Bakgrund och mål
Syftet med den föreslagna regleringen är att genomföra CER-direktivet om kritiska entiteters motståndskraft (Critical Entities Resilience Directive), vars syfte är att förbättra kritiska entiteters motståndskraft mot störningar på den inre marknaden. I direktivet och den nationella reglering som utfärdas med stöd av det åläggs kritiska aktörer i EU:s medlemsländer enhetliga minimiskyldigheter för att förbättra deras motståndskraft samt föreskrivs om medlemsstaternas skyldighet att stödja kritiska aktörer i fullgörandet av dessa skyldigheter.
Direktivet baserar sig på kommissionens säkerhetsstrategi, där man strävar efter att på ett övergripande sätt ta hänsyn till de nuvarande och framtida riskerna och det ömsesidiga beroendet i anslutning till både fysisk och digital infrastruktur. CER-direktivet är en del av ett större lagstiftningskomplex, som också omfattar EU:s cybersäkerhetsdirektiv (NIS 2-direktivet) samt direktivet och förordningen om digital operativ motståndskraft för finanssektorn (DORA-regleringen). Direktivet trädde i kraft den 16 januari 2023 och började tillämpas från och med den 18 oktober 2024.
Dessutom föreslås det i propositionen att lagen om sjöfartsskydd på vissa fartyg och i hamnar som betjänar dem och om tillsyn över skyddet (485/2004) ändras. Det föreslås att det till lagen fogas bestämmelser enligt vilka hamninnehavare i hamnar för utrikestrafik ska åläggas en skyldighet att genom en säkerhetsutredning av person säkerställa oförvitligheten och tillförlitligheten i fråga om vissa arbetstagargrupper.
Bedömning av de viktigaste förslagen
Allmänt
CER-direktivet gäller elva sektorer vilka är energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvattenförsörjning, digital infrastruktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel. Bestämmelserna och skyldigheterna enligt direktivet vars syfte är att förbättra motståndskraften gäller företag och organisationer inom dessa sektorer vars tjänster är nödvändiga för samhällets funktion. Varje medlemsstat ska inom sitt territorium identifiera de kritiska aktörer som är verksamma inom dessa sektorer.
Ekonomiutskottet anser att bestämmelserna enligt CER-direktivet är viktiga med tanke på medlemsländernas beredskap och stärkandet av motståndskraften och kriståligheten. De åtgärder som CER-direktivet kräver har ett nära samband med verksamhetsmodellen för övergripande säkerhet som baserar sig på statsrådets principbeslut och som är förenlig med säkerhetsstrategin för samhället. Försörjningsberedskapen är en central del av modellen. I statsrådets beslut om målen för försörjningsberedskapen fastställs de sektorer som är kritiska med tanke på försörjningsberedskapen och motståndskraften. De motsvarar i stor utsträckning de sektorer som omfattas av CER-direktivets tillämpningsområde. Utskottet konstaterar att de nationella åtgärder som CER-regleringen förutsätter bör ordnas så att den bildar en fungerande och logisk helhet tillsammans med EU:s cybersäkerhetsreglering (NIS 2), EU:s reglering om den digitala operativa motståndskraften i finanssektorn (DORA), den nya försörjningsberedskapslagstiftning som är under beredning samt den sektorsspecifika regleringen.
Förslagets förhållande till bestämmelserna om försörjningsberedskap och försörjningsberedskapsorganisationens verksamhet
Ekonomiutskottet påpekar att det inte framgår av propositionen vilka konsekvenser förslaget har för de bestämmelser om försörjningsberedskap eller den verksamhet inom försörjningsberedskapsorganisationen som är under beredning. I motiveringen till propositionen konstateras att försörjningsberedskapsorganisationens och Försörjningsberedskapscentralens uppgifter som aktörer enligt CER-regleringen preciseras i samband med revideringen av lagstiftningen om försörjningsberedskap.
Enligt statsrådets lagstiftningsplan av den 12 februari 2025 överlämnas regeringens proposition med förslag till ny lagstiftning om försörjningsberedskap till riksdagen i september 2025. Utskottet konstaterar att bestämmelserna om genomförandet av CER-direktivet och den lagstiftning om försörjningsberedskap som är under beredning i huvudsak har samma syfte, så riktlinjerna för genomförandet av CER-direktivet påverkar oundvikligen också innehållet i de kommande bestämmelserna om försörjningsberedskap. Utskottet anser att det med tanke på möjligheterna att bilda sig en uppfattning om regelverket i sin helhet och förstå dess konsekvenser är beklagligt att de viktigaste målen för den nya lagstiftningen om försörjningsberedskap och deras konsekvenser för det nu aktuella förslaget knappt alls diskuteras i propositionen.
Utskottet hänvisar till sitt betänkande av den 23 februari 2023 om redogörelsen om försörjningsberedskap (EkUB 51/2022 rd — SRR 8/2022 rd), enligt vilket försörjningsberedskapsorganisationens och Försörjningsberedskapscentralens roller ska fastställas vid tillämpningen av CER-direktivet. Ekonomiutskottet anser att man vid genomförandet av CER-direktivet effektivt bör utnyttja Finlands välfungerande och internationellt erkända försörjningsberedskapssystem som baserar sig på ett kunnigt utnyttjande av de kritiska sektorernas ömsesidiga beroende och synergier samt på ett nära samarbete mellan aktörerna inom den offentliga, privata och tredje sektorn. Utskottet anser också att det är viktigt att den föreslagna regleringen inte försvårar den välfungerande försörjningsberedskapsorganisationens verksamhet som baserar sig på marknadsvillkor och frivillighet eller möjligheterna att utveckla den.
Gemensam kontaktpunkt
Enligt artikel 9.2 i CER-direktivet ska varje medlemsstat utse eller inrätta en gemensam kontaktpunkt för gränsöverskridande samarbete med de gemensamma kontaktpunkterna i andra medlemsstater. Ekonomiutskottet noterar att det i propositionen inte utses någon centraliserad kontaktpunkt, utan det föreslås att kontaktpunktens uppgifter enligt direktivet ska fördelas mellan flera aktörer, såsom statsrådets lägescentral, inrikesministeriet och Försörjningsberedskapscentralen.
Ekonomiutskottet anser att den valda lösningen är problematisk med tanke på ett noggrant genomförande av direktivet och uppmanar förvaltningsutskottet att i sitt betänkande bedöma om den föreslagna regleringen till denna del motsvarar de krav som ställs på genomförandet av direktivet. Utskottet konstaterade i sitt betänkande om redogörelsen om försörjningsberedskap att Försörjningsberedskapscentralen, som är den praktiska anordnaren av försörjningsberedskapsfrågor inom sektorn, vore ett naturligt val till en nationell kontaktpunkt enligt CER-direktivet.
Behöriga myndigheter
Enligt artikel 9.1 i CER-direktivet ska varje medlemsstat utse eller inrätta en eller flera behöriga myndigheter som ansvarar för den korrekta tillämpningen av direktivet på nationell nivå. I propositionen föreslås att de behöriga myndigheternas tillsynsuppgifter och övriga uppgifter ska decentraliseras till sektorsmyndigheterna. Ekonomiutskottet anser att den valda lösningen är motiverad, eftersom sektorsmyndigheterna bäst känner till särdragen inom sitt eget ansvarsområde.
Utskottet påpekar att det inte har utsetts någon behörig myndighet för rymdsektorn, och anser att en behörig myndighet för rymdsektorn bör utses på samma sätt som för andra kritiska sektorer.
I de sakkunnigyttranden som ekonomiutskottet fått påpekas att olika myndigheters uppgifter och ansvar till vissa delar förblir opreciserade i förslaget, och att terminologin om de behöriga myndigheterna inte till alla delar motsvarar den terminologi som används i direktivet. I några sakkunnigyttranden påpekas också att de behöriga myndigheterna inte föreslås få några ytterligare resurser för de nya uppgifterna. Utskottet betonar att varje myndighets uppgifter och behörighetsfördelningen mellan myndigheterna tydligt bör framgå av den föreslagna lagen och de sektorspecifika bestämmelserna om de behöriga myndigheterna. Till exempel bör Energimyndighetens nya uppgifter enligt förslaget fogas till 1 § i lagen om Energimyndigheten. På så sätt kan man säkerställa ett effektivt genomförande av regleringen och undvika överlappningar som kan leda till oklarheter i tillämpningen av regleringen. Ekonomiutskottet ber förvaltningsutskottet överväga att precisera bestämmelserna i lagförslag 1 till denna del.
Utskottet hänvisar ännu till sakkunnigyttrandena enligt vilka bestämmelserna om rätt att få information och informationsutbyte i anslutning till behandlingen av incidentanmälningar enligt 16 § i lagförslag 1 är onödigt komplicerade. Enligt förslaget ska en kritisk aktör lämna in en incidentanmälan till flera olika myndigheter, och en första anmälan om en incident ska dessutom lämnas in till andra myndigheter än en detaljerad rapport som vid behov ska lämnas in senare. Ekonomiutskottet anser att det bör vara så enkelt och tydligt som möjligt att rapportera om och anmäla incidenter både ur de kritiska aktörernas och de behöriga myndigheternas synvinkel.
De kritiska aktörernas roll vid genomförandet av den föreslagna regleringen
Ekonomiutskottet betonar de kritiska aktörernas och i synnerhet företagens viktiga roll i beredskapen samt i hanteringen av störningar och krissituationer. De tillhandahåller merparten av de kritiska tjänsterna, och en betydande del av den kritiska infrastrukturen ägs eller kontrolleras av privata företag. Utgångspunkten för företagens beredskap och krishantering är företagsekonomiska grunder. Avsikten bör vara att de skyldigheter som CER-direktivet ålägger kritiska aktörer fullgörs omsorgsfullt i den nationella lagstiftningen, men så att de inte oskäligt stör marknadens funktion eller äventyrar jämlika konkurrensvillkor.
Ekonomiutskottet konstaterar att medlemsländernas skyldighet att ge stöd till kritiska aktörer för att förbättra deras motståndskraft är en av de viktigaste uppgiftshelheterna enligt CER-direktivet och en förutsättning för att direktivets mål ska kunna uppnås i praktiken. Utskottet anser att det också är viktigt att informationsutbytet mellan myndigheterna och de kritiska aktörerna går i två riktningar så att också de kritiska aktörerna har tillgång till heltäckande och uppdaterade uppgifter till exempel om säkerhetsmyndigheternas lägesbild, hotbedömningar, risk- och incidentanalyser samt uppgifter om planerade eller kommande myndighetsåtgärder.
Övrigt
Ekonomiutskottet ber förvaltningsutskottet att överväga följande preciseringar i lagförslag 1:
Tillämpning av CER-direktivet inom sektorn för digital infrastruktur.
Enligt artikel 8 i CER-direktivet ska direktivet endast i begränsad utsträckning tillämpas på sektorn för digital infrastruktur, eftersom aktörerna inom den digitala infrastrukturen omfattas av motsvarande skyldigheter enligt NIS 2-direktivet. Denna princip har beaktats på behörigt sätt i propositionen. Liksom de sakkunniga påpekar utskottet ändå att de begränsningar av tillämpningsområdet som gäller sektorn för digital infrastruktur enligt 2 § 3 mom. i lagförslag 1 inte till alla delar motsvarar de begränsningar av tillämpningsområdet som anges i CER-direktivet. Utskottet föreslår att det i fråga om kritiska aktörer inom sektorn för digital infrastruktur till 2 § 3 mom. i lagförslag 1 fogas hänvisningar till 7 § 4 mom. och 13 § 3 mom. Dessutom föreslår utskottet att 2 § 3 mom. preciseras så att begränsningen av tillämpningsområdet endast gäller 7 § 3 mom. 3—5 punkten och inte 3 mom. i dess helhet.
Skyldighet att anmäla incidenter.
Den finska versionen av CER-direktivet avviker från de andra språkversionerna i fråga om artikel 15.1. Enligt de andra språkversionerna ska kritiska aktörer anmäla incidenter som i betydande grad stör eller kan störa tillhandahållandet av viktiga tjänster. Förutsättningen att avvikelsen ska vara betydande har fallit bort ur den finska versionen och lagförslag 1. Utskottet föreslår att 16 § 1 mom. i lagförslag 1 ändras så att de kritiska aktörerna ska anmäla incidenter som i betydande grad stör eller kan störa tillhandahållandet av viktiga tjänster.
Säkerhetsutredningar i hamnar för utrikesfart
I propositionen ingår också ett förslag till lag om ändring av lagen om sjöfartskydd på vissa fartyg och i hamnar som betjänar dem och om tillsyn över skyddet Det föreslås att det till lagen fogas en ny 7 g § om säkerhetsutredningar, enligt vilken skyldigheten att ansöka om säkerhetsutredning alltid ska gälla hamninnehavare i hamnar för utrikesfart. Ekonomiutskottet förhåller sig kritiskt till förslaget och konstaterar att det väsentligt avviker från det förfarande enligt säkerhetsutredningslagen som iakttas i alla andra situationer. Enligt säkerhetsutredningslagen söks utredningen av den part vars intressen skyddas, dvs. arbetsgivaren till den person som säkerhetsutredningen gäller.
Sammanfattande synpunkter
Ekonomiutskottet anser att det är viktigt att det aktuella förslaget, den nationella reglering som baserar sig på NIS 2-direktivet och DORA-direktivet, den totalreform av försörjningsberedskapslagstiftningen som är under beredning samt sektorspecifika bestämmelser om kritiska aktörer bildar en fungerande och sammanhängande helhet. Den nya regleringen får inte heller försvåra den välfungerande och kostnadseffektiva försörjningsberedskapsorganisationens verksamhet eller utvecklingsmöjligheter. Det är väsentligt också därför att unionens gemensamma krisberedskap inte ersätter eller minskar medlemsstaternas ansvar för den nationella beredskapen. Genomförandet av CER-regleringen får inte begränsa de nationella beredskapsåtgärderna.
Ekonomiutskottet noterar att förslaget till skillnad från bestämmelserna i CER-direktivet inte utser någon gemensam kontaktpunkt, utan det föreslås att kontaktpunktens uppgifter enligt direktivet ska fördelas på flera aktörer. Dessutom har vissa av kontaktpunktens uppgifter enligt direktivet inte anförtrotts någon som helst aktör. Ekonomiutskottet anser att det är problematiskt med tanke på ett noggrant genomförande av direktivet.
Utskottet anser att förslaget om att decentralisera de behöriga myndigheternas uppgifter till sektorsmyndigheterna är motiverat, eftersom sektorsmyndigheterna bäst känner till särdragen inom respektive sektor. Olika myndigheters uppgifter och behörighetsfördelningen mellan myndigheterna ska vara tydligt definierade i lagen för att undvika överlappningar i tillämpningen av bestämmelserna.
För att den föreslagna regleringen ska fungera i praktiken behöver de företag som identifierats som kritiska aktörer aktivt medverka i beredskapen för kriser och störningar och i planeringen av verksamheten. Utskottet betonar vikten av stöd till kritiska aktörer och dialog mellan myndigheter och företag. På så sätt kan man också bäst hitta rätt balans mellan åtgärder som stärker motståndskraften och åtgärder som stärker konkurrenskraften samt beakta dessa åtgärders inverkan på den ekonomiska tillväxten och företagens innovationsverksamhet.