Bakgrund till propositionen och tillämpningsområdet för den föreslagna regleringen
Avsikten med den föreslagna lagen om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft är att genomföra det så kallade CER-direktivet om kritiska entiteters motståndskraft. Syftet med CER-direktivet är att stärka de kritiska entiteternas förmåga att reagera på hot som äventyrar produktionen av tjänster som är viktiga med tanke på samhällets funktionsförmåga. Direktivet är en del av ett större paket som också omfattar en ny strategi för cybersäkerhet och en uppdatering av direktivet om nät- och informationssäkerhet. CER-direktivet trädde i kraft den 16 januari 2023 och medlemsstaterna ska senast den 17 oktober 2024 anta och offentliggöra de bestämmelser som är nödvändiga för att följa direktivet.
Det av kommissionen föreslagna direktivets tillämpningsområde omfattade tio sektorer, nämligen energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning och rymdsektorn. Det antagna direktivet omfattar elva sektorer, eftersom även livsmedel togs in i direktivets tillämpningsområde, utöver de tio sektorer som nämns ovan. Av de sektorer som nämns ovan är dricksvatten, avloppsvatten och livsmedel särskilt viktiga för utskottet. I propositionen nämns också Natos sju grundkrav för motståndskraft (resiliens), av vilka det tredje på motsvarande sätt täcker tryggande av tillgången på mat och vatten.
När det gäller livsmedel tillämpas CER-direktivet endast på livsmedelsföretag som definieras i EU:s livsmedelsförordning och som bedriver logistikverksamhet och grossisthandel samt storskalig industriell produktion och bearbetning. Motsvarande avgränsning av tillämpningsområdet framgår också av 1 § 2 mom. i den föreslagna lagen. Enligt preliminära bedömningar omfattar tillämpningsområdet för direktivet och Finlands nationella genomförandelag inte särskilt många företag inom livsmedelsbranschen. Av definitionen av livsmedelssektorn följer att primärproduktion inte heller omfattas av direktivets tillämpningsområde.
I propositionen sägs det att det skulle vara en utmaning att införa lika specifika skyldigheter som i direktivet, särskilt när det gäller identifieringen av kritiska aktörer, med tanke på bland annat den decentraliserade verksamheten inom primärproduktionen. I Finland finns det över 40 000 företag som bedriver primärproduktion. Skyldigheterna enligt direktivet skulle medföra en betydande administrativ börda och kostnader för både tillsynsmyndigheterna och primärproduktionsföretagen. Jord- och skogsbruksutskottet anser det motiverat att man vid det nationella genomförandet av CER-direktivet har följt direktivet och begränsat tillämpningsområdet till livsmedelskedjan.
Utskottet framhåller ändå att den finländska livsmedelsindustrin till stor del baserar sig på användningen av inhemska jordbruksprodukter. Sårbarheterna, riskerna och hoten inom jordbruksproduktionen är i dag i stor utsträckning desamma som i andra produktions- och servicekedjor. Därför gynnas också jordbrukets motståndskraft av de åtgärder som vidtas för att säkerställa exempelvis försörjningsberedskapen i fråga om energi samt transportinfrastrukturen och den digitala verksamhetsmiljön. Utskottet anser det vara livsviktigt att man som en del av arbetet för att säkra försörjningsberedskapen i fråga om livsmedel också stöder kontinuiteten i primärproduktionsföretagen till exempel för att i krissituationer trygga distributionen och lagringen av bränsle samt tillgången till el i gårdsbruksenheterna.
Den riksomfattande planen och den nationella riskbedömningen
För att stärka kritiska aktörers motståndskraft och uppnå de allmänna målen för verksamheten den nationella strategin ska statsrådet godkänna en riksomfattande plan som fungerar som nationell strategi. Statsrådet ska dessutom minst vart fjärde år godkänna en nationell riskbedömning av kritisk infrastruktur och kritiska aktörers motståndskraft. Den riksomfattande planen och den nationella riskbedömningen ska godkännas första gången senast den 17 januari 2026. I fråga om den nationella riskbedömningen konstateras det i propositionen att missbruk av geografisk information nationellt har identifierats som en relevant risk. Jord- och skogsbruksutskottet lyfter fram att redan i samband med behandlingen av redogörelsen om politiken för geografisk information 2018 betonades vikten av att säkerställa innehållet i och tillgången till den geografiska information säkerställas som behövs i de företag som av säkerhetsmyndigheterna klassificerats som kritiska (JsUB 15/2018 rd — SRR 2/2018 rd). För att man samtidigt ska kunna ta hänsyn till de risker som är förenade med missbruk av geografisk information måste man nationellt på lämpligt sätt ordna styrningen och anvisningarna om en säker användning av geografisk information.
Enligt propositionen ska inrikesministeriet sköta den nya samordningsuppgiften, som omfattar allmän styrning, uppföljning, samordning och utveckling av verksamhet enligt den föreslagna lagen. Den allmänna styrningen omfattar också åtgärder som främjar den kritiska infrastrukturens motståndskraft. Inrikesministeriet, sektorministerierna och tillsynsmyndigheterna främjar i samarbete med Försörjningsberedskapscentralen övergripande åtgärder som hänför sig till kritiska aktörers motståndskraft. Enligt jord- och skogsbruksutskottet är samarbetet mellan den offentliga och den privata sektorn utgångspunkten för Finlands beredskapsplanering och konkreta beredskapsåtgärder. Pooler som baserar sig på avtal mellan Försörjningsberedskapscentralen och branschorganisationerna sköter beredskapsplaneringen inom sitt verksamhetsområde samt styr och följer det företagsspecifika beredskapsarbetet. Det finländska försörjningsberedskapssystemet ger goda utgångspunkter också för genomförandet av CER-direktivet.
Utgångspunkten vid beredningen av propositionen har varit att befintliga verksamhetsmodeller för försörjningsberedskapssamarbete även i fortsättningen kan utnyttjas för att skydda samhällets kritiska infrastruktur och stärka motståndskraften. I propositionen sägs det att de nya uppgifter som anförtros Försörjningsberedskapscentralen i anslutning till myndigheternas verksamhet enligt CER-direktivet bedöms och fastställs som en del av reformen av försörjningsberedskapslagstiftningen. Det betyder att samordningen av de olika myndigheternas uppgifter fortsätter i ett separat projekt också efter att de nu aktuella lagförslagen har trätt i kraft. Avsikten är att en regeringsproposition om projektet ska lämnas till riksdagen hösten 2025. Jord- och skogsbruksutskottet anser att skyldigheterna enligt CER-direktivet bör fullgöras så långt som möjligt inom ramen för den nuvarande försörjningsberedskapsorganisationen och utan överlappande organisering. Till denna del är det fortfarande motiverat att bedöma om Försörjningsberedskapscentralens roll bör förtydligas.
Identifiering av kritiska aktörer och aktörernas skyldigheter
I enlighet med direktivet innehåller lagförslaget en process för identifiering av kritiska aktörer och gemensamma kriterier för identifieringen samt skyldigheter för kritiska aktörer att stärka sin motståndskraft och sin kapacitet att tillhandahålla samhällsviktiga tjänster åtminstone i enlighet med minimikraven i direktivet. Vid identifieringen av kritiska aktörer beaktas bland annat den nämnda riksomfattande planen för kritiska aktörers motståndskraft och den nationella riskbedömningen av kritisk infrastruktur och kritiska aktörers motståndskraft samt den gränsöverskridande verksamheten och den europeiska samstämmigheten.
Som ovan sagt baserar sig definitionen av kritiska aktörer inom livsmedelssektorn på att livsmedelsföretag i enlighet med EU:s livsmedelsförordning avgränsas till företag inom logistik och grossisthandel samt till storskalig industriell produktion och bearbetning. Vid bedömningen av dessa livsmedelsföretag beaktas mängden råvaror i liter eller kilogram som tagits emot vid produktion och bearbetning av livsmedel, produktionsmängden samt mängden förnödenheter som distribueras, även i fråga om handel och distribution samt måltidstjänster. Vid bedömningen av vattentjänstverk som definieras som kritiska aktörer i fråga om vattentjänster beaktas kubikvolymen vatten som levereras och mängden avloppsvatten som leds bort per dygn. Ett ärende som gäller identifiering av en kritisk aktör ska avgöras av det ministerium till vars ansvarsområde den aktuella aktören hör. Jord- och skogsbruksministeriet fattar alltså senast den 17 juli 2026 beslut om vilka som är kritiska aktörer.
Enligt propositionen har de sektorspecifika tillsynsmyndigheterna behörighet att utöva tillsyn över kritiska aktörer. Livsmedelsverket är tillsynsmyndighet för livsmedelsföretagare och Närings-, trafik- och miljöcentralen i Södra Savolax för vattentjänstverk. Tillsynen omfattar kritiska aktörer som bestäms separat genom ministeriebeslut i enlighet med de nämnda kriterierna. Det exakta antalet kritiska aktörer är fortfarande öppet. Eftersom mängden tillsynsuppgifter beror på antalet aktörer som identifierats som kritiska aktörer, råder det fortfarande osäkerhet om tillsynsmyndigheternas resursbehov. Jord- och skogsbruksutskottet anser det motiverat att följa de resursbehov som verkställigheten av lagen medför och att fastställandet av kritiska aktörer utvärderas under de följande åren.
Kritiska aktörers skyldigheter
Syftet med den föreslagna lagen och det CER-direktiv som ligger till grund för den är att aktörerna inom den privata sektorn ska delta i att stärka beredskapen på EU-nivå. Dessa aktörer äger huvudparten av den kritiska infrastrukturen, producerar merparten av de viktigaste tjänsterna och bildar leveranskedjor. De viktigaste skyldigheterna för en kritisk aktör hänför sig till riskbedömningen, planen för motståndskraft och åtgärderna för att säkerställa motståndskraften. Utskottet betonar att målet att skydda kritisk infrastruktur förutsätter att de kritiska aktörerna vidtar praktiska åtgärder. Vid verkställigheten av lagstiftningen bör man beakta de kritiska aktörernas befintliga kontinuitetshantering och beredskap och erbjuda konkret stöd för detta beredskapsarbete.
En central skyldighet enligt lagförslaget är att en kritisk aktör utan obefogat dröjsmål lämna in en anmälan till tillsynsmyndigheten och Statsrådets lägescentral om varje incident som medför eller kan medföra en störning i tillhandahållandet av samhällsviktiga tjänster. När det gäller anmälningar och tillgången till information gäller lagförslagen i propositionen i första hand myndigheternas rätt att få information. Jord- och skogsbruksutskottet betonar att det med tanke på en effektiv beredskap är viktigt att också de kritiska aktörerna kan erbjudas bättre lägesdata eller förebyggande varningar som hjälper dem att förbereda sig och återhämta sig från störningar. Under undantagsförhållanden är det en grundläggande förutsättning för situationsledningen att ha kontroll över den gemensamma lägesbilden, att åtgärder vidtas i samråd och i synnerhet att kritisk information förmedlas mellan myndigheter och kritiska aktörer.