeutumistestaus (penetration testing) rahoitettava toimenpide (2025)?

Kyllä on, jos tunkeutumistestaus osuu hakuilmoituksen mukaisesti yhden tai useamman kyberturvallisuuslain 9 §:n toimenpiteeseen ja on hakijan kyberturvallisuutta koskevan riskienhallinnan toimintamallin mukaisesti perusteltavissa oleva toimenpide.

Katsotaanko ohjelmistojen kertakorvauslisenssien päivitykset tietoturvaltaan parannettuun versioon hyväksyttäväksi kustannukseksi (2025)?