Ehdotuksen tausta ja tavoitteet
Hallituksen esityksessä ehdotetaan säädettäväksi finanssialan digitaalista häiriönsietokykyä koskevaa asetusta (EU:n DORA-asetus) täydentävät kansalliset säännökset. Lisäksi ehdotuksella pannaan täytäntöön DORA-asetuksen kanssa samaan aikaan annettu DORA-muutosdirektiivi sekä annetaan kyberturvallisuuden korkean tason varmistamista unionissa koskevan direktiivin (NIS2-direktiivi) ja kriittisten toimijoiden häiriönsietokykyä koskevan direktiivin (CER-direktiivi) täytäntöönpanon kannalta tarpeelliset säännökset siltä osin, kun ne koskevat pankkitoimintaa ja finanssimarkkinoiden infrastruktuuria. Ehdotetun sääntelyn tavoitteena on varmistaa finanssiyhteisöjen liiketoimintaprosesseja tukevien verkko- ja tietojärjestelmien digitaalisen häiriönsietokyvyn korkea taso sekä DORA-asetuksen mukaisten vaatimusten noudattaminen kansallisella tasolla. Asetus on jäsenmaissa suoraan sovellettavaa oikeutta, ja kansallista liikkumavaraa on vain hyvin rajallisesti. Sääntely on tarkoitettu tulemaan voimaan 17.1.2025.
EU:n DORA-asetus ja DORA-muutosdirektiivi ovat osa Euroopan komission toimenpidepakettia, jolla pyritään parantamaan digitaalisen rahoituksen tarjoamia mahdollisuuksia innovoinnin ja kilpailun vauhdittamiseksi, luomaan uusia vaihtoehtoja nykyisten rahoitus- ja maksupalvelujen rinnalle sekä vähentämään digitaaliseen rahoitukseen liittyviä riskejä. DORA-asetus asettaa yhdenmukaiset vaatimukset rahoitusalalla toimivien yhtiöiden ja organisaatioiden sekä niille tieto- ja viestintäalan palveluja tarjoavien kriittisten kolmansien osapuolten verkko- ja tietojärjestelmien turvallisuudelle. DORA-muutosdirektiivin avulla pyritään puolestaan varmistamaan, että DORA-asetukseen ja useihin muihin EU-säännöksiin sisältyvät tieto- ja viestintätekniikkariskin hallintaa koskevat vaatimukset muodostavat johdonmukaisen ja toimivan kokonaisuuden.
Rahoitusmarkkinat ovat yhteiskunnan toiminnan kannalta kriittinen toimiala, jonka toimintaympäristöön vaikuttavat olennaisesti muun muassa digitalisoituminen, tieto- ja viestintäteknisten ratkaisujen aiheuttamien riskien kasvu sekä Suomen ja Euroopan turvallisuusympäristön muutos. Talousvaliokunta toteaa, että toimintaympäristön radikaalin muuttumisen vuoksi on entistäkin tärkeämpää varmistaa finanssimarkkinoilla toimivien finanssiyhteisöjen ja muiden kriittisten toimijoiden kyberturvallisuuden korkea taso. Valiokunta pitää myös tärkeänä, että toimenpiteet rahoitusmarkkinoiden häiriönsietokyvyn parantamiseksi toteutetaan mahdollisimman tehokkaasti ja yhdenmukaisesti koko EU:n alueella.
Talousvaliokunta kiinnittää huomiota siihen, että EU:ssa on DORA-asetuksen ohella annettu myös muuta kyberturvallisuuteen vaikuttavaa lainsäädäntöä. Erityisesti on syytä huomioida elokuussa 2024 voimaan tullut EU:n tekoälyasetus, joka arvottaa erilaisten tekoälytoteutusten riskiä esimerkiksi toimialan perusteella, ja suuririskisiksi arvioiduille toimijoille asetetaan erilaisia riskienhallintaan liittyviä velvoitteita. Lisäksi nopeasti kehittyvän kvanttilaskennan mahdollisuudet tuovat uusia haasteita rahoitusmarkkinoiden kyberturvallisuudelle. Valiokunta korostaa, että myös näistä syistä tehokkaan ja johdonmukaisen EU:n kyberturvallisuusekosysteemin luominen ja jatkuva kehittäminen on välttämätöntä.
Dora-asetuksen soveltamisala ja suhde muuhun kyberturvallisuutta koskevaan sääntelyyn
EU:n DORA-asetusta sovelletaan laajasti rahoitusalan eri toimijoihin, joita ovat asetuksessa määritellyt finanssiyhteisöt sekä tieto- ja viestintäverkkopalvelujen tarjoajat eli TVT-palveluntarjoajina toimivat kolmannet osapuolet. Talousvaliokunta yhtyy useissa asiantuntijalausunnoissa esitettyyn näkemykseen, jonka mukaan sääntelyn soveltamisalan tulee kattaa laajasti eri finanssialan toimijat sekä sellaiset muut kriittiset toimijat, joiden toiminnalla on keskeinen merkitys rahoitusmarkkinoiden kyberturvallisuuden ja häiriönsietokyvyn turvaamisen näkökulmasta.
DORA-asetuksen 2 artiklan 4 kohdan nojalla jäsenvaltiot voivat jättää asetuksen soveltamisalan ulkopuolelle tietyt niiden alueella sijaitsevat EU:n luottolaitosdirektiivissä tarkoitetut yhteisöt. Tämän mukaisesti hallituksen esityksessä ehdotetaan, että Teollisen yhteistyön rahasto Oy (Finnfund) ja Finnvera Oyj jätetään DORA-asetuksen soveltamisalan ulkopuolelle. Perusteluina hallituksen esityksessä todetaan, että DORA-asetuksen mukaisena toimivaltaisena viranomaisena toimiva Finanssivalvonta ei valvo Finnfundia eikä Finnveraa. Lisäksi katsotaan, että DORA-asetuksen täytäntöönpanoa varten ei ole tarkoituksenmukaista luoda erillisiä valvontajärjestelyjä, vaan ohjausta ja valvontaa tulee arvioida kokonaisuutena näitä yhtiöitä koskevien lainsäädäntöuudistusten yhteydessä. Talousvaliokunta pitää hallituksen esityksen mukaista etenemistapaa perusteltuna. Valiokunta toteaa samalla, että sekä Finnvera Oyj:tä että Finnfundia koskevien lainsäädäntöjen kokonaisuudistukset ovat hallitusohjelman mukaisesti parhaillaan valmisteltavina ja pitää tärkeänä, että valmistelussa huomioidaan myös DORA-asetuksen digitaalista häiriönsietokykyä koskevat vaatimukset.
Työeläkesektori ei kuulu DORA-asetuksen soveltamisalaan, eikä hallituksen esitykseen sisälly ehdotuksia työeläkesektorin toimijoiden digitaalista häiriönsietokykyä koskevaksi sääntelyksi. Muutamassa asiantuntijalausunnossa kuitenkin todetaan, että työeläkevakuutusyhtiöille sekä työeläkevakuutustoimintaa harjoittaville eläkesäätiöille ja -kassoille tulisi kansallisesti säätää DORA-asetusta vastaavat digitaalista häiriönsietokykyä koskevat vaatimukset. Valiokunnan saaman selvityksen mukaan työeläkesektorista vastaava sosiaali- ja terveysministeriö pyrkii viemään asiaa eteenpäin lähitulevaisuudessa. Talousvaliokunta yhtyy asiantuntijalausunnoissa esitettyyn näkemykseen ja pitää tärkeänä, että myös työeläkevakuutusyhtiöiden digitaalista häiriönsietokykyä koskevat asianmukaiset ja ajantasaiset vaatimukset ja valvontatoimet.
Suhteellisuusperiaate.
DORA-asetuksen mukaan asetusta on sovellettava niin, että sen nojalla asetettavat velvoitteet ovat oikeassa suhteessa yhteisön kokoon ja yleiseen riskiprofiiliin sekä sen palvelujen ja toimintojen luonteeseen, laajuuteen ja monimutkaisuuteen. Säännöksen tarkoituksena on välttää tarpeetonta hallinnollista taakkaa. Talousvaliokunta pitää tätä tavoitetta sinänsä kannatettavana. Samalla se viittaa lausuntoonsa TaVL 26/2020 vp — U 58/2020 vp, jonka mukaan suhteellisuusperiaatetta DORA-asetuksen nojalla sovellettaessa on olennaista arvioida nimenomaan toimijan vaikutusta markkinaan, eikä yksinomaan sen kokoa. Tämä on tärkeää, koska myös pienen toimijan riskienhallinnan laiminlyönti voi aiheuttaa laajavaikutteisen ongelman, jolla voi olla haitallisia vaikutuksia esimerkiksi huoltovarmuuteen. Valiokunta katsoo, että valvonnan tulee olla tehokasta ja oikein kohdennettua, ja samalla on huolehdittava siitä, että se ei aiheuta finanssialan toimijoille tarpeetonta hallinnollista taakkaa.
DORA-asetuksen suhde NIS2-direktiiviin ja CER-direktiiviin.
DORA-asetus sääntelee finanssisektorin digitaalista häiriönsietokykyä yksityiskohtaisemmin ja kattavammin kuin NIS2- ja CER-direktiivit. Talousvaliokunta pitää useiden asiantuntijalausuntojen tavoin perusteltuna hallituksen esityksen linjausta, jonka mukaan CER- ja NIS2-direktiivien velvoitteita ei sovelleta DORA-asetuksen soveltamisalaan kuuluviin finanssialan toimijoihin. Linjaus on tarpeen, jotta vältetään eri sääntelyjen päällekkäinen soveltaminen sekä finanssialan toimijoille ja viranomaisille aiheutuva tarpeeton hallinnollinen taakka. Valiokunta kuitenkin korostaa, että NIS2-direktiivin ja CER-direktiivin nojalla kriittisiksi toimijoiksi luokitellut finanssialan toimijat eli luottolaitokset, kauppapaikkojen ylläpitäjät ja keskusvastapuolet tulee huomioida näiden direktiivien mukaisissa kansallisissa strategioissa ja toimenpiteissä sekä viranomaisten välisissä yhteistyörakenteissa, jotta voidaan varmistaa kyberturvallisuutta koskevien toimien johdonmukaisuus sekä viranomaisten välinen sujuva tiedonkulku. Ehdotus sisältää tämän mukaisesti NIS2- direktiivin ja CER-direktiivin täytäntöönpanoa koskevat säännökset siltä osin, kun on kyse pankkitoiminnasta ja finanssimarkkinoiden infrastruktuurin häiriönsietokyvystä.
DORA-asetusta ja DORA-muutosdirektiiviä täydentävät kansalliset säännökset
DORA-asetus on jäsenmaissa suoraan sovellettavaa oikeutta, joten se pitkälti määrittää sääntelyn aineellisen sisällön. Kansallisessa lainsäädännössä puolestaan säädetään toimivaltaisesta kansallisesta viranomaisesta ja sen toimivaltuuksista, hallinnollisista seuraamuksista sekä viranomaisten välisestä tietojenvaihdosta ja yhteistyöstä. Ehdotuksessa esitetään muutoksia Finanssivalvonnasta annettuun lakiin, eräisiin muihin rahoitusmarkkinoiden sääntelyä koskeviin lakeihin sekä Teollisen yhteistyön rahasto Oy -nimisestä osakeyhtiöstä (Finnfund Oy) ja Finnvera Oyj:stä annettuihin lakeihin.
Toimivaltainen viranomainen ja sen tehtävät
Ehdotuksen mukaan Finanssivalvonta toimii DORA-asetuksen säännösten noudattamista valvovana kansallisena toimivaltaisena viranomaisena. Lisäksi Finanssivalvonnan tehtävänä on edistää finanssimarkkinoilla toimivien kyberturvallisia toimintatapoja ja osallistua asetuksessa tarkoitettuun viranomaisten väliseen yhteistyöhön. Se vastaa myös uhkaperusteiseen tunkeutumistestaukseen kansallisella tasolla liittyvistä tehtävistä, ylläpitää ja jakaa tilannekuvaa tietoturvapoikkeamista ja kyberhyökkäyksistä sekä osallistuu huoltovarmuusorganisaation toimintaan. Lisäksi Finanssivalvonta toimii NIS2-direktiivin ja CER-direktiivin tarkoittamana toimivaltaisena viranomaisena siltä osin, kun on kyse pankkitoiminnasta tai rahoitusmarkkinoiden infrastruktuurista. Valiokunta viittaa saamiinsa asiantuntijalausuntoihin ja toteaa, että ehdotuksen mukaiset toimivaltaista viranomaista ja sen toimivaltuuksia koskevat ehdotukset ovat perusteltuja osana DORA-asetuksen kansallista täytäntöönpanoa.
Hallinnolliset seuraamukset
Finanssivalvonnasta annetun lain hallinnollisia seuraamuksia koskevia säännöksiä ehdotetaan täydennettäväksi niin, että Finanssivalvonta voisi määrätä korjaavia toimenpiteitä tai seuraamusmaksun sille, joka laiminlyö tai rikkoo DORA-asetuksen mukaisia velvoitteitaan. Asetuksen mukaan seuraamusten ja korjaavien toimenpiteiden on oltava tehokkaita, oikeasuhtaisia ja varoittavia.
Talousvaliokunta pitää ehdotettuja seuraamuksia koskevia säännöksiä perusteltuina ja oikeasuhtaisina. Finanssialan digitaalista häiriönsietokykyä koskevan sääntelyn yhteiskunnallisen merkittävyyden ja finanssimarkkinoiden valvonnan uskottavuuden näkökulmasta on tärkeää, että Finanssivalvonnalla on käytettävissä tehokkaat sanktiot tilanteissa, joissa DORA-asetuksen velvoitteita rikotaan tai laiminlyödään. Valiokunta pitää myös perusteltuna ehdotuksen mukaista linjausta siitä, että eri finanssialan sääntelyihin perustuvia vakavuudeltaan samankaltaisia rikkomuksia tulee säännellä ja arvioida mahdollisimman yhdenmukaisesti. Lisäksi valiokunta pitää erittäin tärkeänä, että ehdotuksessa on asiamukaisesti varmistettu kaksoisrangaistavuuden kiellon ja sitä koskevan EU:n tuomioistuinten oikeuskäytännön toteutuminen.
Tieto- ja viestintätekniikan palveluja tarjoavien toimijoiden valvonta
DORA-asetus sisältää myös tieto- ja viestintätekniikan palveluja (TVT-palvelut) tarjoavia kolmansia osapuolia koskevia velvoitteita. TVT-palveluilla tuetaan finanssiyhteisöjen keskeisiä toimintoja, ja näin ollen TVT-palvelujen tarjoajien toiminnalla on olennainen merkitys finanssimarkkinoiden häiriöttömän toiminnan näkökulmasta. Hallituksen esityksessä ehdotetaan, että nämä toimijat lisätään Finanssivalvonnan yleisten valvontavaltuuksia, lain mukaisia tiedonsaanti- ja tarkastusvaltuuksia ja seuraamuksia koskevien säännösten piiriin.
Muutamassa valiokunnan saamassa asiantuntijalausunnossa todetaan, että DORA-asetuksen TVT-palveluja koskevan sääntelyn suhde EU:n telesääntelyyn ja sähköisen viestinnän tietosuojadirektiiviin on osin epäselvä. Näiden asiantuntijalausuntojen mukaan on myös epäselvää, merkitseekö DORA-asetus finanssialan toimijoille tarjottavien palvelujen osalta poikkeusta sähköisen viestinnän luottamuksellisuutta koskevaan sääntelyyn. Niiden mukaan valmistelussa tulisi paremmin huomioida pitkään voimassa ollut telesääntely, jonka nojalla Traficom valvoo kattavasti sektorin toimintavarmuutta, häiriöttömyyttä, turvallisuutta ja luottamuksellisen viestinnän suojan toteutumista.
Talousvaliokunta toteaa, että DORA-asetus on TVT-palveluntarjoajina toimivia kolmansia osapuolia koskevien soveltamisala- ja valvontakehikkosäännösten osalta suoraan sovellettavaa oikeutta, joka ei mahdollista kansallista liikkumavaraa. Valiokunta viittaa myös valtiovarainministeriön 27.6.2024 päivättyyn vastineeseen, jonka mukaan Finanssivalvonnalla ei ole kansallisen sääntelyn nojalla oikeutta vaatia teleoperaattorien hallussa olevia tietoliikennetietoja. Suomessa oikeus saada televalvontatietoja on pakkokeinolaissa (806/2011) säädetyin edellytyksin ainoastaan poliisilla, jolle tuomioistuin voi antaa luvan saada televalvontatietoja, kun on kyse esimerkiksi törkeistä sisäpiiritiedon väärinkäyttöepäilyistä tai markkinoiden vääristämisepäilyistä. Valiokunta yhtyy valtiovarainministeriön vastineessa esitettyihin perusteluihin ja näkemykseen, jonka mukaan nyt käsiteltävänä oleva ehdotus ei vaaranna sähköisen viestinnän luottamuksellisuutta koskevan sääntelyn soveltamista tai sen tavoitteiden toteutumista.
Viranomaisten välinen yhteistyö kyberturvallisuuden edistämiseksi
Voimassa olevan lain mukaan Finanssivalvonnan tehtäviin kuuluu viranomaisyhteistyö sekä kansallisella tasolla että EU-säädösten nojalla perustettujen EU:n laajuisten yhteistyöjärjestelyiden puitteissa. Finanssivalvonnasta annettuun lakiin ehdotetaan tässä yhteydessä lisättäväksi uusi 3 f §, jossa säädetään Finanssivalvonnan ja muiden viranomaisten yhteistyöstä erityisesti kyberturvallisuuden edistämiseksi. Uuden säännöksen tarkoituksena on lähinnä selkeyttää Finanssivalvonnan ja muiden viranomaisten yhteistyön järjestämistä sekä korostaa aktiivisen viranomaisyhteistyön merkitystä kyberturvallisuuden korkean tason varmistamisessa. Tässä työssä keskeisiä viranomaisia Finanssivalvonnan ja Kyberturvallisuuskeskuksen ohella ovat erityisesti valtiovarainministeriö, Rahoitusvakausvirasto, Suomen Pankki ja Huoltovarmuuskeskus.
Asiantuntijalausunnoissa pidetään kannatettavina finanssivalvontalakiin ehdotettua uutta 3 f §:ää ja sitä täydentävää 71 §:n uutta 20 kohtaa, jonka mukaan Finanssivalvonnalla on oikeus DORA-asetuksessa määritellyin edellytyksin luovuttaa salassapitosääntöjen estämättä tietoja Liikenne- ja viestintäviraston Kyberturvallisuuskeskukselle. Lisäksi pidetään tärkeänä, että säännöksessä korostetaan Finanssivalvonnan velvollisuutta välittää saamansa poikkeamailmoitukset ilman aiheetonta viivytystä Kyberturvallisuuskeskuksen tietoon. Talousvaliokunta yhtyy näihin asiantuntijalausunnoissa esitettyihin näkemyksiin ja korostaa toimivan viranomaisyhteistyön keskeistä merkitystä finanssialan häiriönsietokyvyn vahvistamisessa. Valiokunta kuitenkin viittaa hallituksen esityksen perusteluihin ja korostaa, että yleinen yhteistyövelvoite ei itsessään tarkoita oikeutta poiketa tiedon salassapitoa koskevista säännöksistä, vaan salassa pidettävien tietojen luovuttaminen on arvioitava soveltuvien säännösten nojalla kussakin tapauksessa erikseen.
DORA-asetuksella ja sitä täydentävällä kansallisella sääntelyllä on vaikutuksia myös Rahoitusvakausviraston toimintaan. Kansallisena kriisinratkaisuviranomaisena toimivalla Rahoitusvakausvirastolla on lakisääteisten tehtäviensä hoitamiseksi oltava kattava tilannekuva luottolaitosten ja sijoituspalveluyritysten ajantasaisesta kyberturvallisuustilanteesta. Muutaman asiantuntijalausunnon mukaan ehdotettua 3 f §:n soveltamisalaa tulisi tämän vuoksi laajentaa niin, että EU-sääntelyn mukaisten toimivaltuuksien lisäksi säännöksessä huomioitaisiin kansallisesti säädetyt viranomaisten toimivaltuudet sekä Rahoitusvakausviraston tehtävät huoltovarmuustilijärjestelmää hallinnoivana viranomaisena.
Talousvaliokunta yhtyy valtiovarainministeriön 27.6.2024 päivätyssä vastineessa esitettyyn näkemykseen, jonka mukaan Rahoitusvakausvirastolla on voimassa olevan lain mukaan riittävät ja kattavat oikeudet saada tarvittavat tiedot DORA-asetuksen mukaisten tehtäviensä hoitamiseksi. Rahoitusvakausviranomaisesta annetun lain (1195/2014) 7 luvun 2 ja 4 §:ssä säädetään Rahoitusvakausviraston oikeudesta saada Suomen Pankilta, Finanssivalvonnalta ja muilta viranomaisilta sekä rahoitusmarkkinoilla toimivalta oikeushenkilöltä ja tämän palveluksessa olevalta luonnolliselta henkilöltä tehtäviensä hoitamiseksi välttämättömät tiedot. Lisäksi eräistä huoltovarmuuden turvaamisen järjestelyistä rahoitusalalla annetun lain (666/2022) mukaan luottolaitoksen on toimitettava Rahoitusvakausvirastolle laissa tarkoitetut huoltovarmuustilijärjestelmän käyttöönottoon ja toimintaan liittyvät välttämättömät ja ajantasaiset tiedot.
Finanssivalvonnan määräyksenantovaltuudet
Finanssivalvonnan määräyksenantovaltuuksia koskevaan Finanssivalvonnasta annetun lain 18 §:n 2 momenttiin ei ehdoteta muutoksia. Yhden asiantuntijalausunnon mukaan määräyksenantovaltuuksia tulisi täydentää niin, että Finanssivalvonta voisi antaa määräyksiä DORA-asetuksen soveltamisalaan kuuluvien valvottavien velvollisuudesta raportoida tieto- ja viestintätekniikkapoikkeamista myös tilanteissa, joissa DORA-asetus ei edellytä raportointia. Lisäksi lausunnossa todetaan, että Finanssivalvonnan tulisi voida antaa määräyksiä TVT-poikkeamien raportoinnista myös niille valvottaville, jotka eivät kuulu DORA-asetuksen soveltamisalaan. Näitä valvottavia ovat esimerkiksi eläkevakuutussektorin toimijat.
Valtiovarainministeriön vastineessa ja hallituksen esityksessä nimenomaisesti todetaan, että Finanssivalvonnan määräyksenantovaltuuksia ei ole tarpeen laajentaa DORA-asetuksen täytäntöönpanon yhteydessä. Tämän ei katsota olevan tarpeen, koska finanssiyhteisöt ovat suoraan DORA-asetuksen nojalla velvollisia raportoimaan laajavaikutteisista tieto- ja viestintätekniikkaan liittyvistä poikkeamista, ja lisäksi Finanssivalvonta on voimassa olevan lainsäädännön nojalla antanut määräykset muun ohella häiriöitä koskevien tietojen toimittamisesta Finanssivalvonnalle. Talousvaliokunta yhtyy hallituksen esityksessä esitettyyn näkemykseen, ja pitää tärkeänä huolehtia myös siitä, ettei Finanssivalvonnan määräyksiin sisälly DORA- asetuksen kanssa päällekkäisiä velvollisuuksia.
Uhkaperusteista tunkeutumista koskevat toimivaltuudet
Ehdotuksen mukaan Finanssivalvonta vastaa myös uhkaperusteiseen tunkeutumistestaukseen liittyvistä tehtävistä kansallisella tasolla. Tunkeutumistestauksessa järjestelmään hyökätään oikeaa tietoturvahyökkäystä muistuttavalla tavalla, ja testauksen tarkoituksena on tunnistaa ja priorisoida riskejä sekä parantaa järjestelmän tietoturvaa. Muutamassa asiantuntijalausunnossa korostetaan, että asetuksessa tarkoitettua uhkaperusteista tunkeutumistestausta koskevat velvoitteet tulee pyrkiä täyttämään Suomen Pankin ylläpitämän TIBER-FI-toimintamallia hyödyntämällä ja sitä kehittämällä. Valiokunta yhtyy tähän näkemykseen ja viittaa valtiovarainministeriön vastineeseen, jonka mukaan TIBER-FI-toimintamallia on tarkoitus hyödyntää jatkossakin uhkaperusteisen tunkeutumistestauksen toteuttamisessa.