Allmänt

Regeringen föreslår att det stiftas en lag om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft (nedan CER-lagen) samt att vissa andra lagar ändras. Syftet med propositionen är att genomföra det så kallade CER-direktivet om kritiska entiteters motståndskraft, vars mål är att säkerställa att den inre marknaden fungerar i fråga om kritiska tjänster inom tillämpningsområdet för direktivet och att stärka motståndskraften hos tjänster som är nödvändiga för Europeiska unionen samt att upprätthålla samhällets vitala och ekonomiska funktioner genom att fastställa vissa kritiska sektorer som tillhandahåller sådana tjänster. CER-direktivet trädde i kraft den 16 januari 2023 och medlemsstaterna skulle senast den 17 oktober 2024 anta och offentliggöra de bestämmelser som är nödvändiga för att följa direktivet. 

CER-direktivet omfattar följande elva sektorer: energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel. Skyldigheterna enligt CER-direktivet gäller inte tillhandahållare av socialvårdstjänster. I direktivets föreslagna genomförandelag (CER-lagen) har det dock gjorts en nationell utvidgning i fråga om socialvården på grund av den finländska social- och hälsovårdens ömsesidiga beroende och servicestruktur. Social- och hälsovårdsutskottet bedömer i detta utlåtande propositionen med fokus på frågor som gäller social- och hälsovården. 

Utskottet anser det vara viktigt att samhällets motståndskraft i och med CER-direktivet stärks inom hela EU-området. Utskottet anser att genomförandet av direktivet, som syftar till att skydda samhällets kritiska infrastruktur och förbättra samhällets motståndskraft, kommer att även nationellt stärka samhällets beredskap och motståndskraft. Finlands befintliga samverkansmodell för den övergripande säkerheten är en föregångare och ett omfattande beredskapssamarbete i enlighet modellen ger enligt utskottet goda utgångspunkter för genomförandet av direktivet. 

Inom den finländska social- och hälsovården finns det redan sektorsspecifik nationell lagstiftning om beredskap, förberedelser och insatser vid störningar, som kompletterar den allmänna beredskapsskyldigheten enligt beredskapslagen (1552/2011). Beredskapen och förberedelserna inom social- och hälsovården utvecklas enligt en modell med fem samarbetsområden. Utskottet anser det vara viktigt att funktionsförmågan inom social- och hälsovården stärks på lokal, regional och nationell nivå så att olika hotbilder kan bemötas samlat på nationell nivå. Den nationella lagstiftningen uppfyller redan delvis målen i CER-direktivet och de bestämmelser som hänför sig till CER-direktivet kompletterar den nationella beredskapshelheten. 

Den föreslagna regleringens tillämpningsområde och förhållande till annan lagstiftning

Den föreslagna CER-lagen tillämpas i enlighet med bilagan till CER-direktivet inom hälso- och sjukvården, som omfattar bland annat vårdgivare, EU:s referenslaboratorier, entiteter som bedriver forskning och utveckling avseende läkemedel, entiteter som tillverkar farmaceutiska basprodukter och läkemedel, entiteter som tillverkar medicintekniska produkter samt distribution av läkemedel, dvs. entiteter med tillstånd att bedriva partihandel. 

I CER-lagens tillämpningsbestämmelse (1 §:n 4 mom.) preciseras vad som avses med vårdgivare, som också nämns under sektorn Hälso- och sjukvård i bilagan till CER-direktivet. Lagen tillämpas på de tjänsteanordnare och tjänsteproducenter som tillhandahåller hälso- och sjukvårdstjänster enligt 4 § i lagen om tillsynen över social- och hälsovården (741/2023, nedan tillsynslagen), inrättningar för blodtjänst som avses i blodtjänstlagen (197/2005), apotek samt andra aktörer som levererar och tillhandahåller läkemedel och medicintekniska produkter enligt EU-direktivet om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård (2011/24/EU, patientdirektivet). Lagen tillämpas dessutom på sådana i 4 § i tillsynslagen avsedda tjänsteanordnare och tjänsteproducenter som ordnar eller producerar socialservice. På välfärdsområdena tillämpas lagen i fråga om den social- och hälsovård som de ordnar och producerar, men inte i fråga om räddningsväsendet. Tillämpningsområdet omfattar i Finland anordnare och producenter av offentliga och privata social- och hälsovårdstjänster, dvs. väsentligen välfärdsområden och privata social- och hälsovårdsföretag. Även social- och hälsovård som ordnas av staten hör i regel till lagens tillämpningsområde. 

Utskottet anser det motiverat och viktigt att direktivets bestämmelser har utvidgats nationellt till att gälla också socialvården. I fråga om social- och hälsovårdens beredskap är det inte ändamålsenligt att skilja mellan social- och hälsovården. Brister i socialvårdstjänsterna, såsom serviceboende dygnet runt eller hemvård, återspeglas i den specialiserade sjukvårdens och primärvårdens förmåga att sköta sina uppgifter. Funktionsförmågan hos socialvårdstjänsterna är kritisk också i större störningssituationer som berör samhället och under undantagsförhållanden och i samband med olika befolkningsgruppers förmåga att sköta andra kritiska uppgifter. När det gäller socialvården utgör dessutom privata aktörer inom hälso- och vårdtjänster en betydande andel av serviceproducenterna. Den nationella utvidgningen gör det bland annat möjligt att utse företag som tillhandahåller privata social- och hälsovårdstjänster till kritiska aktörer. 

Utskottet välkomnar också att man i propositionen för att trygga försörjningsberedskapen i fråga om läkemedel har beaktat läkemedelsförsörjningens hela värdekedja från läkemedelsforskning till utlämnande till konsumtion. Utskottet anser det också motiverat att blodtjänstverksamheten uttryckligen har föreskrivits höra till lagens tillämpningsområde. När det gäller blodtjänstverksamheten är det viktigt att aktörerna bedöms vara kritiska aktörer särskilt i fråga om blodtjänst, även om aktören också har andra kritiska funktioner i samhället och koncessioner för dem, såsom tillstånd för läkemedelsfabriker eller läkemedelspartiaffärer. 

Utskottet konstaterar som en lagteknisk iakttagelse att 1 § 2 mom. 1 punkten i den föreslagna CER-lagen bör ses över språkligt. Dessutom föreslår utskottet en precisering av 1 § 4 mom. i CER-lagen, där det i fråga om definitionerna av tjänsteanordnare och tjänsteproducenter inom hälso- och sjukvården hänvisas till 4 § i tillsynslagen. I den nämnda 4 § i tillsynslagen definieras också Folkpensionsanstalten som tjänsteanordnare. Enligt erhållen utredning är avsikten dock inte att den föreslagna lagen ska tillämpas på Folkpensionsanstalten, eftersom den konstitutionella ställning som grundlagen ger Folkpensionsanstalten påverkar vilka uppgifter och styrmedel det är möjligt att föreskriva om i fråga om Folkpensionsanstalten. Utskottet föreslår till denna del att 1 § 4 mom. ändras så att Folkpensionsanstalten inte omfattas av lagens tillämpningsområde, inom vilken en kritisk aktör kan identifieras genom ett förvaltningsbeslut, varvid aktören blir föremål för skyldigheter och tillsyn av den tillsynsmyndighet till vars ansvarsområde verksamheten hör. Dessutom föreslår utskottet tekniska preciseringar i fråga om ordalydelsen i den första meningen i 1 § 4 mom. så att det i meningen i fråga om hälso- och sjukvårdstjänsterna hänvisas till de i 4 § i tillsynslagen avsedda tjänsteanordnare och tjänsteproducenter som ordnar eller producerar tjänster med samma ordalydelse som i fråga om socialservicen längre fram i samma moment. Utskottet anser att 1 § 4 mom. i CER-lagen behöver ändras till exempel enligt följande: 

Enligt propositionen har det under lagberedningsprojektet utöver socialvården lyfts fram vissa behov av att utvidga det nationella tillämpningsområdet. Dessa har bland annat gällt tillverkning av andra medicintekniska hjälpmedel än de som nämns i direktivet. Enligt propositionen beslutades det dock vid lagberedningen att det inte ska göras några andra nationella utvidgningar än socialservice i genomförandelagen för direktivet. Vid behov får beredskapsskyldigheter fastställas i nationell lagstiftning. 

Vid utskottets utfrågning av sakkunniga fästes uppmärksamhet vid att till exempel veterinärmedicinska läkemedel inte hör till tillämpningsområdena för CER-direktivet eller den föreslagna lagen. Trots att försörjning av veterinärmedicinska läkemedel egentligen hör till jord- och skogsbruksutskottets ansvarsområde, konstaterar social- och hälsovårdsutskottet att det är motiverat att förvaltningsutskottet i fråga om försörjning av veterinärmedicinska läkemedel bedömer eventuella ändringsbehov i den föreslagna regleringen. Om en nationell utvidgning inte bedöms kunna genomföras i detta skede, anser utskottet det motiverat att eventuella behov av att komplettera den nationella lagstiftningen i anslutning till försörjning av veterinärmedicinska läkemedel framöver bedöms. Utskottet betonar att läkemedelsförsörjningen för produktionsdjur är av största vikt också med tanke på livsmedelsproduktionens fortlevnad. 

Den föreslagna CER-lagen är en allmän lag och den tillämpas i vissa fall i andra hand i förhållande till annan lagstiftning (Europeiska unionens rättsakter, den nationella lagstiftningen). Utskottet konstaterar att det vid verkställigheten av lagen är viktigt att ta hänsyn till styrningen och anvisningarna enligt förvaltningsområde för att aktörerna ska ha en klar uppfattning om den helhet av bestämmelser som gäller beredskap och förberedelser, de inbördes relationerna mellan författningarna och de skyldigheter som gäller dem själva. 

Allmän styrning och utveckling samt tillsyn

Enligt den föreslagna CER-lagen ska statsrådet för att stärka kritiska aktörers motståndskraft och uppnå de allmänna målen för verksamheten anta en nationell strategi som en riksomfattande plan som stöder ministeriernas beslutsfattande och inrikesministeriets styrning i dess egenskap av samordnande ministerium. Vid beredningen av den riksomfattande planen ska hänsyn tas till principbeslut och andra beslut av statsrådet som meddelats för motsvarande ändamål. Vidare ska statsrådet minst vart fjärde år godkänna en nationell riskbedömning av kritisk infrastruktur och kritiska aktörers motståndskraft. Den nationella riskbedömningen ställs till de aktörers förfogande som definierats som kritiska, och aktörerna ska beakta riskbedömningen när de gör sina egna riskbedömningar. Inrikesministeriet ska sköta en ny samordningsuppgift, som omfattar allmän styrning, uppföljning, samordning och utveckling av verksamhet enligt CER-lagen. Inrikesministeriet, sektorministerierna och tillsynsmyndigheterna främjar i samarbete med Försörjningsberedskapscentralen övergripande åtgärder som hänför sig till kritiska aktörers motståndskraft. 

Verksamheter inom den gemensamma kontaktpunkt som avses i CER-direktivet har anvisats Statsrådets lägescentral. Enligt propositionen är jourverksamheten i anslutning till statsrådets beslutsfattande i nuläget koncentrerad till Statsrådets lägescentral, och denna uppgift enligt CER-direktivet faller sig naturlig med tanke på lägescentralens nuvarande verksamhetsfält. Störningssituationer och förmedling av information om störningar kan också vara förenade med utrikes- och säkerhetspolitiska aspekter och utrikespolitisk prövning. 

Utfrågade sakkunniga har påpekat att de nuvarande försörjningsberedskapsstrukturerna bör utnyttjas fullt ut vid genomförandet av CER-direktivet så att ministerierna styr myndigheterna inom sina förvaltningsområden och att Försörjningsberedskapscentralen fungerar som gemensam kontaktpunkt, i stället för att man bygger upp en ny struktur som avviker från försörjningsberedskapsstrukturerna och som är parallell med dem. Dessutom framfördes det att det i propositionen i viss mån förblir oklart vilken roll Försörjningsberedskapscentralen har och dess förhållande till regionförvaltningsverkens samordningsuppgift i fråga om regional beredskap. Enligt erhållen utredning utvärderas Försörjningsberedskapscentralens rättsliga ställning och förtydligandet av den, dess uppgifter (inklusive CER-uppgifter) och finansiering samt andra strukturer för närvarande inom ramen för ett projekt för översyn av försörjningsberedskapslagstiftningen. Det pågår också ett projekt för översyn av beredskapslagen och ett projekt kring statsrådets säkerhetsledning. Framtida riktlinjer kan enligt erhållen utredning eventuellt ha olika konsekvenser för anknytande lagar och andra projekt. Utskottet anser att det är viktigt att utnyttja de nuvarande strukturerna och Försörjningsberedskapscentralens roll i utvecklingen av de kritiska aktörernas motståndskraft och anser att det är motiverat att förvaltningsutskottet ännu bedömer eventuella behov av att förtydliga Försörjningsberedskapscentralens uppgifter enligt CER-lagen. 

Övervakningen av de kritiska aktörerna har decentraliserats till olika sektormyndigheter. Tillsynsmyndigheter enligt CER-lagen när det gäller social- och hälsovårdssektorn är Tillstånds- och tillsynsverket för social- och hälsovården (Valvira), regionförvaltningsverken och Säkerhets- och utvecklingscentret för läkemedelsområdet Fimea. I motiveringen till regleringen om tillsyn har det preciserats att tillsynen särskilt gäller riskbedömning och planen för motståndskraft. Tillsynsmyndigheten kan ge aktören en anmärkning eller varning samt ålägga aktören att inom en skälig tid avhjälpa upptäckta brister eller försummelser. Tillsynsmyndigheten har också möjlighet att påföra en kritisk aktör en försummelseavgift. Vid utskottets utfrågning framhöll sakkunniga att de ovan nämnda tillsynsmyndigheterna inom social- och hälsovården kommer att behöva tilläggsresurser, eftersom deras arbetsmängd ökar till följd av propositionen. Utskottet anser det vara viktigt att tillsynsmyndigheternas ökande arbetsbörda till följd av propositionen följs upp och att tillräckliga resurser tryggas för de uppgifter som avses i propositionen. 

Identifiering av en kritisk aktör

Med stöd av 10 § i den föreslagna CER-lagen kan en enskild eller offentlig sammanslutning eller en funktionell del av en sådan under vissa förutsättningar identifieras som en sådan kritisk aktör som omfattas av de skyldigheter som anges i lagen. Som kritisk aktör kan identifieras t.ex. en del av ett företags verksamhet, om affärsverksamheten bedrivs i en koncernstruktur. Social- och hälsovårdsutskottet anser det motiverat att förvaltningsutskottet ytterligare bedömer om endast en enskild funktion hos en viss kritisk aktör kan definieras som en kritisk funktion, varvid den kritisk aktörens skyldigheter endast gäller just den funktionen. 

Kritiska aktörer identifieras inom tillämpningsområdet och ingen aktör blir förpliktad direkt med stöd av lag. Ett ärende som gäller identifiering av en kritisk aktör ska avgöras av det ministerium till vars ansvarsområde den aktuella aktören hör (13 §). Innan ärendet avgörs ska sektorministeriet begära utlåtande av inrikesministeriet och i behövlig omfattning av andra ministerier och myndigheter samt Försörjningsberedskapscentralen. Den kritiska aktören identifieras genom ett förvaltningsbeslut av sektorministeriet, varefter aktören omfattas av de skyldigheter som anges i lagen. Alla aktörer som är kritiska med tanke på försörjningsberedskapen definieras dock inte nödvändigtvis som ”CER-kritiska” enligt den föreslagna lagen. 

Social- och hälsovårdens beredskap för störningar och undantagsförhållanden leds, övervakas och samordnas av social- och hälsovårdsministeriet, som enligt CER-lagen också ansvarar för att identifiera kritiska aktörer inom social- och hälsovården. Utskottet konstaterar att det är motiverat att ministeriet noggrant bedömer hur de kritiska aktörerna utses och tillsammans med tillsynsmyndigheterna bildar en uppfattning om kriterierna, förfarandena och behandlingen av incidentanmälningar. Utskottet noterar också att ministeriet vid utnämning av kritiska aktörer (t.ex. apotek och läkemedelsföretag) noggrant bör överväga inte bara aktörens faktiska kritiska natur utan också de ökade skyldigheter och eventuella ekonomiska belastningar som den föreslagna lagen medför i förhållande till företagets storlek och bärkraft. Utskottet anser det vara viktigt att beakta att regleringen inte försämrar apotekens verksamhetsförutsättningar i hela landet. Ökande byråkrati och kostnader ökar inte heller till exempel Finlands attraktionskraft som läkemedelsmarknad, vilket i sin tur kan ha konsekvenser för tillgången på läkemedel. Dessutom betonar utskottet att det vid valet av kritiska aktörer är viktigt att ministeriet och tillsynsmyndigheterna informerar och handleder aktörerna i fråga om de skyldigheter som gäller dem. 

Riskbedömning, plan för motståndskraft mot störningar och incidentanmälan som görs av en kritisk aktör

Enligt propositionen åläggs kritiska aktörer ansvar för att säkerställa motståndskraften. Den kritiska aktören ska vid behov och minst vart fjärde år göra en riskbedömning, vidta åtgärder för att säkerställa sin motståndskraft mot störningar och utarbeta en plan för att säkerställa motståndskraften mot störningar. Om det med stöd av någon annan lag utarbetas en riskbedömning eller en plan för ett liknande ändamål, kan den kritiska aktören använda det dokumentet och behöver inte utarbeta ett separat dokument enligt CER-lagen. Kritiska aktörer ska också inom sin organisation utse en ansvarsperson för informationsgången. En central skyldighet för kritiska aktörer gäller anmälning av incidenter till myndigheterna och mottagande av information från myndigheterna. 

En kritisk aktör ska utan obefogat dröjsmål lämna in en anmälan till den behöriga tillsynsmyndigheten och Statsrådets lägescentral om varje incident som medför eller kan medföra en störning i tillhandahållandet av samhällsviktiga tjänster (16 § 1 mom.). Också Försörjningsberedskapscentralen har rätt till information om incidentanmälningar. Enligt erhållen utredning kommer man i och med verkställigheten av lagen att i fortsättningen bedöma eventuella behov av lagstiftningsändringar bland annat i fråga om olika myndigheters rätt till information. Utskottet anser det vara viktigt att trygga tillräcklig rätt till information i synnerhet för beredskapscenter inom social- och hälsovården. 

Enligt utskottet stöder de kritiska aktörernas skyldigheter i anslutning till incidentanmälningar och planen för motståndskraft mot störningar den nationella lägesbilden. Utskottet anser dock att det är viktigt att man vid verkställigheten av lagen särskilt beaktar att den nya regleringen inte medför överlappande rapporterings- och åtgärdsförpliktelser för social- och hälsovårdsaktörerna. Utskottet välkomnar därför att kritiska aktörer så som konstateras ovan kan utnyttja sina befintliga riskbedömningar och planer för motståndskraft mot störningar för att fullgöra sina skyldigheter enligt den föreslagna CER-lagen. Utskottet välkomnar också att man i och med verkställigheten av lagen har för avsikt att i fortsättningen skapa en gemensam elektronisk rapporteringskanal för anmälningar om cyberstörningar (NIS 2) och infrastrukturstörningar (CER) för att minimera den administrativa bördan och främja myndigheternas gemensamma situationsmedvetenhet. Utskottet betonar dock vikten av styrning, koordinering och samordning som görs av det ansvariga ministeriet och tillsynsmyndigheterna vid utarbetandet av riskbedömningar och planer som görs med stöd av olika bestämmelser, för att undvika överlappningar. Dessutom anser utskottet att det är viktigt att förfarandena för incidentrapportering enligt den föreslagna lagen planeras förvaltningsområdesvis tillsammans med de kritiska aktörerna så att man beaktar befintliga strukturer som följer av annan lagstiftning. Som teknisk iakttagelse föreslår utskottet att förvaltningsutskottet bedömer behovet av att förenhetliga ordalydelsen i 4 § 4 punkten och 16 § 1 mom. i den föreslagna CER-lagen i fråga om definitionen av incident och tröskeln för incidentanmälningar.