Huoltovarmuuskeskus simuloi tuulivoiman sabotaasin – yksi havainto nousi ylitse muiden
Suomalaiset tuulipuistot ovat yhä isompi osa sähköntuotantoa, ja samalla yhä houkuttelevampi maali. Kevään PUHALLUS-harjoituksessa testattiin, kuinka pitkälle hyökkääjä todella pääsisi.
Tiivistelma
Huoltovarmuuskeskus tunkeutui kolmen vapaaehtoisen tuulivoimayhtiön laitoksiin ja järjestelmiin osana PUHALLUS-harjoitusta. Keskeinen oppi viranomaiselta on selvä: hajautettu tuotantorakenne ei yksin riitä, jos toimijat eivät jaa tietoa keskenään.
Miltä näyttäisi tuulipuiston päivä, jos siihen kohdistuisi koordinoitu sabotaasiyritys? Tähän kysymykseen haettiin keväällä konkreettisia vastauksia. Huoltovarmuuskeskus järjesti PUHALLUS-projektin, jossa kolmen vapaaehtoisen tuulivoima-alan organisaation laitoksiin ja järjestelmiin tunkeuduttiin valvotusti.
Lyhenne tulee sanoista "Puistojen hallinta ulkoisessa sabotaasissa". Kumppaneina toimivat Traficomin Kyberturvallisuuskeskus ja Sähköpooli. Rahoitus tuli HVK:n Energia 2030 -ohjelmasta.
Fyysistä murtautumista ja työpöytäharjoitus
Harjoituksessa yhdistettiin kaksi lähestymistapaa. Ensin tehtiin fyysistä ja järjestelmätason tunkeutumistestausta osallistuvien yhtiöiden todellisissa ympäristöissä. Sen rinnalla pidettiin laaja työpöytäharjoitus, jossa kymmenet alan asiantuntijat kävivät läpi sabotaasiskenaarioita ja niihin reagoimista.
Osallistuvien yhtiöiden nimiä ei ole julkistettu. Huoltovarmuuskeskus kertoo tiedotteessaan, että tavoitteena oli löytää ne kohdat, joissa tuulivoiman tuotantoketju on aidosti haavoittuva. Samalla harjoiteltiin, miten poikkeustilanteessa toimitaan yli organisaatiorajojen.
Tuulivoiman osuus Suomen sähköntuotannosta on kasvanut nopeasti viime vuosina. Samalla tuulipuistot ovat siirtyneet huoltovarmuuden ytimeen. Kyberturvallisuuskeskus nostaa viikkokatsauksessaan 21/2026 PUHALLUKSEN esiin nimenomaan kriittisen infrastruktuurin näkökulmasta.
Tieto liikkuu liian hitaasti
Harjoituksessa nousi yksi havainto ylitse muiden. Monialaisen tiedonvaihdon hankaluus operaattoreiden, viranomaisten ja laitevalmistajien välillä osoittautui yhtä vakavaksi pullonkaulaksi kuin tekniset haavoittuvuudet.
Tuulipuistoja on Suomessa kymmeniä, ja ne ovat eri yhtiöiden omistuksessa. Hajautettu rakenne suojaa periaatteessa yhden pisteen pettämiseltä. Samalla yhdelläkään yksittäisellä toimijalla ei oikeastaan ole automaattisesti kokonaiskuvaa alan tilanteesta.
Operaattori näkee oman puistonsa hälytykset. Laitevalmistaja tuntee oman tuoteperheensä haavoittuvuudet. Viranomainen kerää tietoa kaikkialta, mutta ei aina reaaliajassa.
Hyökkääjä taas ei kunnioita näitä rajoja.
– PUHALLUS on parantanut ymmärrystämme tuulivoiman resilienssistä. Nämä järjestelmät ovat monimutkaisia ja kerroksellisia, eikä pelkkä hajauttaminen takaa resilienssiä, sanoo Paavo Tertsunen, Huoltovarmuuskeskuksen varautumisasiantuntija.
Tertsunen viittaa siihen, että koordinoidut viestintä- ja jatkuvuuskäytännöt ovat yhtä tärkeitä kuin yksittäisten laitosten suojaus. Yksi tapa rakentaa tätä koordinaatiota ovat niin sanotut ISAC-tietojenvaihtoryhmät, joissa saman toimialan yhtiöt jakavat havaintojaan luottamuksellisesti. Suomessa energia-alalla on jo oma ISAC-rakenteensa, ja PUHALLUS-projektissa kerätty tieto on tarkoitus syöttää sen kautta laajempaan käyttöön.
Luottamus rakentuu hitaasti. Kilpailijat eivät luonnostaan jaa tietoa siitä, missä omat järjestelmät vuotavat. Harjoitus on tapa madaltaa tätä kynnystä, kun yhtiöt näkevät samaan aikaan, miten kollegoiden ympäristössä reagoidaan.
Ulkoinen uhka, ei nimettyä vastustajaa
Huoltovarmuuskeskus puhuu tiedotteessaan "ulkoisesta sabotaasista" eikä nimeä vastustajaa. Linjaus on tarkoituksellinen. Tuulipuiston operatiiviseen toimintaan voi kohdistua niin valtiollisia, rikollisia kuin opportunistisiakin yrityksiä, ja puolustuksen on toimittava niitä kaikkia vastaan.
Tämä erottaa PUHALLUKSEN poliittisesti latautuneista uhka-arvioista. Painopiste on järjestelmissä ja prosesseissa, ei siinä, kuka mahdollisesti istuu näppäimistön takana.
Kotitalouden näkökulma jää välilliseksi
Kotitalouden sähkönsaanti ei näytä päältäpäin kytkeytyvän kyberharjoituksiin. Yhteys on silti todellinen: kun yhä isompi osa sähköstä tuotetaan tuulivoimalla, tuulipuistojen toimintavarmuus vaikuttaa siihen, miten verkko kestää häiriötilanteita.
Yksittäisen kuluttajan ei tarvitse tehdä tämän uutisen perusteella mitään. Kyberturvallisuuskeskuksen yleisohjeet kotitalouksien varautumiseen – varavalaisimet, käteistä, ajantasaiset yhteystiedot – täydentävät infraan kohdistuvaa työtä omalla tasollaan.
Jää nähtäväksi, miten nopeasti PUHALLUKSEN havainnot kääntyvät käytännön muutoksiksi alan yhtiöissä. Huoltovarmuuskeskuksen mukaan tulokset jaetaan jatkohankkeissa laajemmalle joukolle toimijoita, eivät pelkästään niille kolmelle, jotka olivat mukana. Sähköpoolin rooli on tässä keskeinen, sillä se kokoaa sähköalan toimijoita varautumistyön ympärille.
Tätä artikkelia kirjoitettaessa Huoltovarmuuskeskus ei ole vielä julkistanut yksityiskohtaisia teknisiä havaintoja. Sitä tuskin tehdäänkään, koska ne paljastaisivat osallistuvien yhtiöiden haavoittuvuuksia. Olennainen viesti on jo julki: hajautus auttaa, mutta vain yhteen suuntaan.