HALLITUKSEN ESITYS
Esityksessä ehdotetaan tietyille yhteiskunnan toiminnan kannalta keskeisten palveluiden tarjoajille sekä eräiden digitaalisten palveluiden tarjoajille tietoturvallisuuteen liittyvää riskienhallintaa ja häiriöiden raportointia koskevia velvoitteita. Lisäksi säädettäisiin näiden velvoitteiden valvonnasta, viranomaisten välisestä tietojen vaihdosta sekä yleisestä tietoturvallisuuteen liittyvästä viranomaistoiminnasta. Ehdotetulla lainsäädännöllä saatettaisiin osaksi kansallista lainsäädäntöä toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa annettu Euroopan parlamentin ja neuvoston direktiivi.
Esityksellä toteutetaan osaltaan hallitusohjelman tavoitetta digitalisaation edistämisestä ja digitaalisen turvallisuuden varmistamisesta parantamalla yhteiskunnan ja kansalaisten kannalta keskeisten palveluiden tietoturvallisuuden tasoa. Esityksellä kasvatetaan kansalaisten ja yritysten luottamusta digitalisaatioon ja edistetään siten myös digitaalisen liiketoiminnan kasvua ja kilpailukykyä.
Yhteiskunnan toiminnan kannalta keskeisten palvelujen tietoturvallisuuden parantamiseksi tietoyhteiskuntakaareen, ilmailulakiin, rautatielakiin, alusliikennepalvelulakiin, eräiden alusten ja niitä palvelevien satamien turvatoimista ja turvatoimien valvonnasta annettuun lakiin, liikenteen palveluista annettuun lakiin, sähkömarkkinalakiin, maakaasumarkkinalakiin sekä vesihuoltolakiin lisättäisiin säännökset keskeisten palveluntarjoajien velvollisuudesta huolehtia viestintäverkkoihin ja tietojärjestelmiin kohdistuvien riskien hallinnasta sekä ilmoittaa merkittävästä tietoturvallisuuteen liittyvästä häiriöstä valvovalle viranomaiselle ja yleisölle. Tietoyhteiskuntakaaren velvoitteet koskisivat verkossa toimivan markkinapaikan tarjoajaa, hakukonepalvelun tarjoajaa sekä pilvipalvelun tarjoajaa. Ilmailulain velvoitteet koskisivat lennonvarmistuspalvelun tarjoajaa sekä yhteiskunnan toiminnan kannalta merkittävän lentoaseman pitäjää. Rautatielain velvoitteet koskisivat valtion rataverkon haltijaa sekä liikenteenohjauspalveluita tarjoavaa yhtiötä. Alusliikennepalvelulain velvoitteet koskisivat alusliikennepalvelun tarjoajaa. Eräiden alusten ja niitä palvelevien satamien turvatoimista ja turvatoimien valvonnasta annetun lain velvoitteet koskisivat yhteiskunnan toiminnan kannalta merkittävän sataman pitäjää. Liikenteen palveluista annetun lain velvoitteet koskisivat älykkään liikennejärjestelmän ylläpitäjää. Sähkömarkkinalain velvoitteet koskisivat verkonhaltijaa. Maakaasumarkkinalain velvoitteet koskisivat siirtoverkonhaltijaa ja vesihuoltolain velvoitteet vesihuoltolaitosta, joka toimittaa vettä vähintään tai ottaa vastaan jätevettä 5 000 kuutiometriä vuorokaudessa.
Toimivalta valvoa riskienhallinta- ja häiriöraportointivelvoitteita olisi sektorikohtaisilla valvontaviranomaisilla. Tämä tarkoittaisi Viestintävirastoa, Liikenteen turvallisuusvirastoa, Energiavirastoa, Finanssivalvontaa, sekä elinkeino-, liikenne- ja ympäristökeskusta. Viranomaisten välisen yhteistyön turvaamiseksi ehdotetaan viranomaisten toimivaltuuksia koskevan lainsäädännön yhteyteen lisättäväksi säännökset valvovien viranomaisten yhteistyöstä sekä tietoturvallisuuteen liittyvien tehtävien hoitamiseksi tarvittavien salassa pidettävien tietojen vaihdosta.
Lisäksi Viestintävirastolle säädettäisiin velvoite toimia yhteistyössä verkko- ja tietoturvadirektiivin tarkoittamien tietoturvaloukkauksiin reagoivien ja niitä tutkivien yksiköiden, valvontaviranomaisten sekä jäsenvaltioiden yhteistyöryhmän kanssa.
Ehdotetut lait on tarkoitettu tulemaan voimaan 1 päivänä toukokuuta 2018.
VALIOKUNNAN YLEISPERUSTELUT
Valiokunta pitää esityksen ja esityksellä toimeenpantavan verkko- ja tietoturvadirektiivin (EU) 2016/1148 tavoitetta edistää tietoturvallisuutta ja sitä kautta yhteiskunnan kokonaisturvallisuutta kannatettavana. Yhteiskunnan toiminnan kannalta keskeiset palvelut ovat yhä enemmän riippuvaisia viestintäverkkojen ja tietojärjestelmien toimivuudesta. Näihin palveluihin kohdistuvilla tietoturvaongelmilla ja häiriöillä voi olla pahimmillaan laajoja vaikutuksia yhteiskunnan eri sektoreille. Asettamalla tietyille liikenteen, energianjakelun, vesihuollon, terveydenhuollon ja digitaalisten palveluiden tarjoajille tietoturvallisuuteen liittyvää riskienhallintaa sekä palvelujen häiriöistä ilmoittamista koskevia velvoitteita voidaan edistää yhteiskunnan kokonaisturvallisuutta ja pyrkiä lisäämään digitaalisia palveluja ja toimintatapoja kohtaan tunnettavaa luottamusta. Tavoitteena tulee olla, että tietoturvasta huolehtiminen ja mahdollisista häiriöistä ilmoittaminen on osa näiden palveluntarjoajien normaalia toimintaa.
Asiantuntijakuulemisessa on osin kritisoitu velvoitteiden kohteena olevien digitaalisten palvelujen tarjoajien määrittelyn epätäsmällisyyttä esityksessä. Saadun selvityksen mukaan kyse on kuitenkin toimeenpantavassa direktiivissä määritellyistä käsitteistä, joita ei ole tarkoituksenmukaista tai osin edes mahdollista määritellä kansallisella lailla. Lain toimeenpanossa ja direktiivin tulkinnassa on keskeistä varmistaa, etteivät velvoitteet heikennä uusien palvelujen kehittämismahdollisuuksia tai kotimaisten toimijoiden kilpailun edellytyksiä. Sääntelyn voimaantulosta ja vaatimuksista on myös tärkeää tiedottaa erityisesti digitaalisten palvelujen tarjoajille.
Asian käsittelyn yhteydessä on myös tuotu esille näkemyksiä, joiden mukaan vastaavia tietoturvaa koskevia velvoitteita voisi olla tarkoituksenmukaista kohdentaa myös joihinkin muihin yhteiskunnan toiminnan kannalta keskeisiin toimijoihin. Esimerkkinä on tuotu esille muun muassa älykkäästä liikenteen ohjauksesta vastaavat palveluntarjoajat. Valiokunta pitää tärkeänä, että sääntelyn vaikutuksia arvioidaan jatkossa kattavasti ja samalla arvioidaan, tulisiko velvoitteita joiltain osin laajentaa myös uusiin toimijoihin tai sektoreihin direktiivin soveltamisalan ulkopuolelta. Valiokunta toteaa, että tietoturvallisuuden toteutumisella on jatkossa yhä suurempi merkitys myös liikenteen turvallisuuden kannalta ajoneuvojen ja liikennettä koskevien palvelujen kytkeytyessä jatkossa yhä enemmän viestintäverkkoihin. Valiokunnan saaman selvityksen mukaan tieliikenteen ohjaus- ja hallintapalvelun osalta tätä arviointia on jo käynnistetty.
Valiokunta pitää Viestintäviraston kyberturvallisuuskeskuksen toimintaa yhteiskunnan kokonaisturvallisuuden kannalta erittäin keskeisenä. Valiokunta katsoo, että ehdotus vahvistaa keskuksen mahdollisuuksia edistää tietoturvallisuuden toteutumista ja huolehtia osaltaan yhteiskunnan keskeisten toimintojen jatkuvuudesta. Jatkossa tulee huolehtia, että Viestintävirastolle varmistetaan myös riittävät resurssit näiden kaikkia yhteiskunnan sektoreita hyödyttävien tehtävien hoitamiseen ja kehittämiseen.
VALIOKUNNAN YKSITYISKOHTAISET PERUSTELUT
1. Lakiehdotus
Lain nimike.
Valiokunta on muuttanut mietinnössään LiVM 21/2017 vp — HE 82/2017 vp tietoyhteiskuntakaaren nimikkeen muotoon laki sähköisen viestinnän palveluista. Kyseinen nimikkeen muutos tulee voimaan 1.6.2018. Nyt käsittelyssä olevan esityksen lain vielä voimassa olevan nimikkeen mukainen muutosehdotus tulee liikenne- ja viestintäministeriön antaman selvityksen mukaan kuitenkin voimaan ennen mainittua nimikkeen muutosta. Valiokunta painottaa, että nyt käsittelyssä oleva lakiehdotus on syytä saattaa sekä nimikkeen muutoksesta että direktiivissä asetetuista velvoitteista johtuen voimaan viimeistään toukokuun 2018 aikana.
10. Lakiehdotus
15 b §. Vesihuollon häiriötilanteista ilmoittaminen.
Valiokunta on muuttanut pykälän 1 momenttia säännöksen yhtenäistämiseksi muiden esityksessä olevien saman sisältöisten säännösten kanssa. Muutoksen myötä myös vesihuollon häiriöstä tiedottamista koskevan velvoitteen tai säännöksessä tarkoitetun valvontaviranomaisen toteuttaman tiedottamisen edellytyksenä on, että häiriöstä ilmoittaminen on yleisen edun mukaista.
12. Lakiehdotus
6 §. Tietojen antaminen.
Liikenne- ja viestintäministeriö on esittänyt, että sosiaali- ja terveysalan lupa- ja valvontaviranomaisen (VALVIRA) oikeudesta luovuttaa salassa pidettävää tietoa Viestintävirastolle olisi tarpeen säätää vastaavasti kuin muidenkin valvontaviranomaisten osalta. Saamansa selvityksen perusteella valiokunta on lisännyt uuden 12. lakiehdotuksen, jossa sosiaali- ja terveysalan lupa- ja valvontavirastosta annetun lain (669/2008) 6 §:ään lisätään uusi 4 momentti. Uuden momentin mukaan sosiaali- ja terveysalan lupa- ja valvontavirastolla on oikeus luovuttaa salassapitosäännösten estämättä tietoja Viestintävirastolle, jos se on välttämätöntä tietoturvallisuuteen liittyvien tehtävien hoitamiseksi. Valiokunta toteaa, että viranomaisia koskevat salassapitovelvoitteet ja virkavastuulla toimiminen varmistavat, ettei viranomaisten välisestä tietojen vaihdosta aiheudu tietosuojaa koskevia ongelmia. Uuden momentin lisäämisen myötä pykälän 4 momentti siirtyy 5 momentiksi.